Angesichts der vielfältigen Anwendungsmöglichkeiten der M2MKommunikation erwarten Marktbeobachter enorme Steigerungsraten beim Einsatz dieser Übertragungstechnologien über Funk und Internet. Zwar haben sich die bisherigen Zuwachsraten von über 20 % im Jahr - so die Marktforscher von Harbor Research - im Zuge der weltweiten Wirtschaftskrise etwas verlangsamt. Trotzdem soll die Zahl der M2M-Funkmodule von weltweit 73 Mio. in 2008 auf 430 Mio. verkaufte Einheiten im Jahr 2013 rasant zunehmen.

Gleichzeitig sind nach Schätzung der Münchner Beratungsgesellschaft TCW Transfer Centrum derzeit 9 % aller Produkte im Welthandel Plagiate. Standen früher vor allem Konsumartikel im Visier der Produktfälscher, so klagen mittlerweile auch vier von fünf Investitionsgüterherstellern über entsprechende Erfahrungen. Das bringt Gefahren bei der IT- und der Betriebssicherheit mit sich, wenn zum Beispiel bei der M2MKommunikation eben keine Originaltechnologie zum Einsatz kommt.

Allein die zunehmende automatische Datenübertragung zwischen Maschinen, Anlagen oder Geräten über Mobilfunk und Internet birgt bereits zusätzliche Sicherheitsrisiken. Ist ein solches dezentrales Kommunikationsnetz gestört, funktionieren unter Umständen auch die daran angeschlossenen Geräte nicht mehr richtig. Hinzu kommen die Betriebsgefahren durch die Verwendung unlizenziert nachgebauter Geräte. In der Folge drohen - wie beim herkömmlichen Datenaustausch - nicht nur Viren und sonstige Malware, sondern überdies unbefugte Manipulationen der Kommunikation, die Produktionsausfälle oder den Missbrauch kompletter Produktionsstätten zur Folge haben können.

Geräte authentisieren - vor allem bei wenig gesicherten Netzen

Es ist aber nicht so, dass in diesen Gefahrenbereichen bisher noch nichts unternommen worden wäre. Etwa die Authentisierung eines Ressourcenzugriffs in Rechnernetzen durch eine technische Instanz (Maschine, Software-Komponente etc.) ist seit langer Zeit und zuletzt im Jahr 2004 im IEEE-Standard 802.1X festgelegt worden und kommt bereits millionenfach zur Anwendung. Überdies sind bei potenziell vorhandenen Risiken heute selbst auf Produktionsrechnern standardmäßig Virenscanner im Einsatz. Und sogar bei relativ langlebigen Steuerungen - zum Beispiel in der Stromübertragungstechnik - wird mittlerweile auf die Datensicherheit Wert gelegt, was sich in Techniken wie dem so genannten „tamper proof" zeigt.

Doch hinken diese Anstrengungen der Entwicklung in der Informationstechnologie oft noch hinterher. An die Integrität der Datenkommunikation und die Authentizität des Zugriffs werden im M2M-Umfeld im Allgemeinen deutlich geringere Anforderungen gestellt als an die personenbezogene Kommunikation in einer Büro-Umgebung.

Trotzdem kann beim automatisierten, drahtlosen oder drahtgebundenen Datenaustausch nicht darauf verzichtet werden, die beteiligten Geräte zu authentisieren und die Kommandos von der zentralen Steuerung an ein Feldgerät manipulationssicher zu gestalten. Dies gilt besonders für räumlich getrennte Systeme und erst recht, wenn die Kommunikation über wenig abgesicherte Netze läuft. Ein Beispiel sind Lichtsignalanlagen im Straßenverkehr, die von einer zentralen Steuerung bei der Stadtverwaltung über die grauen Kästen am Straßenrand angesprochen werden.

Hier sind alle potenziellen Sicherheitslücken offensichtlich: Zu Datennetzen und Steuerungssystemen kann man sich relativ leicht Zugang verschaffen und dann haben nicht autorisierte Personen beispielsweise die Möglichkeit, gefährlichen Missbrauch mit Ampelphasen zu treiben.

Public-Key-Infrastrukturen bieten Angriffsflächen

Erste Projekte, um der Sicherheit der M2M-Kommunikation Rechnung zu tragen, wurden mit Hilfe von Public-Key- Infrastrukturen (PKI) realisiert. Sie dienen, je nach Interessenlage von Hersteller und Lizenznehmer/Betreiber, einerseits dem Plagiatschutz und andererseits der Authentifizierung der Kommunikationspartner. Hierfür wurde - mangels preiswerter Alternativen - meist mit so genannten Softzertifikaten gearbeitet.

Heutiges Vorgehen zum Schutz von Komponenten und geistigem Eigentum mittels Softzertifikaten: Der Hersteller stellt die Wurzel-Instanz der Vertrauensinfrastruktur mit zwei Sub-Certification-Authorities zur Verfügung. Eine steht dem Lizenznehmer zur Zertifikatsausgabe innerhalb seiner Infrastruktur zur Verfügung. Die 2. Sub-CA stellt Ausweise für die gelieferten Komponenten des Herstellers aus.

© Siemens

Das heißt, dass die Realisierung des kryptographischen Schlüsselmaterials nur per Software erfolgt. Dabei werden, ausgehend von einem Vertrauensanker beim Hersteller (Root Certification Authority - CA), zwei nachgelagerte Public-Key-Infrastrukturen aufgebaut (CA-Hersteller und CA-Lizenznehmer).

Die CA des Herstellers vergibt Schlüsselmaterial und Zertifikate, damit sich die beteiligten Komponenten gegenseitig authentisieren können. Dadurch wird kein unzulässiges Fremdgerät - etwa ein Plagiat - in diesem Verbund aus Herstellersicht akzeptiert. Die CA des Lizenznehmers, also des Betreibers, kann nach dem gleichen Prinzip verfahren, hat dann aber das eigene Schlüsselmaterial unter alleiniger Kontrolle. Zwar ist dieses bilaterale Konstrukt ein besserer Schutz gegen Plagiate und Datenmanipulation als gar keiner, jedoch bietet es durch das weitgehend ungeschützte Schlüsselmaterial erhebliche Angriffsflächen.

Um ein Plagiat zu erkennen und eindeutig als Fälschung zu entlarven, gibt es nur eine wirksame Möglichkeit: den Einsatz so genannter Cryptochips, aus denen die geheimen Schlüssel nicht unbefugt auslesbar sind. Sie sind aus der Verwendung bei multifunktionalen Mitarbeiterausweisen mit PKI oder anderen Signaturkarten bekannt, waren für den Einsatz im M2MUmfeld aber bisher zu teuer. Der Ausweg bestand hier in der Entwicklung eines Chips, der zwar asymmetrische Kryptographie anwendet, aber trotzdem preiswert zu haben ist. Dieses „Kunststück" gelingt, wenn deutlich kürzere Schlüssellängen zur Anwendung kommen, die trotzdem ein hohes Maß an Sicherheit gewährleisten. Das ist möglich, indem nicht mit dem weltweit gebräuchlichen RSA-Verfahren gearbeitet wird, sondern mit Kryptographie auf Basis von elliptischen Kurven (ECC).

Denn RSA - benannt nach den Anfangsbuchstaben der Erfinder Rivest, Shamir und Adleman - „verschenkt" viel von der Kapazität der teuren Siliziumfläche eines Chips. Der Grund: Dieses Verfahren, das auf der Faktorisierung einer großen Zahl in Primzahlen beruht, benötigt heutzutage Schlüssellängen von mindestens 1024 Bit. Mit ECC dagegen ist mit deutlich geringerer Schlüssellänge und damit optimaler Nutzung der Rechenkapazität des Chips der gleiche Sicherheitslevel erzielbar. Damit sind die Chips kleiner und in der Folge kostengünstiger produzierbar. Hinzu kommt, dass Ansprüche, die bei personenbezogenen Dokumenten unverzichtbar sind, in der Maschinenwelt weniger wichtig sind und zugunsten eines attraktiven Preises weggelassen werden können.

Gemeint sind hier vor allem so genannte Hashverfahren, also die Komprimierung eines Textes oder einer Datenfolge auf einen kurzen, aber eindeutigen Bitstring. Die Verschlüsselung dieses Bitstrings mit dem privaten Schlüssel, angehängt an den betreffenden Text, wird als elektronische Signatur bezeichnet. Der Hashwert, der auf dem Rechner gebildet wird, ist heute meist 160 Bit lang. Er wird an den Signaturchip geschickt, der sich auf einer SmartCard oder sonstigem „Token" befindet.

Ruf nach leistungsfähigerer Kryptographie

Die SmartCard hat eine Doppelfunktion: Sie ist sicherer Aufbewahrungsort für den privaten Schlüssel und sichere Signatur- Erstellungseinheit. Meist wird sogar das Schlüsselpaar für die Signaturen auf dem Chip selbst generiert und nur der öffentliche Schlüssel verlässt den Chip zwecks Zertifizierung in einem „Trustcenter". Der private Schlüssel braucht somit den Chip gar nicht verlassen, der Nutzer muss ihn auch nicht explizit kennen. Im Chip wird der Bitstring des Hashwertes nach der Verschlüsselung in Form eines sogenannten RSA-Blocks von 1024 Bit zum Rechner zurück gesendet.

Das Schlüsselmaterial in einer reinen Software-Implementierung bietet nicht immer ausreichenden Schutz vor Produktfälschungen. Als Alternative zu teuren Signaturchips bietet sich eine kostengünstigere Lösung an: ein Chip, der ein Challenge-Response- Verfahren auf Basis der asymmetrischen Kryptographie beherrscht. Diesen Chip gibt es als Steckvariante für Platinen oder sogar mit kontaktloser Technologie.

© Siemens

Dieses Verfahren ist nicht nur technisch aufwendig, sondern aus Sicherheitsgründen wird sowohl das Hashverfahren als auch die RSA-Schlüssellänge in Zukunft deutlich wachsen müssen. Die Gründe hierfür sind sowohl die mathematische Erfolge in der Kryptoanalyse als auch stark gestiegene Rechnerleistungen, mit denen möglicherweise mit „nackter Rechengewalt" (brut force) Schlüssel zu erraten sind. Das weltweit am meisten verbreitete Hashverfahren SHA-1 (160 Bit) wird sich ergo hin zu 256 Bit oder mehr verändern müssen. 1024-Bit-RSA-Schlüssel werden in neuen PKI-Projekten gar nicht mehr empfohlen; hier kommen bereits 2048-Bit-Schlüssel zum Einsatz - Tendenz weiter steigend. Kein Wunder, dass der Ruf nach einer leistungsfähigen Kryptographie mit kürzeren Schlüssellängen immer lauter wird.

ECC ist gegenüber RSA ein vollkommen gleichwertiges Kryptographie-Verfahren. Es verwendet ebenfalls asymmetrisches Schlüsselmaterial und stellt somit auch ein PKI-Verfahren dar. In Verbindung mit einer Hashlösung kann ECC die heutige Praxis der elektronischen Signaturen ohne Einschränkung ersetzen. Während bei RSA innerhalb von wenigen Jahren eine Verdopplung der Schlüssellänge notwendig wurde, steigt bei ECC bei einer vergleichsweise moderaten Verlängerung das Sicherheitsniveau bereits enorm.

Die mathematische Grundlage ist jedoch nicht RSA, sondern beruht auf der Theorie der elliptischen Kurven, denen die „nichtmathematische Öffentlichkeit" allerdings mit einer gewissen Unkenntnis und damit Scheu begegnet. Hinzu kommt, dass ein weltweit eingesetztes Verfahren trotz unbestreitbarer wirtschaftlicher und sicherheitstechnischer Vorteile immer nur schwer ersetzbar ist. Im M2M-Umfeld ist also trotz Verzicht auf ein Hashverfahren immer noch ein hohes Sicherheitsniveau zu erreichen. Und zwar erzwingt die ECC-Methode die zweifelsfreie gegenseitige Authentisierung der Feldgeräte mit ihrer Steuerung.

Sie verzichtet lediglich auf ein aufwendigeres Verfahren zur Integritätssicherung (keine signierten Hashwerte). In einem so genannten Challenge- Response-Verfahren verschlüsselt die sendende Komponente einen Zufallswert mit ihrem privaten Schlüssel. Die empfangende Komponente kann mit dem bekannten öffentlichen Schlüssel des Senders dessen Authentizität überprüfen. Die öffentlichen Schlüssel der Feldgeräte werden einfach in einer Liste in der Steuereinheit geführt.

Integritätssicherung der Kommandodaten verzichtbar

Auch weitere aufwendige Verfahren und Dienste - wie in einer personenbezogenen PKI bekannt und gefürchtet - entfallen somit. Man muss im Maschinenumfeld die öffentlichen Schlüssel der beteiligten Komponenten ja nicht in einem Directory „öffentlich" bekannt machen. Auch Sperrlisten, wie sie in einer seriösen Personen-PKI zwingend nötig sind, sind nicht erforderlich. Selbst das Zertifikat als Inbegriff des Vertrauensmodells in einer PKI ist nicht so erforderlich, wie es die Norm X.509 vorschreibt. Damit lassen sich technische Entitäten mit deutlich weniger Aufwand als für Personen mittels digitaler Identitäten schützen.

Das zugrundeliegende mathematische Verfahren über elliptische Kurven ist gerade in der Personalisierung der Chips deutlich unkomplizierter als das RSAVerfahren. Dies liegt ebenfalls an den mathematischen Grundlagen zu elliptischen Kurven, wo ein weitgehend willkürlich gewählter Wert immer einen brauchbaren Funktionswert auf der Kurve ergibt. Dies ist bei großen Primzahlen deutlich schwieriger und mit mehr Rechenaufwand oder Chipfläche und damit Kosten verbunden. Wenn eine Komponente sich in einer Session erfolgreich mit Hilfe des Challenge- Response-Verfahrens authentisiert hat, ist weiterhin davon auszugehen, dass die Kommandosequenzen nicht manipuliert worden sind.

Ein Angriff an dieser Stelle würde einen hohen Aufwand bedeuten. Der Angreifer müsste eine personalisierte Originalkomponente aus dem bestehenden technischen Umfeld (also kein extern gekauftes Gerät) ausbauen, die Firmware manipulieren und wieder einbauen. Dieses Risiko ist in vielen Szenarien als sehr unwahrscheinlich einzustufen und auf eine Integritätssicherung der Kommando-Daten mittels elektronischer Signaturen kann getrost verzichtet werden.

Zwei Sicherheitsvarianten - drahtgebunden oder RFID

Die Chips auf Basis asymmetrischer Kryptographie sind in zwei prinzipiellen Varianten verfügbar: So wird innerhalb von Geräten in der Regel eine drahtgebundene Variante (one-wire-chip) eingesetzt, die nur einen Steckplatz auf der Platine benötigt. Sie ermöglicht somit sichere M2M-Kommunikation bei geschütztem Schlüssel durch eine sichere Hardware.

Dazu ist eine in der Regel unproblematische Firmware-Änderung erforderlich, die den Chip in das Gesamtsystem integriert und ein Challenge-Response-Verfahren zwischen Chip und den entfernten zentralen Steuerungselementen über die bestehenden Informationskanäle ermöglicht. Um zum Beispiel hochwertige Consumer- Artikel vor Fälschern schützen zu können, wurde daneben eine RFID-Variante entwickelt (Radio Frequency Identification). Damit kann berührungslos untersucht werden, ob es sich bei dem Artikel um ein Plagiat oder ein Original handelt.

Die verwendete Schlüssellänge von 163 Bit ECC gilt als beweissicher und reicht für den zweifelsfreien Plagiatsnachweis und in vielen Fällen auch bei der Kommunikationssicherheit in der M2M-Kommunikation vollkommen aus. Gegenüber dem heutigen Zustand ließe sich somit eine deutliche Verbesserung erzielen.

Autor: Dr. Willi Kafitz ist Sicherheitsexperte und Senior Consultant bei Siemens Enterprise Communications.