Inhaltsverzeichnis
Werbung
Zertifikate und Schlüssel
• Im Gerät ist ein voreingestelltes SSL/TLS (RSA)-Zertifikat mit Schlüssellänge 2048
Bit vorhanden. Ersetzen Sie dieses Zertifikat durch ein selbst erstelltes höherwertiges
Zertifikat mit Schlüssel. Verwenden Sie ein Zertifikat, das entweder durch eine
zuverlässige externe oder interne Zertifizierungsstelle signiert ist. Sie können das
Zertifikat über das WBM ("System > Laden und Speichern") installieren.
• Verwenden Sie Zertifikate mit einer Schlüssellänge von 4096 Bit.
• Nutzen Sie eine Zertifizierungsstelle inklusive Schlüsselwiderruf und -verwaltung, um
die Zertifikate zu signieren.
• Stellen Sie sicher, dass benutzerdefinierte private Schlüssel geschützt und
unzugänglich für unbefugte Personen sind.
• Ändern Sie bei Verdacht auf eine Sicherheitsverletzung sofort alle Zertifikate und
Schlüssel.
• Verwenden Sie passwortgeschützte Zertifikate im Format "PKCS #12".
• Verifizieren Sie Zertifikate anhand des Fingerprints auf Server- und Clientseite, um
"Man-in-the-middle"-Angriffe zu verhindern. Verwenden Sie hierzu einen zweiten,
sicheren Übertragungsweg.
• Bevor Sie das Gerät zur Reparatur an Siemens zurückschicken, ersetzen Sie die
aktuellen Zertifikate und Schlüssel durch temporäre Wegwerfzertifikate und -
schlüssel, die bei der Rückkehr des Geräts zerstört werden können.
Physischer/ Remote-Zugriff
• Betreiben Sie die Geräte nur in einem geschützten Netzwerkbereich. Angreifer
können von Außen nicht auf interne Daten zugreifen, wenn das interne und externe
Netzwerk voneinander getrennt sind.
• Beschränken Sie den physischen Zugang auf das Gerät ausschließlich auf
vertrauenswürdiges Personal.
Die Speicherkarte bzw. der PLUG (C-PLUG, KEY-PLUG, CLP) enthalten sensible
Daten, wie Zertifikate und Schlüssel, die ausgelesen und verändert werden können.
Ein Angreifer, der im Besitz der Wechselmedien des Geräts ist, könnte kritische
Informationen wie Zertifikate, Schlüssel usw. extrahieren oder die Medien neu
programmieren.
• Sperren Sie ungenutzte physische Ports auf dem Gerät. Ungenutzte Ports können
verwendet werden, um unerlaubt auf die Anlage zuzugreifen.
• Verwenden Sie für die Kommunikation über nicht sichere Netzwerke zusätzliche
Geräte mit VPN-Funktionalität, um die Kommunikation zu verschlüsseln und zu
authentifizieren.
• Wenn Sie eine sichere Verbindung zu einem Server (beispielsweise für ein sicheres
Upgrade) herstellen, achten Sie darauf, dass serverseitig starke
Verschlüsselungsverfahren und Protokolle konfiguriert sind.
• Beenden Sie Managementverbindungen (z.B. HTTP, HTTPS, SSH) ordnungsgemäß.
SCALANCE W788-x / W748-1
Betriebsanleitung, 03/2022, A5E03678333-17
Security-Empfehlungen
13
Werbung
Inhaltsverzeichnis
