Select language:
  • en
  • us
  • de
  • zh-hans

Informationen für IT-Experten

Sicherheit hat bei uns oberste Priorität….

1. Wie wird die Sicherheit am Produktionsstandort gewährleistet

Am Produktionsstandort wird der SiteManager installiert. Der SiteManager erhält eine IP-Adresse über einen DHCP-Server, genau wie ein PC. Der SiteManager nutzt typischerweise die bestehende Infrastruktur des Unternehmens, um ins Internet zu gelangen und um eine AES-verschlüsselte Verbindung zu einem zentralen GateManager-Server über Standard-Web-Ports (https/443) aufzubauen, genau wie ein Web-Browser das tun würde. Bei der Installation wird der SiteManager konfiguriert, um sich zu einem bestimmten GateManager (IP oder DNS) und einer bestimmten Kunden-Domain auf dem GateManager zu verbinden.

Die Verbindung basiert auf TLS und ist gegen Man-in-the-Middle-Angriffe geschützt, indem jeder GateManager ein einzigartiges TLS-Zertifikat/Schlüssel hat, zu dem der SiteManager verbindet (auch bekannt als  “Trust-on-first-use). Um die Bindung zwischen einem SiteManager und dem GateManager zu entfernen, müssen Sie explizit die GateManager-Einstellungen im SiteManager neu konfigurieren. Da ein Man-in-the-Middle dies nicht tun kann, indem er nur die Verbindung abfängt, kann er nicht die SiteManager-Verbindung zu einem anderen GateManager leiten, selbst wenn er einen hätte.

In einem normalen Setup ist der SiteManager dauerhaft verbunden und gibt dem GateManager alle 10 Minuten ein “Lebenszeichen”, damit der GateManager seine Funktion erkennt. Jedoch kann der Fernzugriff auf/von dem SiteManager zusätzlich durch den Nutzer kontrolliert werden, entweder durch das Ausschalten des SiteManager, wenn er nicht verwendet wird, oder durch den Anschluss eines Ein/Aus-Schalters auf ein Eingangssignal des SiteManagers, das die GateManager-Verbindung öffnet und schließt.

Im SiteManager konfigurieren Sie sogenannte Device-Agents, die den LinkManager-Nutzern, denen der Zugang zu den Agents gewährt wurde erlauben, mit ihrem LinkManager-Client zu den Geräten, die durch den Device-Agent vertreten werden, zu verbinden. Der LinkManager-Nutzer kann keinen konfigurierten Agenten zu anderen Geräten umleiten, es sei denn, ihm wurde speziell Zugang zur Neukonfiguration des SiteManagers gewährt. Wenn zum Beispiel ein Agent als „Siemens/Ethernet” definiert wurde, wird dieser Agent nur die Ports öffnen, welche für Siemens Geräte relevant sind. Oder wenn Sie einen PC-Agenten für einen Microsoft-Server konfigurieren, können Nutzer aus der ferne nur Zugriff auf den Remote-Desktop dieses Servers erhalten, aber zu keiner der anderen Services, die auf diesem Server laufen.

Einige unserer Kunden bewerten „Sicherheit” und „Sicherung” im gleichen Prozess. Der SiteManager ist für die verschiedenen Sicherheitsvorschriften vorbereitet, denen die industrielle Kommunikation unterliegt, wie z. B. die Richtlinie „EN415, Sicherheit von Verpackungsmaschinen”, die unter anderem verlangt, dass die Maschinenbauer sicherstellen, dass der Fernzugriff auf die Maschinen ordnungsgemäß an die Betreiber signalisiert wird. Alle SiteManager unterstützten ein Ausgangssignal, das z. B. mit einer Warnleuchte verbunden werden kann, welche die lokalen Betreibern informiert, dass eine Fernwartung im Gange ist, und dass sie beim Betrieb oder bei der Wartung der Ausrüstung besonders vorsichtig sein sollten.

 

2. Wie wird die Sicherheit im Office-Netzwerk gewährleistet

Der SiteManager hat eine Stateful Inspection Firewall zwischen dem Uplink-Port, der für den GateManager-Zugriff verwendet wird und dem Geräte-Anschluss, der zu dem Netzwerk mit den Industriegeräten verbindet. Dies bedeutet, dass keine Kommunikation aus dem Firmennetz auf das Gerätenetzwerk und umgekehrt möglich ist. Die Firewall ist so konfiguriert, dass sie jegliche Kommunikation, mit Ausnahme von autorisierten und verschlüsselten Daten, zwischen dem SiteManager und dem GateManager blockiert. Außerdem basiert der SiteManager auf einem gehärteten Betriebssystem, das verhindert, dass feindliche Personen oder Programme die Verbindung nutzen. Dieses verhindert sowohl interne als auch externe Bedrohungen.

Der SiteManager kann so konfiguriert werden, um mit dem GateManager über eine sichere Web-Proxy (einschließlich NTLM) zu verbinden, was der IT-Abteilung ermöglicht, den Zugang weiter zu steuern und zu überwachen. Die IT-Abteilung kann ausserdem entscheiden, den Zugang zum Internet, der auf der IP-Adresse oder der MAC-Adresse des SiteManager basiert zu begrenzen. Alternativ kann auch die Verbindung zu einem anderen Port (11444) begrenzt werden, was der IT-Abteilung dann ermöglicht, den Internetverkehr durch den SiteManager von dem anderer Benutzer zu unterscheiden.

Wenn die IT-Unternehmensrichtlinien jede Form des Internetzugangs über das Firmennetzwerk verbietet, haben Sie ausserdem die Möglichkeit, den SiteManager über 2G/3G/4G zu verbinden. Selbst die SiteManager-Modelle ohne integrierte Breitbandmodems können, einfach durch Einsetzen eines Standard-USB-Breitbandmodems in den SiteManager, auf das Internet zugreifen. Diese Option ist auch als vorübergehende Lösung ideal, im Fall, dass die Fernwartung von Maschinen beginnen muss, bevor der IT-Genehmigungsprozess abgeschlossen wurde.

 

3. Wie wird die Sicherheit auf der Nutzerseite gewährleistet

Der LinkManager ist die Nutzersoftware, welche auf dem PC des Technikers installiert wird.

Der LinkManager verbindet zum GateManager auf die gleiche Weise wie der SiteManager. Der LinkManager speichert das Zertifikat/den Schlüssel jedes GateManagers von dem er LinkManager-Zertifikate erhalten hat. Also wenn ein Man-in-the-Middle die Verbindung abfängt, verbindet der LinkManager einfach nicht. Kombiniert mit der Zwei-Faktoren-Sicherheit des LinkManagers (unter Verwendung eines lokalen x509-Zertifikats mit Passwort), gewährt der LinkManager maximale Sicherheit.

Bei der Anmeldung, wird der LinkManager über den virtuellen Adapter des LinkManagers auf dem PC, eine verschlüsselte Verbindung herstellen. Der Adapter ist für jeden anderen Verkehr geschlossen und lässt nur Verkehr durch, der durch die Verbindung mit GateManager generiert wird. Wenn der LinkManager-Nutzer sich anmeldet, sieht er eine Liste von Standorten und Geräten, zu denen sein Konto die Erlaubnis hat sich zu verbinden. Bei der Verbindung zu einem bestimmten Gerät, wird ein Routing-Eintrag auf dem PC erstellt, der den Zugriff auf die IP-Adresse und die spezifischen Ports des Geräte-Agenten repräsentiert.  Der LinkManager-Nutzer hat keine Möglichkeit die Verbindungen auf den LinkManger neu zu konfigurieren.

Alle Informationen über den GateManager, mit dem zu verbinden ist und dem Konto werden in einem x.509-Zertifikat verschlüsselt. Der Benutzer des LinkManagers konfiguriert daher gar nichts, sondern installiert nur die LinkManager-Software, installiert das x.509-Zertifikat und meldet sich mit dem zugehörigen Passwort an. Das reduziert auch den Support erheblich und eliminiert Sicherheitsrisiken durch Fehlkonfiguration. In der Tat ist die größte Gefahr, wenn der PC mit dem LinkManager gestohlen wird und das LinkManager-Zertifikat mit einem schwachen Passwort erstellt wurde, das eine Person leicht erraten könnte. Sollte dies tatsächlich geschehen, kann das LinkManager-Konto mit einem Klick vom GateManager-Administrator geschlossen werden.

 

4. Wie wird die Sicherheit auf dem zentralen M2M-Server gewährleistet

Im Mittelpunkt der Lösung steht der GateManager M2M-Server, der als sicherer Proxy für den SiteManager und die LinkManager-Datenverbindungen fungiert. Dieser basierend auf den Zugangsdefinitionen, die der GateManager-Administrator konfiguriert.

Der GateManager ist die einzige Komponente in der Lösung, dessen Ports dem Internet freiliegen, aber nur Verbindungen, die durch ein geeignetes x.509-Zertifikat validiert sind, werden erlaubt. Der GateManager kann sogar durch die Kombination von Passwort und Zertifikat mit einem einmaligen, per SMS empfangenem PIN-CODE, mit Drei-Faktor-Sicherheit betrieben werden. Das einzige theoretische Sicherheitsrisiko wäre, wenn ein Man-in-the-middle den privaten Schlüssel abfangen könnte. Andern-falls kann die TLS-Verbindung nicht hergestellt werden. Ein bekanntes Sicherheitsrisiko von TLS ist es, mit dem Zertifikat/Schlüssel zu starten und nach dem Handshake die TLS-Verbindung um Re-Sync zu bitten (bei anwesenheit eines Man-in-the-middle). Wir haben dies einfach dadurch beseitigt, dass wir bei unserer TLS-Implementierung kein Re-sync unterstützen, so dass der Man-in-the-middle diese TLS-Risiko nicht nutzen kann.

Sollte jemand in der Lage sein, sich Zugang zum Server zu verschaffen, auf dem der GateManager läuft, wäre es immer noch nicht möglich, zu einem der Geräte die der zentrale Proxy verwaltet zu verbinden, einfach weil die Verbindungen nicht statisch offen sind, wie bei den VPN-Lösungen. Diese Verbindungen werden nur auf Antrag eines LinkManager-Nutzers geöffnet und das nur von Programmen, die sich auf dem PC dieses LinkManagers befinden.

Auch der GateManager-Administrator muss sich mit einem Web-Browser mit Zwei-Faktor-Authentifizierung anmelden, wie bei Online-Bankinglösungen. Die wichtigsten Eigenschaften des GateManager-Administrator-Portal GUIs, ist die Erstellung von LinkManager-Benutzerkonten, die Organisation von SiteManager und Device-Agents in logische Domains und die Zugriffsgewährung auf diese Domains für bestimmte LinkManager-Nutzer. Ein wesentliches Entwicklungsziel war es, dies intuitiv zu gestalten, um das Risiko einer unbeabsichtigten Zugangsgewährung zu eliminieren. Es ist alles per Drag and Drop gesteuert und mit klaren Hinweisen, wer Zugriff auf was hat.

Grundsätzlich erfüllt die Secomea-Lösung alle Sicherheitsstandards, die durch das National Institute of Standards and Technology (https://www.nist.gov) für die Verschlüsselung und das wichtigste Schlüsselmanagement festgelegt sind. Sie bietet komplette End-to-End-Sicherheit, um sicherzustellen, dass niemand – und nichts – ohne Erlaubnis auf die Geräte zugreifen kann.

Vor allem stellt der GateManager sicher, dass alle Ereignisse protokolliert werden. Wenn ein LinkManager zu einem bestimmten Gerät eine Verbindung hergestellt hat, wenn eine Änderung der Konfiguration auf einem SiteManager gemacht wurde, wenn ein SiteManager neu gestartet wird, wenn eine Firmware aktualisiert wird, wenn eine Warnung per E-Mail oder SMS ausgelöst wurde usw. Alle diese Ereignisse werden mit Zeitstempel, Beschreibung und dem Benutzer, der das Ereignis ausgelöst hat protokolliert.

HINWEIS: Secomea bietet Hosting Ihres Kontos auf unseren GateManager-Servern. Nur autorisierte Secomea-Mitarbeiter haben Zugang zu Ihrem Konto und werden auf Ihr Konto nur im Zusammenhang mit Unterstützungsanfragen, die von einem authorisierten Repräsentanten des Kunden eingeleitet werden, zugreifen. Alle Handlungen von Secomea werden im Ereignisprotokoll Ihres Kontos aufgeführt.

Wenn die Vorschriften Ihrer IT-Richtlinien nicht zulassen, dass Dritte auf Ihre Anlagen zugreifen, oder wenn Sie Regelungen haben, die eine Abhängigkeit von Dritten nicht erlauben, können Sie Ihren eigegenen GateManager-Server hosten. Ein GateManager wird entweder als ein virtuelles Image zur Verfügung gestellt, das auf einem ESXi, VMWare oder HyperV-Server installiert wird, oder als Stand-alone-Server-Hardware mit einem speziellen gehärteten Betriebssystem, das die Notwendigkeit beseitigt Ihr OS mit Sicherheits-Patches auf dem neuesten Stand zu halten.

Referenzen
Lesen Sie alle
Wir haben dank reduzierter Serviceeinsätze und einer aktiven Fehlererkennung von einem zentralen Ort aus Zeit und Geld gespart.

- Bent Juhl Petersen
Allianzpartner
Sehen Sie alle Partner
Call us
Internationale Vertriebspartner:
Unsere Website benutzt Cookies, wie es fast alle Websites tun, um dem Benutzer einen möglichst guten Service zu bieten. Cookies sind kleine Textdateien, die beim Blättern in Websites auf Ihrem Computer oder Mobiltelefon gespeichert werden.
- Read more here -