Kaspersky Lab »Embedded Security« im IoT-Zeitalter

Sicherheitskritische Aspekte von IoT-Anwendungen werden im Kontext industrieller Steuerungssysteme diskutiert. Einfache Verhaltensregeln und eingebettete Software können die IoT-Sicherheit wesentlich erhöhen.

Das Internet der Dinge (IoT) beschreibt ein scheinbar unendlich großes Anwendungsfeld an »Gadgets«, Technologien, Software und Protokollen, die untereinander und mit dem Internet kommunizieren. Der analoge Begriff für die Wirtschaft »Industrie 4.0« (oder »industrial IoT«, kurz: iIoT) erweitert das Internet der Dinge noch um Automatisierung und das Daten- und Dienstnetz. Laut Branchenverband Bitkom kann auch der Wirtschaftsstandort Deutschland kräftig von der vierten industriellen Revolution profitieren und schätzt, dass bis 2025 allein in sechs volkswirtschaftlich relevanten Branchen Produktivitätssteigerungen in Wert von ca. 78 Mrd. Euro möglich sind [1]. Die potenzielle Cyberangriffsfläche aber steigt drastisch mit der Anzahl untereinander verbundener Dinge und Dienste.

»Build-in-Security«

In der Regel werden IoT-Anwendungen auf verbreiteten Betriebssystemen aufgebaut. Diese Betriebssysteme haben für ein vernetztes Gerät meistens zu viel Funktionalität. Oft fehlt das Bewusstsein, um die unterschiedlichen vorhandenen Schwachstellen zu sichern, die vom Design, unzulänglicher Implementierung und/oder unsachgemäßer Nutzung herrühren. Unter dieser Voraussetzung kann das Internet der Dinge nur über einen »Built-in«-Ansatz abgesichert werden. Dies bedeutet IoT-Sicherheitsrichtlinien, die sich von denen für Unternehmensnetze unterscheiden. Es geht weniger um die Verhinderung unbefugten Informationszugangs, um Datendiebstahl oder um DDoS-Attacken, vielmehr sollen »Thing-Level«-Attacken vermieden werden. Dies sind Angriffe, die das physische Gefahrenpotenzial ausnutzen oder physische Konsequenzen bewirken. Effektive Sicherheitsrichtlinien für das Internet der Dinge müssen wegen der heterogenen Umgebung so anpassungsfähig wie möglich sein. Sicherheitsforscher haben bereits spezielle IoT-Sicherheitsmodelle vorgestellt, bei denen die Geräte strikte Zugangskontrollen durchführen (ähnlich zur rollenbasierten Zugangskontrolle) oder über befähigungsbasierte Ansätze geschützt werden.

Sicherheitstipps für das Internet der Dinge

IoT-Anbieter verfügen häufig über wenig Security-Erfahrung und unterschätzen die zahlreichen IT-Probleme. Nur selten ist eine Update-Strategie zur Behebung der Sicherheitslücken gesetzt. Firmen müssen den Sicherheitsaspekt trotz Veränderungen nachhaltig betreuen. Industrielle Steuerungssysteme waren aus historischen Gründen nie auf Internetverbindung ausgelegt.

Ein weiteres Problem: Viele Entwickler nutzen »Open-Source«-Bibliotheken, etwa zur SSL-Programmierung. Die Unternehmen müssen Sicherheitsaktualisierungen dieser Bibliotheken übernehmen und an den Nutzer weitergegeben. Sonst drohen ernsthafte Konsequenzen. Angreifer suchen zunächst den einfachsten Weg und greifen die am wenigsten gesicherte Komponente an.

Verantwortliche sollten im IoT-Bereich daher folgende Sicherheitstipps beachten:

»Security-by-Design« und sichere Entwicklung gemäß ISO 27034, dem »Microsoft-Security-Development-Lifecycle« oder den owasp-Top-10-Listen sollte Standard sein.
Einsatz stärkerer Passwörter, Verzicht auf Standardpasswörter wie 1234.
Passwörter niemals im Klartext systemseitig speichern (Hash- und Saltverfahren).
Nur moderne WLAN-Sicherheitsverfahren nutzen (WPA2 als Standard, kein WEP).
Langfristige Update-Strategie zum Schließen von Sicherheitslücken auf Endgeräten und »Back-End«.
Kryptografieschlüssel nicht im Code ablegen, sondern in spezieller Hardware wie TPM- oder Cryptochips.
Verschlüsselte Verbindung zum Back-End mit Schlüsseltausch und Passwort-/Zertifikatverifizierung, um Mittelsmannattacken zu verhindern.
Bewährte Standards, Rahmenstrukturen und Bibliotheken nutzen (Verschlüsselung nicht selbst programmieren).
»Least-Privilege«-Prinzip: Rechte auf die zentralen Funktionen beschränken.