Netzwerksicherheit - hager hw+ Benutzerhandbuch

Modbus-Kommunikation mit einem Leistungsschalter hw+

2.4 Netzwerksicherheit

Je nach Cybersicherheitsebene des gewählten IP-Netzwerks, das an dem Standort
eingesetzt wird, an dem der Leistungsschalter hw+ installiert ist, kann es notwendig sein, die
Zugangssicherheit des sentinel Energy-Servers (Modbus-TCP-Kommunikationsmodul) zu
erhöhen.
TLS oder Transport Layer Security, früher SSL genannt, ist eine Technologie zur Absicherung
der Internetverbindung und zum Schutz sensibler Daten, die zwischen zwei Teilnehmer
übertragen werden. Sie verhindert, dass Cyberkriminelle die übertragenen Informationen,
einschließlich möglicher personenbezogener Informationen, lesen und verändern können.
Die beiden Teilnehmer sind hier der sentinel Energy-Server und ein Client, z. B. ein SCADA
System.
Das Modbus-TCP-Kommunikationsmodul bietet die Möglichkeit, zwischen drei
Sicherheitsebenen für den Netzwerkzugriff auf das Modbus-TCP-Kommunikationsmodul zu
wählen:
- ungesicherter Modbus (ohne TLS, ohne Authentifizierung)
- einfach gesicherter Modbus (mit TLS, ohne Authentifizierung)
- gesicherter Modbus (mit TLS und gegenseitiger Authentifizierung)
Die TLS-Technologie bietet zwei Schutzmöglichkeiten:
Datenverschlüsselung: Mit der Datenverschlüsselung wird der Datenaustausch zwischen
zwei Teilnehmer für Dritte nicht mehr lesbar.
Authentifizierung der Teilnehmer: Jeder Teilnehmer erhält einen öffentlichen Schlüssel für
ein Zertifikat nach dem X.509-Standard. Dieser Schlüssel dient jedem Teilnehmer dazu, den
anderen Teilnehmern zu beweisen, dass er vertrauenswürdig ist.
Ungesicherter Modbus
Das Kommunikationsmodul wird werkseitig im ungesicherten Modbus-Modus ausgeliefert,
das heisst TLS ist deaktiviert.
Einfach gesicherter Modbus
Die TLS-Datenverschlüsselung ist aktiviert, aber ohne gegenseitige Authentifizierung.
Vollständig gesicherter Modbus
Die gegenseitige Authentifizierung wird zusätzlich zur Aktivierung der TLS-Verschlüsselung
aktiviert. Der Client übermittelt seine Identität an den Server, während der Server die Identität
des Clients überprüft. Der Server macht genau das Gleiche, d. h. er übermittelt seine Identität
an den Client, während der Client die Identität des Servers überprüft.
13
6LE007965A