Wirkungsvoller Schutz für Codesys

Dipl.-Ing. Oliver Winzenried ist Vorstand der Wibu-Systems AG und Vorsitzender des Vorstands der VDMA-Arbeitsgemeinschaft Produkt- und Know-how-Schutz www.wibu.com

CodeMeter erlaubt es den Herstellern von Automatisierungslösungen, ihre nach IEC- 61131-3 entwickelten Applikationen ohne Programmieraufwand und nachhaltig vor Produktpiraterie zu schützen. Das Schutzkonzept heißt Codesys Security, wurde vollständig in Codesys integriert und umfasst folgende Funktionen:

Codesys Security unterstützt Automatisierungshersteller beim Schutz des Know-hows gegen unberechtigte Analyse (Reverse-Engineering) und vor unberechtigtem Kopieren oder Übertragen auf andere Steuerungen.

Nachdem die Entwickler ihren Code erzeugt haben, wird dieser verschlüsselt auf den Datenträger der Steuerung übertragen. Der Anwender kann jetzt die geschützte SPS-Anwendung nur mit einer passenden Lizenz nutzen, die auf der Schutzhardware Cm-Dongle von CodeMeter gespeichert ist. Im Innern des CmDongles ist eine Smart-Card-basierte Sicherheitskomponente enthalten, die für die unterschiedlichen Schnittstellen wie USB, SD, MicroSD oder CompactFlash eingesetzt wird. Die CmDongle bieten gute EMV-Eigenschaften, sind auch bei extremen Temperaturen einsetzbar und damit für den harten Fabrikalltag geeignet. Des Weiteren können sie leicht in bestehenden Systeme nachgerüstet werden. Der Schutz basiert auf harter Verschlüsselung mit anerkannten Algorithmen wie AES, ECC und RSA.

Seitens des Anwenders erfolgt die Entschlüsselung automatisch über die Codesys-Run- time im Speicher der Steuerung, was nur mit passender Lizenz im CmDongle möglich ist. Eine statische Analyse durch Disassemblieren und Dekomplimieren ist nicht möglich. Auf diese Weise hat ein möglicher Angreifer keinerlei Zugriff auf die SPS-Anwendung, sodass diese vor unberechtigter Vervielfältigung und Reverse-Engineering geschützt ist.

Grundsätzlich durchläuft eine SPS-Anwendung während ihrer Entwicklung zwei Stufen. Zuerst wird der Source-Code auf einem Entwicklungsrechner mit Codesys kompiliert. Im zweiten Schritt wird eine Bootapplikation mit dem lauffähigen Code erstellt und über ein Gateway an die SPS übertragen. Angreifer können versuchen, den erstellten Code auf dem Entwicklungsrechner oder auf der Steuerung auszulesen, zu kopieren oder zu manipulieren. Hier greift die CodeMeter-Technologie, denn das Verschlüsselungstool AxProtector, das in Codesys integriert wurde, legt eine Verschlüsselungsschale um die SPS-Anwendung.

Sobald Codesys gestartet ist, werden die Eigenschaften für die Verschlüsselung der SPS-Anwendung über die rechte Maustaste beim Listeneintrag „Application“ im Gerätefenster aufgerufen. Es öffnet sich anschließend ein Dialog, bei dem im Registerblatt „Optionen Applikationserzeugung“ die Parameter für den CmDongle, der für das SPS-Zielsystem verwendet werden soll, eingegeben werden können. Aufgrund der Integration von CodeMeter stehen dem Entwickler zwei Verschlüsselungsoptionen zur Verfügung.

Diese Verschlüsselung verwendet einen vorprogrammierten Codesys Security Key, den der Automatisierungshersteller direkt von 3S-Smart Software Solutions GmbH kaufen kann. Später bekommt der Käufer der SPS-Anwendung vom Hersteller den Berechtigungs-Key in Form eines CmDongles zusammen mit der verschlüsselten Software. Dieser CmDongle enthält bereits einen weltweit eindeutigen, individuellen Schlüssel, der in Firm Code und Product Code abgespeichert ist. Der Product Code muss in das entsprechende Eingabefeld übernommen werden. Ist die Steuerung bereits im Netzwerk verfügbar, so kann der Product Code auch direkt über den Button „Lade vom Zielgerät …“ von dem dort angeschlossenen CmDongle ausgelesen werden.

Für Hersteller, die einen flexibleren Schutz benötigen, wurde die Verschlüsselung mit Lizenzmanagement entwickelt. Hier erstellt der Hersteller der SPS-Anwendung selbst die benötigten Lizenzen und verwaltet sie auch. Seine leeren CmDongles bekommt er unprogrammiert direkt von Wibu-Systems. Über einen Master-Dongle, die sogenannte Firm Security Box FSB, programmiert er selbst die gewünschten Parameter wie Product Code und weitere Optionen, wie beispielsweise einen Zähler oder ein Verfallsdatum. Der AxProtector führt den Entwickler vor der Verschlüsselung durch die verschiedenen Eingabeparameter. Während bei der einfachen Verschlüsselung jedes Gerät eine individuelle Anwendung erhält, kann der Hersteller hier eine Serienproduktion mit beispielsweise 100 identischen Steuerungen realisieren. Die Lizenzen werden hier also funktionsspezifisch vergeben anstelle spezifisch für eine Steuerung. Vorteil dabei ist, dass jeder Kunde die in Serie produzierte Maschine mit der identischen Steuerung bekommt und nur über die Lizenz im CmDongle festgelegt wird, welche Funktionen der Kunde nutzen kann.

Der Hersteller benötigt die Codesys Entwicklungsumgebung ab Version 3.5. Über die Kommunikationseinstellungen bei der Anwendung wird die Steuerung oder die Emulation der Steuerung, die auf dem Entwicklungs-PC laufen kann, über das Netzwerk eingebunden. Dabei muss sichergestellt sein, dass der zur Verschlüsselung der Software notwendige Entwicklerdongle auf dem PC verfügbar ist. Jetzt sind alle Voraussetzungen erfüllt, um die SPS-Anwendung erfolgreich zu verschlüsseln und auf die Steuerung zu übertragen. Dort wird die verschlüsselte SPS-Anwendung von der Codesys-Runtime geprüft und, wenn der CmDongle mit passender Lizenz an der SPS angeschlossen ist, für den Betrieb entschlüsselt. Diese Prüfung wird bei Start der SPS-Anwendung einmalig durchgeführt, sodass das Echtzeit- und Laufzeitverhalten nicht verändert wird. Zusätzlich können im Programmcode auch Funktionsaufrufe zum Abfragen von Lizenzen oder Ver- und Entschlüsseln von Daten eingebunden werden.

Auch 3S-Smart Software Solutions nutzt CodeMeter für ihre Zwecke. Mit dem Entwicklerdongle werden Zusatzfunktionen der Entwicklungsumgebung lizenziert. Die Lizenzen können online im Codesys-Shop im Internet erworben werden. Weiterhin können Anwender ihre Projekte in der Entwicklungsumgebung verschlüsseln und somit den Quell-code gegen unbefugte Benutzung sichern. Der Entwicklerdongle wird hier anstelle von Benutzername und Kennwort zu einer sicheren Authentifizierung des Entwicklers genutzt. ge