Digitale Schlüssel, Zertifikate und PKI – warum ist das in der Fertigung relevant?

Aktuelle Cloud-Trends
Digitale Schlüssel, Zertifikate und PKI – warum ist das in der Fertigung relevant?

Immer mehr Firmen migrieren ihre IT-Anwendungen (Datenbanken, Backendservices, Kundenservices) in die Cloud. Das Ziel ist, Dienste performanter, skalierbarer und hochverfügbar abzubilden, ohne eigene IT-Infrastruktur aufbauen zu müssen. Auch sensible Informationen, wie sie zum Beispiel eine Public Key Infrastructure (PKI) verwaltet, finden sich künftig in der Cloud. Doch was genau macht eine PKI? Welche Betriebsmodelle gibt es – und welches ist das Richtige für mein Unternehmen? Wir zeigen auf, welche Optionen es gibt und vergleichen die Betriebsmodelle mit Beispielen aus der klassischen Automobilproduktion.

Die Welt vernetzt sich, sowohl in der IT innerhalb eines Unternehmens als auch in den Endprodukten selbst. Daten müssen ausgetauscht werden, um Dienste, Services und neue Funktionen zu implementieren, oder um Systeme fernzuwarten und zu administrieren.

Vernetzte IoT Geräte müssen sich gegenüber Kommunikationspartnern / Backend Infrastruktur authentifizieren, um sicher Daten austauschen zu können. Dafür sind digitale Schlüssel und Zertifikate notwendig, die in der Regel von einem Certification Authority (CA) System, das Teil einer PKI ist, bereitgestellt werden.

Welche PKI-Optionen gibt es?

Der Betrieb einer CA kann dabei unterschiedlich erfolgen:

• On Premise – Unternehmen können ein CA-System selbst entwickeln oder einkaufen und im eigenen Rechenzentrum oder der eigenen Cloud Instanz betreiben.
   
• Software as a Service – Unternehmen mieten eine CA Software in der Cloud und nutzen diese analog einer On Premise Lösung – nur ohne sich dabei um die IT kümmern zu müssen. Das bedeutet: Es müssen keine eigenen Server gekauft, administriert und gewartet werden. Auch die Absicherung und Härtung der Systeme wie Updates und Patch-Management für Betriebs-System, Server Software und CA Applikation entfällt.
   
• Trust Center / PKI as a Service – Unternehmen rufen die notwendigen Zertifikate von einer vertrauenswürdigen Instanz aus dem Internet ab.

Wann wird welche Option genutzt?

Ein Zertifikat soll in der Regel zwei Dinge untrennbar miteinander verbinden:

1. ein digitales Schlüsselpaar, das ein Gerät verwendet (im Speziellen den öffentlichen Schlüssel)
2. die Identität des Geräts

Um diese Merkmale aneinander zu binden, werden digitale Signaturen verwendet, die in der CA erstellt werden.

Ein Beispiel aus der Automobilproduktion veranschaulicht die mögliche Vorgehensweise bei der Auswahl des geeigneten Betriebsmodells für eine PKI.

Dabei symbolisiert eine „Lackieranlage“ die CA und eine „Spezial-Lackierung“ die Signatur. Folgende Szenarien lassen sich dabei entsprechend abbilden:

PKI - On Premise

Ein Unternehmen betreibt eine eigene Fertigung mit unterschiedlichen Produkten, die auch spezielle Sonderwünsche erfüllen, wie zum Beispiel Sonderlackierungen oder Sonderbauformen. Dafür will das Unternehmen eine eigene, spezialisierte Lackiererei betreiben, um sich am Markt zu differenzieren und individuelle Kundenanforderungen zu erfüllen. In diesem Fall bietet sich der Kauf einer  Lackieranlage, die in die Fertigung integriert und an die individuellen Produktionsbedürfnisse angepasst wird. Nach der einmaligen Beschaffung der Komponenten übernimmt das Unternehmen den Betrieb und die Instandhaltung der Anlage.

Dieses Szenario bietet die meiste Kontrolle und Flexibilität der Anlage - der Hersteller ist unabhängig von der Dienstleistung Dritter. Es ist vergleichsweise teuer und erfordert viel eigene Kompetenz im Betrieb von solchen Anlagen. Diese Option bietet sich insbesondere für größere Betriebe an, die 100 Prozent Kontrolle über die Prozesse erstreben und sehr viele, auch unterschiedliche Produkte und Teile produzieren.

PKI - Software as a Service

Ein weiteres Szenario ist, dass das Kern-Knowhow des Unternehmens gar nicht die Lackierung ist, sondern nur die Herstellung spezialisierter Bauteile, bei denen am Ende eine Lackierung notwendig ist. Hier kann der Aufbau einer eigenen Lackiererei zu teuer sein, trotzdem benötigt das Unternehmen die Flexibilität einer solchen, um alle Kundenanforderungen zu erfüllen. In dem Fall kann sinnvoll sein, eine Lackieranlage und die ganze Lackiererei zu mieten. Das Unternehmen muss sich dabei um den Betrieb und die Wartung der Anlage nicht mehr kümmern und nutzt die Flexibilität zu einem geregelten Preismodell.

Dieses Szenario ist insbesondere für große und mittelgroße Betriebe empfehlenswert, die hohe Stückzahlen produzieren, die Flexibilität der Anlage benötigen, aber nicht viel eigenes Knowhow im Betrieb einer solchen Anlage haben oder aufbauen möchten.

Trust Center / PKI as a Service

Das letzte Beispiel-Unternehmen stellt in der Regel immer das gleiche Serienbauteil, in gleicher Form und Lackierung her. Hier könnte der Lackierungs-Service durch einen externen Anbieter am günstigsten sein. Abgerechnet wird nach gelieferten Stückzahlen. Die Verantwortung für die Qualität der Lackierung liegt dabei vollständig beim externen Dienstleister. Betrieb, Wartung und Personal für die notwendigen Anlagen und deren Nutzung ebenso. Im Gegenzug geht potentiell Flexibilität verloren, wenn kurzfristig „Sonderwünsche“ oder sehr kleine Losgrößen bearbeitet werden müssen.

Dieses Szenario bietet die kostengünstigste Option an und ist insbesondere für kleinere Produktionsbetriebe mit standardisierten Produktvarianten geeignet. Die Kosten fallen nur bei Bedarf an. Es wird kein eigenes Knowhow vorausgesetzt. Die Verantwortung für die Qualität des Ergebnisses liegt vollständig beim Dienstleister.

Fazit

Durch die fortschreitende Digitalisierung und Vernetzung von Systemen und Produkten wird das Thema der sicheren Kommunikation bzw. der Cybersecurity zunehmend relevanter. Oft ist es – oder wird künftig – auch durch Regularien und Standards gefordert, wie zum Beispiel bei der europäischen Certificate Policy für intelligente Verkehrssysteme (engl: Cooperative Intelligent Transport Systems), kurz C-ITS genannt.

In der Automobilindustrie beschäftigen sich viele Hersteller (OEMs) schon seit Jahren mit dem Aufbau und Betrieb der dafür notwendigen CA-Systeme ebenso wie die großen Zulieferer (Tier 1). Im IoT Kontext wird das für alle Hersteller vernetzter Produkte relevant.

Unabhängig davon für welches Betriebsmodell sich Unternehmen entscheiden, secunet unterstützt bei der Umsetzung der optimalen Lösung.