Warum Zero Trust Manufacturing für die Entwicklung vertrauenswürdiger Geräte von entscheidender Bedeutung ist IoT

Das Das Internet der Dinge (IoT) ist daund mit ihm eine Vielzahl von Sicherheitsherausforderungen.

Trotz der Tatsache, dass Angreifer aufgrund komplexer Produktionsketten viele Möglichkeiten haben, ein Gerät zu kompromittieren, wird die Sicherheit oft als zusätzliches Merkmal hinzugefügt, anstatt ein entscheidendes Element zu Beginn des Lebenszyklus eines Produkts zu sein.

Es ist an der Zeit, diesen Ansatz zu ändern. Und alles beginnt mit der Herstellung von Null Vertrauen.

Je mehr Partner in der Lieferkette am Herstellungsprozess beteiligt sind, desto weniger kann man sich darauf verlassen, dass Elemente wie hardware, Firmware und Zugangsdaten nicht verändert wurden. Infolgedessen müssen alle Hersteller einen "Null-Vertrauen"-Ansatz Sicherheit verfolgen, vor allem diejenigen, die IoT Geräte herstellen, da ihre Lieferketten äußerst komplex sind.

Was ist Zero Trust Manufacturing? Zero Trust Manufacturing ist ein Ansatz zur Herstellung

vertrauenswürdige Geräte entlang einer Lieferkette, die von Natur aus nicht vertrauenswürdig ist. Sie wird nicht durch eine einzelne Technologie erreicht, sondern beschreibt vielmehr einen Ansatz für die Entwicklung, Herstellung, Prüfung und Lieferung von Produkten, denen der Eigentümer vertrauen kann.

Zero Trust Manufacturing umfasst zahlreiche Konzepte, darunter hardware-basierte Sicherheit, eingebettete Sicherheit, Public-Key-Infrastruktur (PKI), Verwaltung von Schlüsseln und Zertifikaten über den gesamten Lebenszyklus, Vertrauenswürdigkeit von Geräten, Codesignierung und Authentifizierung. 

Warum ist Zero Trust Manufacturing wichtig? Laut Global Market Insights wird der Markt für elektronische Fertigungsdienstleistungen (EMS) voraussichtlich von 500 Milliarden US-Dollar im Jahr 2019 auf 650 Milliarden US-Dollar im Jahr 2026 wachsen. Der EMS-Markt umfasst globale Unternehmen, die elektronische Komponenten und Baugruppen für Erstausrüster (OEMs) entwickeln, herstellen, testen, vertreiben und Rücknahme-/Reparaturdienste anbieten. Dies bedeutet, dass noch mehr Parteien am Herstellungsprozess beteiligt sein werden, was noch mehr Möglichkeiten für Sicherheitslücken schafft.

Die Zero-Trust-Fertigung ermöglicht es den OEMs auch, die Auftragsfertigung schneller an Unternehmen auf dem gesamten EMS-Markt zu verlagern, was einen bedeutenden Wettbewerbsvorteil darstellt, der dazu beiträgt, die Markteinführung zu beschleunigen, die Produktionsrisiken zu minimieren und die Kostenwettbewerbsfähigkeit zu erhalten.

Bei näherer Betrachtung zeigen sich mehrere allgemeine Sicherheitsherausforderungen, die den Bedarf an einer vertrauensfreien Produktion noch verstärken - insbesondere bei den Herstellern von IoT .

Hersteller sind einer Reihe von lähmenden Cyberangriffen und Sicherheitsverletzungen ausgesetzt, und viele dieser Angriffe nutzen ausgeklügelte Mittel, um Sicherheitsdaten zu stehlen. Laut dem Verizon 2020 Data Breach Investigation Report wurden 45 Prozent der Sicherheitsverletzungen durch Hackerangriffe begangen, und bei 80 Prozent dieser Sicherheitsverletzungen wurden Zugangsdaten gestohlen oder mit roher Gewalt erzwungen. 

Gestohlene Benutzer- und Geräteanmeldedaten, einschließlich privater Schlüssel und digitaler Zertifikate, sind in der Regel die Grundlage für diese Angriffe und wirken sich direkt auf Unternehmen aus. Unter einer Studie des Ponemon Institute, gesponsert von Keyfactorhaben 92 % der Unternehmen in den letzten 24 Monaten mindestens einen zertifikatsbedingten Ausfall erlebt, und 81 % der Unternehmen hatten mehrere störende Ausfälle aufgrund abgelaufener Zertifikate.

Daher ist der Schutz und die Verwaltung von privaten Schlüsseln und digitalen Zertifikaten mit einem Zero-Trust-Ansatz von entscheidender Bedeutung für den Schutz von Geräten und Anwendungen vor ausgeklügelten Angriffen in der gesamten Lieferkette. Einige der häufigsten IoT Bedrohungen und Schwachstellen, vor denen ein Zero-Trust-Ansatz schützen kann, sind:

• Man-in-the-middle-Angriffe: Ein Angriff, bei dem Hacker gestohlene Anmeldedaten verwenden um sich für einen Benutzer auszugeben und Informationen zu ändern.

• Root-CA-Impersonation: Ein Angriff, bei dem Hacker abtrünnige Geräte und Benutzer in einem Netzwerk authentifizieren, indem sie die Root Zertifizierungsstelle (CA).

• Nicht autorisierte Firmware-Updates: Ein Angriff, bei dem Hacker die Anmeldedaten für die Code-Signierung kompromittieren, um die Firmware zu ändern.
• Diebstahl von geistigem Eigentum und Produktfälschungen: Ein Angriff, bei dem Hacker kompromittierte Anmeldedaten nutzen, um geistiges Eigentum zu stehlen und gefälschte Produkte auf den Markt zu bringen.

Glücklicherweise kann die Implementierung von Zero Trust Manufacturing und die angemessene Verwaltung aller Komponenten, die dazu gehören, wie PKI, Zertifikatslebenszyklusmanagement und eingebettete Sicherheit, dazu beitragen, Angriffe wie die oben genannten zu vermeiden. Auf dem Weg dorthin können Hersteller von der Befolgung mehrerer Best Practices profitieren:

• Hardware-basierten Sicherheit: Die Einführung von gerätebasierten, manipulationssicheren hardware sicheren Elementen schafft eine vertrauenswürdige Vertrauensbasis.

• Schlüsselgenerierung auf dem Gerät: Die sichere Generierung und Speicherung privater Schlüssel auf einem Gerät bedeutet, dass es seine eigene Identität bestätigen kann.

• PKI-Verwaltung: Die Automatisierung des PKI- und Zertifikats-Lebenszyklusmanagements kann standardisierte Abläufe gewährleisten und Ausfälle vermeiden.

• Sichere Kommunikation mit Ende-zu-Ende-Verschlüsselung: Die Implementierung einer verschlüsselten SSL/TLS oder IP-VPN-Kommunikation gewährleistet den Datenschutz.

• Sicheres Bootstrap-Zertifikat: Durch das Ersetzen des ursprünglichen Bootstrap-Zertifikats durch ein aktualisiertes Zertifikat wird sichergestellt, dass das Gerät mit der vorgesehenen Firmware hochfährt.

• Aktivieren Sie die gegenseitige M2M-Authentifizierung: Die Implementierung strenger Zugriffskontrollen für Benutzer und die gegenseitige Authentifizierung von Maschine zu Maschine (M2M) ermöglicht eine Überprüfung in beide Richtungen.
• Zentralisierte Code-Signierung: Durch das Signieren von Firmware-Updates durch den Entwickler und die Authentifizierung durch das Gerät werden kompromittierende Situationen vermieden.

Wie sieht diese Praxis angesichts des Wertes, den die vertrauensfreie Fertigung bieten kann, in der Praxis aus? Betrachten Sie diese Anwendungsfälle von Herstellern aus drei verschiedenen Branchen:

Die zunehmende Verbreitung vernetzter medizinischer Geräte erfordert eine stärkere Authentifizierung, da Manipulationen zu schwerwiegenden Problemen führen können, nicht zuletzt zum Schaden der Patienten. Hersteller medizinischer Geräte müssen daher in der Lage sein, alle Personen zu authentifizieren und zu autorisieren, die auf einen beliebigen Punkt in der Fertigungslinie zugreifen, ihn verwalten und bedienen können. Nach der Auslieferung muss die Sicherheit ebenso streng gehandhabt werden, da der Eigentümer des Geräts in der Lage sein muss, sicherzustellen, dass der Bediener die Integrität des Geräts nicht gefährden oder auf geheime Schlüssel zugreifen kann, die Fälschungen ermöglichen würden.

Da Energieversorgungsunternehmen ihre Steuerungs- und IT-Netzwerke zusammenführen, um eine effektivere Kommunikation, einen besseren Fernzugriff und eine effizientere Verwaltung zu ermöglichen, mussten sie die traditionellen Firewalls um ihre Netzwerke entfernen. Daraus ergibt sich die Notwendigkeit, sowohl Benutzer als auch Geräte im Netzwerk eindeutig zu identifizieren und zu authentifizieren, da viele der verwendeten Systeme und Geräte unternehmenskritisch sind und ihr Missbrauch zu massiven wirtschaftlichen Auswirkungen oder sogar zum Tod führen kann.

Die Fortschritte in der Fertigung haben Fahrzeuge zu vernetzten, elektronischen Geräten gemacht. Diese Fahrzeuge müssen sowohl mit einem ausgedehnten Netz von Sensoren als auch direkt mit Menschen kommunizieren, was die Fähigkeit zur positiven Authentifizierung an wichtigen Punkten des Lebenszyklus erfordert. Beim Anschluss an ein elektronisches Ladenetz beispielsweise muss das Netz in der Lage sein, das Fahrzeug, den Benutzer und die für den Kauf der Ladung verwendete Zahlungsmethode zu authentifizieren.

Die Lieferkette in der Fertigung ist immer komplexer geworden, und mit der anhaltenden Explosion von IoT Gerätenwird sich diese Entwicklung fortsetzen. Um diese Komplexität erfolgreich zu bewältigen, müssen die Hersteller bei jedem Schritt Sicherheit gewährleisten. Und die einzige Möglichkeit, dies effektiv zu tun, ist ein Zero-Trust-Ansatz.

Möchten Sie mehr darüber erfahren, was nötig ist, um eine vertrauensfreie Fertigung zu erreichen? Laden Sie unser Whitepaper " How to Navigate Complex Supply Chains to Build Trusted IoT Devices" herunter .