GUEST BLOGGER Vincent Van Gogh soll gesagt haben: „Große Dinge entstehen wenn eine Reihe von kleinen Dingen zusammengeführt werden.“ Das ist gleichzeitig eine treffende Beschreibung für das Internet der Dinge (IoT), wo viele kleine Dinge zusammenkommen, um das zu schaffen, von dem wir uns große Veränderungen für unser privates und geschäftliches Leben erhoffen. In diesem Blog und im begleitenden Interview im Thales Blog mit unserem Kollegen Daniel Hjort diskutieren wir die Herausforderungen, vor denen die Industrie steht, um den sicheren Einsatz und das Management von IoT-Technologien zu gewährleisten.
Um die hoch gesteckten Ziele zu erreichen, müssen im IoT nicht nur viele kleine Dinge zusammengeführt und ihre Verbindungen sorgfältig aufeinander abgestimmt werden. Es geht auch darum, zu gewährleisten, dass ihre Integrität und die von ihnen gesammelten Daten sicher und vertrauenswürdig bleiben. Diese Ansicht wird auch von führenden Industrie-Unternehmen geteilt. Maciej Kranz, Cisco Vice President for Strategic Innovation, schreibt für IoTechExpo.com: „[2018] wird IoT-Sicherheit die Priorität Nummer 1 für Unternehmen werden“. Damit das Internet der Dinge die großen Erwartungen erfüllen kann, müssen Unternehmen ihren vernetzten Geräten vertrauen. Sie müssen außerdem sicher sein, dass die gesammelten Daten echt und unverändert sind sowie sicher und vertraulich behandelt werden.
Sehen Sie das gemeinsame Webinar von Thales und Nexus an: „Enabling Trusted Identities for the Internet of Things.“
Da immer mehr vernetzte Geräte in IoT-Umgebungen eingesetzt werden, müssen Unternehmen diese identifizieren und authentifizieren. In der Regel erhalten IoT-Geräte dafür bei ihrer Herstellung ihre ursprüngliche Identität in Form einer „digitalen Geburtsurkunde“. Deshalb ist die Produktion auch das erste kritische Glied in der Kette, um Vertrauen im gesamten IoT zu schaffen. Die Absicherung des Herstellungsprozesses von IoT-Geräten umfasst drei Schritte:
- Kontrolle der Produktionsabläufe, um die Legitimität der Produkte zu gewährleisten und Fälschungen zu verhindern.
- Integration von „digitalen Geburtsurkunden“ zur Geräteidentifikation und -authentifizierung
- Digitales Signieren von Software und Firmware zur Gewährleistung der Integrität und zum Schutz vor Malware
Steuerung von Produktionsabläufen
Der erste Schritt, die Kontrolle der Produktion von IoT-Geräten während ihrer Herstellung, ist unerlässlich, um sicherzustellen, dass nur legitime Geräte in den Markt und die IoT-Umgebungen der Kunden gelangen. Die unbefugte Herstellung von Geräten, die vorgeben etwas zu sein was sie nicht sind und die damit möglicherweise kriminelle Absichten verfolgen, lässt sich beispielsweise durch den Einsatz digitaler Zähler verhindern, die Produktionsabläufe limitieren. Diese Maßnahmen schützen nicht nur die späteren Installationen, sondern auch das geistige Eigentum und den wirtschaftlichen Erfolg sowohl der Lizenzgeber als auch der Hersteller. Aber wie kann man sicherstellen, dass jedes produzierte Gerät eine individuelle Identität erhält? Diese Frage führt uns zum zweiten Schritt.
„Injizieren“ von digitalen Geburtsurkunden
Die Injektion einer digitalen Geburtsurkunde ermöglicht das, was Daniel Hjort bei Nexus (Interview lesen ) als „Transportidentität“ bezeichnet. Damit kann jedes Gerät einzeln identifiziert und später in IoT-Umgebungen eingesetzt werden. Ein Beispiel aus der analogen Welt: Bei der Geburt erhalten wir einen Nachweis, der von einer vertrauenswürdigen Behörde ausgestellt wird – die Geburtsurkunde. Diesen können wir später unter anderem für die Anmeldung an einer Schule verwenden. Da dieses „Zertifikat“ von einer vertrauenswürdigen Behörde ausgegeben wurde, bescheinigt es den zuständigen Mitarbeitern in der Bildungseinrichtung, dass wir in diesem Zusammenhang tatsächlich die sind, für die wir uns ausgeben. Wenn dieser Nachweis vorliegt, kann das System uns akzeptieren. So ähnlich funktioniert das auch in IoT-Umgebungen. Aber was passiert mit Geräten im Verlauf ihres Lebenszyklus, nachdem sie Teil eines IoT-Ökosystems geworden sind? Hier kommen wir zum dritten Schritt.
Digitales Signieren von Softwarecode
Das Signieren aller Software und Firmware sichert die Integrität und schützt vor Malware und ist die Voraussetzung für ein kontinuierliches, sicheres Lebenszyklus-Management von IoT-Geräten. Software- und Firmware-Updates gehören heute zum Alltag. Häufig werden sie in der Nacht durchgeführt, um den laufenden Betrieb nicht zu unterbrechen. Diese Updates sorgen für einen reibungslosen Betrieb und werden häufig für die Eliminierung potenzieller Sicherheitslücken verwendet. Sie bieten aber auch eine Chance für Attacken, wobei Malware und Viren in ein ansonsten geschlossenes und vertrauenswürdiges Ökosystem eingeschleust werden können.
Mit Code Signing können Geräte automatisch überprüfen, ob die Aktualisierungen authentisch sind und aus vertrauenswürdigen Quellen stammen.
Das IoT von Grund auf sichern
Thales eSecurity und unser Technologiepartner Nexus tragen dazu bei, das IoT von Grund auf zu sichern – und das beginnt bei der Herstellung von IoT-Geräten. Als führender Anbieter von Sicherheitslösungen für Identity- und Access-Management-Lösungen bietet Nexus die flexible und skalierbare Certificate of Authority (CA) Software, mit der Kunden elektronische Identitäten für Geräte und Dienste in beliebigen IoT-Anwendungen registrieren, ausgeben und verwalten können. Kombiniert mit Thales eSecurity Hardware-Sicherheitsmodulen (HSM), die die zugrunde liegenden kryptographischen Schlüssel schützen und verwalten, bietet Nexus Lösungen und Services zur Sicherung des IoT. Weitere Informationen finden Sie bei Thales und Nexus.
Van Gogh hätte sich nicht vorstellen können, welche Wunder wir mit dem IoT heute schaffen können. Doch er hat verstanden, dass viele Pinselstriche das Wunder einer Sternennacht zaubern können. Lesen Sie zu diesem Thema auch das Interview mit Daniel Hjort: „Understanding IoT Security Challenges – An Interview with an Industry Expert.“ Er ist in diesem Monat Gast-Blogger bei Thales.
Sehen Sie das gemeinsame Webinar von Thales und Nexus an: „Enabling Trusted Identities for the Internet of Things.“