Zertifikate Und Schlüssel - Siemens SIMATIC NET SCALANCE X-200 Betriebsanleitung

• Wenn die Benutzerauthentifizierung über RADIUS ausgeführt wird, stellen Sie sicher, dass
sämtliche Kommunikation innerhalb des Sicherheitsumfelds erfolgt oder durch einen
sicheren Kanal geschützt wird.
• Achten Sie auf Link-Layer-Protokolle, die keine eigene Authentifizierung zwischen den
Endpunkten bieten, wie ARP oder IPv4. Ein Angreifer könnte Schwachstellen in diesen
Protokollen ausnutzen, um mit Ihrem Layer-2-Netzwerk verbundene Hosts, Switches und
Router anzugreifen, zum Beispiel durch Manipulation (Poisoning) der ARP-Caches von
Systemen im Subnetz und anschließendem Abfangen des Datenverkehrs. Gegen nicht
sichere Layer-2-Protokolle sind angemessene Sicherheitsvorkehrungen zu ergreifen, um
unbefugten Zugriff auf das Netzwerk zu verhindern. Unter anderem kann der physische
Zugriff auf das lokale Netzwerk gesichert oder es können sichere höherschichtige Protokolle
verwendet werden.
Zertifikate und Schlüssel
• Ab Firmware-Version V5.2.5 wurde von RSA-Zertifikaten auf Zertifikate für Elliptische-
Kurven-Kryptografie ("ECDSA-Zertifikate") umgestellt. Verwenden Sie nur ECDSA-Zertifikate
im PEM-Format, die mit den folgenden Kurven erzeugt wurden:
– secp256r1 (NIST P-256)
– secp384r1 (NIST P-384)
– secp521r1 (NIST P-521)
RSA-Zertifikate werden ab dieser Firmware-Version nicht mehr unterstützt. Die auf dem
Gerät vorhandenen RSA-Zertifikate werden automatisch durch selbstsignierte ECDSA-
Zertifikate ersetzt.
• Im Gerät ist ein voreingestelltes SSL-Zertifikat mit der Schlüssellänge 256 Bit für die
Elliptische-Kurven-Kryptografie vorhanden. Ersetzen Sie dieses Zertifikat durch ein selbst
erstelltes Zertifikat mit Schlüssel. Es wird empfohlen, ein Zertifikat zu verwenden, das
entweder durch eine zuverlässige externe oder interne Zertifizierungsstelle signiert ist.
• Nutzen Sie eine Zertifizierungsstelle inklusive Schlüsselwiderruf und -verwaltung, um
Zertifikate zu signieren.
• Stellen Sie sicher, dass benutzerdefinierte private Schlüssel geschützt und unzugänglich für
unbefugte Personen sind.
• Verifizieren Sie Zertifikate und Fingerprints auf Server- und Clientseite, um "Man-in-the-
middle"-Angriffe zu verhindern.
• Ändern Sie Zertifikate und Schlüssel umgehend, wenn der Verdacht auf Kompromittierung
besteht.
SCALANCE X-200
Betriebsanleitung, 11/2021, C79000-G8900-C284-15
Empfehlungen zur Netzwerksicherheit
15