MTG IoT PKI
Bestückung initialer Zertifikate in der Produktion
Bestückungsprozess IoT Geräte (© MTG AG)
Erzeugung von Geräteidentitäten
im Produktionsprozess
Im Rahmen der Entwicklung und Fertigung erhalten die Geräte ihre Firmware und Betriebsparameter. Seriennummern und Herstellernummern werden vergeben. In der Phase der Pre-Personalisation erhält jedes Gerät seine eindeutige Identität durch die Beantragung eines Zertifikats aus der MTG IoT PKI.
Dabei erzeugt das Gerät sein sicheres, eindeutiges Schlüsselpaar. Anschließend wird damit ein Zertifikatsantrag erstellt. Dieser wird an die MTG IoT PKI „Production“ übermittelt.
Die IoT PKI stellt nach Prüfung das jeweilige, initiale Geräte-Zertifikat aus. Dieses wird anschließend direkt auf dem Gerät installiert. So ist jedes Gerät mit seinem Geräte-Zertifikat eindeutig identifizierbar und authentifizierbar, noch bevor es das Werk verlässt.
Der gesamte Prozess ist automatisierbar und skalierbar. Er ist für sehr hohe Stückzahlen und kurze Taktzeiten ausgelegt.
Lebenszyklus von Gerätezertifikaten
Gerätezertifikate haben definierte Laufzeiten. Diese müssen zur geplanten Nutzungsdauer und zu den Sicherheitsanforderungen passen. Best Practice sind Zertifikatslaufzeiten von zwei bis sieben Jahren. Vor dem operativen Betrieb müssen die Gerätezertifikate innerhalb dieser Frist durch neue Zertifikate einer eigenen Unternehmens-PKI ersetzt werden. Dies erfolgt über ein Device Management, das neue Zertifikate über standardisierte Schnittstellen wie EST oder CMP bei der Unternehmens-PKI beantragt und ausstellt. Das Device Management sorgt dafür, dass diese Zertifikate rechtzeitig vor Ablauf der jeweiligen Laufzeit erneuert werden. Ohne eine Erneuerung verlieren die Geräte nach Ablauf der Zertifikatslaufzeit ihre Kommunikationsfähigkeit und damit ihre Funktionalität. In der Regel können sie dann nur mit hohem Aufwand ersetzt oder wieder in Betrieb genommen werden.
Unabhängige PKI-Architektur für Produktion und Betrieb
Die MTG IoT PKI für die Produktion und die MTG Corporate PKI für den Betrieb arbeiten unabhängig voneinander. Der Austausch der Produktionszertifikate im operativen Betrieb ist herstellerunabhängig möglich und kann mit jeder geeigneten Unternehmens-PKI erfolgen.
In Zeiten zunehmender Cyberangriffe und regulatorischer Anforderungen, wie der NIS 2 Directive und dem Cyber Resilience Act (CRA), ist eine zuverlässige PKI essenziell für die Absicherung von Geräteidentitäten.
Überblick: Eigenschaften der MTG IoT PKI
- Automatisierte Zertifikatsbestückung in der Fertigung
Zertifikate werden direkt im Produktionsprozess erzeugt und installiert. Integrierbar in bestehende Fertigungslinien und Kalibrierprozesse. Geeignet für hohe Stückzahlen und kurze Taktzeiten. - Herstellerspezifisches Lizenzmodell
Die Lizenzierung der MTG IoT PKI basiert ausschließlich auf der Anzahl der im Kalenderjahr ausgestellten Zertifikate. Maßgeblich ist Ihre tatsächliche Jahresproduktion. Lizenzkosten für bereits ausgestellte aktive Zertifikate kumulieren sich nicht über mehrere Jahre. Das ist insbesondere dann relevant, wenn Zertifikate auf Kundenwunsch weiterhin in Sperrlisten vorgehalten werden müssen. - Eindeutige Geräteidentität ab Werk
Jedes Gerät erhält eine kryptografisch gesicherte, eindeutige Identität. Schutz vor Fälschungen, Austausch von Komponenten und Manipulation bereits vor Auslieferung. - Sichere Schlüsselerzeugung im Gerät
Private Schlüssel werden direkt im Gerät erzeugt. Alternativ über gesicherte Produktions-Clients. Kein Export sensibler Schlüsselmaterialien. - Integration in bestehende Produktionsprozesse
Unterstützung von Pre-Personalisation, Firmware-Flash, Kalibrierung und Seriennummernvergabe. Nahtlose Einbindung in Manufacturing- und Testumgebungen. - Skalierbar für Serien- und Massenfertigung
Ausgelegt für industrielle Stückzahlen. Stabil auch bei sehr hohen Zertifikatsvolumina pro Tag. - Definierte Laufzeiten für Produktionszertifikate
Flexible Festlegung individueller Zertifikatslaufzeiten für die initialen Zertifikate. - Herstellerunabhängig von eingesetzter PKI im Betrieb
Der Austausch der initialen Produktionszertifikate ist herstellerunabhängig mit geeigneten PKI möglich. - Certificate Lifecycle Management
Sämtliche zertifikatsbasierten Prozesse und Automatisierungsmöglichkeiten lassen sich mit dem integrierten Certificate Lifecycle Management organisieren. Dazu gehören beispielweise die Einrichtung von Bereichen für unterschiedliche Produktionsstandorte mit feingranularen Rechte- und Rolleneinteilung..
PKI für industrielle Kommunikationsnetze und
Maschinensteuerungen
Mit Zertifikaten aus der MTG Corporate PKI können industrielle Kommunikationsnetze, Maschinensteuerungen und vernetzte Produktionsumgebungen zuverlässig abgesichert werden. Vor dem Hintergrund regulatorischer Anforderungen wie NIS 2, Cyber Resilience Act oder IEC 62443 unterstützt sie die technische Umsetzung von Sicherheitsvorgaben zu Authentifizierung, Integrität und verschlüsselter Kommunikation und schafft die Grundlage für Compliance und auditfähige Sicherheitsstrukturen.
Auch industrielle Kommunikationsstandards wie OPC UA lassen sich vollständig mit der MTG Corporate PKI integrieren und nutzen zertifikatsbasierte Authentifizierung sowie verschlüsselte Kommunikation gemäß industrieller Sicherheitsanforderungen.
Zertifikate ermöglichen starke Authentifizierung, geschützte Maschinenkommunikation und digital signierte Software-Updates. So werden Rollout, Fernwartung, globale Produktionssteuerung und Maintenance-Prozesse sicher und effizient umgesetzt.
Die Architektur unterstützt zudem hybride Verschlüsselungsverfahren und Post-Quantum-Kryptografie, um industrielle Systeme langfristig gegen zukünftige Bedrohungen abzusichern.
MTG IoT KMS – Optimale Ergänzung der IoT PKI für ganzheitliche Gerätesicherheit
In der modernen Geräteproduktion geht der Trend zunehmend zum kombinierten Einsatz von Public Key Infrastructure (PKI) und Key Management System (KMS). Die PKI stellt Identitäten und Zertifikate bereit. Das KMS übernimmt die sichere Generierung, Speicherung, Verwaltung und Nutzung des kryptografischen Schlüsselmaterials.
Mit dem MTG IoT KMS bietet MTG die passende Ergänzung zur MTG IoT PKI. Beide Lösungen greifen nahtlos ineinander und ermöglichen eine durchgängige Sicherheitsarchitektur für Schlüssel und Zertifikate.
Dieser ganzheitliche Ansatz ist die zentrale Idee der MTG ERS® Architektur. Er stellt sicher, dass Identitäten und Schlüssel konsistent, sicher und skalierbar über ihren gesamten Lebenszyklus verwaltet werden.
IoT PKI KMS Erweiterung (© MTG AG)