Das Internet der Dinge (IoT) - abgesehen von dem zweideutigen Schlagwort - wird im Allgemeinen verwendet, um einen Trend hin zu immer mehr vernetzten Geräten zu beschreiben, insbesondere nicht-traditionelle Geräte wie Haushaltsgeräte, vernetzte Autos, Industriemaschinen und implantierte oder tragbare medizinische Geräte.
Das Aufkommen dieser internetfähigen Produkte führt dazu, dass die Hersteller wissen müssen, wie sie ihre Flotten in großem Umfang sicher aufbauen, einsetzen und aktualisieren können. Im Gegensatz zu herkömmlichen Geräten - Servern, Laptops und Mobiltelefonen - verfügen IoT Geräte oft nicht über genügend Rechenleistung oder Speicherplatz, um umfangreiche software auszuführen, was ihre Absicherung erheblich erschwert.
Jüngste Angriffe wie Mirai und Dyn haben gezeigt, dass bestehende Schutzmaßnahmen unwirksam sind, insbesondere fest kodierte, statische Passwörter. Hacker nutzen diese Schwachstellen aus, um die Kontrolle über Geräte zu übernehmen, Denial-of-Service-Angriffe durchzuführen oder seitlich in Netzwerke einzudringen. Und sie fangen gerade erst an. Die Welt von IoT ist eine Spielwiese für Hacker, die nur noch weiter wächst, da Milliarden weiterer vernetzter Geräte in unseren Haushalten und an unseren Arbeitsplätzen Einzug halten - was die Frage aufwirft: Wer ist für die Sicherheit von IoT verantwortlich?
Verantwortung beginnt bei der Gestaltung
Gerätehersteller sind nicht nur für die Funktionalität und Sicherheit ihrer Geräte ab dem Zeitpunkt verantwortlich, an dem sie die Produktion verlassen, sondern auch für den Datenschutz und die Sicherheit, die zu einem Produktunterscheidungsmerkmal geworden sind. Durch die öffentlichkeitswirksamen Sicherheitsverletzungen sind sich Verbraucher und Unternehmen ihrer Risiken stärker bewusst geworden, so dass die Sicherheit zu einem entscheidenden Kriterium bei Kauf und Beschaffung geworden ist.
Nehmen wir zum Beispiel das Gesundheitswesen IoT. Die FDA stellt fest, dass Krankenhäuser zwar für die Sicherung ihrer Systeme verantwortlich sind, dass aber die Hersteller "dafür verantwortlich sind, die mit ihren Medizinprodukten verbundenen Risiken und Gefahren, einschließlich der Risiken im Zusammenhang mit der Cybersicherheit, aufmerksam zu überwachen." Die Cybersicherheit ist sogar Teil des FDA-Zulassungsverfahrens vor der Markteinführung geworden.
Herstellung von IoT Geräten mit eindeutigen Identitäten
Die Identität ist die Grundlage für die Sicherheit von IoT Geräten. Um Daten im Ruhezustand und bei der Übertragung zu schützen und Verbindungen zwischen verschiedenen Komponenten des IoT Ökosystems (d. h. IoT Geräte, mobile Anwendungen, Gateways, Cloud-Anwendungen) zu authentifizieren, müssen die Geräteentwickler die Identität von Anfang an in ihre Systeme integrieren.
In der Welt von IoT ist die führende Methode zur sicheren Kennzeichnung eines Geräts mit einer eindeutigen Identität die Verwendung kryptografischer Schlüssel und digitaler Zertifikate. Durch die kryptografische Bindung einer Identität an hardware können Geräte Verbindungen mit anderen Systemen authentifizieren, Daten verschlüsseln und die Integrität von Code und Firmware-Updates überprüfen. Mit dieser eindeutigen ID können sowohl Hersteller als auch Endnutzer die Authentizität jedes Geräts überprüfen und das Gerät während seines gesamten Lebenszyklus verfolgen.
Die anfängliche Identität ist jedoch nur der Anfang. Die Bereitstellung von IoT erfordert eine umfangreiche Verwaltung und den Schutz von Zertifikaten und den dazugehörigen privaten Schlüsseln. All dies muss durch eine gut konzipierte Public-Key-Infrastruktur (PKI) unterstützt werden.
PKI für IoT
PKI wird zunehmend als Authentifizierungstechnologie für IoT anerkannt, und es wird erwartet, dass 42 % der Geräte von IoT in den nächsten zwei Jahren hauptsächlich auf digitalen Zertifikaten beruhen werden. Und warum? Weil PKI sich in großem Umfang als effektiv erwiesen hat, weil Zertifikate kryptografische Schlüssel verwenden können, deren Gültigkeitsdauer die Lebensdauer von Passwörtern bei weitem übersteigt, und weil leichtgewichtige Algorithmen für öffentliche Schlüssel, wie die Elliptische Kurven-Kryptografie (ECC), gut für ressourcenbeschränkte IoT Geräte geeignet sind.
Es gibt nur ein Problem. Genau wie Passwörter werden auch kryptografische Algorithmen mit der Zeit schwächer. Mit genügend Ressourcen können Angreifer kryptografische Schwachstellen ausnutzen und so die Integrität oder Funktionalität von bereits im Einsatz befindlichen Geräten stören. Der Gerätehersteller muss bei der Auswahl von kryptografischen Algorithmen und Methoden zur Verwaltung dieser Algorithmen im Laufe der Zeit sorgfältige Überlegungen anstellen, insbesondere bei Geräten, die Auswirkungen auf die Gesundheit und das Wohlbefinden von Menschen haben können.
Krypto-Agilität ist der Schlüssel
Angesichts der Tatsache, dass einige IoT Produktlebenszyklen von 10-15 Jahren oder mehr erwarten und die Garantiezeiten weit in diese Zeiträume hineinreichen, benötigen die Gerätehersteller eine solide Methode, um Schlüssel und Zertifikate zu aktualisieren oder auszutauschen, falls sie durch Krypto-Schwachstellen wie schwache Algorithmen (z. B. SHA-1, MD5), Fehler in Krypto-Bibliotheken oder Fortschritte im Quantencomputing unwirksam werden.
Die Hersteller müssen einen strategischen Plan für die Krypto-Agilität haben, der Folgendes beinhaltet:
- Bestandsaufnahme und Bewertung aller kryptografischen Algorithmen, die in IoT Geräten und Anwendungen verwendet werden, einschließlich derjenigen, die von Komponenten und Subsystemen Dritter bereitgestellt werden
- Einhaltung von Branchenempfehlungen für kryptografische Optionen unter Bezugnahme auf vertrauenswürdige öffentliche Standards wie RFC 7696, FIPS 140-2 oder NIST (siehe Lightweight Cryptography Project)
- einen Plan zur Reaktion auf Sicherheitsverletzungen, einschließlich einer Häufigkeit der Algorithmusaktualisierung und eines Austauschverfahrens für Online- und Offline-Geräte IoT
- Regelmäßige Überprüfung und Aktualisierung der Krypto-Agilitätspläne, um neue Geräte, unbekannte Schwachstellen oder blinde Flecken zu erfassen
Wo soll man anfangen?
Die meisten IoT Geräte werden über die Wirksamkeit der kryptografischen Algorithmen hinausgehen, auf denen sie beruhen. Wie können Hersteller also ihre Geräte sicher aktualisieren, um Sicherheitslücken oder Rückrufe zu verhindern? Die Antwort ist Krypto-Agilität.
Erhalten Sie kostenlosen Zugang zum Gartner-Forschungsbericht " Better Safe Than Sorry: Preparing for Crypto-Agility", um mehr darüber zu erfahren:
- Grundlagen und Beispiele der Krypto-Agilität (SHA-1-Migration, Bedrohungen durch Quantencomputer)
- Die wichtigsten Krypto-Schwachstellen, die Ihre IoT Geräte bedrohen
- Wie man einen Plan für Krypto-Agilität entwickelt und heute mit der Vorbereitung beginnt
