GlobalSign Blog

13 Jan 2016

Die Dreieinigkeit der Sicherheit im IoE

Verbundene Geräte, Internet of Things, Internet of Everything sind alle auf dem Vormarsch. Auf die eine oder andere Weise sind unsere alltäglichen Hilfsmittel und Geräte, die wir verwenden, aus dem einen oder anderen Grund mit dem Internet verbunden. Die Community der Informationssicherheit prophezeit Gewitterwolken, Tsunamis oder Hurrikanes am Horizont, wenn die Anzahl der verbundenen Geräte weiter explodiert. Diese Sorge ist gerechtfertigt, wie frühere Beispiele gezeigt haben. Hersteller und Händler beeilen sich, Konnektivität in Geräte einzubauen, und übersehen dabei sogar manchmal die offensichtlichsten Sicherheitsmaßnahmen.

PKI als Basis des Vertrauens

Das Internet hat bereits ein funktionierendes Trust Framework - PKI. Sie sehen es täglich, wenn Sie Geschäfte online durchführen. Schauen Sie sich einfach die Browser-Adresszeile an, und wenn Sie ein grünes Feld auf der linken Seite sehen, können Sie zu 99,9999 % sicher sein, dass es sich um die richtige Website handelt. Warum nicht 100%? - Nun, ich bin ein Infosec-Profi und weiß daher, dass jedes System geknackt werden kann, wenn genug Zeit und Ressourcen vorhanden sind. Der Punkt ist, dass PKI und ordnungsgemäß überprüfte Zertifikate die Bausteine für eine vertrauenswürdige Infrastruktur sind.

Zertifikate zur Authentifizierung und Verschlüsselung

Ein Zertifikat kann dazu verwendet werden, etwas zu identifizieren: Gerät, Anwendung, Server, Person, usw.. Das Vertrauen ist in der Zertifizierungsstelle (CA) verankert, die das Zertifikat ausgestellt und signiert hat. Es gibt viele vertrauenswürdige Zertifizierungsstellen weltweit. GlobalSign ist eine davon. Täglich vertrauen Millionen Internet-Nutzer auf unsere Zertifikate.

Im IoT sind Zertifikate, neben anderen, sehr gute Alternativen, um Geräte zu identifizieren. Wenn ein Hersteller ein Gerät produziert, sollte ein Gerätezertifikat für das Gerät selbst ausgestellt werden, vorzugsweise in einer manipulationssicheren Umgebung. Das Zertifikat der ausstellenden CA muss auch installiert werden. Damit kann das Gerät durch Code Signing-Zertifikate ermitteln, ob ein Softwareupdate installiert werden kann. Wenn das Gerät mit den Anbietersystemen kommuniziert, werden Zertifikate verwendet, um die kommunizierenden Parteien zu identifizieren und zur Verschlüsselung der Daten.

Das Sichern der Gerätekommunikation ist der erste Schritt. Das Sichern des Benutzerzugangs zu einem Gerät wäre der nächste Schritt. Und dies ist ein Teil, mit dem viele Anbieter immer noch zu kämpfen haben. Geräte werden mit Standardpasswörtern ausgeliefert. Benutzer sind nicht gezwungen, diese Anmeldeinformationen zu ändern. Und deswegen wird oft nichts dagegen getan, um sie davon abzuhalten, "Passwort1" zu verwenden. Das Passwort selbst ist bereits eine schlechte Wahl. Wir besitzen bereits zu viele davon, und wenn die Anzahl der verbundenen Geräte wächst, werden wir frustriert, wenn wir auch noch eine Reihe von Passwörtern für jedes unserer verbundenen Geräte erstellen und pflegen müssen.

Alternativ könnte das Gerät neue Protokolle, wie OAuth, unterstützen, um Unterstützung für Authentifizierungsquellen von Drittanbietern, von sozialen Identitäten bis hin zu vertrauenswürdigen Identitäten, einfach zu implementieren. Installation und Aktivierung des Geräts könnte über ein Anbieterportal durchgeführt werden, bei dem der Eigentümer seine vorhandene Identität mit dem Gerät verknüpft. Im Wesentlichen würde er das Gerätezertifikat an die Benutzeridentität koppeln. Die einfache Nutzung und Benutzererfahrung sind der Schlüssel. Wenn Benutzer ihre vorhandenen Identitäten für den Zugang zu Geräten nutzen können oder die Daten, die sie mit etwas Vertrautem und Einfachem generiert haben, wird dies die Zufriedenheit erhöhen. Identity & Access Management (IAM) Lösungen bieten diese Möglichkeiten für das IoT.

In einigen Fällen gibt es mehrere Benutzer für ein Gerät, aber in der Regel nur einen Eigentümer. Der Eigentümer sollte also andere autorisieren können, verschiedene Dinge zu erreichen. Ein Smart-Lock ist ein gutes Beispiel. Der Eigentümer des Schlosses, sagen wir der Vater, muss andere Identitäten (zum Beispiel die Kinder) autorisieren, das Schloss zu öffnen. Nicht nur Familienmitglieder, sondern vielleicht auch ein Elektriker, ein Freund der Familie, usw. Vielleicht ist der Kühlschrank der Familie 'smart' und er ist mit dem Internet und Ihrem lokalen Online-Lebensmittelladen verbunden. Der Vater muss also andere Familienmitglieder autorisieren, Artikel für die nächste Lieferung zu bestellen. Er muss aber evtl. auch diese Bestellungen einschränken, um zu vermeiden, dass der Gefrierschrank nicht nur mit Eis gefüllt wird. Verbundene Geräte und Online-Dienste, die mit diesen Geräten verlinkt sind, benötigen flexible Autorisierungsfunktionen.

Die Dreieinigkeit? Autorisierung - Identität - Gerätesicherheit - AIG

GlobalSign vereint hochvolumige PKI-Technologien mit einer preisgekrönten IAM-Lösung, um allen IoT-Interessengruppen ein umfassendes Paket anzubieten, das ihre Lösung sichert, die Kundenerfahrung und -zufriedenheit verbessert und die Skalierbarkeit gewährleistet. Sprechen Sie noch heute mit uns, um mehr zu erfahren.

Artikel teilen

Jetzt Blog abonnieren