Eksperci z serwisu Statista.com szacują, że do 2023 roku do sieci będzie podłączonych 50 miliardów urządzeń IoT. Bezpieczeństwo w procesie szybkiego skalowania Internetu Rzeczy będzie jednym z kluczowych wyzwań stojących przed inżynierami w nadchodzących latach. Co na ten temat mówi nam ostatnie opracowanie OWASP Internet of Things Project TOP10 Fundacji OWASP?.
Fundacja OWASP
Na początek odpowiedzmy sobie na pytanie, kim są eksperci z Fundacji OWASP i czym zajmuje się sama organizacja? Jak możemy przeczytać na stronie OWASP.org:
OWASP to fundacja non-profit, która działa na rzecz poprawy bezpieczeństwa oprogramowania. Poprzez kierowane przez społeczność projekty oprogramowania open source, setki lokalnych oddziałów na całym świecie, dziesiątki tysięcy członków oraz wiodące konferencje edukacyjne i szkoleniowe, Fundacja OWASP jest źródłem dla programistów i technologów do zabezpieczania sieci.
W najnowszym opracowaniu dot. cyberbezpieczeństwa Internetu Rzeczy jednym z kluczowych zagadnień była kwestia wykorzystania protokołów szyfrujących.
Protokoły kryptograficzne w urządzeniach IoT
Podstawą zapewnienia cyberbezpieczeństwa w systemie IoT jest zadbanie o sposób przechowywania danych w urządzeniach i chmurze. Priorytetem jest tu użycie protokołów, które dokonują operacji szyfrowania w warstwie prezentacji.
W zależności od wykorzystywanej wersji współzależności – Open SSL lub serwerów SSH – warto zwrócić uwagę, iż niektóre konfiguracje są szczególnie narażone na cyberataki. Wiąże się to niestety z uzyskaniem dostępu do danych wrażliwych przez niepowołane osoby. Aby ustrzec się przed takimi sytuacjami warto już na etapie wyboru wersji współzależności decydować się przede wszystkim na te, które znane są ze swojej niskiej podatności na zhakowanie.
Zwiększyć bezpieczeństwo w systemie IoT można także dzięki zapewnieniu realizacji operacji szyfrowania danych wyłącznie przez systemy kryptograficzne np. TPM (trusted platform modules) czy HSM (Hardware security modules). Takie rozwiązanie pozwala zapewnić dodatkową warstwę ochronną.
Nawet najlepszy mechanizm kryptograficzny nie będzie skuteczny, jeśli proces zapewnienia poufności danych zostanie wdrożony w sposób nieprawidłowy. Priorytetem powinny być prawidłowa konfiguracja systemów oraz wykluczenie scenariusza renegocjacji połączenia poprzez dewaluację go do schematów ze znanymi podatnościami (Downgrade Cryptographic Attack).
Zgodnie z prawem Gordona Moore’a (jednego z założycieli firmy Intel, pierwszego który przedstawił teorię wykładniczego wzrostu tranzystorów) każda metoda szyfrowania jest skuteczna wyłącznie wtedy, gdy nadąża za wykładniczym wzrostem mocy obliczeniowej Sieci.
Schematy kryptograficzne, które nie nadążają za prawem Moore’a, są powszechnie uznawane za niebezpieczne, w konsekwencji czego wycofuje się je z rynku.
Problemy schematów szyfrowania
Błędy bezpieczeństwa, które zostały wykryte w pierwszych schematach SSL, mowa tu np. o SSlv2 DROWN attack czy SSLv3 – Poodle attack, wynikały przede wszystkim z luk w architekturze tych rozwiązań. Efektem błędów było opracowanie schematów TLS na bazie protokołu SSL.
Teoretycznie najgorszym możliwym rozwiązaniem jest dopuszczenie renegocjacji do formy komunikacji, pomijając szyfrowanie w jakiejkolwiek formie.
Czym jest renegocjacja? Wyobraź sobie, że chcesz umówić się na wizytę u lekarza. Jeśli nie dodzwonisz się do recepcji, istnieje spore ryzyko, że przychodząc w wybranym przez siebie dniu, nie zostaniesz obsłużony. Jeśli recepcjonistka odbierze telefon, istnieje zdecydowanie większa szansa, że zostaniesz przyjęty.
Z protokołami szyfrowania w urządzeniach IoT jest tak samo. Zanim się połączą, na jednej z warstw następuje swego rodzaju “negocjacja połączenia”, która zapewnia protokołom odpowiednie zestawienie. Jeśli klient otrzyma od serwera zapytanie z typem szyfrowania, którego nie obsługuje, rozpocznie się renegocjacja, a on otrzyma propozycję innego typu szyfrowania.
Pojawia się tu jednak ryzyko, ponieważ klient może zaproponować niebezpieczne sposoby szyfrowania lub jego całkowity brak, aby połączyć się z serwerem. Możesz zniwelować to zagrożenie, pozostając bardzo asertywnym w stosunku do klienta po stronie serwera.
Szyfrowanie protokołów w IoT trendem na nadchodzące lata!
Niezastosowanie protokołów szyfrowania w komunikacji w systemach IoT stanowi ogromne zagrożenie. Tworząc system IoT, unikaj jak ognia takich protokołów jak Telnet, FTP, HTTP czy SMTP. Rozważ również zastosowanie technologii VPN, która znacząco podniesie bezpieczeństwo sieciowe oraz poziom prywatności danych.
Jeśli poszukujesz sprawdzonego partnera technologicznego do stworzenia bezpiecznych rozwiązań IoT, umów się na bezpłatną konsultację! Zespół Solwitu zrealizował z sukcesem wiele projektów, które wymagały najwyższego stopnia bezpieczeństwa systemów i chętnie podpowie Ci, jak to zrobić.
