Home | Impressum | Sitemap | KIT

Kontakt

Institut für Theoretische Informatik

Arbeitsgruppe Kryptographie und Sicherheit

Carmen Manietta

Am Fasanengarten 5

Geb. 50.34

D-76131 Karlsruhe

Tel.: + 49 721 608-44213

Fax: + 49 721 608-55022

E-Mail: crypto-infoPqx9∂iti kit edu

 

Veröffentlichung

Sieben Thesen zur IT-Sicherheit

Download PDF
Stellen

Akademische/r Mitarbeiter/in in der Arbeitsgruppe Kryptographie und IT-Sicherheit

Akademische/r Mitarbeiter/in in der Forschungsgruppe für Interaktive Echtzeitsysteme

Forschungsfelder

 Als universitär angesiedeltes Kompetenzzentrum hat KASTEL als Hauptanliegen, Methoden und Konzepte für sichere IT-Systeme der Zukunft und deren Erstellung zu entwickeln. Der ganzheitliche Ansatz und die Anwendbarkeit stehen dabei im Vordergrund. KASTEL bündelt die herausragenden Fähigkeiten von zwölf Arbeitsgruppen auf dem Gebiet der IT-Sicherheit in einem Zentrum. Um den Praxisbezug der entwickelten Lösungen zu erhalten und einen Technologietransfer zu sichern, ist ein reger Austausch mit in der TechnologieRegion Karlsruhe angesiedelten Unternehmen geplant. Der Technologietransfer im Sicherheitssektor soll die Region wirtschaftlich stärken.
Die Arbeit von KASTEL verfolgt zwei große Ziele: Zum einen sollen die Auswirkungen der zunehmenden Vernetzung auf die IT-Sicherheit von Systemen erforscht werden. Hierzu werden zunächst verschiedene Aspekte von Smart Environments betrachtet; diese zeichnen sich durch eine Vielfalt an vernetzten Sensoren und Aktoren aus, welche die Alltagswelt durchdringen. Als Anwendungsfall in der Wirtschaft wird die vernetzte Produktion (Industrie 4.0) betrachtet. Die Sicherheit vernetzter kritischer Infrastrukturen wird am Beispiel dezentraler Stromnetze (Smart Grids) untersucht.
Das zweite große Ziel ist die Annäherung von Theorie und Praxis. Motiviert durch die Erfahrungen der ersten Förderperiode werden Verfahren und Werkzeuge angepaßt und um Funktionen erweitert, die eine Annäherung an die Anforderungen und Komplexität realer Systeme erlauben.

Sicherheit und Privatheit für Stromnetze der Zukunft

Unsere Energiesysteme werden in Zukunft grundlegend umgebaut. Solar- und Windenergie wird dezentral und schlecht planbar erzeugt und nur der intensive Einsatz von IT kann die Erzeugung und den Bedarf in Einklang bringen.
Dieser verbreitete Einsatz von IT-Systemen bringt gleichzeitig neue Bedrohungen für Wirtschaft und Gesellschaft: Die zur Netzsteuerung erfassten Stromverbrauchsdaten erlauben Rückschlüsse auf private Lebensgewohnheiten und Produktionsvorgänge in der Industrie. Gleichzeitig erhöhen zusätzliche IT-Systeme die Angriffsfläche; eine Manipulation kann zu Störungen, Schäden und langfristigen, großflächigen Stromausfällen führen. Dies macht IT-Sicherheit zu einer Voraussetzung für die Energiewende.
Das Stromnetz muss als Ganzes betrachtet werden, um die Konzepte und Methoden der Informatik und der Elektrotechnik geeignet integrieren zu können. Insbesondere der Datenschutz und die rechtlichen Rahmenbedingungen der Regulierung erfordern auch eine enge Einbindung der Rechtswissenschaften. KASTEL entwickelt interdisziplinär Lösungen für die Sicherheit und Privatheit der Stromnetze der Zukunft.
Eine besondere Herausforderung ist es, die scheinbar widersprüchlichen Anforderungen an die Funktion, deren Echtzeitfähigkeit, den Schutz der Privatsphäre sowie die Robustheit gegen Angriffe und Störungen miteinander zu vereinbaren. Verteilte Energiesysteme sollen nicht nur über eine sichere IT-Infrastruktur verfügen, sondern auch als Ganzes widerstandsfähig sein, da Angriffe nicht völlig vermieden werden können.
KASTEL erforscht die Sicherheit und Robustheit realer Systeme im Energy Lab 2.0 der Helmholtz-Gemeinschaft und im IT-Sicherheitslabor für die Produktion des Fraunhofer IOSB.

Beweisbare Sicherheit für komplexe IT-Systeme

Sicherheit in modernen, komplexen Systemen kann nur verlässlich sicher gestellt werden, wenn die Anforderungen, die an ein System gestellt werden vom Design bis hin zur Qualitätssicherung der eigentlichen Implementierung des Systems durchgängig sind. Praktisch beobachtbare Angriffe auf Systeme sind in der Regel auf fehlende Sicherheitskonzeptionen zurückzuführen oder aber auf Fehler, die erst in der Implementierung entstanden sind, so dass das eigentlich angedachte Sicherheitsdesign nicht konsequent umgesetzt wurde.

Deshalb forschen wir in KASTEL an einer Systemtheorie für die kontinuierliche Anpassung an strategische, sich weiterentwickelnde Angreifer, sowie an Werkzeugen und Methoden, die Sicherheit vom Design bis zur letzten Code Zeile gesamtheitlich betrachten, durchgängig umsetzten und überprüfbar machen. Experten aus den unterschiedlichsten Disziplinen der Informatik arbeiten deshalb eng mit Experten aus den Rechtswissenschaften zusammen um bekannte Methoden zur Dokumentation und Analyse von Systemen und Programmen weiterzuentwickeln und für den Einsatz im sicherheitskritischen Umfeld nutzbar zu machen.

Sicherheit und Datenschutz für zukünftige Produktionssysteme

Moderne Produktionsanlagen sind hochgradig vernetzt. Eingebettete Systeme kommunizieren selbstständig miteinander, Planungssysteme aus der Cloud berechnen Auftragsschritte und Maschinenbelegungen, Anlagenführer überwachen und steuern aus der Ferne, Wartungspersonal greift weltweit zu und führt Konfigurationsänderungen aus. In der vernetzten Welt endet der Schutz von Produktionsanlagen nicht mehr am Gebäude oder am Fabrik-Gelände. Über die Netzwerk-Verbindungen können Angreifer in die Systeme eindringen und diese manipulieren, Schadcode-Infektionen können weite Bereiche vollständig lahmlegen und dabei auch immense physische Schäden sowie Gefahren für Leib und Leben verursachen. Nicht erst seit Meldungen über Stuxnet, Duqu, Flame und Havex ist klar, dass Produktionsanlagen Ziele für Cyber-Angriffe sind.

Mit Industrie 4.0 wird die bisherige Trennung von traditionellen IT-Netzwerken und Produktionsnetzen zunehmend aufgelöst, um Kommunikation und Datenaustausch über alle Netzhierarchien hinweg betreiben zu können. Netzwerkkomponenten in der Produktion unterscheiden sich deutlich von den Komponenten, die in der traditionellen IT genutzt werden. Bei ihrer Entwicklung, die auf eine Einsatzzeit von mehreren Jahrzehnten ausgelegt ist, spielt die Vernetzung und damit einhergehende Datensicherheit bisher kaum eine Rolle. Produktionsstraßen sind historisch untereinander und von anderen IT-Systemen getrennt. Diese Trennung war physisch, durch getrennte Kommunikationsnetze und auch logisch, durch unterschiedliche Protokolle, durchgesetzt. Im Zuge von Industrie 4.0 werden diese Systeme nun mit den Netzwerksystemen der traditionellen IT verbunden. Die Industrie erhofft sich dadurch flexiblere und effizientere Produktionsabläufe. Hierdurch werden die Produktionssysteme aber auch den Gefahrenszenarien traditioneller IT-Systeme ausgesetzt und IT-Sicherheit ein wichtiger Aspekt industrieller Systeme. Um das Gelingen von Industrie 4.0 nicht zu gefährden, darf der Einsatz neuer Technologien nicht zum Sicherheitsrisiko werden.

Sicherheit und Datenschutz für die zukünftige Lebens- und Arbeitswelt

Die tiefgreifende Integration von IT-Technologie in die Lebens- und Arbeitswelt ermöglicht eine Vielzahl innovativer Anwendungen und Dienste. In sogenannten Smart Environments bilden vernetzte Sensoren und Aktoren die Grundlage für eine Automatisierung alltäglicher Abläufe, mehr Komfort und eine effiziente Nutzung von Ressourcen wie Energie oder Wasser. Eine damit einher gehende, allgegenwärtige, Erfassung, Speicherung und Verarbeitung von Daten betrifft aber insbesondere auch den Kernbereich der persönlichen Lebensgestaltung. So kann aus den erfassten Daten auf Tätigkeiten, Interessen und Vorlieben von Personen oder Organisationen geschlossen werden. Eine der großen Herausforderungen von Smart Environments liegt somit im Schutz der Privatsphäre von Personen bzw. der Geschäftsgeheimnisse von Organisationen.

Sicherheit in Smart Environments umfasst verschiedene miteinander verknüpfte Aspekte, die als solche auch gemeinsam in KASTEL untersucht werden. Einerseits den Schutz der Privatsphäre bei der Erfassung, Speicherung, Verarbeitung und Visualisierung von Daten. Andererseits der Schutz dieser Daten vor unberechtigten Dritten bei jedem dieser Schritte. Sichere Verfahren und Kommunikationsprotokolle bilden hierfür die Grundlage. Weiterhin betreffen damit einher gehende rechtlichen Fragen, etwas hinsichtlich des Datenschutzes, jedes dieser Gebiete.