Zertifikatswiderruf für OT-Netze: So kann OPC UA die CRL-Verteilung unterstützen.
Digitale Zetifikate sichern die Kommunikation zwischen OT-Geräten. Müssen Zertifikate vor Ablauf ihrer Gültigkeit widerrufen werden, müssen die betroffenen Geräte diese Information zuverlässig erhalten.
Zusammenfassung (TL; DR):
- Digitale Zertifikate sichern die Kommunikation für OT-Netze, jedoch ist die Verteilung von Widerrufslisten (CRLs) in segmentierten Produktionsumgebungen oft schwierig.
- Durch den Einsatz zonenbezogener CAs entstehen kleinere CRLs, die den Bandbreitenbedarf reduzieren und Feldgeräte gezielter erreichen.
- Ein lokaler OPC-UA-Server kann dabei als Verteilpunkt dienen und Sperrlisten per GDS Push direkt in die Geräte schreiben, ohne dass eine Verbindung zu höheren Netzebenen nötig ist.
Segmentierte OT-Netze als Herausforderung
In vernetzten Produktionsumgebungen müssen Geräte zuverlässig über widerrufene Zertifikate informiert werden. In segmentierten OT-Netzen kann das aber eine Herausforderung werden: Große Downloads, eingeschränkte Verbindungen zu Feldgeräten und Abhängigkeiten von höheren Netzebenen erschweren die Verteilung. Doch Zertifikatswiderrufslisten (Certificate Revocation Lists, CRLs) lassen sich über OPC UA gezielter an Geräte verteilen.
CRLs über OPC UA gezielter verteilen
Eine CRL enthält Informationen zu Zertifikaten, denen nicht mehr vertraut werden soll. Damit Geräte diese Informationen erhalten, muss die Verteilung der Widerrufslisten an die Bedingungen der OT-Umgebung angepasst werden.
Klassische Verfahren übertragen teils große Datenmengen und erreichen Geräte in abgelegenen oder stark segmentierten Netzbereichen möglicherweise nur eingeschränkt. Daher empfiehlt es sich, die PKI so aufzubauen, dass je OT-Zone kleinere CRLs entstehen, etwa über eine eigene ausstellende CA pro Zone, und diese über OPC UA an die betreffenden Geräte zu verteilen. So lassen sich einzelne Geräte gezielter erreichen und der Bandbreitenbedarf reduzieren.
Gleichzeitig sollte klar definiert werden, was passiert, wenn eine CRL abläuft oder nicht rechtzeitig aktualisiert werden kann. Außerdem sollten jederzeit Notfallzertifikate bereitgehalten werden, die sofort verteilt werden können, um den Geschäftsbetrieb aufrechtzuerhalten.
„Die Verteilung von Zertifikatsinformationen muss zu den technischen Bedingungen einer Produktionsumgebung passen“, sagt Létitia Combes, Geschäftsführerin und Mitgründerin von BxC Security. „Mit OPC UA lassen sich CRLs gezielt an Geräte in segmentierten OT-Netzen verteilen. Ein OPC-UA-Server in der jeweiligen Zone kann zum Beispiel als lokaler Verteilpunkt dienen und die zonenbezogenen Sperrlisten per GDS Push direkt in die Trust Lists der Geräte schreiben. So müssen die Geräte keine Verbindung zu höheren Netzebenen aufbauen, und der Bandbreitenbedarf sinkt.“
Häufige Fragen (FAQ)
Stark segmentierte Netze, eingeschränkte Verbindungen zu Feldgeräten und große Downloads erschweren die klassische Übertragung.
Indem pro OT-Zone eigene, kleinere CRLs über eine jeweils zuständige CA erstellt werden.
Er fungiert als lokaler Verteilpunkt und schreibt Sperrlisten per GDS Push direkt in die Geräte, ohne dass diese Verbindung zu höheren Netzebenen brauchen.
