Wie man IoT Geräteidentitäten sichert

Der folgende Artikel von Cory Vanderpool, Keyfactor's Senior Business Development Manager von IoT, wurde als Gastbeitrag für IDSA veröffentlicht .

Dass die Zahl der intelligenten Maschinen die der Menschen übersteigt, mag wie die Handlung eines Science-Fiction-Films klingen, der den Untergang prophezeit. Aber die jüngste Explosion der mit dem Internet verbundenen Geräte bedeutet, dass wir den Wendepunkt, an dem die Geräte die Menschen übertreffen, bereits überschritten haben.

IoT Die jüngste Studie von Analytics zum Stand der Dinge IoT ergab, dass es im Jahr 2021 12,2 Milliarden aktive Endgeräte gab, und prognostiziert, dass diese Zahl bis 2022 auf 14,4 Milliarden und bis 2025 auf 27 Milliarden anwachsen wird - verglichen mit fast 7,8 Milliarden Menschen, die auf der Erde leben. Darüber hinaus gibt es heute mehr als 400 aktive Plattformen für das Internet der Dinge, die vernetzte Fahrzeuge, Zahlungsterminals, Bestandsverwaltungs- und Überwachungsinstrumente und vieles mehr beherbergen.

Für Unternehmen und Einzelpersonen ist es von entscheidender Bedeutung, diese wachsende Menge an Geräten und Daten zu schützen. Eine Studie der Identity Defined Security Alliance zeigt jedoch, dass die große Mehrheit der Unternehmen nicht darauf vorbereitet ist. In der Studie "2022 Trends in Securing Digital Identities" wird festgestellt, dass 84 % der Unternehmen von einem identitätsbezogenen Sicherheitsverstoß betroffen sind, und von diesen gaben 96 % an, dass dieser hätte verhindert werden können.

Da die Zahl der mit dem Internet verbundenen Geräte zunimmt, stellen sie ein größeres Ziel für Cyberkriminelle dar. IoT Sicherheit bedeutet nicht nur, an den Schutz künftiger Geräte zu denken, sondern auch an Geräte, die bereits im Einsatz sind und funktionieren. Einige Beispiele für das Sicherheitsrisiko von IoT Geräten sind:

Mirai-Botnetz: Im Jahr 2016 richtete sich der bisher größte DDoS-Angriff (Distributed Denial of Service) gegen den Domain-Registrierungsdienstleister Dyn unter Verwendung eines IoT Botnets. Der Angriff zielte auf anfällige IoT Geräte wie Kameras und DVR-Player und nutzte allgemein bekannte Standardbenutzernamen und -passwörter, um sie zu infiltrieren und mit Malware zu infizieren. Der Angriff machte deutlich, dass Hacker nicht immer die offensichtlichen Geräte, wie z. B. Wearables oder intelligente Thermostate, ins Visier nehmen. Vielmehr müssen Unternehmen die Schwachstellen berücksichtigen, die sich hinter den Geräten und in ihrer gesamten Angriffsfläche befinden.

Angriff auf Herzgeräte von St. Jude Medical: Im Jahr 2017 wurde bestätigt, dass von St. Jude Medical hergestellte Herzgeräte Schwachstellen enthielten, die Hacker ausnutzen konnten. Die Schwachstelle wurde in Sendern entdeckt, die Gerätedaten lesen und an Ärzte weitergeben. Wenn sich Hacker Zugang verschafften, konnten sie die Batterie entladen oder falsche Schrittmacher oder Schocks bei einem Patienten auslösen. Diese Schwachstelle ist ein Indiz für fehlende Cybersicherheitsmaßnahmen bei medizinischen Geräten wie Herzmonitoren und Insulinpumpen sowie bei lebenswichtigen Maschinen in Krankenhäusern.

Vernetzte Fahrzeuge: Die Anfälligkeit von vernetzten Fahrzeugen wurde deutlich, als Chrysler 1,4 Millionen Autos zurückrufen musste, nachdem Hacker bewiesen hatten, dass sie die Systeme eines Jeeps aus der Ferne hacken konnten. Moderne Fahrzeuge enthalten bis zu 70 elektronische Steuergeräte (ECUs), u. a. in Motor und Getriebe, Beleuchtungssystemen, Lenkung und Bremsen, die das CAN-Bus-Protokoll (Controller Area Network) verwenden, um zuverlässig zu kommunizieren. Das Protokoll ist jedoch nicht für die Cybersicherheit ausgelegt, d. h. es verwendet keine Authentifizierung oder Verschlüsselung, um das Netzwerk vor Cyberangriffen zu schützen. Außerdem werden viele Fahrzeugkomponenten von Drittanbietern bezogen, was das Risiko einer Anfälligkeit weiter erhöht. Es liegt also in der Verantwortung der Unternehmen, die Geräte zu sichern, aber viele wissen nicht, dass sie das tun müssen.

Auf dem Weg zu Industrie 4.0, der cyber-physische Systeme, IoT, fortschrittliche Netzwerke und vieles mehr mit sich bringt, müssen Unternehmen völlig neue Umgebungen verwalten. Die Sicherheit muss von Anfang an in den Produktlebenszyklus integriert und in Geräte implementiert werden, die sich bereits im Einsatz befinden, um Risiken zu minimieren, Einnahmen zu generieren und mehr Produkte zu verkaufen. Zu den Cybersecurity-Technologien, die IoT Geräteidentitäten schützen können, gehören:

Infrastruktur für öffentliche Schlüssel (PKI): PKI verwendet ein System von Richtlinien, Prozessen und Technologien, um Daten zu verschlüsseln und zu signieren und Geräte, Dienste und Benutzer zu authentifizieren. PKI ist bei der Identitätsverwaltung und der Sicherung von Laptops, Smartphones und Servern allgegenwärtig. In der Welt von IoT und der Betriebstechnologie (OT) ist sie jedoch noch nicht vollständig angekommen, sodass es bei Edge-Geräten und der Kommunikation mit Gateways, der Cloud und mobilen Anwendungen an Authentifizierung, Verschlüsselung und Integrität mangelt.

Code-Generierung auf dem Gerät: IoT Identität setzt voraus, dass Geräte und Benutzer jederzeit authentifiziert werden können. Einfache Anwendungen oder Links zur Codegenerierung stellen sicher, dass nur autorisierte und verifizierte Benutzer auf Unternehmensressourcen zugreifen können.

Gegenseitige Authentifizierung: Unternehmen müssen nicht nur ihre Geräte schützen, sondern auch die Netzwerke, mit denen sie kommunizieren, und die Gateways, auf die sie zugreifen. Daher ist es wichtig, nicht nur an das "Ding" zu denken, sondern auch daran, womit es verbunden ist und wie es Daten liefert. So ermöglichen digitale Zertifikate beispielsweise eine gegenseitige Authentifizierung, die eine Vertrauensbasis für den sicheren Datenaustausch über offene Netze bildet.

Null Vertrauen: Unternehmen sind an einen Zero-Trust-Ansatz zur Sicherung von Geräten und Daten gewöhnt. Das gleiche Konzept muss in Branchen wie dem Gesundheitswesen und der Fertigung angewandt werden, um die Sicherheit der Geräteidentität zu gewährleisten. Dadurch wird sichergestellt, dass kein Gerät und keine Person vertrauenswürdig ist oder Zugriff auf Ressourcen erhält, bevor nicht überprüft wurde, ob sie die Person ist, die sie vorgibt zu sein.

Offline-Geräte und Geräte mit eingeschränkter Konnektivität: Es sind nicht nur offensichtliche Geräte wie Laptops und Smartphones, die geschützt werden müssen. Viele Geräte, sowohl IoT als auch OT-Maschinen, sind nicht ständig eingeschaltet oder in Betrieb und haben möglicherweise eine begrenzte Konnektivität. Dennoch können sie anfällig sein und Hackern einen Weg in Unternehmensnetzwerke bieten. Unternehmen müssen daher sicherstellen, dass sie auch ohne Internetverbindung authentifiziert werden können.

Neue Geräte wie moderne Autos sollen unsere Sicherheit erhöhen, indem sie verhindern, dass wir von der Straße abkommen, wenn wir abgelenkt sind. Aber die Komponenten in diesen Geräten sind oft ungesichert, werden von herkömmlichen Cybersicherheitsmethoden übersehen oder bringen neue Bedrohungen mit sich, die ein Unternehmen anfällig für Cyberangriffe machen könnten.

Eine starke Cybersicherheit ermöglicht es Unternehmen, Wettbewerbsvorteile zu erzielen, Vertrauen aufzubauen und das Vertrauen ihrer Kunden zu gewinnen. Und die Einführung von Cyber-Prävention ist kosteneffektiver als die Verluste, die durch eine Datenpanne entstehen. Die Umsetzung von Maßnahmen für die Sicherheit von IoT positioniert Unternehmen auch als sozial verantwortlich, reduziert Ausfallzeiten und Sanierungskosten und steigert den Unternehmenswert.