Verständnis der Cybersicherheit in IoT: Die Macht der kleinen Schritte

In today’s digital world, the Internet of Things (IoT) is everywhere. From smart watches and televisions to connected vehicles and medical devices, it’s hard to find an aspect of our lives that’s not impacted by the IoT.

Und da IoT immer stärker in unseren Alltag integriert wird, wird die Sicherheit noch wichtiger. Wir müssen diesen Geräten vertrauen, und der wichtigste Baustein für Vertrauen in der digitalen Welt ist die Cybersicherheit.

Natürlich wissen wir alle, dass die Suche nach skalierbaren Lösungen zur Stärkung der Cybersicherheit und zur Schaffung von digitalem Vertrauen recht komplex ist. Deshalb sind kleine Schritte, die die Arbeit in überschaubare Teile aufteilen, der beste Ansatz für den Aufbau einer skalierbaren Lösung für die Cybersicherheit auf IoT.

This was the premise behind a recent Keyfactor webinar on understanding cybersecurity in IoT. Here are the top highlights from the discussion.

Schaffung digitaler Identitäten als Grundlage für die Sicherheit von IoT

Identitäten sind die Grundlage der Sicherheit von IoT . Identitäten bilden die Grundlage für alles, von digitalen Zertifikaten, mit denen eine TLS Verbindung hergestellt wird, bis hin zur Geräteauthentifizierung.

Aber auch hier gilt, dass die Anwendung und Gestaltung einer digitalen Identitätsinfrastruktur komplex ist. Diese Komplexität verleitet Unternehmen oft dazu, Abkürzungen zu nehmen oder Lösungen unwissentlich falsch zu implementieren. Beispielsweise verwenden Unternehmen nur allzu häufig selbst signierte, nicht verwaltete TLS Zertifikate. Die Tatsache, dass diese Zertifikate sowohl selbst signiert sind (was bedeutet, dass keine vertrauenswürdige Behörde dahinter steht) als auch nicht verwaltet werden (was bedeutet, dass es keine Probleme mit dem Ablauf oder dem Widerruf gibt), macht sie von Natur aus unsicher.

Bedenken Sie, wie Identitäten in der realen Welt funktionieren: Sie haben wahrscheinlich einen Reisepass, einen Führerschein und eine Sozialversicherungskarte, die alle Ihre Identität für verschiedene Zwecke (Reisen, Autofahren, Zugang zu Dienstleistungen usw.) nachweisen. Sie werden jeweils von einer vertrauenswürdigen staatlichen Stelle ausgestellt und haben - im Falle des Reisepasses und des Führerscheins - ein Verfallsdatum. Verschiedene Gruppen können diese Ausweise verwenden, um zu bestätigen, dass Sie derjenige sind, für den Sie sich ausgeben, und dass keine offenen Haftbefehle gegen Sie vorliegen.

Geräteidentitäten funktionieren ähnlich, wobei Identifizierungsmethoden wie MAC-Adressen, SIM-Karten und Zertifikate heute alle verwendet werden. Das stärkste ID-Dokument für ein Gerät ist ein kurzlebiges Zertifikat, das von einer gut kontrollierten und gehosteten Public-Key-Infrastruktur (PKI) ausgestellt wird. Diese Zertifikate sind die stärkste Form der Identifizierung, da sie die meisten Details enthalten, regelmäßig aktualisiert werden müssen und sich auf mehrere Vertrauensquellen zurückführen lassen. Außerdem ermöglichen sie eine gegenseitige Authentifizierung, d. h., wenn ein Gerät versucht, eine Verbindung zu einem Server herzustellen, kann nicht nur der Server die Identität des Geräts bestätigen, sondern auch das Gerät kann bestätigen, dass es sich mit dem richtigen Server verbindet.

Aufbauend auf der Grundlage der digitalen Identität mit einer Null-Vertrauensumgebung

Starke Geräteidentitäten und -verwaltung bilden zwar die Grundlage für skalierbare Cybersicherheit in IoT, sind aber nur der Anfang. Die nächste Sicherheitsebene ergibt sich aus der Einrichtung einer Null-Vertrauens-Umgebung, d. h. einer Umgebung, in der Sie standardmäßig keinem Gerät vertrauen und nur nach regelmäßigen ID-Prüfungen und ständiger Überwachung Zugriff mit den erforderlichen Mindestberechtigungen gewähren.

Diese Art des Zero-Trust-Ansatzes steht im Gegensatz zu dem eher traditionellen Perimeter-Ansatz, bei dem Geräten innerhalb eines definierten, von einer Firewall bewachten Perimeters generell vertraut wird. In einer IoT-gesteuerten Welt bietet dieser Perimeter-Ansatz jedoch keine ausreichende Sicherheit mehr.

Ein Null-Vertrauens-Ansatz sorgt für mehr Cybersicherheit durch:

• Konzentration auf die Authentifizierung von Geräten auf der Grundlage von Identitäten und nicht von Standorten
• Regelmäßige Überprüfung (und erneute Überprüfung) von IDs zur fortlaufenden Authentifizierung, statt langfristiges Vertrauen auf der Grundlage einer ersten Überprüfung

Es ist jedoch zu beachten, dass bestimmte IoT Geräte möglicherweise nicht die Bandbreite haben, um häufige Identitätsprüfungen zu bewältigen. In diesen Fällen ist es immer noch möglich, einen Zero-Trust-Ansatz mit TLS -Verbindungen beizubehalten, die eine längerfristige Option bieten und dennoch ein höheres Maß an Sicherheit gewährleisten.

Darüber hinaus sind Server in einer Zero-Trust-Umgebung in der Regel in der Lage, Verbindungsanfragen von nicht autorisierten Geräten herauszufiltern, was zur Abwehr bestimmter Angriffe wie DDoS beitragen kann. Sie können auch abnormales Geräteverhalten erkennen und sofort Maßnahmen ergreifen, um die Verbindung zu trennen oder das Gerät unter Quarantäne zu stellen.

Und natürlich ist es wichtig, dass der Zero-Trust-Ansatz in beide Richtungen funktioniert, da IoT Anwendungen über TLS Verbindungspunkte verfügen sollten, die nur die Erlaubnis oder den Zugang zum Hochladen bestimmter Daten aus einer begrenzten Datenbank gewähren. Außerdem sollten sie alle software Aktualisierungen auf eine Codesignatur überprüfen, um sicherzustellen, dass sie aus der richtigen Quelle stammen, regelmäßig Berichte über den Zustand der Anwendung senden und als Ausfallsicherung Fernverwaltungsfunktionen enthalten.

Schaffung langfristiger Skalierbarkeit mit Kryptoagilität

Finally, building IoT devices and establishing cybersecurity with cryptoagility in mind is essential for long-term scalability. This has recently become a big topic of discussion following Google’s announcement about shutting down its core IoT service – a move that has many companies that built around the service scrambling to plan for established devices.

Generell wirft diese Situation ein Schlaglicht auf die Tatsache, dass es riskant sein kann, die Architektur auf einen einzigen Anbieter auszurichten, der keine offenen Standards verwendet, vor allem, wenn die Kryptographie für ihn keine zentrale Rolle spielt. Die stabilsten Programme werden sich stattdessen auf offene Standards stützen - die von vielen Anbietern befolgt werden -, da die Verwendung dieser standardisierten Protokolle den Wechsel des Anbieters bei Bedarf wesentlich erleichtert.

Die Verwendung offener Standards ermöglicht nicht nur eine größere Unabhängigkeit von Anbietern (sowohl freiwillig als auch gezwungenermaßen, wenn Anbieter ihre Angebote einstellen, wie es Google tut), sondern unterstützt auch eine größere Kryptoagilität, da sich die Algorithmen im Laufe der Zeit weiterentwickeln und verbessern.

Die Aufrechterhaltung einer hohen Kryptoagilität, um die Algorithmen weiterzuentwickeln und die in den Geräten verwendeten Zertifikate entsprechend zu aktualisieren, ist äußerst wichtig für die Schaffung von Cybersicherheit für Ihr IoT Programm, das den Test der Zeit bestehen kann. Und da einige Geräte jahrzehntelang im Einsatz sind, ist diese Langlebigkeit unerlässlich.

Erste Schritte in Sachen Cybersicherheit in IoT

Der Einstieg in das Thema Cybersicherheit auf IoT kann entmutigend sein: Es handelt sich um ein komplexes Thema, das ernsthafte und kontinuierliche Aufmerksamkeit erfordert. Glücklicherweise kann eine Aufteilung der erforderlichen Maßnahmen in kleinere Schritte dazu beitragen, dass das erforderliche Sicherheitsniveau leichter erreicht wird.

For more on what’s involved, click here to watch the full webinar on understanding cybersecurity in IoT.