Warum das Internet der Dinge eine PKI braucht

Securing machine identities is a rising concern for enterprises and cybersecurity leaders venturing into the relatively new terrain of the Internet of Things. Security-conscious IT leaders have put a great deal of time and resources into securing user identities by restricting access to sensitive assets and controlling privileges based on users’ roles in the organization. But many otherwise forward-thinking companies lack a strategy for locking down machine identities. 

Die Zahl der Maschinen und die Arten von Maschinenidentitäten sind im letzten Jahrzehnt explodiert. Zu diesen Identitäten gehören nicht nur Geräte, die von Mitarbeitern genutzt werden, sondern auch Algorithmen, APIs, Server, Cloud-Systeme, Container und andere digitale oder synthetische Akteure. Es gibt auch IoT Geräte wie Umweltsensoren, vernetzte Industrieanlagen, medizinische Geräte und intelligente Geräte. Die Zahl der maschinellen Identitäten übersteigt die Zahl der Benutzeridentitäten in einem durchschnittlichen Unternehmen um das Zehnfache, und dennoch werden sie von der IT-Abteilung nicht in gleichem Maße geprüft wie menschliche Identitäten. 

Viele Unternehmen sichern Rechneridentitäten durch öffentliche Schlüssel und Zertifikate. Diese Zertifikate fungieren wie ein Reisepass, mit dem Menschen, Geräte und Anwendungen sicher miteinander interagieren können. Wenn ein Zertifikat abläuft oder gekapert wird, kann das katastrophale Folgen haben. Daher sind regelmäßige Aktualisierungen dieser Zertifikate von größter Bedeutung.

Unfortunately, 74% of organizations don’t even know how many keys and certs they have, let alone where they are or when they expire. This leaves a massive potential entry point for malware and ransomware. Without transparency into what certs are even in use, any data breach carried out via machine identity is likely to remain undiscovered until it has already done a great deal of damage.

Public key infrastructure (PKI) is a set of processes and tools used to manage certificates, providing a solution to this lack of transparency. It gives IT leaders a comprehensive view of what certificates are expiring or compromised and streamlines the process of issuing a new certificate. PKI platforms and service models can automate many of the processes required to manage machine identities, which allows security teams to focus on higher-level objectives.

PKI ist der Schlüssel zur Skalierung der Produktion IoT

Öffentliche Schlüssel und Zertifikate sind viel effizienter als der Aufbau von Vertrauen durch Benutzernamen, Kennwörter und Token. Diese Authentifizierungsmethoden sind für IoT Unternehmen, die Hunderttausende, wenn nicht gar Millionen von Geräten herstellen, nicht skalierbar.

Jedes Gerät, das vom Fließband kommt, benötigt eine eigene Identität und ein eigenes Zertifikat, oft sogar mehrere: eine Identität des Herstellers, eine des Gerätebesitzers und weitere für den Zugriff auf verschiedene Dienste wie externe Cloud-Anbieter. Jede Identität ist ein potenzieller Angriffsvektor, wenn sie nicht wirksam geschützt ist.  

Es ist unmöglich, all diese Identitäten manuell zu erfassen, wenn Sie tausend Einheiten pro Stunde produzieren. Und wie können Sie nach der Bereitstellung eines IoT -Geräts in der Umgebung des Endnutzers alle Zertifikate inventarisieren, verwalten und überwachen? Im Jahr 2011 konnte ein Zertifikat 10 Jahre lang gültig sein. Im Jahr 2012 wurde diese Lebensdauer um die Hälfte verkürzt. Ab 2020 beträgt der Lebenszyklus von Zertifikaten nur noch ein Jahr, und einige Unternehmen gehen zu Lebenszyklen von einer Woche oder sogar einer Stunde über.

There is no way to manage these lifecycles without automation, but plenty of organizations still try, with over 40% of enterprises still attempting to manage keys and certs manually through spreadsheets. This creates a massive bottleneck in the software development lifecycle. 

Eine PKI-Lösung kann bei der Verwaltung von Zertifikaten über den gesamten Entwicklungs-, Produktions- und Nutzungszyklus hinweg helfen und so den Weg für die Einführung von Methoden wie Agile und DevOps ebnen, die die Skalierung erleichtern und schnellere Innovationen ermöglichen. PKI reflektiert und ermöglicht diese iterativen, agilen Ansätze.

PKI bietet die Flexibilität zur Anpassung

Das Internet der Dinge ist eine sich schnell entwickelnde Branche. Die Vorschriften sind mitunter lückenhaft, täglich tauchen neue Anwendungsfälle auf, und neue Technologien wie OTA und DevOps-Toolchains beeinflussen die Branchenlandschaft. Es gibt nicht viele vereinbarte Best Practices und Frameworks, aber PKI ist flexibel genug, um in einer Vielzahl von Kontexten implementiert zu werden. 

Einige Unternehmen versuchen, ihre eigene PKI-Plattform aufzubauen, aber die potenziellen Kostenvorteile überwiegen selten die Risiken und den Ressourcenverbrauch. Eine PKI-Initiative, die von einem unerfahrenen Team durchgeführt wird, kann am Ende mehr kosten als die Auslagerung des Projekts, und die Ergebnisse lösen das Problem möglicherweise nicht vollständig. PKI ist ein sehr spezifisches Gebiet mit vielen potenziellen Gefahren, und IoT Organisationen brauchen ein ganzes Team hochqualifizierter Spezialisten, die sich ausschließlich mit PKI befassen. Es kann nicht einfach auf dasselbe IT-Team abgewälzt werden, das für die Aufrechterhaltung des Kerngeschäftsbetriebs zuständig ist. 

While care should be taken when outsourcing such a crucial security function, experienced PKI as-a-service vendors can often automate, secure, deploy, and scale PKI for a fraction of the cost of developing and running an internal PKI system.

Verwaltung der Geräteidentität während der Herstellung

IoT Geräte können sensible Unternehmensdaten wie Fertigungs- oder persönliche Gesundheitsdaten enthalten, die geschützt werden müssen. Aber auch wenn ungesicherte Geräte selbst keine sensiblen Daten enthalten, können sie ein Zugangspunkt für Bedrohungsakteure sein, um in das Unternehmen zu gelangen. 

Die Hersteller können nicht wissen, wo ein Gerät landen wird, und Endnutzerzertifikate können nicht in der Herstellungsphase ausgestellt werden. PKI kann den Übergang des Eigentums zwischen Hersteller und Endnutzer erleichtern.

In vielen Fällen muss der Kunde die PKI übernehmen und die werkseitigen Zertifikate durch seine eigenen ersetzen. Eine effektive PKI-Plattform hilft dem Endbenutzer, die Installation und Konfiguration von IoT Geräten zu verwalten, die Eigentumsverhältnisse festzulegen und die neue Umgebung automatisch zu bewerten. Wenn das Gerät zum ersten Mal eingeschaltet wird, ermöglicht PKI die Kommunikation mit Unternehmensservern und die Verbindung mit internen Ressourcen. Vor allem aber teilt die PKI dem Gerät mit, wer sein neuer Eigentümer ist. 

Diese klare Übergabe des Eigentums verbessert die Erfahrung des Endbenutzers, da ein großer Teil der anfänglichen Einrichtung und Konfiguration automatisiert wird. Darüber hinaus kann das Gerät IoT in jede Umgebung integriert werden, während das Risiko, das durch die gemeinsame Nutzung von Daten mit benachbarten Systemen entsteht, gemindert wird. IoT Endbenutzer möchten nicht mit dem Prozess der Sicherung des Systems belastet werden, sie möchten nur, dass es mit einem Minimum an Aufwand in Betrieb genommen wird und nach der Einrichtung gut funktioniert.

The use cases of IoT devices vary widely, from medical devices to consumer products to military equipment. However, most PKI technology can cover the vast majority of device issuance scenarios, often via industry-specific or configurable workflows. 

Nicht alle Publicity ist gute Publicity

IoTals Industrie wird sich weiter entwickeln und in rasantem Tempo wachsen. Wir haben bereits selbstfahrende Autos und Herzschrittmacher, die von überall auf der Welt überwacht werden können. Diese rasante Expansion birgt jedoch nicht nur Chancen, sondern auch Risiken, und Unternehmen, die die Sicherheit von IoT vernachlässigen, werden Schlagzeilen machen, ihren Ruf schädigen und massive finanzielle Verluste erleiden. 

Die Fähigkeit, die Sicherheit zu skalieren und die zunehmende Zahl von Maschinenidentitäten zu verwalten und gleichzeitig Kosten, Aufwand und Risiko zu minimieren, ist der Schlüssel zum Erfolg der Hersteller von IoT . PKI ermöglicht es den Unternehmen, sich auf die Entwicklung effektiver Produkte zu konzentrieren, anstatt Zertifikate zu verwalten.

Mehr erfahren

If you want to dive deeper into the principles of how to secure the Internet of Things, check out our white paper Five Guiding Tenets for IoT Security.