Gerätezertifikate und signierte Updates: Wie sich die Edge-Box ausweist und schützt
Jede Box hat ein eigenes Zertifikat, dessen Schlüssel die Box nie verlässt. Updates nimmt sie nur an, wenn die Signatur stimmt, die Version neuer ist und das Paket unverändert ankommt.
Ein Gerät, das in Ihrem Netz an einer Werkzeugmaschine hängt und Daten nach außen sendet, muss zwei Fragen sicher beantworten können: Wer bin ich, und ist die Software, die auf mir läuft, wirklich die vom Hersteller? Die erste Frage beantwortet ein Gerätezertifikat, die zweite beantworten signierte Updates. Beides gehört zu den Grundanforderungen, die IEC 62443 und der Cyber Resilience Act an vernetzte Komponenten stellen. Dieser Artikel zeigt, wie wir Gerätezertifikate und signierte Updates in unserer Edge-Box umgesetzt haben, welche Algorithmen wir verwenden und was heute noch offen ist.
Warum jede Box eine eigene Identität braucht
Unsere Box sendet Kennwerte an die Plattform. Wer die Identität einer Box besitzt, kann Daten in ihrem Namen senden. Er könnte also falsche Messwerte einspielen oder einen echten Alarm überdecken. Im Bedrohungsmodell unseres Systems sind die Geräteschlüssel deshalb ein eigenes Schutzgut.
Ein gemeinsames Passwort für alle Boxen wäre der schlechteste Weg: Ist es einmal bekannt, sind alle Geräte betroffen. Wir arbeiten stattdessen ohne Passwort-Anmeldung. Jede Box hat ein eigenes Zertifikat, in dem ihre Geräte-ID steht. Wird ein Gerät kompromittiert, betrifft das genau dieses eine Gerät.
Der private Schlüssel entsteht auf der Box
Die wichtigste Regel lautet: Der private Schlüssel einer Box verlässt die Box nie. Er wird nicht bei uns erzeugt und nicht per USB-Stick oder Laptop übertragen. Der Ablauf ist deshalb dreigeteilt:
- Auf der Box: Ein Befehl erzeugt einen Schlüssel nach dem Verfahren EC P-256. Die Schlüsseldatei ist nur für den Box-Benutzer lesbar. Ein vorhandener Schlüssel wird nie überschrieben. Aus dem Schlüssel entsteht ein Zertifikatsantrag (CSR), in dem als Name die Geräte-ID steht.
- Bei Forbach: Nur dieser Antrag kommt zu uns. Er enthält den öffentlichen Schlüssel, aber nichts Geheimes. Wir signieren ihn mit unserer Geräte-CA.
- Zurück auf der Box: Das signierte Zertifikat wird auf der Box abgelegt. Ab jetzt kann sich die Box gegenüber unserem Broker ausweisen.
Eine eigene Geräte-CA mit strengen Regeln
Die Zertifikate unserer Boxen stellt eine eigene Zertifizierungsstelle aus, die Geräte-CA. Sie läuft offline auf einem Rechner bei Forbach, nie auf einem öffentlich erreichbaren Server. Ihr Schlüssel ist ein EC-P-384-Schlüssel, geschützt mit einer Passphrase von mindestens zwölf Zeichen. Bevor die CA einen Antrag unterschreibt, prüft sie vier Dinge:
| Prüfung | Zweck |
|---|---|
| Die Signatur des Antrags ist gültig | Der Antrag stammt vom Besitzer des Schlüssels und wurde unterwegs nicht verändert. |
| Der Name im Antrag ist exakt die Geräte-ID | Eine Box kann kein Zertifikat für eine andere Box beantragen. |
| Die Box ist auf der Plattform registriert | Unbekannte Geräte bekommen kein Zertifikat. |
| Laufzeit höchstens zwei Jahre, Standard ein Jahr | Ein Zertifikat wird regelmäßig erneuert und gilt nicht unbegrenzt. |
Das ausgestellte Zertifikat darf ausschließlich zur Anmeldung als Client verwendet werden. Es kann weder andere Zertifikate unterschreiben noch einen Server ausweisen. Damit die Erneuerung nicht vergessen wird, prüft die Box regelmäßig die Restlaufzeit ihres Zertifikats und meldet ab 30 Tagen vor Ablauf eine Warnung an die Plattform.
Gegenseitige TLS-Prüfung zwischen Box und Plattform
Die Box sendet ihre Kennwerte per MQTT über TLS, mindestens in Version 1.2, und baut die Verbindung immer selbst von innen nach außen auf. Dabei prüfen sich beide Seiten:
- Die Box prüft den Server. Sie vertraut nur dem Serverzertifikat, das zu der hinterlegten Zertifizierungsstelle passt. Eine Gegenstelle, die sich als unsere Plattform ausgibt, wird abgewiesen.
- Der Broker prüft die Box. Für Geräte vertraut er ausschließlich unserer Geräte-CA. Ein Zertifikat aus einer anderen Quelle genügt nicht.
Darüber hinaus entscheidet allein die Plattform anhand ihres Geräteverzeichnisses, zu welchem Kunden eine Box gehört. Eine Box kann sich nicht selbst einem anderen Kunden zuordnen, und Daten für eine fremde Maschine werden verworfen. Mehr zur Übertragung selbst lesen Sie im Artikel OPC UA oder MQTT für Produktionsdaten.
Auch zur Steuerung hin hat die Box ein eigenes Zertifikat. Es wird ebenfalls auf der Box erzeugt und an der Steuerung von Hand als vertrauenswürdig eingetragen. Zum Abgleich zeigt die Box die Fingerabdrücke nach SHA-1 und SHA-256 an. Die Einzelheiten dazu stehen im Artikel Nur lesen: Schreibschutz für die CNC-Steuerung.
Ein Gerät sperren
Geht eine Box verloren oder besteht der Verdacht, dass sie manipuliert wurde, muss sie sofort ausgeschlossen werden können. Heute geschieht das in zwei Schritten: Die Box wird im Geräteverzeichnis der Plattform ausgetragen, dann nimmt die Plattform keine Daten mehr von ihr an. Zusätzlich wird ihr Zugang am Broker entzogen. Weil jede Box ihr eigenes Zertifikat hat, betrifft eine Sperre nur dieses eine Gerät, alle anderen arbeiten weiter.
Ehrlicher Stand
Eine Sperrliste für Zertifikate (CRL) und die automatische Erneuerung sind noch nicht umgesetzt. Die Erneuerung ist heute ein geplanter, manueller Ablauf: neuer Antrag, Signieren, Datei tauschen. Bei einer größeren Zahl von Boxen planen wir eine automatische Erneuerung. Auch die Zugriffsregeln am Produktivbroker prüfen wir noch gesondert, bevor die ersten Boxen in den Feldeinsatz gehen.
Signierte Updates: Was die Box prüft
Jede Software braucht Updates, gerade aus Sicherheitsgründen. Ein Update ist aber auch ein Einfallstor: Wer ein manipuliertes Paket einschleusen kann, hat die Box übernommen. Deshalb nimmt unsere Box ein Update nur an, wenn es eine Kette von Prüfungen besteht.
Zu jedem Update gehört ein Manifest. Es nennt Version, Dateiname, SHA-256-Prüfsumme und Größe des Pakets, einen Gültigkeitszeitraum, die älteste Version, von der aus direkt aktualisiert werden darf, und ob es sich um ein Sicherheitsupdate handelt. Dieses Manifest wird mit einem Ed25519-Schlüssel signiert. Signiert werden die exakten Bytes, schon ein geändertes Zeichen macht die Signatur ungültig.
Einige dieser Schritte verdienen eine Erklärung:
- Fest hinterlegte Schlüssel: Die öffentlichen Schlüssel, denen die Box vertraut, liegen fest auf der Box. Es können mehrere sein, damit wir einen Schlüssel geplant wechseln können. Der private Signaturschlüssel liegt offline bei uns und ist mit einer Passphrase geschützt.
- Kein Rückschritt: Die Box merkt sich dauerhaft die höchste Version, die sie je akzeptiert hat. Ein altes, echt signiertes Manifest mit einer bekannten Schwachstelle lässt sich deshalb auch nach einem Neustart nicht wieder einspielen.
- Ablaufdatum: Ein Manifest gilt standardmäßig 30 Tage. Damit kann ein Angreifer der Box nicht dauerhaft ein altes Manifest vorspielen und neue Updates unterdrücken.
- Erneute Prüfung: Zwischen Herunterladen und Installieren kann Zeit vergehen. Deshalb wird das bereitgelegte Paket direkt vor der Installation noch einmal vollständig geprüft.
Was die Box bei einer ungültigen Signatur tut
Schlägt eine der Prüfungen fehl, verwirft die Box das Update. Sie legt nichts bereit, installiert nichts und läuft mit ihrer bisherigen Version unverändert weiter. Gleichzeitig meldet sie die Ablehnung mit Begründung als Ereignis an die Plattform, zum Beispiel „Signatur ungültig“, „Version nicht neuer“ oder „Prüfsumme weicht ab“. So sehen wir sofort, wenn jemand versucht, ein manipuliertes Paket einzuspielen, oder wenn ein Download beschädigt ankommt.
Die Box selbst installiert grundsätzlich nichts. Sie lädt nur ausgehend herunter, prüft und legt bereit. Die eigentliche Installation übernimmt ein getrennter Dienst auf dem Rechner der Box, der nur geprüfte Pakete annimmt und vorher die erneute Prüfung aufruft. Diese Trennung sorgt dafür, dass die Software, die mit dem Internet spricht, keine Rechte zum Austausch von Programmen braucht.
Ehrlicher Stand
Die Prüfung signierter Updates auf der Box ist umgesetzt und mit Tests für manipulierte Manifeste, fremde Schlüssel, abgelaufene Manifeste, Rückschritte und veränderte Pakete belegt. Das Installationsprogramm und der Server für die Update-Dateien hängen von der Wahl der Box-Hardware ab und folgen vor dem Serienbetrieb.
Warum das für IEC 62443 und den Cyber Resilience Act zählt
Gerätezertifikate und signierte Updates sind keine Zusatzfunktionen, sondern ausdrücklich gefordert. IEC 62443-4-2 verlangt unter anderem, dass sich Geräte und Softwareprozesse eindeutig ausweisen, dass Zertifikate richtig geprüft werden und dass die Echtheit von Software nachweisbar ist. Für unsere Box streben wir die Sicherheitsstufe SL-C 2 an, also Schutz gegen gezielte Angriffe mit einfachen Mitteln. Der Cyber Resilience Act fordert in Anhang I Sicherheitsupdates, Schutz vor unbefugtem Zugriff, die Integrität von Programmen und Daten sowie Mechanismen, Updates sicher zu verteilen.
| Anforderung | Umsetzung in unserem System |
|---|---|
| IEC 62443-4-2 CR 1.2: Geräte eindeutig ausweisen | Eigenes Zertifikat je Box, Name gleich Geräte-ID |
| IEC 62443-4-2 CR 1.8 und 1.9: Zertifikate und Public-Key-Verfahren | Eigene Geräte-CA, gegenseitige TLS-Prüfung, begrenzte Laufzeit |
| IEC 62443-4-2 CR 3.4: Integrität und Echtheit von Software | Ed25519-signiertes Manifest, SHA-256-Prüfsumme, kein Rückschritt |
| CRA Anhang I Teil I (2c): Sicherheitsupdates | Signierte Updates mit Kennzeichen für Sicherheitsupdates |
| CRA Anhang I Teil I (2d): Schutz vor unbefugtem Zugriff | Anmeldung nur mit Gerätezertifikat, kein Passwort |
Welche Fragen Sie als Betreiber jedem Anbieter dazu stellen sollten, beschreibt der Artikel Cyber Resilience Act und Zustandsüberwachung. Eine Übersicht aller Schutzmaßnahmen finden Sie auf der Seite Datensicherheit. Wenn Ihre IT vor einem Pilotprojekt Fragen hat, sprechen Sie uns über die Kontaktseite an.
Häufige Fragen
Wo wird der private Schlüssel des Gerätezertifikats erzeugt?
Direkt auf der Box. Zu uns geht nur der Zertifikatsantrag mit dem öffentlichen Schlüssel. Der private Schlüssel verlässt die Box nie, auch nicht bei der Einrichtung.
Wie lange ist ein Gerätezertifikat gültig?
Standardmäßig ein Jahr, höchstens zwei Jahre. Die Box meldet ab 30 Tagen vor Ablauf eine Warnung an die Plattform, damit das Zertifikat rechtzeitig erneuert wird.
Was passiert, wenn ein Update manipuliert wurde?
Die Box erkennt das an der ungültigen Signatur oder an der abweichenden Prüfsumme, verwirft das Update und läuft mit der bisherigen Version weiter. Die Ablehnung wird mit Begründung an die Plattform gemeldet.
Kann man eine verlorene Box sperren?
Ja. Die Box wird im Geräteverzeichnis ausgetragen, danach nimmt die Plattform keine Daten mehr von ihr an, und ihr Zugang am Broker wird entzogen. Weil jede Box ein eigenes Zertifikat hat, sind andere Boxen davon nicht betroffen.
Braucht die Box für Updates eine eingehende Verbindung?
Nein. Die Box lädt Updates ausschließlich ausgehend über https herunter. Sie nimmt keine Verbindungen von außen an.
Über den Autor
Sascha P. Forbach ist Gründer von Forbach & Partners und Software-Architekt der Spindelüberwachung. Seit zwölf Jahren berät er produzierende Betriebe zu Prozessqualität und Anlagenverfügbarkeit. Mehr über uns