Die Lösung: Datenaustausch über OPC UA

Parallel zur Entwicklung von der Insellösung zur weltweit verfügbaren Infrastruktur, hat die OPC Foundation OPC Unified Architecture (OPC UA) erarbeitet. Dieser Standard für den plattformunabhängigen Datenaustausch wurde ohne Rückgriff auf die Vorgängerspezifikationen vollständig neu entwickelt und erstmals im Jahr 2006 veröffentlicht. Dieses Vorgehen bot die Möglichkeit, die Sicherheitsfunktionalität nicht nur als Erweiterung, sondern als zentralen Architekturbestandteil zu integrieren. Die Grundlage dafür bildeten eine umfassende Untersuchung möglicher Bedrohungsszenarien bei einem Datenaustausch zwischen Client-und Server-Anwendungen, auch über das Internet, sowie der Wunsch, die Sicherheit auf bewährten Konzepten aus der IT-Welt aufzusetzen.

Als Ergebnis unterstützt OPC UA im Wesentlichen fünf Sicherheitskonzepte: Über die Vertraulichkeit (Confidentiality) werden die übertragenen Daten durch eine Verschlüsselung auf der (untersten) Transportschicht vor dem „Mithören“ geschützt. Dazu kommen Algorithmen der Protokoll-Suite Internet Protocol Security (IPsec) zum Einsatz, die auch zum Aufbau virtueller privater Netze (VPN) verwendet werden. Durch die flexible Gestaltung lassen sich auch neue Algorithmen einfach integrieren. Die Datenintegrität (Data Integrity) stellt etwa durch die Berechnung von Prüfsummen oder die Einbindung von Sequenznummern sicher, dass Übertragungsfehler die Daten nicht verändern. Dafür, dass sich die beteiligten Softwareanwendungen, hier OPC-UAServer und -Client, gegenseitig kennen und vertrauen, kommen vor dem Aufbau der Kommunikationsverbindung im Rahmen der Anwendungsauthentifizierung (Applikation Authentification) digitale Zertifikate (X.509) zum Einsatz. Um eine Kommunikationsverbindung herzustellen, ist auch die Authentifizierung des Anwendungsbenutzers (User Authentification) eine wichtige Voraussetzung. Um eine hohe Sicherheit zu erreichen, kann bei der Verwendung eines OPC-UA-Clients die Angabe eines Benutzers mit dem zugehörigen Passwort oder die Verwendung eines digitalen Zertifikats erfolgen; der Einsatz des Benutzers „Anonymous“ stellt dagegen ein Sicherheitsrisiko dar. Mit der Benutzerautorisierung (User Authorization) lassen sich schließlich individuelle Rollen festlegen. Dadurch weiß der OPC-UA-Server als Datenanbieter, ob nur einzelne Datenpunkte oder der gesamte Adressraum zugreifbar sind und welche Dienste, wie Lesen, Schreiben, Durchsuchen, Abonnieren oder Methodenaufrufe, für den jeweiligen Datenzugriff genutzt werden dürfen.

Grau ist alle Theorie …

Mit den OPC-UA-Sicherheitskonzepten lassen sich alle Sicherheitsrisiken für industrielle Automatisierungsanwendungen abdecken. Deshalb beurteilen etwa die vom Bundesministerium für Bildung und Forschung geförderten „Umsetzungsempfehlungen für das Zukunftsprojekt Industrie 4.0“ des Arbeitskreises Industrie 4.0 den OPC-UA-Standard als mögliche Basistechnologie für die Realisierung. Und das Bundesamt für Sicherheit in der Informationstechnik (BSI) kommt zu dem Schluss, dass OPC UA grundsätzlich einen sicheren Betrieb ermöglicht.

Schaut man sich allerdings die tatsächlich implementierten OPC-UA-Anwendungen an, stellt man fest, dass viele die bereitgestellten Sicherheitsmechanismen nicht verwenden. So haben etwa Forscher des Fraunhofer FKIE und der RWTH Aachen bei einer Untersuchung von etwa 1100 Anlagen herausgefunden, dass 24 % der verwendeten OPC-UA-Server ohne Zugangsbeschränkung eingerichtet und in der Summe 92 % der untersuchten Anlagen wegen einer falschen Konfiguration nicht sicher waren [2]. Schuld daran sei nicht der OPC-UA-Standard, sondern die Implementierung der OPC-UAFunktionalität in den jeweiligen Anwendungen, die eine explizite Aktivierung der verschiedenen Sicherheitseinstellungen erfordert.