Know-How- und Integritätsschutz

durch Kryptographie (Grundlagen

und Anwendungsbeispiele)

Günther Fischer | Consulting

WIBU SYSTEMS AG

Guenther.Fischer@wibu.com

Schutz und Sicherheit für

vernetzte Embedded-Systeme

1

1989...2014: 25 Jahre Innovation und Kontinuität

WIBU-SYSTEMS AG 1989 gegründet von Oliver Winzenried

und Marcellus Buchheit

Hauptsitz in Karlsruhe, Deutschland

Fokus auf Protection, Licensing und Security

Zahlreiche internationale Patente

ISO 9001:2008 zertifiziert

WIBU-SYSTEMS Weltweit Tochtergesellschaften in USA – China – Frankreich –

Belgien – Niederlande – Portugal – Spanien – UK – Irland

Exclusive Distributionspartner in Russland – Japan –

Korea …

Mehr als 100 Mitarbeiter

Weltweiter Marktführer bei Embedded Systemen

2 2

Einleitung

3

Ausgangssituation

Bedrohungsszenarien für Hersteller

Bedrohungsszenarien für Betreiber

Embedded Systeme

98% der Prozessoren sind in Embedded Systeme eingebaut

KFZ, Maschinenanlagen, sonstigen Geräten

Cyber Physical Systems = vernetzte Embedded Systeme in kritischen Infrastrukturen, Metropolitan Solutions und Smart Grids (M2M, Internet of Things, Internet of Everything, Industrie 4.0, Industrial Internet)

Immer mehr Know-how und Funktionalität steckt in der Embedded Software

7,9 Mrd. € Verluste im Jahr 2013 durch Plagiate im Deutschen Maschinen und Anlagenbau

(Quelle VDMA Studie Produktpiraterie,2014 http://pks.vdma.org/article/-/articleview/3616439)

4

VDMA-Studie Produktpiraterie 2014

5

Akute Bedrohungsszenarien

FAZ 31.03.2014: Computerkriminalität profitabler als Drogenhandel

Spionage: NSA, Prism, Tempora, …

Cyber Attacks: Stuxnet, Duqu,

Flame, …

Industriespionage

Quelle:

http://www.faz.net/aktuell/wirtschaft/netzwirtschaft/computerkri

minalitaet-profitabler-als-drogenhandel-12871348.html

6

Bedrohungsszenarien für Hersteller und Betreiber

7

Betreiber

Manipulation

Sabotage

Geheimdienste / Unzufriedene Mitarbeiter

Geistiges Eigentum

Rezepte / Betriebsparameter / Schnittmuster

Produktions-Daten

Maschinentagebuch

Produktionsmengen

Nicht autorisierter Zugang zur Maschine

Servicefall

Betrieb / Operator

Hersteller

Nachbau einer Maschine

Nachahmen einer Maschine

Extraktion von geistigem Eigentum

Manipulation (Gewährleistung)

Nicht autorisierte Updates

Veränderung des Betriebsstundenzähler

Veränderung des Fahrten-/Flugschreibers

Nicht autorisierter Zugriff auf Service

Dokumente

Nicht autorisierter Zugriff auf Quellcode

Anwendungsbeispiel

8

Anwendungsbeispiel

ZSK Stickmaschinen

Schutz der Embedded Software

Know-How Schutz

Schutz vor Nachbau der Maschine und “Vervielfältigen”

von Funktionen

Datenschutz im Produktionsprozess

Verhindern von Produktionen für den Graumarkt

Schutz der Maschinenakte

Serviceunterlagen, Service-Aufzeichnungen, Lebensdauermanagement

(Ersatzteile, Wartung,…)

9

ZSK Logistikkette

10

Die kryptographischen

Werkzeuge

Symmetrische Kryptographie

Asymmetrische Kryptographie

Secure Hash Funktionen und Zertifikate

11

Symmetrische Verschlüsselung

12 12

Ein “gemeinsames Geheimnis”

Der gleiche Schlüssel auf beiden Seiten

Verschlüsselung

Entschlüsselung

Vorteil:

Schnell (im Vergleich zu asymmetrischen Verfahren)

Nachteil:

Schlüssel Verteilung

Schlüssel Speicherung

Verwendung im Softwareschutz

Verschlüsseln von Daten oder Code vor der Auslieferung

Übermittlung des Schlüssels an den Kunden (in einem Dongle oder in einer

Lizenzdatei)

Entschlüsseln der Daten oder des Codes und Verwendung zur Laufzeit

Verwendung von verschiedenen Schlüsseln für verschiedene (extra

lizenzierbare) Funktionen

13

Asymmetrische Verschlüsselung

Ein Schlüssel Paar

Private Key (Privater Schlüssel)

Public Key (Öffentlicher Schlüssel)

Asymmetric Encryption

Absender verwendet den Public Key des Empfängers zum Verschlüsseln

Empfänger verwendet seinen Private Key zum Entschlüsseln

Signaturen

Absender verwendet seinen Private Key um die Klartextdaten zu Signieren

Empfänger verwendet den Public Key des Absenders um die Klartextdaten zu verifizieren

14 14

Secure Hash Funktionen

Erzeugen eines Fingerabdrucks der Daten

Große Datenvolumen werden auf einen kleinen

Fingerabdruck abgebildet z.B. SHA-256 in 32 Byte

Werden oft in Kombination mit Signaturen eingesetzt

Hashwert erstellen

Hashwert mit Private Key

authentifizieren (signieren)

Hashwert mit Public Key verifizieren

15 15

Zertifikate

Anforderung:

Public Key muss authentisch sein (unverfälscht)

Lösung:

Vertrauenswürdige Partei: Certificate Authority (CA)

CA signiert Public Key einschliesslich zusätzlicher Referenzinformationen

Public Key der CA (Root Public Key) wird verwendet um das Zertifikat zu verifizieren

Public Key des Zertifikats wird nur verwendet, wenn das Zertifikat gültig ist

Referenzinformationen verifizieren und nutzen

Optional: Einsatz einer Zertifikatskette möglich

16 16

.NE

T

Sta

ndar

d

Fam

ewor

k

Java

SE

Java

EE

Em

bedd

ed

Ope

ratin

g

Sys

tem

s

OS

X

Win

dow

s

Des

ktop

Linu

x

Protection Suite

17

Autorisierung von Software

(Secure Loader)

Individuelle

Methodenverschlüsselung

Integritätsschutz

(Tamper Protection)

Automatischer Schutz

(IP Protection)

ExP

rote

ctor

AxP

rote

ctor

.NE

T

AxP

rote

ctor

Java

WIBU-SYSTEMS Protection Suite

AxProtector

IxProtector

AxProtector – Ungeschütztes Anwendung

18

.Net (und

Java) Code

kann einfach

dekompiliert

werden

Die Lösung

Verschlüsselung des ausführbaren Codes vor der Auslieferung

Entschlüsselung der benötigten

Methoden zur Laufzeit im Speicher

19

Verschlüsselung Ungeschützte

Anwendung

Entschlüsselung

AxEngine

AxEngine

AxProtector – Schutzprozess

20

Pro

tect

ed A

ssem

bly

Com

pile

d A

ssem

bly

Header

Original Code

Header

Stub Code (Ohne Intellectual

Properties)

AxEngine (Security Engine)

Encrypted Code (Original Code mit

Intellectual Properties)

AxProtector

Definition

von Lizenzen und

Modulen Hat die gleiche

Struktur wie

das Original

AxProtector– Geschützte Anwendung

21

Code in jetzt

verschlüsselt!

CodeMeter in modernen Entwicklungsumgebungen

22

Integration in

Entwicklungstools: Essentiell für einfache Nutzung

Komplexe Schutzmechanismen

Unterstützung von Standards

Wind River VxWorks Eclipse Workbench Integration

23

Lizenzierung:

Kopierschutz

Know-how-Schutz

Pay-Per-Use

Feature-on-Demand

Code Signing: Integritäts-/

Manipulationsschutz

Berechtigungen

Security

Wind River VxWorks Secure Boot Prozess

24

BIOS

Firmware

Master Boot

Record

Modified

VxWorks Loader

Modified

DKM/RTP Loader

laden

laden

prüfen

entschlüsseln

laden

prüfen

entschlüsseln

laden

VxWorks VIP =

VxWorks Kernel

(may already hold protected DKM)

VxWorks DKM

VxWorks RTP

VxWorks

CODESYS IEC61131 Entwicklungssystem

25

Ausgangssituation

CODESYS IEC61131 Entwicklungssystem

26

Quelle: 3S Smart Software Solutions

CODESYS IEC61131 Entwicklungssystem

27

Einfache Einstellung

Konfiguration Codeerzeugung

Automatische Verschlüsselung

Erzeugung für bestimmtes Zielsystem

Verschlüsselung mit Lizenzmanagement

Volle Flexibilität der Lizenzmodelle

Individuelle Funktionensfreischaltung

Für Serienfertigung

CODESYS IEC61131 Entwicklungssystem

28

Integration von CodeMeter

CodeMeter: Banking – Industrial – Gaming und Medical

29

Sicherer Schlüsselspeicher

30

CmDongles

CmActLicenses

Lizenzserver im Netzwerk

CmDongle – Höchste Sicherheit mit integriertem Smart Card Chip

31

CmActLicenses: Reine Softwarelösung mit Bindung ans Gerät

32

Lizenznutzung oder Verteilung aus Netzwerk oder Cloud

33

Eine Lösung für alle Szenarien

Prozessintegration

34

Lizenzerstellung

Lizenzverteilung

Flexible Lizenzierungsmodelle für Lizenzgeber

Single User

Network

Feature On Demand

Perpetual

Trial version

Rent / Leasing / Subscription

Pay-Per-Use

Maintenance period

Downgrade

Grace Period

Volume

Version

Standby

High Availability

Overflow

Borrowing

Name/PC

Time zone

Wettbewerbsvorteil

Alle Bauformen

und CmActLicenses

unterstützen alle

Lizenzmodelle!

35

CodeMeter License Central

36

Business Logic

(java/tomcat)

User Interface

(php/httpd)

Your Server /

VMware image ERP

CRM

Database FSB

Webdepot

Gateway

Connector eCommerce

CRM

(Sales Force)

Activation

Wizard

Browser

Connector

Webserver

in DMZ

C

C

Database

Customized

Application

G

C

Rec

hen

zen

tru

m

Inte

rnet

License Central: Integration in bestehende Systeme

37

BI

Portal

SAP

CRM

LC

An

bie

ter

Use

r

Cloud

CodeMeter License Central Internet

38

Ticket / Lizenzanforderung

4

Ticket:

ABCDE-FGHIJ-KLMNO-PQRST-UVWXY

3

Lizenzupdate

5

Ticket

2

Artikel

1

25 Jahre Innovation und Investitionsschutz

1989 2014 2003 2009

WibuKey

Backwards

compatible

2014 to 1989

WibuKey

From DOS to

Windows 8.1 (32/64 Bit),

MacOS X, Linux 2.6.38

Automatic (“Envelope”) Protection

MS-DOS

Windows 16-bit Windows 32-bit

MacOS

Windows DLL

Linux 32-bit

Java

Linux 64-bit

Windows 64-bit VxWorks

AxProtector/IxProtector

.NET Windows CE

License Central

web services based license management

and reporting

CodeMeter

CmAct

license

CmAct CmStick/M

Memory

Stick

CmCard CmStick/C

.NET Mixed Mode

CmCompact

HID

CoDeSys

Embedded OS support ExProtector

39

40

Deutscher IT-Sicherheitspreis

http://www.heise.de/newsticker/meldung/Deutscher-IT-Sicherheitspreis-fuer-Karlsruher-Forscher-2432130.html

Vielen Dank für Ihre

Aufmerksamkeit!

WIBU-SYSTEMS

Germany +49-721-93172-0

USA +1-425-775-6900

China +86-21-55661790

www.wibu.com | info@wibu.com

41