Schutz und Sicherheit für vernetzte Embedded-Systeme

Transkript

1 1 Schutz und Sicherheit für vernetzte Embedded-Systeme Know-How- und Integritätsschutz durch Kryptographie (Grundlagen und Anwendungsbeispiele) Günther Fischer Consulting WIBU SYSTEMS AG

2 : 25 Jahre Innovation und Kontinuität WIBU-SYSTEMS AG 1989 gegründet von Oliver Winzenried und Marcellus Buchheit Hauptsitz in Karlsruhe, Deutschland Fokus auf Protection, Licensing und Security Zahlreiche internationale Patente ISO 9001:2008 zertifiziert WIBU-SYSTEMS Weltweit Tochtergesellschaften in USA China Frankreich Belgien Niederlande Portugal Spanien UK Irland Exclusive Distributionspartner in Russland Japan Korea Mehr als 100 Mitarbeiter Weltweiter Marktführer bei Embedded Systemen

3 3 Einleitung Ausgangssituation Bedrohungsszenarien für Hersteller Bedrohungsszenarien für Betreiber

4 Embedded Systeme 98% der Prozessoren sind in Embedded Systeme eingebaut KFZ, Maschinenanlagen, sonstigen Geräten Cyber Physical Systems = vernetzte Embedded Systeme in kritischen Infrastrukturen, Metropolitan Solutions und Smart Grids (M2M, Internet of Things, Internet of Everything, Industrie 4.0, Industrial Internet) Immer mehr Know-how und Funktionalität steckt in der Embedded Software 7,9 Mrd. Verluste im Jahr 2013 durch Plagiate im Deutschen Maschinen und Anlagenbau (Quelle VDMA Studie Produktpiraterie,

5 VDMA-Studie Produktpiraterie

6 6 Akute Bedrohungsszenarien FAZ : Computerkriminalität profitabler als Drogenhandel Spionage: NSA, Prism, Tempora, Cyber Attacks: Stuxnet, Duqu, Flame, Industriespionage Quelle: minalitaet-profitabler-als-drogenhandel html

7 7 Bedrohungsszenarien für Hersteller und Betreiber Hersteller Nachbau einer Maschine Nachahmen einer Maschine Extraktion von geistigem Eigentum Manipulation (Gewährleistung) Nicht autorisierte Updates Veränderung des Betriebsstundenzähler Veränderung des Fahrten-/Flugschreibers Nicht autorisierter Zugriff auf Service Dokumente Nicht autorisierter Zugriff auf Quellcode Betreiber Manipulation Sabotage Geheimdienste / Unzufriedene Mitarbeiter Geistiges Eigentum Rezepte / Betriebsparameter / Schnittmuster Produktions-Daten Maschinentagebuch Produktionsmengen Nicht autorisierter Zugang zur Maschine Servicefall Betrieb / Operator

8 Anwendungsbeispiel 8

9 9 Anwendungsbeispiel ZSK Stickmaschinen Schutz der Embedded Software Know-How Schutz Schutz vor Nachbau der Maschine und Vervielfältigen von Funktionen Datenschutz im Produktionsprozess Verhindern von Produktionen für den Graumarkt Schutz der Maschinenakte Serviceunterlagen, Service-Aufzeichnungen, Lebensdauermanagement (Ersatzteile, Wartung, )

10 ZSK Logistikkette 10

11 11 Die kryptographischen Werkzeuge Symmetrische Kryptographie Asymmetrische Kryptographie Secure Hash Funktionen und Zertifikate

12 12 Symmetrische Verschlüsselung Ein gemeinsames Geheimnis Der gleiche Schlüssel auf beiden Seiten Verschlüsselung Entschlüsselung Vorteil: Schnell (im Vergleich zu asymmetrischen Verfahren) Nachteil: Schlüssel Verteilung Schlüssel Speicherung

13 13 Verwendung im Softwareschutz Verschlüsseln von Daten oder Code vor der Auslieferung Übermittlung des Schlüssels an den Kunden (in einem Dongle oder in einer Lizenzdatei) Entschlüsseln der Daten oder des Codes und Verwendung zur Laufzeit Verwendung von verschiedenen Schlüsseln für verschiedene (extra lizenzierbare) Funktionen

14 Asymmetrische Verschlüsselung Ein Schlüssel Paar Private Key (Privater Schlüssel) Public Key (Öffentlicher Schlüssel) Asymmetric Encryption Absender verwendet den Public Key des Empfängers zum Verschlüsseln Empfänger verwendet seinen Private Key zum Entschlüsseln Signaturen Absender verwendet seinen Private Key um die Klartextdaten zu Signieren Empfänger verwendet den Public Key des Absenders um die Klartextdaten zu verifizieren 14

15 15 Secure Hash Funktionen Erzeugen eines Fingerabdrucks der Daten Große Datenvolumen werden auf einen kleinen Fingerabdruck abgebildet z.b. SHA-256 in 32 Byte Werden oft in Kombination mit Signaturen eingesetzt Hashwert erstellen Hashwert mit Private Key authentifizieren (signieren) Hashwert mit Public Key verifizieren

16 16 Zertifikate Anforderung: Public Key muss authentisch sein (unverfälscht) Lösung: Vertrauenswürdige Partei: Certificate Authority (CA) CA signiert Public Key einschliesslich zusätzlicher Referenzinformationen Public Key der CA (Root Public Key) wird verwendet um das Zertifikat zu verifizieren Public Key des Zertifikats wird nur verwendet, wenn das Zertifikat gültig ist Referenzinformationen verifizieren und nutzen Optional: Einsatz einer Zertifikatskette möglich

17 Windows OS X Desktop Linux.NET Standard Famework AxProtector.NET Java SE Java EE AxProtector Java Embedded Operating Systems ExProtector 17 Protection Suite WIBU-SYSTEMS Protection Suite Autorisierung von Software (Secure Loader) AxProtector Integritätsschutz (Tamper Protection) Automatischer Schutz (IP Protection) IxProtector Individuelle Methodenverschlüsselung

18 18 AxProtector Ungeschütztes Anwendung.Net (und Java) Code kann einfach dekompiliert werden

19 19 Die Lösung Verschlüsselung des ausführbaren Codes vor der Auslieferung Ungeschützte Anwendung Verschlüsselung AxEngine Entschlüsselung der benötigten Methoden zur Laufzeit im Speicher Entschlüsselung AxEngine

20 Compiled Assembly Protected Assembly 20 AxProtector Schutzprozess Header Original Code Definition von Lizenzen und Modulen AxProtector Header Stub Code (Ohne Intellectual Properties) AxEngine (Security Engine) Hat die gleiche Struktur wie das Original Encrypted Code (Original Code mit Intellectual Properties)

21 21 AxProtector Geschützte Anwendung Code in jetzt verschlüsselt!

22 CodeMeter in modernen Entwicklungsumgebungen Integration in Entwicklungstools: Essentiell für einfache Nutzung Komplexe Schutzmechanismen Unterstützung von Standards 22

23 Wind River VxWorks Eclipse Workbench Integration Lizenzierung: Kopierschutz Know-how-Schutz Pay-Per-Use Feature-on-Demand Code Signing: Integritäts-/ Manipulationsschutz Berechtigungen Security 23

24 24 Wind River VxWorks Secure Boot Prozess BIOS Firmware laden Master Boot Record laden VxWorks Modified VxWorks Loader prüfen entschlüsseln laden VxWorks VIP = VxWorks Kernel (may already hold protected DKM) Modified DKM/RTP Loader prüfen entschlüsseln laden VxWorks DKM VxWorks RTP

25 25 CODESYS IEC61131 Entwicklungssystem Ausgangssituation

26 CODESYS IEC61131 Entwicklungssystem Quelle: 3S Smart Software Solutions 26

27 27 CODESYS IEC61131 Entwicklungssystem Einfache Einstellung Konfiguration Codeerzeugung Automatische Verschlüsselung Erzeugung für bestimmtes Zielsystem Verschlüsselung mit Lizenzmanagement Volle Flexibilität der Lizenzmodelle Individuelle Funktionensfreischaltung Für Serienfertigung

28 28 CODESYS IEC61131 Entwicklungssystem Integration von CodeMeter

29 CodeMeter: Banking Industrial Gaming und Medical 29

30 30 Sicherer Schlüsselspeicher CmDongles CmActLicenses Lizenzserver im Netzwerk

31 CmDongle Höchste Sicherheit mit integriertem Smart Card Chip 31

32 CmActLicenses: Reine Softwarelösung mit Bindung ans Gerät 32

33 33 Lizenznutzung oder Verteilung aus Netzwerk oder Cloud Eine Lösung für alle Szenarien

34 34 Prozessintegration Lizenzerstellung Lizenzverteilung

35 35 Flexible Lizenzierungsmodelle für Lizenzgeber Single User Time zone Network Name/PC Borrowing Overflow High Availability Feature On Demand Perpetual Trial version Rent / Leasing / Subscription Wettbewerbsvorteil Alle Bauformen und CmActLicenses unterstützen alle Lizenzmodelle! Standby Pay-Per-Use Version Maintenance period Volume Downgrade Grace Period

36 Rechenzentrum Internet CodeMeter License Central ERP C Your Server / VMware image Connector ecommerce CRM C User Interface (php/httpd) Connector CRM (Sales Force) Customized Application C Business Logic (java/tomcat) Gateway Activation Wizard G Database Webdepot Browser Database FSB Webserver in DMZ

37 37 License Central: Integration in bestehende Systeme Portal BI LC CRM SAP

38 Anbieter User 38 CodeMeter License Central Internet Cloud Artikel Lizenzupdate Ticket 4 Ticket / Lizenzanforderung Ticket: ABCDE-FGHIJ-KLMNO-PQRST-UVWXY 3

39 25 Jahre Innovation und Investitionsschutz WibuKey From DOS to Windows 8.1 (32/64 Bit), MacOS X, Linux WibuKey Backwards compatible 2014 to 1989 CodeMeter CmStick/M Memory Stick CmAct CmAct license CmCard CmStick/C HID CmCompact License Central web services based license management and reporting Automatic ( Envelope ) Protection MS-DOS Windows 16-bit Windows 32-bit AxProtector/IxProtector MacOS Linux 32-bit Windows DLL Windows 64-bit Java.NET Linux 64-bit.NET Mixed Mode Embedded OS support VxWorks CoDeSys ExProtector Windows CE

40 40 Deutscher IT-Sicherheitspreis Sicherheitspreis-fuer-Karlsruher-Forscher html

41 41 Vielen Dank für Ihre Aufmerksamkeit! WIBU-SYSTEMS Germany USA China