Informationstechnologie (IT) wird zunehmend zur Einführung neuer Funktionalitäten und zur Steigerung der Prozesseffizienz in Bahnanlagen genutzt. Infolge der Digitalisierung der Bahninfrastruktur und der Ablösung proprietärer Netzwerkinfrastrukturen durch IP-basierte Netzwerke steigt jedoch auch das Risiko von Cyberangriffen und es werden neue Anforderungen an die IT-Sicherheit gestellt. Da die Bahnanlagen Bestandteil der kritischen Infrastrukturen sind und durch das IT-Sicherheitsgesetz stark reguliert werden, müssen passende Sicherheitslösungen entwickelt werden. Ziel des Forschungsprojekts HASELNUSS ist die Entwicklung einer hardwarebasierten Sicherheitsplattform für Leit- und Sicherungstechnik, die an die speziellen Anforderungen der Bahn angepasst ist und notwendige IT-Sicherheitsfunktionen bereitstellt, ohne dabei die funktionale Sicherheit zu beeinflussen. Die Plattform bietet Maßnahmen zur Sicherstellung der Systemintegrität und dient als Basis für eine sichere Vernetzung der Bahninfrastruktur. Sie umfasst Dienste für sicheres Patch- und Update-Management, Health Monitoring, Anomalie- und Angriffserkennung sowie Maßnahmen gegen Seitenkanalattacken. Die entwickelte Sicherheitsplattform soll im Laufe des Projekts in Demonstratoren umgesetzt werden.

Weitere Informationen: https://haselnuss-projekt.de/

Gefördert von: BMBF

CIPSEC - Enhancing Critical Infrastructure Protection with innovative SECurity framework (2016-2019)

Mehr Sicherheit für kritische Infrastrukturen durch einen innovativen Sicherheitsrahmen

Im Laufe der vergangenen Jahre sind die meisten kritischen Infrastrukturen (KRITIS) weltweit flexibler und kosteneffizienter geworden, sodass sie heute bessere Leistungen und Bedingungen für Geschäftsmöglichkeiten bieten. Voraussetzung für diese Entwicklung war die Anpassung von KRITIS und KRITIS-Unternehmen an die jüngsten Fortschritte in der Informations- und Kommunikationstechnik (IKT). Diese Anpassung erfolgte jedoch übereilt und ohne eine gründliche Abschätzung der sicherheitsrelevanten Auswirkungen. Folglich sind KRITIS für eine ganze Reihe neuer Bedrohungen und Angriffe anfällig geworden, die ein hohes Risiko für die öffentliche Sicherheit, die Wirtschaft und das Wohl der Bevölkerung darstellen. Der Schutz von KRITIS soll vor allem dadurch gewährleistet werden, dass sie als komplexe Einheiten betrachtet werden, denen eine komplette Sicherheitslösung für ihre gesamten Infrastrukturen und Systeme (IT&OT-Abteilungen) zur Verfügung gestellt wird. Komplettlösungen zum Schutz von KRITIS nutzen jedoch einzelne Produkte individueller Unternehmen. Diese Produkte lassen sich nur in Tools/Lösungen integrieren, die von dem jeweiligen Unternehmen entwickelt wurden. Somit sind die technischen Lösungen begrenzt. CIPSEC will in erster Linie einen einheitlichen Sicherheitsrahmen schaffen, um modernste, heterogene Sicherheitsprodukte aufeinander abzustimmen und so in der IT (Informationstechnologie) und OT (operative Technologie) von KRITIS einen hohen Schutz zu gewährleisten. Als Teil dieses Sicherheitsrahmens wird CIPSEC ein vollständiges Sicherheitsökosystem mit zusätzlichen Dienstleistungen anbieten, die dazu beitragen, dass geplante technische Lösungen zuverlässig und professionell funktionieren. Dazu gehören Schwachstellen-Tests und -Empfehlungen, Schulungen für Schlüsselpersonen, forensische Analysen, öffentlich-private Partnerschaften (ÖPP), Standardisierung und Schutz vor Kaskadeneffekten. Alle Lösungen und Dienstleistungen werden in drei Pilotprojekten in drei verschiedenen CI-Umgebungen (Transport, Gesundheit, Umwelt) validiert. Darüber hinaus wird im Rahmen von CIPSEC eine Marketingstrategie zur optimalen Positionierung der Lösungen im CI-Sicherheitsmarkt entwickelt.

Weitere Informationen: https://www.cipsec.eu/

Erklärendes Video: https://youtu.be/eb02CUfK648

Gefördert von: Europäische Kommission (H2020)

Das Graduiertenkolleg "Privatheit und Vertrauen für mobile Nutzer“ (Privacy and Trust for Mobile Users) wurde im Oktober 2015 ins Leben gerufen. In dem von der Deutschen Forschungsgemeinschaft (DFG) geförderten Graduiertenkolleg arbeiten die Disziplinen Informatik, Rechtswissenschaften, Wirtschaftswissenschaften, Soziologie und Usability eng zusammen. Die mobile Informations- und Kommunikationstechnologie ist durch die Verbreitung von Smartphones und Tablets heute praktisch allgegenwärtig; große Teile der Gesellschaft ziehen Nutzen daraus. Hinsichtlich der Beziehung zwischen Nutzer und Netzwerk wird in der öffentlichen Diskussion die zunehmende Transparenz der Nutzer - im Sinne einer Überwachungsgesellschaft - herausgestellt, während das Netzwerk für immer intransparenter, d.h. undurchschaubarer gehalten wird. Das Graduiertenkolleg will wesentlich dazu beitragen, diese Entwicklung umzukehren: Es soll einen besseren Schutz der Privatsphäre der Nutzer und eine bessere Transparenz, d.h. Einschätzbarkeit des Netzwerkes ermöglichen. Der Schutz der Privatsphäre soll an persönliche Interessen angepasst werden können, gleichzeitig aber auch für Laien überschaubar sein. Gegensätzliche wirtschaftliche oder gesellschaftliche Interessen den Datenschutz betreffend sollen besser miteinander in Einklang gebracht werden.

Gefördert von: DFG

NICER – Networked Infrastructureless Cooperation for Emergency Response (2015-2018)

Krisen, Katastrophen und Großschadensereignisse werden durch Naturgewalt, menschliches oder technisches Versagen sowie Gewalt und Terror ausgelöst. Sie bedrohen Menschenleben, die öffentliche Sicherheit im betroffenen Gebiet und die Wirtschaft überregional. Technische Infrastrukturen werden dabei beschädigt oder fallen aus. Der LOEWE-Schwerpunkt NICER (von Englisch „Networked Infrastructureless Cooperation for Emergency Response“) erforscht, wie infrastrukturlose Informations- und Kommunikationstechnologie im Krisenfall Menschen vernetzen und damit eine Kooperation zur Bewältigung der Krise ermöglichen kann.

Finanziert von: LOEWE, Hessische Landes-Offensive zur Entwicklung Wissenschaftlich-ökonomischer Exzellenz

The mission of PRACTICE is to design cloud computing technologies that allow computations in the cloud thus enabling new business processes while keeping the used data secret. Unlike today – where insiders can access sensitive data – PRACTICE will prevent cloud providers and other unauthorized parties from obtaining secret or sensitive information. Information processed by businesses, government organizations and individuals often comes with confidentiality and integrity requirements that the processing party must adhere to. As a result, data processors must deploy security controls for their ICT infrastructure, protecting it against external as well as internal attackers. This is relatively easy when this infrastructure is local and controlled by the processing party, but much harder when it is provided by an external service provider. Cloud services promise great benefits in terms of financial savings, easy and convenient access to data and services, as well as business agility. Organizations and individuals therefore choose to outsource their data to the cloud, where an untrusted party is in charge of storage and computation. A major concern for the adoption of cloud computing is the inability of the cloud to build user trust in the information security measures deployed in cloud services. Common computing techniques cannot be applied on encrypted data, and therefore the data and the programs that compute on the data must be decrypted before being run on the cloud infrastructure. A comprehensive solution for securing the cloud computing infrastructure can be based on cryptographic mechanisms of secure computation. These mechanisms allow for distributed computation of arbitrary functions of private (secret) inputs, while hiding any information about the inputs to the functions.

Funded by: European Commission (FP7)

CyberROAD is a research project funded by the European Commission under the Seventh Framework Programme. The project is aimed to identify current and future issues in the fight against cyber-crime and cyber-terrorism in order to draw a strategic roadmap for cyber security research. A detailed snapshot of the technological, social, economic, political, and legal scenario on which cyber crime and cyber terrorism do develop will be first provided. Then, cyber-crime and cyber-terrorism will be analyzed in order to indentify research gaps and priorities.

Funded by: European Commission (FP7)

Physically Unclonable Functions (PUFs) are used to uniquely identify electronic components and to protect valuable objects against counterfeiting. They allow creating a root of trust in a hardware system through generating device-unique “fingerprints” and deriving secret keys from the underlying physical properties of the silicon. Today they are typically found in specially designed hardware components and result from the silicon properties of individual transistors. They exist in many forms, among which are the so-called SRAM PUFs. The Physically unclonable functions found in standard PC components (PUFFIN) project intends to study and show the existence of SRAM PUFs and other types of PUFs in standard PCs, laptops, mobile phones and consumer electronics. This has not been attempted so far. The mere existence of physical properties that depend on a component and are reproducible is only the first step to guarantee appropriate robustness, reliability and randomness properties for use as secret keys or trust anchors in mass-market applications.

Funded by: European Commission (FP7)

One of the major challenges for the future relates to software innovations, which, in view of the rapid development of the Internet community, can strengthen the economic performance of companies and their networks. Information and communication technology is the decisive driver behind product and process innovation, and digital companies dynamically align their business models and processes with this. The current basis for developing the business software of the future is the paradigm shift in the software industry towards open, service-oriented software platforms. The Internet of the future will allow digital companies to combine their services more easily and implement their business processes more quickly, more dynamically and more flexibly. Furthermore, it will be possible to extend service functionalities by combining powerful solutions. IT security solutions will play a central role to provide a trusted service ecosystem. Within the project, we look at different security aspects of services and cloud computing.

Funded by: Bundesministerium für Bildung und Forschung

In the UNIQUE project we focus on the problem of counterfeiting and tampering with integrated circuits (ICs), which are at the core of modern electronics products and IT systems. We will develop an integrated approach to protect hardware systems against counterfeiting, cloning, reverse engineering, tampering, and insertion of malicious components. Our interest concerns generic hardware systems and components in general and in particular those ICs and hardware components that provide cryptographic and security functionality (e.g. cryptographic co-processors, smartcards) and are used as security anchors in the devices they are embedded in. We will refer to these types of ICs as “security hardware”. To address the IC counterfeiting and tampering problem comprehensively, we aim at investigating and developing a complete solution from hardware-based crypto and security building blocks, security architectures, protocols and algorithms to design and evaluation principles necessary to detect counterfeiting or malicious components of hardware. The fundamental ideas underlying this proposal have been very recently discovered and will serve as a foundation for novel concepts, whose feasibility will be demonstrated. We design novel hardware labelling and authentication mechanisms and schemes based on physical properties of the underlying hardware components using sub-micron physical security primitives such as the new concept of Physically Unclonable Functions (PUFs). The novel tools, methodologies and principles that we develop within this project will permit technology players to develop new products that can be brought to the market enhancing the assurance and security against counterfeiting and tampering of hardware components in a variety of areas such as consumer electronics, automotive and avionic, critical infrastructures and governmental use.

Funded by: European Commission (FP7)