Sicherheitslücken in Industrie-IT gefunden

Studierende der FH St. Pölten fanden Sicherheitslücken in industrieller IoT-Hardware. [...]

Studierende des Masterstudiums Information Security der FH St. Pölten haben im Zuge einer Lehrveranstaltung, gemeinsam mit dem Unternehmen CyberDanube Sicherheitslücken in industriellen IoT-Geräten (Internet of Things) aufgedeckt. Die Herstellerfirmen wurden informiert und haben die Lücken behoben.

Um die Lehre praxisnah zu gestalten, suchen Studierende der Studiengänge für IT-Sicherheit an der FH St. Pölten regelmäßig nach Schwachstellen in IT-Komponenten. Im vergangenen Sommersemester war Firmware von vernetzten Industrie-Geräten im Industrial Internet of Things (IIoT) an der Reihe.

„Ziel der Übung war es, bereits bekannte Schwachstellen, selbst aufzufinden und entsprechend zu dokumentieren. Neben den bereits bekannten Schwachstellen haben die Studierenden aber auch neue, noch nicht bekannte, sogenannte Zero-Day-Schwachstellen in den Geräten gefunden. Das ist für Studierende eine tolle Erfahrung und ein beachtlicher Erfolg“, sagt Studiengangsleiter Christoph Lang-Muhr.

Echte Geräte und digitale Zwillinge

Die analysierten Geräte gehören zur Kategorie der industriellen Kommunikationslösungen und dienen dazu, eine zuverlässige und sichere Datenübertragung in industriellen Umgebungen zu ermöglichen. Da die Studierenden keine physischen Geräte zur Verfügung hatten, arbeiteten die Studierenden auf sogenannten „digital twins“, d.h. virtuelle Replikationen von den vernetzten Geräten.

Die Geräte sind von branchebekannten Anbietern. „Phoenix Contact“ und „Advantech“ sind beide führende Unternehmen im Bereich Industrial Internet of Things, kurz IIoT.

Vorgetragen und koordiniert hat die Lehrveranstaltung das IT-Sicherheitsunternehmen CyberDanube, das auch die Lösung MEDUSA, d.h. die Technik & Infrastruktur für die digitalen Zwillinge bereitstellte.

CyberDanube ist eine von zwei CNAs (CVE Numbering Authority) in Österreich und damit autorisiert, weltweit anerkannte Schwachstellennummern, sogenannte CVEs, zu vergeben.

„Es war für uns eine sehr spannende Erfahrung, mit besonders motivierten Studierenden in diesem Bereich der Cyber Security zusammen zu arbeiten. Auch wir können relevante Erkenntnisse und dadurch gewonnene Erfahrungswerte weiter in unsere Plattform einarbeiten“, sagt einer der Gründer von CyberDanube, Mario-Valentin Trompeter.

„Diese erfolgreich gefundenen Schwachstellen zeigen die Relevanz der Forschung in diesem Bereich und die praxisnahe Arbeit und Ausbildung der Studierenden an der FH St. Pölten“, sagt Lang-Muhr.