Rutronik News

6 Tipps für Security in eingebetteten Systemen

Man-in-the-Middle-Attacken, Hackerangriffe, Spionage und Manipulationen, Datenfehler in Speichern – eingebettete Systeme sind verschiedensten Bedrohungen ausgesetzt. Bernd Hantsche, Leiter des DSGVO Kompetenzteams und Marketing Director Embedded & Wireless bei Rutronik, gibt 6 Tipps für mehr Security bei der Datenübertragung, Speicherung und Datenverarbeitung von eingebetteten Systemen.

Sichere Datenübertragung

Schon die Wahl des Funkstandards ist ein wichtiger Faktor für die Sicherheit eingebettete Systeme, denn jeder bietet andere Angriffsmöglichkeiten:

ZigBee oder Thread, sind mit 16 Kanälen à 5MHz Modulationsbreite recht robust gegenüber kleineren Signalstörungen.

WiFi ist mit 20MHz Bandbreite pro Kanal noch widerstandsfähiger. Allerdings ist WiFi ein beliebtes Ziel von Hackern, da sehr viele persönliche Daten hierüber gesendet werden. Das Protokoll WPA2 bietet dagegen keinen ausreichenden Schutz.

  • Tipp 1: Zusätzlich zu WPA2 mit einem starken WPA2 Key auch SSL / TLS Protokolle nutzen und WPS (WiFi Protection Setup) deaktivieren. Da bei WPS der WPA2 Key über einen nur 4-stelligen PIN ausgetauscht wird, ist er leicht zu knacken. Noch mehr Sicherheit bringt ein MAC Filter, der nur gelisteten Geräten Zugang zum Netzwerk gewährt.

Bei Bluetooth sind drei Varianten zu unterscheiden:

Bluetooth EDR (Enhanced Data Rate) nutzt ein adaptives Frequenzsprungverfahren (AFH), um durch WiFi blockierte Frequenzen auszuschließen, sowie Forward Error Correction (FEC), um Fehler in einer Datenübermittlung zu entdecken und korrigieren. Durch eine 128 Bit AES (Advanced Encryption Standard) Verschlüsselung gilt Bluetooth EDR als sicher.

Bluetooth Low Energy (BLE) nutzt neben AFH und FEC weitere Security Maßnahmen, z.B. Authentifizierung der Geräte und Verschlüsselung von Nachrichten.

Bluetooth 5 hat dieselben Security Merkmale wie BLE, bietet aber vierfache Reichweite oder achtfache Datenübertragungsrate. Die Gefahr dabei: Auch Hacker können Daten aus größerer Distanz abfangen.

  • Tipp 2: Ein Bluetooth 5 Chip oder Modul mit integrierter Verschlüsselung wählen, z.B. das SoC nRF52840 von Nordic Semiconductor. Mit On-Chip ARM Crypto-Cell, einem kryptografischen Co-Prozessor, bietet es industrietaugliche Sicherheitsstandards für eingebettete Systeme.

NFC und RFID sind ideal für sensible Bereiche: Durch ihre Reichweite von nur wenigen Zentimetern lassen sich Daten praktisch nicht abfangen. RFID und NFC Chips und Module mit Security Features gibt es z.B. von STMicroelectronics, Toshiba, Melexis, Murata, Fujitsu und Panasonic. Etwa der M24LR04E-R von ST schützt einzelne Speichersektionen mit frei konfigurierbaren Lese- und Schreibberechtigungen über Passwörter.

Zuverlässige Datenspeicher

Eine Studie des CERN hat ergeben: Alle 1016 Bits treten im Durchschnitt unentdeckte Datenfehler auf, meist durch kosmische Strahlung. In eingebetteten Systemen kann das eine weitreichendere Korruption und damit unlesbare oder komplett zerstörte Daten, fehlerhafte Aktionen oder gar kostenintensive Downtimes zur Folge haben.

  • Tipp 3: Datenspeicherung in einem RAID System (Redundant Array of Independent Disks). Da ein RAID System mehrere Speichereinheiten, meist HDDs oder SSDs, zu einem logischen Laufwerk verbindet, sinkt die Ausfallwahrscheinlichkeit auf ca. 0,0001% - gegenüber ca. 2,9% bei einem gewöhnlichen Datenspeicher System.
  • Tipp 4: Für Anwendungen, die häufig den Speicher lesen und beschreiben, empfiehlt sich ein ECC (Error Correction Code) RAM. Ein solches RAM Modul erkennt und korrigiert kleinere Datenfehler, indem es ein redundantes Kontroll-Bit für jedes gespeicherte Byte erstellt.

Um eingebettete Systeme auch gegen Hackerangriffe und Industrie-Spionage zu schützen, sollte ein Speicher über Verschlüsselungs- und Authentifizierungs-Verfahren verfügen. Hier besteht die Wahl zwischen Hardware- und Software-Lösungen. Software-Lösungen reichen aus, wenn Angreifer auf keinen Fall an die Hardware herankommen - doch die Gefahr durch die Brute-Force-Methode bleibt.

  • Tipp 5: Verschlüsselung und Authentifizierung in Hardware bietet einen wesentlich höheren Grad an Sicherheit: Eine Hardware Authentifizierung mit Retry-Counter oder Zwei-Faktor-Identifikation schützt auch vor Brute-Force-Angriffen. Auch die Verschlüsselung und Entschlüsselung von Daten ist über Hardware Lösungen sicherer, da der Key nicht wie bei Software Lösungen auf derselben Plattform gespeichert ist. Security Speicher mit Verschlüsselung und weiteren Sicherheitsmerkmalen gibt es z.B. von Swissbit, Apacer, Seagate und Transcend.

Schutz bei der Datenverarbeitung

Mikrocontroller haben in vernetzten eingebetteten Systemen eine Schlüsselposition - im Rahmen von IoT, Industrie 4.0 und Robotik werden sie zum Schutzschild vor Manipulationen und Cyber Attacken. Hierfür nutzen Mikrocontroller Hersteller Entwicklungsprozesse, die nach Sicherheitsnormen zertifiziert sind, und bieten Kunden mit einer abgesicherten Fertigungskette eine sichere End-to-End Lösung.

Auch Standard Mikrocontroller kommen inzwischen mit zahlreichen Hardware basierten Security Merkmalen, z.B.:

- AES Verschlüsselung mit 128 oder 256 Bit Key

- Zyklische Redundanz-Prüfung (CRC) stellt die Datenintegrität bei der Datenübermittlung bzw. Speicherung sicher

- Error Correction Code (ECC) im Speicher erkennt und korrigiert Fehler beim Speichern und Übertragen von Daten und schützt so vor "Bitkippern"

- Clock Security Systeme (CSS) ermöglichen mit unabhängigen Taktgebern die Taktrückgewinnung

- Manipulationsschutz (Anti Tamper Mechanismen) schützen gegen physische Angriffe auf die Hardware außerhalb des Mikrocontrollers

- Echtzeituhr (Real Time Clock, RTC) gibt jedem Manipulationsversuch einen Zeitstempel

- Ein RTC Registerschutz blockt unerlaubtes Schreiben

- eine Debug Sperre verhindert nicht autorisierten Zugriff über die Debug Schnittstelle

- Memory Protection Unit (MPU) teilt den Speicher in Bereiche mit verschiedenen Zugriffsrechten

Viele der Security Funktionen in Hardware lassen sich durch Softwaremaßnahmen noch erweitern.

  • Tipp 6: Kommt in einem eingebetteten System ein Mikrocontroller ohne oder mit ungenügenden Sicherheitsfunktionen zum Einsatz, empfiehlt sich ein Security-IC. Denn trotz Kryptografie Protokoll kann der Key durch simple physische Angriffe von einem ungeschützten Mikrocontroller ausgelesen werden. Dass dies keine Seltenheit ist, zeigen Websites wie "ic-cracker.com" oder "break-ic.com". Security-ICs schützen ein eingebettetes System vor unautorisierten Zugriffen und physischen Attacken, ermöglichen einen sicheren Boot-Vorgang und gesicherte Firmware-Updates. Weiteres Plus: Ein Security-IC steigert die Performance des Mikrocontrollers, indem er für ihn die Entschlüsselung und Verschlüsselung übernimmt. Security-ICs bietet z.B. Infineon mit der Optiga™ Trust Serie. Sie verfügt über integrierte Krypto-Systeme ECC 521 und RSA 2048 auf einem Java-basierten OS. Höchste Sicherheitsstandards ermöglicht die STSAFE-Reihe von STMicroelectronics, z.B. durch sichere Authentifikation, geschützte Keys und verschlüsselte Kommunikation.

Komponenten gibt es auf www.rutronik24.de.