26. März 2024 | Lesedauer: 3 Minuten

Warum Custom Linux in der OT-Welt notwendig ist

Die Verbindung von IT-Systemen (zum Beispiel ERP- oder MES-Systemen) und OT-Systemen (wie Sensoren, PLC und SCADA) nimmt zu. Es werden mehr Daten aus den niedrigeren Automatisierungsebenen, also der OT-Welt, benötigt.

Die Geräte müssen miteinander kommunizieren können, um Daten zugänglich zu machen. Dazu nutzen sie Schnittstellen wie TCP/IP, OPC UA, MQTT oder Profibus. Auf diese Weise werden die Daten zwischen den verschiedenen Ebenen übertragen. Linux-Systeme erleichtern die Entwicklung von Embedded-Systemen erheblich. Sie integrieren bereits die Treiber für die benötigte Hardware und bieten nützliche Tools wie gdb und ssh, die die Entwicklung beschleunigen können. Geräte aus der Steuerungs- oder Leitebene benötigen oft Unterstützung für Containerumgebungen, um weitere Anwendungen in einer sicheren Umgebung auszuführen. Das kann einfach über eine Linux-Distribution realisiert werden.

Auf diesen Geräten sind die verfügbaren Hardwareressourcen wie CPU, RAM oder ROM oft begrenzt. Deshalb reichen gewöhnliche Standard-Linux-Distributionen wie Debian oder Ubuntu normalerweise nicht aus. Zudem haben OT-Geräte zusätzliche Sicherheitsanforderungen, die von Standarddistributionen nicht direkt erfüllt werden. Diese Anforderungen können beispielsweise eingeschränkte Funktionalität, ReadOnly-Dateisysteme oder die Aufteilung auf aktive und passive Partitionen für Firmwareupdates umfassen.

Embedded Buildsysteme bieten eine Möglichkeit, diese Anforderungen zu erfüllen. Mit ihnen können maßgeschneiderte Linuxdistributionen inklusive Kernels, Shell und weiteren Anwendungen erstellt werden. Es werden nur die benötigten Pakete installiert, indem eine spezifische Konfiguration des Buildsystems verwendet wird. Außerdem können Kernelanpassungen und eigene Anwendungen einfach integriert werden. Oft werden vorgefertigte Konfigurationen und Open-Source-Sourcecode genutzt, um Standardtools wie Busybox, Docker oder QT direkt in das finale Image zu integrieren.

Der Buildprozess ist in der nachfolgenden Darstellung beispielhaft dargestellt:

In den meisten gängigen Buildsystemen wird auch direkt ein Applikations-SDK als Nebenprodukt erzeugt. Anwendungsentwickler erhalten damit eine Toolchain, mit der sie direkt für die Zielhardware kompilieren können.

Mit der kommenden Verpflichtung gemäß der IEC-Norm 62443 wird die Nachverfolgbarkeit und zeitnahe Schließung von Sicherheitslücken immer wichtiger. Die integrierten Tools in den Buildsystemen können viele dieser Aufgaben automatisieren. Dadurch wird neben dem Linux-Image auch eine Liste offener CVEs und ein fertiger SBOM mit den vorhandenen Lizenzinformationen erstellt. Eine solche Automatisierung ist auch über eine Continuous Integration Pipeline auf einem Buildserver möglich.

Über Embedded Buildsysteme erstellte Distributionen bieten viele der Vorzüge fertiger Linux-Distributionen und können zusätzlich angepasst werden. Die gängigsten Embedded Buildsysteme sind Yocto, Elbe, BuildRoot und PtxDist. In einem weiteren Techshorty werden diese hinsichtlich des Aufwands genauer untersucht und verglichen.