KEYnote. Starker Schutz für PC und Embedded-Geräte HERBST 2014

Transkript

1 HERBST 2014 KEYnote 28 D A S W I B U - M A G A Z I N Starker Schutz für PC und Embedded-Geräte Themen Aktivierung von Lizenzen auf Embedded Devices Protection Suite auf dem PC Integritätsschutz von Software

2 EDITORIAL Sehr geehrte Kunden und Partner, Inhalt KNOW-HOW Vorteile von Zertifikaten 3 KNOW-HOW Integritätsschutz von Software 6 PRODUKT CodeMeter Security und VxWorks 7 8 KNOW-HOW Aktivierung von Lizenzen auf Embedded Devices 10 PRODUKT Protection Suite auf dem PC 12 HIGHLIGHTS Aktuelles in Kürze 14 CASE STUDY Erfolgsgeschichte custo med 15 INFORMATION Wibu-Systems informiert 16 das Internet der Dinge (Internet of Things, IoT), intelligente Geräte oder Intelligent Devices, 3D-Druck und Industrie 4.0 sind in aller Munde. Deutschland hat sein erstes IT-Sicherheitsgesetz als Sicherheitsgurt für die IT in kritischen Infrastrukturen bekommen. Allem gemein ist, dass immer mehr Know-how im Produktionsprozess steckt und Cyber Physical-Systeme und Embedded-Systeme vernetzt sind. Know-how-Schutz, flexible Funktionsfreischaltung und Sicherheit vor Manipulation (Cyber-Security) werden überlebenswichtig für Hersteller und Betreiber. Kopier- und Know-how-Schutz bietet eine Wegfahrsperre für Maschinen und Produktionsdaten und stoppt die globale Produktpiraterie, die aus den Studien des VDMA dramatisch ersichtlich ist. Technisch präventiver Schutz wird immer wichtiger. Die Vernetzung vom Sensor bis zur Cloud bietet Chancen aber gleichzeitig Risiken. Angreifer können aus sicherer Distanz von außen Systeme durch Cyber-Angriffe manipulieren. Wibu-Systems liefert eine Art Airbag, der mit Sicherheit an allen vernetzten Endpunkten durch eine Identität, Secure Boot, signierten Code und signierte Daten Manipulationen verhindert. Dank Airbag, ABS usw. hat die Anzahl schwerer Autounfälle abgenommen, nicht durch bessere Straßen. Sicherheit in den vernetzten Systemen wird ebenso helfen. Lesen Sie in dieser Ausgabe über Integritätsschutz, wie CodeMeter fester Bestandteil des Echtzeitbetriebssystems VxWorks der Intel-Tochter Wind River wurde und wie man Lizenzen auf Embedded-Systemen aktiviert. Erfahren Sie, wie Zertifikate funktionieren, was unsere Protection Suite auf dem PC leistet und wie custo med unsere Lösungen im Medizinbereich erfolgreich nutzt. Besuchen Sie unsere kommenden Veranstaltungen. Ich würde mich über einen persönlichen Austausch freuen. Bleibt mir noch, Ihnen ein gutes Jahresendgeschäft zu wünschen und alles Gute für Ihre Teams und Familien. Ihr Oliver Winzenried Vorstand

3 KNOW-HOW Vorteile von Zertifikaten Bei einer asymmetrischen Signatur wird ein Fingerabdruck mit dem privaten Schlüssel unterschrieben. Mit dem öffentlichen Schlüssel des Unterschreibenden kann jeder überprüfen, dass die Signatur gültig ist und zum Fingerabdruck passt. Doch woher kennt der Überprüfende den öffentlichen Schlüssel des Unterschreibenden? Und woher weiß er, dass dieser auch wirklich echt ist? Vor allem, wenn es mehrere Personen mit individuellen Schlüsselpaaren gibt, die unterschreiben dürfen, ist dies eine Herausforderung, die mit Zertifikaten gemeistert werden kann. Was ist ein Zertifikat? Stellen Sie sich vor, Ihre Firma möchte zukünftig s signieren. Damit erreichen Sie, dass Ihre Geschäftspartner sicher sein können, dass eine wirklich von Ihnen gekommen ist und nicht verändert wurde. Dazu erhält jeder Ihrer Kollegen ein Schlüsselpaar. Doch wie verteilt man die öffentlichen Schlüssel aller Mitarbeiter an alle Geschäftspartner? Dies ist praktisch unmöglich. Deshalb wird der öffentliche Schlüssel zusammen mit den Daten des Mitarbeiters, dem der öffentliche Schlüssel gehört, von einer zentralen Stelle unterschrieben. In diesem Fall sind die Daten die -Adresse und der Name des Mitarbeiters. Das unterschriebene elektronische Dokument, welches den öffentlichen Schlüssel des Mitarbeiters und seine Daten enthält, nennt man Zertifikat. Jeder Mitarbeiter, der eine verschickt, unterschreibt die mit seinem privaten Schlüssel und hängt sein Zertifikat an. Ihr Geschäftspartner benötigt nun lediglich den öffentlichen Schlüssel der zentralen Stelle. Damit kann er jedes von Ihnen erstellte Zertifikat prüfen und mit dem öffentlichen Schlüssel im Zertifikat die des Mitarbeiters. Privater Schlüssel und Zertifikat Zertifikate können eine ganze Kette von Zertifikaten enthalten. So kann zum Beispiel von einer dritten Partei der öffentliche Schlüssel Ihrer zentralen Stelle durch ein Zertifikat beglaubigt werden. Die Zertifikate der Mitarbeiter enthalten dann in der Regel die komplette Kette von Zertifikaten. Root Zertifikat Zertifikatskette Certificate Authority (Zertifizierungsstelle) Es gibt Firmen, die sich auf die Ausgabe von Zertifikaten spezialisiert haben. Zu den aktuell führenden Anbietern gehören Symantec, Comodo, Go Daddy und GlobalSign. Sogenannte Wurzelzertifikate, die den öffentlichen Schlüssel dieser Anbieter enthalten, werden bereits mit aktuellen Betriebssystemen ausgeliefert. Die entsprechenden Zertifizierungsstellen bezeichnet man als vertrauenswürdige Zertifizierungsstellen. Alle Zertifikate, die von vertrauenswürdigen Zertifizierungsstellen ausgestellt wurden, können sofort überprüft werden. Einer vertrauenswürdigen Zertifizierungsstelle fällt damit die Verpflichtung zu, die Personen und Organisationen, denen sie Zertifikate ausstellen, genau zu überprüfen. Eine der Methoden zur Überprüfung ist zum Beispiel der Rückruf beim Geschäftsführer der anfragenden Firma über eine im Telefonbuch recherchierte Telefonnummer. 3

4 Format eines Zertifikates Prinzipiell kann ein Zertifikat ein beliebiges Format haben. Im Internet werden in der Regel X.509-Zertifikate verwendet. Ein X.509-Zertifikat wird beispielsweise an eine -Adresse oder einen DNS-Namen gebunden. Ein Erweiterungs-Feld des X.509-Zertifikats enthält den Verwendungszweck (KeyUsage). Damit kann überprüft werden, ob das Zertifikat überhaupt für einen entsprechenden Zweck eingesetzt werden darf. So muss zum Beispiel ein Wurzelzertifikat die Berechtigung Certificate Sign besitzen. Beispielzertifikat Zum Schutz von Software gegen Manipulationen verwendet Wibu-Systems ein eigenes proprietäres und kompaktes Format für Zertifikate. Der Grund dafür ist, dass X.509 sowohl viele Ressourcen benötigt als auch langsam ist. Zwei Dinge, die gerade auf kleinen Embedded Devices nicht vorhanden sind. Auch werden zusätzliche Informationen benötigt, die in X.509 nicht definiert sind. Im Grundprinzip sind der Aufbau und die Sicherheit des Wibu- Systems-eigenen Formates vergleichbar mit einem X.509-Zertifikat. CodeMeter kann auch Standard-X.509-Zertifikate speichern und ist somit kompatibel mit allen standardkonformen Anwendungen. Es wird lediglich eine PKI Middleware (CSSI) benötigt, die CodeMeter mit den Standardschnittstellen (PKCS#11 / Microsoft CSP) verbindet. Zertifikate sind nicht an bestimmte Verschlüsselungsalgorithmen gebunden. Als Fingerabdruck können beispielsweise MD5, SHA1 oder SHA256 verwendet werden, als Signaturalgorithmus RSA oder ECDSA. Zertifikate und der private Schlüssel Nicht selten findet man den Satz Dann unterschreibt man dies mit seinem Zertifikat. Genaugenommen ist dies falsch. Man unterschreibt mit seinem privaten Schlüssel und legt seinen mit einem Zertifikat beglaubigten öffentlichen Schlüssel bei. Der private Schlüssel ist kein Bestandteil des Zertifikats. Allerdings gibt es Dateiformate, bei denen ein Zertifikat und der zugehörige private Schlüssel in einer Datei transportiert werden. CodeMeter bietet die Möglichkeit, einen privaten Schlüssel sicher in einem CmContainer zu speichern. Der private Schlüssel bleibt im CmContainer. Der zu unterschreibende Fingerabdruck wird per CodeMeter-API an den CmContainer geschickt und dort signiert. Im Falle eines CmDongles erfolgt dies im SmartCard-Chip des Dongles. Im Falle einer softwarebasierten CmActLicense erfolgt dies in der CodeMeter Runtime, die als Dienst oder Dämon läuft und gegen Auslesen von Daten und Debuggen entsprechend geschützt ist. Das Zertifikat kann entweder im CmContainer selber, in einem auslesbaren Teil oder als Datei auf dem PC gespeichert werden. Was passiert, wenn ich ein Zertifikat verliere? Wenn man ein Zertifikat verliert, dann passiert gar nichts, da in einem Zertifikat keine geheimen Informationen stehen. Aber es kann fatale Folgen haben, wenn man den privaten Schlüssel zu einem Zertifikat verliert oder wenn jemand diesen Schlüssel unberechtigt in die Hände bekommt. Dann kann diese Person in meinem Namen Dinge unterschreiben und das entsprechende Zertifikat verwenden, um meinen öffentlichen Schlüssel zu beglaubigen. Certificate Signing Request Dies ist einer der Gründe, warum Stuxnet sein Ziel erreicht hat. Softwareanbieter unterschreiben ihre Software, vor allem Treiber, mit ihrem privaten Schlüssel. Durch ein Zertifikat wird von einer vertrauenswürdigen Zertifizierungsstelle der öffentliche Schlüssel bestätigt. Virenscanner arbeiten anhand eines Punktesystems. Software, die von einem bekannten Hersteller unterschrieben wurde, erhält Bonuspunkte. Bei Stuxnet wurden die privaten Schlüssel von zwei namhaften Anbietern von Treibern gestohlen und der Virus damit unterschrieben. Dies hat dazu geführt, dass der Virus von den Antivirenprogrammen nicht erkannt wurde und sich somit stillschweigend und weit verbreiten konnte. Für einen solchen Fall gibt es Zertifikatssperrlisten (Certificate Revocation List CRL). Eine Sperrliste enthält die Seriennummern der gesperrten Zertifikate. Darüber ist ein Zertifikat eindeutig identifizierbar. Sperrlisten sind ebenfalls unterschrieben, um ihre Integrität zu gewährleisten. Sowohl Zertifikate als auch Sperrlisten haben ein Ablaufdatum, bis wann sie gültig sind. Daher müssen Zertifikate und Sperrlisten regelmäßig aktualisiert werden. Bei einem PC mit Internetverbindung ist dies kein Problem anders ist es bei einem Embedded Device, welches offline für viele Jahre eine Anlage steuern soll. Hier ist im Einzelfall abzuwägen, wie lang ein Zertifikat gültig sein soll. Eine wegen Zertifikatsablaufs stillstehende Brause-Fabrik produziert lediglich keinen Gewinn, während ein Hochofen in solch einer Situation erkaltet und unbrauchbar wird. Wie erhält man ein Zertifikat? Prinzipiell gibt es hierfür zwei Wege. Der klassische Weg ist, dass man sich selbst ein Schlüsselpaar erzeugt. Bei CodeMeter ist dies wahlweise über die CSSI Middleware (RSA-Schlüsselpaar) oder das CodeMeter-API (RSA- oder ECC-Schlüsselpaar) möglich. Im Falle eines CmDongles und eines ECC-Schlüsselpaars kann der interne Zufallszahlengenerator des SmartCard-Chips verwendet werden. Der private Schlüssel wird dann im CmDongle erzeugt und verlässt diesen CmDongle nie. Der öffentliche Schlüssel kann per CodeMeter-API berechnet werden. CSR Zertifikat CA 1. Kontrolle 2. Zertifikat erstellen Certificate Name Validity Empfohlener Weg zum Erhalt eines Zertifikates 4

5 Im zweiten Schritt wird ein Zertifikats-Antrag (Certificate Signing Request CSR) erstellt. Dieser enthält bereits Daten wie Inhaber und den öffentlichen Schlüssel. Der CSR wird an die Stelle geschickt, welche die Zertifikate erstellt. Mit dem privaten Schlüssel der Zertifizierungsstelle wird nun ein Zertifikat erzeugt. Dabei werden in der Regel die Daten aus dem CSR übernommen und überprüft. Prinzipiell ist es möglich, weitere Daten und Felder hinzuzufügen. Falls die Zertifizierungsstelle keine Wurzelzertifizierungsstelle ist, wird das Zertifikat der Zertifizierungsstelle ins Zertifikat eingebunden. Das so erzeugte Zertifikat wird an den Antragsteller zurückgeschickt und dort gespeichert. Private Key & Zertifikat Da dieses Verfahren in der Praxis oft zu umständlich ist, verwendet man häufig die folgende Alternative: Die Zertifizierungsstelle erzeugt das Schlüsselpaar, außerdem das Zertifikat und schickt Zertifikat und privaten Schlüssel an den Inhaber des Zertifikats. Dieses Verfahren hat zwei große Nachteile: Zwei Parteien kennen den privaten Schlüssel: der Inhaber des Zertifikats und die Zertifizierungsstelle. Wie schwer dieser Nachteil wiegt, hängt vom Anwendungsfall und dem Bedrohungsszenario ab. Für den Betreiber einer Webseite, der seine Anwender per selbst erstellten Client-Zertifikat (Client Certificate) identifizieren möchte, stellt dies kein Problem dar. Übermittlung des privaten Schlüssels. Diese Übertragung muss so abgesichert sein, dass kein unbefugter Dritter den privaten Schlüssel mitlesen kann. In der Regel erfolgt dies per Passwort. CodeMeter bietet eine einfache Möglichkeit, private Schlüssel sicher zu übertragen. Eine Lizenz (welche als Datenfelder Schlüssel enthalten kann) kann per Fernprogrammierung in einen CmContainer übertragen werden. Dabei erstellt der Anwender zuerst eine Remote-Context-Datei (WibuCmRaC). Diese enthält den öffentlichen Schlüssel des jeweiligen CmContainers. Der Herausgeber der Lizenz erzeugt damit eine Remote-Update- Datei (WibuCmRaU). Die darin enthaltenen Lizenzdaten sind so verschlüsselt, dass sie nur vom entsprechenden CmContainer entschlüsselt werden können. Die Entschlüsselung erfolgt innerhalb des CmContainers, so dass der private Schlüssel nie im Klartext außerhalb eines CmContainers vorliegt. CodeMeter vereinfacht die Erstellung und Verteilung von privaten Schlüsseln und Zertifikaten. CA Key & Zertifikat Einfacher Weg zum Erhalt eines Zertifikates Selbstunterschriebene Zertifikate Ein selbstunterschriebenes Zertifikat (Self Signed Certificate) ist ein Zertifikat, welches man sich selber mit seinem eigenen privaten Schlüssel erstellt hat. Dies ist eine einfache Möglichkeit, Zertifikate vor allem zu Testzwecken zu erzeugen. Ein selbstunterschriebenes Zertifikat muss in der Regel manuell zur Liste der vertrauenswürdigen Zertifikate hinzugefügt werden, bevor es akzeptiert wird. Daher werden diese Zertifikate in der Regel nur zu Testzwecken eingesetzt. Typische Anwendungsfälle Ein Anwendungsfall sind Server-Zertifikate. Mit einem Server-Zertifikat wird zum einen die Identität eines Webservers sichergestellt und zum anderen die Kommunikation zwischen Browser und Server verschlüsselt. Ein weiterer Anwendungsfall sind Client-Zertifikate. Der Betreiber einer Webseite erstellt und verteilt die entsprechenden Zertifikate. Der Browser verwendet das Zertifikat und den privaten Schlüssel, um sich am Server anzumelden. Auf dem Server besteht die Möglichkeit, das Zertifikat auszulesen und zum Beispiel anhand der eingetragenen Organisational Unit (OU) den Zugriff auf bestimmte Bereiche zu gewähren. Ein dritter Anwendungsfall sind Codesignatur-Zertifikate. Der Softwarehersteller unterschreibt seine Software und über das entsprechende Zertifikat wird die Herkunft von eben diesem Softwarehersteller beglau- Codesignatur bigt. Während das Windows-eigene Verfahren entwickelt wurde, um den Anwender vor Viren zu schützen, setzt CodeMeter dies auf Embedded Devices ein, um die Integrität des kompletten Gerätes sicherzustellen. Weitere Anwendungsfälle sind -Verschlüsselung und der neue Personalausweis (NPa). OPC UA Auch bei OPC UA (OLE for Process Control Unified Architecture) werden Zertifikate verwendet. Diese werden als Server- und als Client-Zertifikate verwendet. CodeMeter vereinfacht auch hier den Prozess der Ausstellung und Verwaltung. Vorgefertigte Zertifikate können einfach durch das Stecken eines vorbereiteten CmDongles an eine Steuerung oder an einen PC verteilt werden. Fazit Zertifikate spielen eine wichtige Rolle bei der Identifizierung von Personen und Maschinen und dienen dem Nachweis der Echtheit von Daten. Zertifikate und die zugehörigen privaten Schlüssel können verwendet werden, um einen sicheren Kommunikationskanal aufzubauen. Zertifikate sind eine Ergänzung zu einem Lizenzierungs- und Kopierschutzsystem wie CodeMeter. CodeMeter ist bestens dafür gerüstet, mit Zertifikaten und privaten Schlüsseln zu arbeiten. Private Schlüssel werden sicher und nicht auslesbar im CmContainer gespeichert. CodeMeter unterstützt den Standard X.509 und bietet ein eigenes kleines und schlankes Format für Systeme mit wenigen Ressourcen. 5

6 KNOW-HOW Integritätsschutz von Software Ein Anwendungsfall von Zertifikaten ist die Code-Signatur. Ein Softwarehersteller unterschreibt seine Software mit seinem privaten Schlüssel. Über ein Zertifikat, welches eine vertrauenswürdige Zertifizierungsstelle ausgestellt hat, wird der öffentliche Schlüssel mit der Identität des Softwareherstellers verknüpft. Der Anwender kann damit sicher erkennen, von welchem Hersteller die entsprechende Software entwickelt wurde und ob sie unverändert ist. Dieser Mechanismus wurde entwickelt, um Anwender vor Viren zu schützen; er dient allerdings nicht dazu, den Softwarehersteller gegen Raubkopien und Manipulation an seiner Software zu schützen. Und hier kommen AxProtector und ExProtector ins Spiel. Der in Windows bereits integrierte Code-Signatur-Mechanismus (Authenticode) zeigt dem Benutzer an, wenn eine Software aus einer unbekannten Quelle kommt. Dies ist der Fall, wenn sie nicht unterschrieben ist, wenn das Zertifikat nicht auf ein vertrauenswürdiges Wurzelzertifikat zurückzuführen ist oder wenn die Signatur nicht korrekt ist. Diese Meldungen sind lediglich Warnmeldungen, die vom Anwender zudem abgeschaltet werden können. Warum sollte sich ein Raubkopierer oder der Anwender einer Raubkopie davon abschrecken lassen? Windows AxProtector Der AxProtector verschlüsselt Ihre komplette Anwendung (.exe-datei) und fügt automatisch einen Fingerabdruck der Anwendung und eine Signatur des Fingerabdrucks hinzu. Zusätzlich wird der öffentliche Schlüssel versteckt in der Anwendung hinterlegt. Getreu nach dem Motto Traue niemanden außer Dir selbst überprüft sich die geschützte Anwendung selber beim Starten. Stimmt die Signatur nicht mit der im Speicher geladenen Anwendung überein, beendet sich die Anwendung mit einer entsprechenden Fehlermeldung. Neben der Tatsache, dass sich Ihre Anwendung mit dem AxProtector geschützt nur noch auf sich selbst verlässt, hat der AxProtector noch einen zweiten wesentlichen Vorteil gegenüber dem Standardmechanismus von Windows: Die geschützte Anwendung überprüft sich selbst im Speicher und nicht nur auf der Festplatte. Änderungen, die von Hackern nach dem Laden vorgenommen wurden, werden damit auch erkannt. Anwendung und Bibliotheken Natürlich kann man sich fragen, ob ein versteckter Fingerabdruck (Prüfsumme) nicht die gleichen Ergebnisse liefern würde wie die Prüfung der eigenen Signatur. Bei einer Anwendung, die aus einer einzelnen exe besteht, ist dies korrekt. Der große Vorteil kommt erst zum Tragen, wenn die Anwendung aus einer exe und mehreren Bibliotheken (dlls) besteht. exe AxEngine Signature dll AxEngine Signature Kontrolle zwischen.exe und.dll In diesem Fall werden die exe und alle dlls vom AxProtector signiert. Beim Laden einer geschützten dll überprüft die exe die Integrität der dll und die dll die Integrität der exe. Dabei können Sie definieren, ob die dll nur in bestimmten (eigenen) Anwendungen geladen werden darf. Und Sie können festlegen, welche dlls zwingend eine gültige Signatur besitzen müssen, damit diese geladen werden dürfen. 6

7 Damit können Sie unter anderem folgende Anwendungsfälle abbilden und folgende Bedrohungen abwehren: Ein Hacker erzeugt eine veränderte Kopie einer Ihrer dlls. Zum Bespiel ersetzt er die dll, welche den Kopierschutz überprüft durch eine dll, die immer Ok antwortet. Die Integritätsprüfung des AxProtectors verhindert, dass diese dll ausgetauscht werden kann. Die Hürde für den Hacker wurde damit deutlich erhöht. Prinzipiell ist allerdings das Auslagern des Kopierschutzes in eine extra dll aus Sicherheitsgründen nicht zu empfehlen. Ein Hacker verwendet Ihre dll mit Ihrem geistigen Eigentum in einer eigenen Anwendung. Durch die Integritätsprüfung erkennt die dll, dass Sie innerhalb einer nicht von Ihnen autorisierten Anwendung geladen wurde und verweigert den Dienst. Warum ist es notwendig, hier mit Signaturen zu arbeiten? Die Antwort liefert das Henne-Ei-Phänomen. Wenn die exe die dll prüfen soll, dann müsste die exe die Prüfsumme der dll kennen. Also trägt man diese in der exe ein. Wenn die dll aber auch die exe prüfen soll, dann muss die dll die Prüfsumme der exe kennen. Dazu müsste man diese eintragen, was aber die dll verändert und damit die in der exe eingebundene Prüfsumme ungültig macht. Verwendet man Signaturen, wird in allen Modulen (exe und alle dlls) lediglich der öffentliche Schlüssel versteckt eingebettet. Mit dem privaten Schlüssel wird jedes Modul unterschrieben und die Signatur an das Modul selber angehängt. Damit kann jeder jeden prüfen. Und einzelne Teile können später unabhängig von den anderen Teilen aktualisiert werden. ExProtector Embedded Devices Der AxProtector erzeugt eine geschützte Anwendung oder Bibliothek, welche sich selber entschlüsselt. Beim ExProtector ist dies anders: Der ExProtector schützt Anwendungen, Bibliotheken oder das komplette Betriebssystemimage auf einem Embedded Device. Zum Laden und Ausführen der geschützten Teile wird zusätzlich ein Modul, die ExEngine, in den aufrufenden Teil integriert. Ist das komplette Betriebssystemimage (z.b. ein VIP unter VxWorks) verschlüsselt, wird die ExEngine in den Bootloader integriert. Sind Anwendungen und Bibliotheken (z.b. RTPs und DKMs unter VxWorks) verschlüsselt, wird die ExEngine in das Betriebssystem integriert. Kompilierte.exe/.dll Header Code Section Data Section Resource Section Beim Schutzvorgang können Sie festlegen, ob Sie die zu schützende Software verschlüsseln, signieren oder verschlüsseln und signieren. Verschlüsseln schützt gegen Reverse Engineering; Signieren stellt die Integrität sicher. Bei der Verschlüsselung wird, ebenso wie beim AxProtector, ein Schlüssel aus der Lizenz verwendet und die zu schützenden Daten werden mit AES verschlüsselt. Bei der Signatur wird ein privater Schlüssel verwendet, um den Fingerabdruck der Anwendung zu unterschreiben. Sowohl AES-Schlüssel als auch Signaturschlüssel werden sicher in einem Master-Dongle, der Firm Security Box (FSB), gespeichert. Somit sind diese beiden Schlüssel sicher vor Auslesen und unbefugter Benutzung geschützt. Berechtigungsverwaltung Im einfachen Fall gibt es einen oder wenige Master-Dongles, die alle denselben privaten Schlüssel enthalten. Der zugehörige öffentliche Schlüssel wurde während der Entwicklung der Software für das Embedded Device in die ExEngine integriert. Der ExProtector unterstützt auch ein Berechtigungsmanagement. In diesem Falle erhält jeder Master-Dongle einen eigenen privaten Schlüssel für die Codesignatur. Eine zentrale Stelle erstellt Zertifikate, welche die Berechtigungen der einzelnen Master-Dongles festlegen. Die Berechtigungen können sowohl nach Anwendungsebene als auch nach Geräteklasse oder Gerätecharge unterschieden werden. Definition von Lizenzen und Modulen AxProtector Header Encrypted Code Section Encrypted Data Section Encrypted Resource Section AxEngine (Security Engine) Signature Geschützte.exe/.dll AxProtector: Schutzprozess Die Anzahl der Anwendungsebenen wird bei der Integration der ExEngine in das Embedded Device festgelegt. Ein einfaches Beispiel ist: Betriebssystem, Anwendung, Konfigurationsdaten. Geräteklasse und Gerätechargen werden ebenfalls individuell implementiert. Damit ist es möglich, dass ein Anbieter von Embedded Devices seinen Kunden ein Zertifikat erstellt, mit dem der Kunde selber in seinen Geräten Anwendungen aktualisieren kann. Ein Update des Betriebssystems bleibt aber weiterhin dem Anbieter vorbehalten. Der Kunde kann nur ein Betriebssystemimage einspielen, welches vom Anbieter unterschrieben wurde. Doch auch beim Anbieter selbst können die Rechte unterschiedlich verteilt sein. Nur die Produktion kann Software für produktive Geräte unterschreiben; Entwickler besitzen nur die Möglichkeit, Testgeräte zu verwenden. CodeMeter bietet Ihnen ein Signaturtool, mit dem entsprechende Zertifikate einfach erstellt und verwaltet werden können. Fazit Ob Embedded Device oder PC mit Standard-Betriebssystem: AxProtector und ExProtetcor schützen Ihre Software sicher gegen Reverse Engineering durch Verschlüsselung und gegen Manipulation durch Codesignaturen. Auf einem Standard-Betriebssystem folgt der AxProtector treu dem Grundsatz Vertraue niemanden außer Dir selbst und bietet so höchste Sicherheit. Auf einem Embedded Device bietet der ExProtector zusätzlich die Möglichkeit, mittels Zertifikaten die Berechtigungen Wer darf welche Teile aktualisieren zu verwalten. 7

8 P R O D U K T CodeMeter Security und VxWorks 7 Als Herzstück von über 1,5 Milliarden Embedded-Systemen ist VxWorks das weltweit am meisten verbreitete Echtzeitbetriebssystem. Bei den Anwendern von VxWorks steigt der Bedarf nach Sicherheitsmaßnahmen, die einfach und schnell umzusetzen sind. Bereits seit der Version 6.8 bietet die CodeMeter-Technologie volle Kompatibilität mit der Entwicklungsumgebung und dem Betriebssystem. Mit VxWorks 7 wird es noch einfacher, zeitgemäße Schutzmechanismen zu nutzen. Vor dem Hintergrund immer neuer Sicherheitslücken und der Industriespionage besteht eine steigende Nachfrage nach Embedded-Systemen, die in sich selbst sicher sind und nicht auf externe Schutzmechanismen wie Firewalls oder VPNs angewiesen sind. Der Maschinenbauer würde sagen, das Gerät sei eigensicher. Es ist davon auszugehen, dass es Geräte ohne umfassende Sicherheitsmechanismen zukünftig schwerer haben, im Markt zu bestehen. Gleichzeitig möchte sich der Entwickler der Applikation, die auf dem Embedded-System läuft, natürlich auch gegen den Diebstahl seines geistigen Eigentums (IP) schützen. Dabei soll das Sicherheitssystem größtmögliche Sicherheit bei einfacher Anwendung bieten. Nicht jeder ist schließlich ein Experte in Kryptografie. Die Anforderungen beider Stakeholder Anwender und Entwickler oder Betreiber und Anlagenbauer sind in das Design des neuen Security Profile für VxWorks 7 eingeflossen. Um dem Kunden den Einstieg in kryptografisch gesicherte Software und Secure-Boot-Prozeduren zu erleichtern, hat Wind River mit uns zusammengearbeitet und unsere Sicherheitstechnologien in das Security Profile for VxWorks integriert. Das Profil wird direkt von Wind River vertrieben und lässt sich einfach in die Workbench als Plug-in integrieren. Zusätzlich zu Wind Rivers eigenen Sicherheitsfunktionen bietet das Plug-in bewährte CodeMeter-Komponenten, die schon seit Version 6.8 in VxWorks verfügbar sind. Die Betriebssystemimages, Kernelmodule und Applikationen werden wie bisher mit dem ExProtector verschlüsselt. Dieser gehört genauso wie der CodeMeter Embedded Treiber, nunmehr in der Version 1.7, fest zum Lieferumfang des Produktes. Das Neue ist: Security Profile kommt ohne CmDongles oder CmActLicense aus. Der Schutz basiert auf einer reinen Implementierung in Software, tief verankert im VxWorks Kernel. Dabei erfüllt die Lösung zwei wesentliche Sicherheitsansprüche: Integrität und Know-how-Schutz. Die Integrität der einzelnen Softwarekomponenten wird durch kryptografische Signaturen sichergestellt. In der Entwicklungsumgebung von VxWorks steckt eine eigene Certification Authority (CA), die die benötigten Zertifikate erstellt, signiert und verwaltet. Der Softwarehersteller kann hier für jeden beteiligten Entwickler ein Zertifikat bereitstellen, das den Entwickler identifiziert und gleichzeitig seine Berechtigung festlegt. So kann auch innerhalb eines großen Projektes sichergestellt werden, dass nur bestimmte Entwickler das Recht haben, Kernelmodule anzupassen oder ein VxWorks-Image zu generieren. Jeder Entwickler unterschreibt seine Arbeit mit seinem persönlichen Zertifikat. Wird seine Software später von dem Embedded-System ausgeführt, überprüft der Secure-ELF-Loader direkt im Betriebssystem anhand der Zertifikatskette, ob die Signatur gültig ist. Sollte sie das nicht sein, wird das Programm nicht ausgeführt. 8

9 Hinweis für die Nichtinformatiker unter den Lesern: Ändert jemand aus welchem Grund auch immer nur ein einziges Bit oder einen Wert an einem signierten Programm, ist die Signatur automatisch ungültig. Die Signaturprüfung stellt so sicher, dass das Programm nicht manipuliert wurde und dass es von einem berechtigten Entwickler kommt, da nur er den passenden Schlüssel besitzt, um eine gültige Signatur zu erzeugen. Hardware-based Protection IP Protection License Management Wibu-Systems CodeMeter Integrity Protection Wibu-Systems Basic Security Security Profile for VxWorks VxWorks 7 Core Platform CodeMeter License Central Die Signatur schützt ein Programm vor Manipulation und stellt sicher, dass es von einem berechtigten Herausgeber kommt. Um das Programm vor dem Diebstahl seines geistigen Eigentums durch Reverse Engineering zu schützen, muss es der Entwickler verschlüsseln. Auch diese Funktion ist im Security Profile integriert. Dazu wird bei der Anlage eines neuen VxWorks Projektes ein AES-Schlüssel erzeugt, mit dem alle Module und Programme verschlüsselt werden. Somit werden die derart geschützten Dateien nur noch in verschlüsselter Form verteilt. Der passende Schlüssel liegt sowohl beim Softwarehersteller als auch auf dem Embedded-System. Erst wenn ein Programm gestartet wird, entschlüsselt es der Secure-ELF-Loader direkt im Betriebssystem. Diese Funktion ist direkt in VxWorks integriert und bedarf keiner weiteren Anpassung durch den Entwickler. Secure Boot Ein Entwickler oder Anlagenbauer möchte auch sicherstellen, dass auf seiner Steuerung nur von ihm geprüfte Software läuft und niemand die Steuerung manipuliert hat. Durch das Signieren der Binaries hat er dies schon für seine Programme erreicht. Um sicherzustellen, dass das Betriebssystem, also VxWorks, nicht manipuliert wurde, gibt es die Secure-Boot- Funktion. Diese wurde in der KEYnote 26 bereits beschrieben. Auf Plattformen, die UEFI (Nachfolger des alten BIOS) unterstützen, kann vom Einschalten bis zum Betrieb der Applikation sichergestellt werden, dass nur zugelassene, signierte Software ausgeführt wird. Eine der Kernfunktionen des UEFI ist die Unterstützung von Secure Boot. Dabei wird schon der Bootloader überprüft, der wiederum nur ein signiertes Firmware-Image startet, welches dann wieder nur signierte Programmteile ausführt. Das UEFI dient dabei als sicherer Anker, auf dem die ganze Sicherheitskette für Secure Boot aufbaut. CodeMeter Security Das Security Profile ist voll mit CodeMeter Security kompatibel. Schlüssel können in CmDongles oder systemgebundenen CmAct- Licenses gespeichert werden. Neben dem sicheren Aufbewahren der Schlüssel bietet CodeMeter auch Kopierschutz, da weder der CmDongle noch die CmActLicense kopierbar sind. Die CodeMeter Security ermöglicht außerdem die Nutzung der flexiblen Lizenzierungsfunktionen und die Anbindung an die CodeMeter License Central zum Erstellen, Verwalten und Verteilen der Lizenzen. Das unterstützt im Embedded-Bereich neue Geschäftsmodelle wie zum Beispiel das Leasing von Anlagen, Pay-per-Use-Konzepte oder die Überwachung zulässiger Losgrößen und Chargen im Produktionsumfeld. CodeMeter Security ermöglicht ferner die Generierung eines erfolgreichen After-Sales-Geschäftes, wie es im herkömmlichen Consumer-Umfeld bekannt ist und sich im Mobilgeschäft mit Smartphones gerade rasant entwickelt. Integrität Authentizität IP-Schutz Zertifikate Kopierschutz Lizenzmanagement Hardware Schlüsselspeicher So können Geräte beispielsweise mit vollem Funktionsumfang ausgeliefert werden; der Kunde kann jedoch nur die Funktionen nutzen, die er lizenziert hat. Alle anderen Funktionen bleiben ihm verschlossen, bis er die passende Lizenz nachkauft. Das spart Kosten bei Entwicklung, Produkttest und Zertifizierung. Security Profile bietet einen komfortablen Einstieg in die Embedded Security mit einer auf AES und elliptischen Kurven basierenden Kryptografie. Secure Boot sorgt dafür, dass die Programme in einer vertrauenswürdigen Umgebung ausgeführt werden. CodeMeter Security bietet sich an, wenn flexibles Lizenzmanagement, Kopierschutz und ein hoher Anspruch an die Sicherheit des Schlüsselspeichers hinzukommen. CodeMeter Security basiert auf den bekannten CodeMeter-Mechanismen und wird als Add-on für die Entwicklungsumgebung über Wibu-Systems vertrieben. Ergänzung des Security Profile durch CodeMeter Security P P P P optional CodeMeter Security optional CodeMeter Security optional CodeMeter Security 9

10 KNOW-HOW Aktivierung von Lizenzen auf Embedded Devices Industrie 4.0 und Internet of Things liefern die Vision, dass alle Embedded Devices in der Zukunft miteinander vernetzt sind. In dieser zukünftigen Welt steht die Sicherheit der Geräte im Fokus. Wenn alle Geräte vernetzt sind, entstehen neue Bedrohungsszenarien, in denen Hacker vom Sofa aus Züge kidnappen oder die Stromversorgung eines ganzen Landes sabotieren. CodeMeter bietet mittels Verschlüsselung und Identitäts- und Berechtigungsprüfungsmechanismen ein Rahmenwerk für diese Sicherheit. Neben der Sicherheit spielt auch die Freischaltung von Features On Demand eine zunehmend größere Rolle. Oft enthalten unterschiedliche Geräte die gleiche Hardware. Die Funktionalität und damit der Preis unterscheiden sich nur durch Einstellungen in der Software oder zusätzliche Module in der Software. Neben den Sicherheitsfunktionen bietet CodeMeter ein schlüsselfertiges System für Softwareschutz und Lizenzmanagement. Doch wie gelangen Lizenzen auf ein Embedded Device? Vernetzte Welt In der zukünftigen vernetzten Welt ist dies ganz einfach. Der Hersteller liefert das Gerät mit einem CmContainer aus. Dieser kann leer sein oder bereits aktivierte Lizenzen enthalten. Im Falle eines Hardware-Dongles wird der CmDongle einfach mit dem Gerät verbunden. Dies kann in Form einer CF-Karte, eine SD-Karte, einer µsd-karte oder eines USB-Dongles erfolgen. Im Falle einer rein softwarebasierten Lösung wird eine CmActLicense im System registriert. Dies erfolgt über einen Aufruf des CodeMeter-APIs. Um eine Lizenz zu aktivieren, erstellt der Hersteller zuerst ein Ticket mit der CodeMeter License Central. Ein Ticket hat die Form NFGSX- VWNYJ-T74CD-48H5B-7NEEJ. Die Erstellung kann automatisch über SAP oder ein anderes ERP-System erfolgen. Dabei werden die zu erstellenden Lizenzen mit dem Ticket verknüpft und in der CodeMeter License Central zum Abholen bereitgelegt. Die CodeMeter License Central kann wahlweise vom Hersteller selber gehostet werden oder von Wibu-Systems. Der Hersteller schickt das Ticket als oder als Lieferschein an den Anwender. Der Anwender gibt das Ticket auf dem Embedded Device ein. Der Hersteller hat dies entsprechend im Gerät vorgesehen. Nach der Eingabe des Tickets wird eine Remote-Context-Datei vom CmContainer erzeugt. Diese enthält die Seriennummer des CmDongles oder einen Fingerabdruck des Gerätes im Falle einer softwarebasierten Lizenzierung. Ticket und Remote-Context-Datei werden über das Netzwerk an die CodeMeter License Central übertragen. In der CodeMeter License Central wird geprüft, ob das Ticket gültig ist und noch nicht verwendet wurde. Ist dies der Fall, wird eine Remote-Update-Datei mit den hinterlegten Lizenzen erzeugt. CodeMeter sichert kryptografisch ab, dass diese Remote-Update-Datei nur in denjenigen CmContainer eingespielt werden kann, für den sie erzeugt wurde. Die Remote-Update-Datei wird als Antwort an das Embedded Device zurückgeschickt und dort eingespielt. Für das Erzeugen und Einspielen der Remote-Context- und Remote-Update-Dateien stehen CodeMeter-API-Funktionen zur Verfügung. 10

11 MENU POS1 Neben der CodeMeter License Central besteht auch die Möglichkeit, eine Remote- Update-Datei per CodeMeter-API oder per Kommandozeilenwerkzeug zu erzeugen. Dies ist vor allem für Test- und Integrationsszenarien nützlich. Offline-Welt Prinzipiell ist die Übertragung der Remote-Context-Datei und der Remote-Update-Datei auch offline möglich. Der Hersteller des Embedded Devices integriert die entsprechenden Prozesse in sein Entwicklungswerkzeug oder sein Supportwerkzeug auf dem PC. Das Tool auf dem PC verbindet sich mit dem Embedded Device. Dabei wird auf dem Embedded Device die Erstellung einer Remote Context Datei angestoßen. Alternativ kann diese im Hintergrund automatisch erstellt worden sein. Diese Remote-Context-Datei wird dann vom PC-Tool auf den PC übertragen. Dieser Vorgang ist natürlich auch möglich, falls das Embedded Device weder über Display noch über Tastatur verfügt. Anschließend nimmt das PC-Tool Kontakt mit der CodeMeter License Central auf. Dieser Schritt kann zeitlich versetzt erfolgen, auch nachdem die Verbindung zum Embedded Device längst getrennt wurde. Das PC-Tool fragt vom Anwender das Ticket ab und sendet dann Ticket und Remote-Context-Datei an die CodeMeter License Central. Es erhält die Remote-Update-Datei als Antwort. Im nächsten Schritt wird der PC erneut mit dem Embedded Device verbunden. Die Internet-Verbindung wird nicht mehr benötigt. Das PC-Tool lädt die Remote-Update-Datei auf das Embedded Device. Der Aktualisierungsprozess kann dann entweder vom PC-Tool angestoßen werden oder ein Prozess auf dem Embedded Device scannt regelmäßig nach neuen Remote-Update-Dateien und startet die Aktualisierung automatisch im Hintergrund. Optional kann eine erneut erzeugte Remote- Context-Datei vom Embedded Device auf den PC übertragen werden und bei bestehender Internet-Verbindung als Quittung an die CodeMeter License Central geschickt werden. Offline ohne Rückkanal Es gibt Anwendungsfälle, in denen der Rückkanal vom Embedded Device zum Hersteller verboten ist. In diesen Fällen ist es möglich, die Remote-Context-Datei in der CodeMeter License Central anhand von Seriennummer, Fingerabdruck, originaler Remote-Context-Datei und durchgeführten Updates zu simulieren. Der Prozess vereinfacht sich dann: Der Anwender startet mit dem PC-Tool. Er gibt das Ticket ein, wählt die Seriennummer des Embedded Devices und lädt die Remote-Update-Datei herunter. Der Rest erfolgt wie oben beschrieben. In diesem Fall ist es für den Hersteller nicht möglich, zu sagen, welche Lizenzen wirklich auf dem Embedded Device aktiviert wurden. Ändert sich der Fingerabdruck, weil Hardware getauscht oder ein neuer CmDongle verwendet wurde, wird eine neue Remote- Context-Datei benötigt. Fazit Die Aktivierung einer Lizenz mit CodeMeter erfolgt auf einem Embedded Device analog zu einer Online-Aktivierung auf einem PC. Über ein Ticket wird autorisiert, welche Lizenzen ausgeliefert werden. Das Ticket ist ein 25-stelliger Code, den der Hersteller erzeugt. Im Offline-Fall kann ein PC als Brücke dienen, auf dem Anfrage und Lizenz als Remote- Context-Datei oder Remote-Update-Datei zwischengespeichert werden. Lizenz in der Cloud PC/Laptop Embedded Device Embedded + CodeMeter protected ExProtector Implemented ESC Fingerprint + Ticket Lizenz Tool Ticket NFGSX-VWNYJ-T74CD-48H5B-7NEEJ Fingerprint Lizenz Aktiviert Aktivierung einer Lizenz auf einem Embedded Device 11

12 P R O D U K T Protection Suite auf dem PC Verschiedene Ausprägungen der AxProtector-Technologie für die verschiedenen Programmtypen sorgen für den immer passenden Schutz für Ihren jeweiligen Anwendungsfall. Software-Hersteller sichern sich so Umsätze und schützen das geistige Eigentum. Die Wibu-Systems Protection Suite umfasst verschiedene Schutzmechanismen für Software. Der Bedarf nach Schutz vor verschiedenen Bedrohungen ist nahezu überall vorhanden. Sei es beim Lohnbuchhaltungsprogramm für Gaststätten, einer Musikbearbeitungssoftware für Tonstudios oder der Schleifmaschine für Zahnersatz. Es gibt Bedrohungsszenarien, gegen die man sich als Software-Hersteller (ISV) schützen möchte. Bei jeder verkauften Software möchte man sicher sein, dass diese nur im gekauften Umfang verwendet wird zum Beispiel als Einzelplatzlizenz mit Grundmodul ohne Zusatzmodule. Man setzt daher eine Lizenzierung ein und diese soll nicht ausgehebelt werden. Damit nicht nach kürzester Zeit im Internet eine einfache Anleitung zur Umgehung der Lizenzierung veröffentlicht wird oder Raubkopien die Runde machen, müssen die Lizenzkontrollmechanismen so in die Software integriert werden, dass sie nicht entfernt werden können. Das technische Know-how einer Firma steckt heutzutage immer öfter zu wesentlichen Teilen in der ausgelieferten Software. Wie optimiert man zum Beispiel am effektivsten die Anordnung der Einzelteile auf Schnittmustern, oder wie lautet das Geheimnis, damit ein Videoschnittprogramm besonders schnell die Bildfolgen berechnen kann? Solch geistiges Eigentum gilt es, vor den neugierigen Augen der Konkurrenz im In- und Ausland zu schützen. Die möglichst lange Bewahrung eines Wissensvorsprungs zahlt sich meist in barer Münze aus. Immer öfter zahlen Lizenznehmer nicht mehr pauschal für ein Gesamtpaket, sondern nur noch für die benötigten Module, eine beschränkte Laufzeit oder eine begrenzte Anzahl von Ausführungen bestimmter Funktionen. So können auch Lizenznehmer mit kleinem Geldbeutel die passende Software verwenden und beide Seiten Lizenznehmer und -geber sind zufrieden. Somit müssen die Schutzprogramme verschiedene Schutzmechanismen anbieten: Schutz geistigen Eigentums (IP Protection): Durch automatischen Schutz wird der Binärcode verschlüsselt und so durch Reverse Engineering Tools nicht mehr analysierbar. Integrierte Methoden zur Erkennung von Analyse-Zugriffen zur Laufzeit sorgen dafür, dass dieser Schutz nicht ausgehebelt werden kann. Integritätsschutz: Überprüfungen beim Start und zur Laufzeit stellen fest, ob der Code vor oder während der Ausführung manipuliert wurde und beenden gegebenenfalls sofort die Ausführung. Änderungen am ausführbaren Programm, beispielsweise zum Einbau eigener Lauschfunktionen oder zur Deaktivierung von Sicherheitsfunktionen, werden somit rechtzeitig erkannt. Erhöhte Sicherheit für Module: Zusätzliche Verschlüsselung von einzelnen Methoden ermöglicht es, das dort eingebettete Wissen besonders sicher zu verwahren und es für Angreifer ohne passende Schlüssel unmöglich zu machen, dieses Wissen abzugreifen. Auch bei vorhandenem Schlüssel sind die Inhalte nur kurzzeitig im Speicher entschlüsselt verfügbar. Individuelle Lizenzmodelle: Für den Einsatz einer eigenen Tarifierung bei Payper-Use, zum Verwenden von in der Lizenz 12

13 abgelegten Informationen oder um individuellen Schutz einzubauen, besteht die Möglichkeit eines Zugriffs über API. Damit können außerdem alle Wünsche erfüllt werden, die durch die automatischen Mechanismen nicht abgedeckt werden. Autorisierung von Software: Das Ausführen von Software nur auf den Systemen, die dafür autorisiert wurden, ist eine wichtige Anforderung hauptsächlich im Bereich von Steuerungen und anderen Embedded-Systemen. Unterschiede Unterschiedliche Programmtypen benötigen unterschiedliche Arten der Implementierung der verschiedenen Schutzmechanismen. Daher stehen unter dem Namen AxProtector verschiedene Werkzeuge für die unterschiedlichen Programmtypen auf dem PC zur Verfügung. Der Schutz von Embedded-Systemen wird als ExProtector bezeichnet und wurde ausführlich in der letzten KEYnote-Ausgabe vorgestellt (Nr. 27, Seite 8). Native Applikationen Native Applikationen, geschrieben zum Beispiel in C++, Delphi oder Cocoa, werden vom AxProtector auf und für Windows, Mac OS X und Linux geschützt. Der Binärcode wird hierbei durch den AxProtector in großen Teilen verschlüsselt, Sprünge werden umgebogen oder ersetzt, Sicherheits- und Bibliotheksfunktionen hinzugefügt. Die daraus entstehende ausführbare Datei oder Bibliothek ist damit für Angreifer unbrauchbar und nur mit passender Lizenz verwendbar. Durch zusätzliche, individuell festgelegte Verschlüsselungen einzelner Funktionen, die vor der Verwendung zwingend per API-Aufruf entschlüsselt werden müssen, wird die Sicherheit deutlich erhöht. Diese als IxProtector bezeichnete Funktionalität ermöglicht auch den Einbau von Fallen, die eine wichtige Waffe zum Schutz vor Angreifern sind..net-assembly.net-applikationen bestehen aus vorübersetztem Code und sind daher besonders einfach zu dekompilieren. Der AxProtector.NET extrahiert den Inhalt aller zu verschlüsselnden Methoden und legt diesen verschlüsselt im Datenbereich ab. Zur Laufzeit werden diese Inhalte dann bei Bedarf automatisch entschlüsselt und dynamisch zur Verfügung gestellt. Das verschlüsselte.net-assembly Wibu-Systems Protection Suite Ax Ix CodeMeter Runtime ist weiterhin gültiger.net-code, enthält aber eigentlich nur Rümpfe. Gepaart mit der integrierten Obfuskierung von privaten und internen Methoden geben selbst diese Reste nur noch sehr wenige Hinweise auf Funktionalitäten. Java Ähnlich ist es bei Java. Der kompilierte Code lässt sich mit den zahlreich vorhandenen Tools wieder zurückübersetzen. Besondere Herausforderungen sind hier die eingebauten Debug-Schnittstellen und die Möglichkeit, die Java Virtual Machine selbst neu zu bauen. Der AxProtector Java kann die angegebenen Klassen verschlüsseln. Zur Laufzeit werden diese Klassen in nativem Code wieder entschlüsselt und direkt der Java Virtual Machine zur Verfügung gestellt. Insbesondere im Umfeld von Applikationsservern wie GlassFish oder WebSphere ist es heutzutage notwendig, Klassen in Teilen vorab auszulesen, damit die vorhandenen Optimierungsmöglichkeiten funktionieren können. Mit dem IxProtector ist es daher möglich, die Klasse selbst unverschlüsselt zu lassen, innerhalb der Klasse aber eine, mehrere oder alle Methoden doch zu verschlüsseln. Über Annotationen werden diese Konfigurationen im Quellcode vorgenommen. Die Entschlüsselung zur Laufzeit erfolgt dann automatisch. Und mehr Die AxProtectoren für die verschiedenen Programmtypen bieten zahlreiche nützliche Zusatzoptionen an. Das automatische Sperren Ax for.net SE & EE Ax for Java Ex Embedded Driver der Lizenz im Angriffsfall, die individuelle Steuerung und Weiterbearbeitung von Lizenzierungsanfragen über eine Dll-Schnittstelle, die Kombination von Dongle-basierten und rechnergebundenen Lizenzen, automatische Zeitaktualisierung sowie viele weitere Optionen ermöglichen eine maßgeschneiderte Anpassung für die unterschiedlichen Bedürfnisse. Eine einheitliche Oberfläche für die verschiedenen AxProtectoren ermöglicht unter Windows ein komfortables Arbeiten. Mit dieser Oberfläche versieht man seine Applikation ohne weitere Vorkenntnisse innerhalb von wenigen Minuten mit einem hohen Schutz vor Raubkopien, bewahrt sein geistiges Eigentum und sichert sich gegen Manipulationen ab. Sicherheit Die Kombination der verschiedenen Schutzmechanismen und das perfekte Zusammenspiel dieser verschiedenen Maßnahmen ermöglichen sofort einen sehr hohen Schutzgrad, der optional durch individuelle Erweiterungen noch weiter optimiert werden kann. Der Einsatz dieser Schutztechnologien sorgt für die konforme Verwendung von Lizenzen und sichert vorhandene Wettbewerbsvorteile. Autorisierung der Software (Secure Loader) Integritätsschutz (Tamper Protection) Automatischer Schutz (IP Protection) Individuelle Funktionsverschlüsselung Individueller API Zugriff 13

14 HIGHLIGHTS Aktuelles in Kürze Neuer CmStick/M CodeMeter-Funktionalität, AES-Verschlüsselung und höchste Flexibilität zeichnen den CmStick/M aus. Der CmStick/MI wird mit erweitertem Temperaturbereich und industrietauglichem SLC-Flash von 128 MB bis 16 GB angeboten, der CmStick/MC mit hochwertigem 2-Bit-MLC-Flash von 8 GB bis 128 GB. Muster sind verfügbar und die Serienproduktion läuft gerade an. Der neue CmStick/M lässt sich auch einsetzen, wenn Mass-Storage-Kommunikation nicht erlaubt ist. Ein Whitepaper zu diesem Thema ist in Arbeit. NEO Award zu Industrie 4.0 Der Innovationspreis NEO2014 der TechnologieRegion Karlsruhe geht an das Fraunhofer Institut IOSB für das Projekt Secure Plug & Work aus der Ausschreibung Industrie 4.0 des BMBF. Wibu-Systems arbeitet in diesem Projekt mit und liefert die Security für die sichere automatische Konfiguration, so dass Plug & Work bei vernetzten Steuerungskomponenten, Sensoren und Aktoren Realität wird. Außerdem ist Wibu-Systems selbst mit seiner Protection-Suite einer der fünf Finalisten beim NEO Award Foto: Fränkle Blurry-Box -Kryptographie Gemeinsam mit dem KIT, Karlsruher Institut für Technologie, und Professor Jörn Müller- Quade entwickelten wir unter Anwendung des -Kerckhoffs schen Prinzips Verfahren, die auch wenn bekannt einen beweisbar sicheren und korrekten Softwareschutz ermöglichen. Das Blurry-Box -Verfahren ist zum Patent angemeldet. Unter den elf Nominierten des vom Horst Görtz Instituts in Bochum alle zwei Jahre herausgegebenen und mit dotierten Deutschen IT-Sicherheitspreis wurde diese Lösung mit dem 1. Platz ausgezeichnet. Es wird nach und nach in CodeMeter umgesetzt. Demonstrator beim IT-Gipfel der Bundesregierung Wibu-Systems ist mit CodeMeter am Demonstrator Industrie 4.0 Sicherheit Made in Germany für den IT-Gipfel zusammen mit Infineon, Hirschmann, Telekom, Trumpf und Fraunhofer SIT beteiligt. Die Vorstände werden der Kanzlerin Dr. Angela Merkel und dem Wirtschaftsminister Sigmar Gabriel einen CmStick übergeben, zum Start einer sicheren Produktion. Der Demonstrator Industrie 4.0 zeigt neben Steigerung der Produktivität die Notwendigkeit der Sicherheit, hier als Prototyp, komplett Made in Germany. Zertifikate unter Windows 8.1 in CodeMeter nutzen Mit der CSSI 5.0 PKI Middleware von charismathics speichern Sie standardkonform Microsoft CSP- oder PKCS#11-Zertifkate in CodeMeter und nutzen diese unter Windows inklusive Windows 8.1 sowie unter Linux und Mac OS X. Lösungen speziell für OPC UA sind in Arbeit. Webinare und Roadshows erfahren große Resonanz Unsere regelmäßigen Webinare in deutscher und englischer Sprache werden immer mehr angenommen. Beim Kryptographie Führerschein nahmen rund 200 Zuhörer teil. Neben den internationalen Webinaren bieten unsere Roadshow-Veranstaltungen Ihnen den Vorteil des persönlichen Kontakts und intensiveren Austauschs. Veranstaltungen in Europa und zuletzt in den chinesischen Städten Wuhan, Xiamen, Hangzhou, Shanghai und Peking wurden gut angenommen. Whitepaper Virtualisierung Virtualisierung bietet neben einer skalierbaren Rechenleistung eine Reihe von Vorteilen für Unternehmen. Softwarehersteller aber stellt es vor die Herausforderungen, wie sie in virtuellen Umgebungen eine sichere Lizenzierung realisieren. Das Whitepaper erläutert das Prinzip und die Möglichkeiten mit CodeMeter und steht ab sofort zum Download auf www. wibu.com zur Verfügung, genauso wie stets neue und interessante Case-Studies. Informative kurze CodeMeter- Einführungsvideos Inzwischen ist das zweite Einführungsvideo zu CodeMeter erschienen. Schwerpunkt im ersten Video sind die Basis-Schutzfunktionen; im zweiten geht es um Lizenzierung, Lizenzmodelle und Prozessintegration. In weniger als jeweils zwei Minuten erfahren Sie auf einfache und anschauliche Art und Weise wichtige CodeMeter-Eigenschaften. Unsere Empfehlung: Unbedingt anschauen! 14

15 CASE STUDY Erfolgsgeschichte custo med Die Herausforderung Custo meds medizinische Plattform custo diagnostic besteht aus verschiedenen Software-Paketen und Geräten, um die EKG-, Blutdruck- und Lungenfunktionsdaten von Patienten zu erfassen. Die Produkte sind im klinischen IT-Netzwerk integriert und müssen daher modular und skalierbar aufgebaut sein, sowohl in Bezug auf Leistung als auch Benutzerfreundlichkeit. Außerdem schreiben die medizinischen Vorschriften die Rückverfolgbarkeit der Produkte und einen Schutz vor technischer Manipulation vor. Die Lösung Die verschiedenen Funktionen der modularen Diagnoseplattform werden durch sogenannte Schutz-Bits oder Lizenzen im Quellcode der Embedded-Software definiert. Kundenspezifische Lizenzdateien, die Remote-Update-Dateien, die vom custo med Vertrieb erstellt werden, übertragen Lizenzen und Aktualisierungen zum Kunden. Diese Update-Datei passt nur für genau einen bestimmten CmDongle. Ärzte und Krankenhäuser verwenden, abhängig von der PC-Hardware, eine der unterschiedlichen internen oder externen CmDongles und CmCards. Der Trend in großen Krankenhaus-Netzwerken ist der Einsatz von CmActLicense, der Software-basierten Sicherheitslösung. Der Erfolg CodeMeter bildet auf einfache Weise komplexe und dynamische Lizenzmodelle mit kundenspezifischer und unkomplizierter Lizenzverteilung an viele Standorte, auch in anspruchsvollen klinischen Umgebungen. Darüber hinaus kann das Lizenzierungsverfahren effizient verwaltet werden, wenn die Projekte gemeinsam mit autorisierten Distributoren realisiert werden. Zu jedem beliebigen Zeitpunkt können custo meds medizinische Systeme gemäß den gesetzlichen Bestimmungen zurückverfolgt werden. Bei technischen Problemen wird der spezifische Freigabe- und Lizenzstatus des Benutzers identifiziert, was eine schnelle und sichere After-Sales-Kundenbetreuung ermöglicht. Der Kunde Custo med ist eine führende Marke in der medizinischen Diagnostik. EKG-, Blutdruckund Spirometrie-Daten werden erfasst und in das Krankenhaus-Informationssystem integriert. Perfekt abgestimmte Arbeitsabläufe für das medizinische Personal, spezielle Software-Lösungen und höchste Standards in Bezug auf Patientensicherheit und -komfort zeichnen das Produktportfolio aus. Hans-Jörg Hoffmann, Sales & Marketing Manager von custo med Der Markenname custo med steht für ein diagnostisches, kardiorespiratorisches Erfassungs- und Auswertungssystem. Ein professionelles Software-Design, kombiniert mit der bequemen Handhabung der Geräte, ermöglicht reibungslose Abläufe in klinischen Stationen. Dank CodeMeter haben wir unbegrenzte Möglichkeiten, wenn es um individuelle Lizenzmodelle geht von der Einzelplatz-Anwendung in der medizinischen Praxis bis zu großen Krankenhausprojekten. Custo med wurde 1982 gegründet und ist in Ottobrunn (Deutschland) ansässig. Über 50 Mitarbeiter entwickeln, produzieren und verkaufen Soft- und Hardware zur professionellen Diagnose. Die Hauptmärkte sind Deutschland, Westeuropa, Russland, die Türkei und Asien. Alle Projekte werden in Zusammenarbeit mit spezialisierten Händlern realisiert. 15

16 INFORMATION Secure Code Webinare.NET Secure Code Webinar Sicherer Schutz von.net-assemblies gegen Raubkopieren und Reverse Engineering, inklusive Lizenzmanagement. Unser erfolgreiches Secure Code Webinar wird fortgesetzt. Erfahren Sie online, wie Sie Ihre.NET-Anwendungen in wenigen Minuten sicher gegen Raubkopieren und Reverse Engineering schützen. Das Secure Code Webinar.NET richtet sich sowohl an den Produktmanager, der erfahren möchte, wie seine Lizenzmodelle mit CodeMeter realisiert werden, als auch an den Entwickler, der erfahren möchte, wie CodeMeter in.net-assemblies integriert wird. Unser Webinar ist in einen Vormittags- und einen Nachmittags-Block unterteilt. Besuchen Sie uns: w-jax Westin Hotel, München Teil 1, 9:30 Uhr bis 11:30 Uhr (Dauer 1:30h, danach 30 Minuten für Fragen und Antworten) Einführung in die Basistechnologie von CodeMeter Sichere Integration in Ihre Software durch intelligente Werkzeuge Fragen und Antworten Teil 2, 14:00 Uhr bis 16:00 Uhr (Dauer 1:30h, danach 30 Minuten für Fragen und Antworten) Einführung in die Lizenzverwaltung von CodeMeter Lizenzverwaltung mit der CodeMeter LicenseCentral Integration der CodeMeter LicenseCentral in Ihre Prozesse Fragen und Antworten EKON Hilton Köln Hotel, Köln Impressum KEYnote 28. Ausgabe, Herbst 2014 Herausgeber: WIBU-SYSTEMS AG Rüppurrer Straße Karlsruhe Tel Fax Verantwortlich für den Inhalt: Oliver Winzenried Autoren: Marco Blume Rüdiger Kügler Wolfgang Völker Oliver Winzenried Design Markus Quintus Druck E&B engelhardt und bauer, Karlsruhe, Germany, EMAS III & ISO certified Zuschriften sind jederzeit willkommen. Schreiben Sie uns an: Sie sind durch das Redaktionsgeheimnis geschützt. Namentlich gekennzeichnete Artikel geben nicht unbedingt die Meinung der Redaktion wieder. Wibu, CodeMeter, SmartShelter, Blurry-Box und SmartBind sind Warenzeichen von Wibu-Systems. Alle anderen Firmen- und Produktnamen sind eingetragene Marken der jeweiligen Eigentümer. Copyright 2014 Wibu-Systems. Alle Rechte vorbehalten. Bildnachweis: Cover / Titelbild Seite 10: istockphoto.com/mattjeacock Titelbild Seite 3: Infineon Technologies Titelbild Seite 6: istockphoto.com/tpopova Titelbild Seite 12: istockphoto.com/focuseye Bild Seite 15 NEO Award: Fränkle Bilder Seite 15: custo med Alle nicht gekennzeichneten Bilder/ Grafiken liegen bei dem jeweiligen Urheber / Copyright 2014 Electronica 2014 Halle 5 Stand 506 (bei Infineon) Messegelände München ESWC Hesperia Tower Hotel, Barcelona Spanien MEDICA Düsseldorf Messegelände, Düsseldorf sps/ipc/drives 2014 Halle 7 Stand Messegelände Nürnberg, Nürnberg