So sichern Sie IoT-Geräte: IoT-Sicherheitsanforderungen

Die wichtigsten Anforderungen an jede IoT-Sicherheitslösung sind:

• IoT-Geräte- und Datensicherheit, einschließlich Authentifizierung von Geräten sowie Vertraulichkeit und Integrität von Daten
• Implementierung und Ausführung des Sicherheitsbetriebs im IoT-Maßstab
• Erfüllung von Compliance-Anforderungen und Anfragen
• Erfüllung der Leistungsanforderungen gemäß dem Anwendungsfall

IoT-Sicherheitslösungen müssen die unten aufgeführten Funktionsblöcke als miteinander verbundene Module und nicht isoliert implementieren, um die Anforderungen an IoT-Skalierung, Datensicherheit, Gerätevertrauen und Compliance-Anforderungen zu erfüllen.

• Vertrauen in IoT-Geräte: Einrichten und Verwalten von Geräteidentität und -integrität
• Vertrauen in IoT-Daten: Richtliniengesteuerte End-to-End-Datensicherheit, Datenschutz von der Erstellung bis zum Verbrauch
• Operationalisierung des Vertrauens: Automatisierung und Anbindung an die standardbasierten, bewährten Technologien/Produkte. Z. B. PKI-Produkte.

Um sicher am IoT teilnehmen zu können, benötigt jedes angeschlossene Gerät eine eindeutige Identifität – noch bevor es eine IP-Adresse hat. Dieser digitale Berechtigungsnachweis bildet die Vertrauensbasis für die gesamte Lebensdauer des Geräts, vom ersten Design über die Bereitstellung bis zur Stilllegung.

Da IoT-Implementierungen auf Tausende oder Millionen von Geräten ausgeweitet werden, werden diese Identitäten zu einem entscheidenden Kontrollpunkt für die Gewährleistung von Sicherheit, Verfügbarkeit und Compliance. Die Verwaltung dieser Zugangsdaten über ihre gesamte Lebensdauer hinweg ist von entscheidender Bedeutung.

Entrust verwendet nShield Hardware-Sicherheitsmodule (HSMs), kombiniert mit unterstützenden Sicherheitsanwendungen von Technologiepartnern von Entrust. So können Hersteller jedem Gerät eine eindeutige Identität geben und dabei von der starken verfügbaren kryptographischen Verarbeitung, vom Schlüsselschutz und der sicheren Schlüsselverwaltung profitieren. Ein digitales Zertifikat ist Teil von jedem Gerät, um Folgendes zu ermöglichen:

• Authentifizierung jedes Geräts, das in der Architektur der Organisation implementiert wird
• Überprüfung der Integrität des Betriebssystems und der Anwendungen auf dem Gerät
• Sichere Kommunikation zwischen Geräten, Gateway und Cloud
• Autorisierte Software- und Firmware-Updates, basierend auf freigegebenem Code

Eine Reihe von Organisationen haben Sicherheitsrichtlinien für das IoT entwickelt. z. B.

• IoT Security Foundation: „Best Practice Guidelines“
• Open Web Application Security Project (OWASP): „Security Guidance“
• Groupe Spéciale Mobile Association (GSMA): „GSMA IoT Security Guidelines & Assessment“
• US-amerikanisches Department of Commerce National Institute of Standards and Technology’s (NIST): Special Publication 800-160 („Guidance“) zur Implementierung von Sicherheit in IoT-Geräten
• Cloud Security Alliance (CSA): „Future Proofing the Connected World: 13 Step to Developing Secure IoT Products“

Eine starke IoT-Geräteauthentifizierung ist erforderlich, um sicherzustellen, dass den angeschlossenen Geräten im IoT vertraut werden kann. Folglich benötigt jedes IoT-Gerät eine eindeutige Identität, die authentifiziert werden kann, wenn das Gerät versucht, sich mit einem Gateway oder zentralen Server zu verbinden. Mit dieser eindeutigen ID können Sie jedes Gerät während seines gesamten Lebenszyklus verfolgen, sicher mit ihm kommunizieren und verhindern, dass es schädliche Prozesse ausführt. Wenn ein Gerät ein unerwartetes Verhalten aufweist, können Administratoren ihm einfach seine Berechtigungen entziehen.

IoT-Prozesse, die durch ungesicherte Fertigungsprozesse entstehen, bieten Kriminellen die Möglichkeit, Produktionsläufe zu verändern, um nicht autorisierten Code einzuführen oder zusätzliche Einheiten zu produzieren, die anschließend auf dem Schwarzmarkt verkauft werden.

Eine Möglichkeit, Fertigungsprozesse abzusichern, ist die Verwendung von Hardware Security Modules (HSMs) und unterstützender Sicherheitssoftware, um kryptografische Schlüssel und digitale Zertifikate zu verwenden und die Anzahl der erstellten Einheiten und den enthaltenen Code zu kontrollieren.

Um Unternehmen, Marken, Partner und Benutzer vor Software zu schützen, die mit Malware infiziert wurde, haben Softwareentwickler das Code Signing eingeführt. Im IoT stellt das des Code Signing im Software-Release-Prozess die Integrität von IoT-Gerätesoftware und Firmware-Updates sicher und schützt vor den Risiken, die mit der Manipulation von IoT-Softwarecode oder Code verbunden sind, der von den Unternehmensrichtlinien abweicht.

In der Public-Key-Kryptographie stellt die Codesignierung eine spezielle Verwendung zertifikatsbasierter digitaler Signaturen dar, die es einer Organisation ermöglicht, die Identität des Softwareherausgebers zu überprüfen und zu bescheinigen, dass die Software seit ihrer Veröffentlichung nicht verändert wurde.

Heute sind weltweit mehr Geräte online als Menschen auf der Erde, und jedes einzelne benötigt eine vertrauenswürdige digitale Identität, um sicher zu funktionieren. Da Unternehmen ihre Geschäftsmodelle transformieren, führt die schnelle Einführung von IoT-Technologien zu einer steigenden Nachfrage nach einer Internet of Things Public Key Infrastructure (IoT PKI). PKI ermöglicht die Ausstellung digitaler Zertifikate für Geräte, Anwendungen sowie die darauf ausgeführte Software und Firmware.

Mit dem Ausbau der IoT-Ökosysteme hat sich PKI zu einem entscheidenden Kontrollpunkt für die Sicherung von Geräteidentitäten entwickelt. Angesichts von Millionen vernetzter Geräte und einer stetig wachsenden Anzahl von Maschinenidentitäten müssen Unternehmen Zertifikate in großem Maßstab verwalten, zumal sich die Lebensdauer auf 47 Tage verkürzt und die Umgebungen immer komplexer werden.

Sichere IoT-Implementierungen erfordern nicht nur das Vertrauen, dass die Geräte authentisch und echt sind, sondern auch das Vertrauen, dass die von ihnen erfassten Daten echt sind und nicht verändert wurden. Wenn man den IoT-Geräten und den Daten nicht vertrauen kann, macht es keinen Sinn, Daten zu sammeln, Analysen durchzuführen und Entscheidungen auf Basis der gesammelten Informationen zu treffen.

Die sichere Einführung des IoT erfordert Folgendes:

• Gegenseitige Authentifizierung zwischen verbundenen Geräten und Anwendungen
• Wahrung der Integrität und Vertraulichkeit der von Geräten erfassten Daten
• Sicherstellung der Legitimität und Integrität der auf Geräte heruntergeladenen Software
• Wahrung des Schutzes sensibler Daten vor dem Hintergrund strengerer Sicherheitsvorschriften

Mit der zunehmenden Verbreitung von IoT-Anwendungen müssen diese Funktionen in großen, mitunter fragmentierten Infrastrukturen einheitlich umgesetzt werden. Ohne zentralisierte Transparenz, Automatisierung und Governance setzen sich Unternehmen dem Risiko von zertifikatsbedingten Ausfällen, Sicherheitslücken und Compliance-Problemen aus. Daher ist ein modernes IoT-PKI-Management für einen sicheren und skalierbaren Betrieb unverzichtbar.