Industry 4.0, questo il nome della prossima rivoluzione industriale, ampiamente annunciata e basata sulla cosiddetta "Internet degli oggetti", renderà ancora più sentita la necessità di reti industriali aperte e veloci. Molti produttori sono tuttavia riluttanti a collegare i propri impianti di produzione a linee esterne, e ancor meno a servizi basati su cloud, per timore della possibilità che eventuali attacchi di pirati informatici e malware paralizzino la produzione. Esiste tuttavia una rete industriale che assicura una velocità elevata e un’apertura senza compromessi, con un’architettura che previene le intrusioni senza dover ricorrere a misure di sicurezza esterne. Si tratta di POWERLINK.
Trent’anni fa, i virus erano organismi microscopici che causavano malattie, il cavallo di Troia era un dono dell’antica mitologia greca e la parola “malware”, o programma malevolo, non era neppure stata inventata. Da allora la protezione informatica, o cibersicurezza, è diventata una delle maggiori preoccupazioni delle aziende di tutto il mondo. La paura dei pirati informatici, inoltre, non è più confinata agli ambienti di ufficio, dove ormai da anni creano scompiglio e causano notevoli danni.
Benché i vantaggi di una maggiore efficienza siano evidenti, le aziende sono state riluttanti a collegare a Internet il proprio hardware di automazione di impianti e macchinari, basato su PC, per poter usufruire di servizi remoti di azionamento, diagnostica, manutenzione, aggiornamento e altro ancora. “Tale atteggiamento è comprensibile, dato che qualunque arresto di un macchinario di produzione causa delle perdite," afferma Stefan Schönegger, direttore generale dell’EPSG (Ethernet POWERLINK Standardization Group). “Per i produttori che operano in ambienti altamente competitivi, il fatto che dati di produzione riservati possano finire nelle mani di estranei non è un problema con cui sia possibile venire facilmente a patti.”
Una questione di protocollo
La sicurezza di ICS e SCADA è un problema sentito ormai da oltre un decennio, ma è stata oggetto di ulteriori analisi dopo la scoperta dei virus Stuxnet nel 2010, DuQu nel 2011 e Shamoon nel 2012, tutti mirati specificamente ai sistemi di controllo industriali. Lo scorso ottobre, l’archivio degli incidenti di sicurezza industriale (RISI, Repository for Industrial Security Incidents) ha pubblicato il rapporto annuale 2013 sugli incidenti di sicurezza informatica industriale e sulle tendenze che penalizzano i sistemi di controllo industriali. Questo rapporto contiene un’analisi approfondita di 240 incidenti registrati nel database RISI fra il 2001 e il 2012, nonché i risultati e le analisi in dettaglio del secondo sondaggio annuale RISI dei valori di riferimento per la sicurezza dei sistemi di controllo (RISI Control System Security Benchmark Survey). Tale sondaggio evidenzia che il 33% di tutti gli incidenti di sicurezza ICS si è verificato tramite accesso remoto e rileva come in anni recenti si sia registrato un notevole aumento del numero di incidenti di cibersicurezza, pari a oltre il 150 percento in alcuni settori.
Pirati informatici e malware riescono ad accedere a specifici computer tramite Internet, utilizzandone gli esclusivi indirizzi IP. Poiché tale schema di indirizzamento viene utilizzato dai protocolli di comunicazione TCP e UDP, i più diffusi anche per le reti LAN, coloro che sferrano un attacco vengono condotti direttamente ai singoli elementi hardware delle reti interne anche quando i medesimi non sono collegati direttamente al mondo esterno.
I collegamenti dei dispositivi hardware presenti nei macchinari di produzione avvengono tramite bus di campo o, in misura crescente, tramite una delle varie implementazioni di Ethernet industriale attualmente disponibili. I vari standard presentano notevoli differenze dal punto di vista delle modalità di indirizzamento dei nodi e di instradamento dei dati. Alcuni continuano a utilizzare il protocollo TCP/IP senza alcuna variazione. Pertanto, i produttori di sistemi di automazione e i fornitori di hardware IT industriale che supportano tali standard affrontano il problema offrendo vari schemi di protezione: questi prevedono l’introduzione di dispositivi firewall industriali a protezione delle reti Ethernet presenti al livello produzione.
Firewall integrato
Altri protocolli di tipo Ethernet industriale, e specificamente quelli che coprono i requisiti di real-time spinto, si affidano a modelli di comunicazione master-slave per la maggior parte dei trasferimenti di dati, e ricorrono ai livelli di comunicazione TCP/IP unicamente per l’instradamento delle normali comunicazioni Ethernet all’interno del sistema. Alcuni di tali modelli si servono di livelli non standard, che prestano tuttavia il fianco a possibili problemi futuri di compatibilità. Esistono tuttavia protocolli per reti Ethernet industriali che, oltre a basarsi sui livelli Ethernet certificati a norma IEEE 802.3 senza alcuna modifica, sfruttano anche i livelli di comunicazione deterministica per le comunicazioni real-time.
POWERLINK è un esempio rimarchevole di tecnologia dotata di questo tipo di architettura, e combina procedure di timeslot e polling per ottenere trasferimenti di dati isocroni. Gli sviluppatori software possono configurare le modalità con cui il nodo master interroga quelli controllati servendosi di opportuni strumenti di progettazione, anche se ciò non è trasparente per le altre entità presenti in rete. “Il fatto che gli utenti non abbiano assolutamente alcun modo per accedere a tali dettagli di configurazione della rete durante il runtime del sistema elimina la necessità di una protezione specifica contro le eventuali manipolazioni fraudolente del sistema stesso," afferma Schönegger.
Isolamento completo dei dati generali
Ogni ciclo di comunicazione POWERLINK prevede tre fasi. In quella iniziale, il nodo master invia a tutti i nodi controllati un messaggio di sincronizzazione propedeutico allo scambio di dati isocroni che ha luogo nel secondo periodo, che è ciclico. Nella terza fase, quella asincrona, i dati dell’utente e i pacchetti TCP/IP vengono inviati in rete. I router integrati separano in modo sicuro e trasparente i dati real-time da quelli asincroni; se non lo facessero, si creerebbe un rischio per il comportamento real-time dell’intero sistema. Anche se venissero installati direttamente sulla rete, gli eventuali malware rimarrebbero pertanto completamente isolati.
I pirati informatici o i malware penetrati dalle linee esterne non hanno inoltre alcuna possibilità realistica di compromettere una rete POWERLINK, in quanto riuscirebbero a farsi strada soltanto fino all’altro lato del controllore che funge da nodo di gestione della rete stessa. Poiché occorre impedire che gli eventuali attacchi si propaghino in una rete industriale tramite i livelli di comunicazione TCP/IP, è saggio proteggere semplicemente le linee esterne con un opportuno firewall dal lato non POWERLINK dei router. Tuttavia, i livelli di comunicazione real-time di POWERLINK dispongono di una protezione intrinseca e non necessitano di tali precauzioni.
Velocità, disponibilità e sicurezza elevate
POWERLINK deve molto del suo impareggiabile livello di sicurezza al fatto di essere un software open-source. Il codice sorgente dello stack e tutte le sue eventuali modifiche sono oggetto di frequenti revisioni da parte della comunità. Oltre a prevenire eventuali problemi di sicurezza, che vengono scoperti ed eliminati molto prima di poter causare danni, ciò assicura anche una protezione efficace contro gli attacchi che si verificano tramite backdoor nascosti.
“Poiché le fasi iniziali di Industry 4.0 si affidano alla cosiddetta “Internet degli oggetti” per un’efficienza avanzata e sostenibile, gli impianti necessitano di meccanismi di comunicazione industriale che oltre ad essere veloci e aperti devono assicurare anche un’elevata disponibilità," afferma Schönegger. “POWERLINK soddisfa tutti i criteri di velocità elevata a prescindere dalle dimensioni della rete, di apertura totale e completa, di elevata tolleranza alle interferenze elettriche, di ridondanza a livello di linee e nodi master e di quella sicurezza intrinseca capace di bloccare gli attacchi sul nascere."
La specifica di POWERLINK è disponibile all’indirizzo www.ethernet-powerlink.org.
Lo stack di openPOWERLINK è disponibile all’indirizzo sourceforge.net/projects/openpowerlink.
Nota: questo portale non è legato alle aziende e ai prodotti che vengono presentati da alcun rapporto di natura commerciale
