Alles läuft IoT

In fast allen neuen Geräten gibt es ein wenig eingebettete Technologie, die sich mit dem Internet verbindet. Zu den Arten von "Dingen", die internetfähig werden, gehören Teekessel (im Ernst), Turnschuhe (Sneaker) und Fernseher.

Zu den Dingen, die möglicherweise nicht mit dem Internet verbunden sind, aber häufig mit einem lokalen Netzwerk verbunden sind, gehören medizinische Geräte wie Herzschrittmacher und Insulinpumpen. Dieser Trend, sagt Art Dahnert, Managing Consultant bei Synopsys, Inc. , tritt seit mehreren Jahren auf und es sieht nicht so aus, als würde es so schnell aufhören.

Das Problem ist, dass auch im Internet der Dinge (IoT) zu viele Dinge gehackt werden.

Sie müssen nicht lange suchen, um Geschichten über Sicherheitskameras zu sehen, die in ein Botnet verwandelt wurden oder Ihr Fernseher verwendet wurde, um Sie auszuspionieren, oder ein Fitnessmonitor verwendet wurde, um geheime Militärstützpunkte zu identifizieren. Das Problem bei all diesen Angriffen besteht darin, dass die Software, die diese Geräte unterstützt, nicht auf Sicherheit ausgelegt ist. Oft denkt niemand an Sicherheit, bis es zu spät ist und sein IoT-Gerät überall in den Nachrichten ist.

Gefährdete Fahrzeuge

Nirgendwo ist dies offensichtlicher als bei den heutigen Autos. Das moderne Fahrzeug hat heute über 100 CPUs (Co-Prozessor-Einheiten) und verwendet Millionen von Codezeilen. All dieser Code wird benötigt, um fortschrittliche Technologien wie adaptive Geschwindigkeitsregelung, Spurhalteassistent, Selbstpark- und Notbremsfunktionen zu unterstützen, die vor 10 Jahren noch nicht existierten.

Die Kombination aus neuem Code und neuen Funktionen zusammen mit dem Druck auf die Markteinführungszeit bedeutet, dass höchstwahrscheinlich einige Abstriche gemacht wurden – einschließlich der Sicherheitskontrollen. Es ist auch möglich, dass die Sicherheitsanforderungen nicht hoch genug eingeschätzt wurden, um es in das Endprodukt zu schaffen. Was auch immer der Grund ist, die Sicherheit am Anfang nicht einzubeziehen, ein unsicheres Fahrzeug ist reif für Angreifer, um es auszunutzen und die Kontrolle zu übernehmen.

Und genau das ist passiert. Die meisten Bösewichte, die Autosoftware angreifen, versuchen nicht, Tausende von Autos zum Absturz zu bringen, während sie die Straße entlangfahren. Sie werden tun, was Bösewichte tun, Sachen stehlen. Nämlich das Fahrzeug stehlen, oder zumindest was sich im Fahrzeug befindet. Genau das geschah 2016 in Houston, als eine Gang über 30 Jeeps stahl, indem sie die fehlenden Sicherheitskontrollen in der Fahrzeugsoftware ausnutzte.

Was kann getan werden?

Erstens müssen Unternehmen Sicherheit ernst nehmen und Sicherheit von Anfang an in ihre Produkte integrieren, indem sie bewährte Sicherheitspraktiken anwenden. Dies beginnt mit der Schulung des Entwicklungspersonals zum Schreiben sicherer Software und umfasst die Entwicklung oder Verwendung einer Architektur, die Sicherheit in das Gesamtsystem integriert. Es ist eine Sache, sicher geschriebene Module oder Komponenten zu haben, aber wenn das System Daten (Passwörter) im Klartext weitergibt, haben Sie irgendwann immer noch einen Kompromiss.

Neben sicherem Code und sicherer Architektur müssen Unternehmen auch in ein SDLC investieren, das die Sicherheit an bestimmten Stellen des Prozesses integriert. Dazu kann ein Tool zur statischen Codeanalyse gehören, das bei jedem Start eines Builds die Quelle durchsucht. Und schließlich wird häufig eine Sicherheitsbewertung (Eindringungstest) des Produkts durchgeführt, bevor es an die Produktion geliefert wird, um die Sicherheitsanforderungen zu validieren.

Softwaresicherheit ist eine Reise und diese Schritte sind erst der Anfang. Bei allem, was das IoT vorantreibt, muss jedes „Ding“ im Internet der Dinge sicher sein.

Der Autor dieses Blogs ist Art Dahnert, Managing Consultant bei Synopsys, Inc.

Über den Autor:

Art Dahnert ist ein Informationssicherheitsberater mit mehr als 19 Jahren Erfahrung in der Informationstechnologie mit über 9 Jahren in Anwendungspenetrationstests. Herr Dahnert hat Hunderte von Sicherheitsrisikobewertungen, Penetrationstests und Schwachstellenbewertungen von Webanwendungen, Desktopanwendungen und mobilen Anwendungen abgeschlossen.

Er hat die Sicherheit von Systemen und Infrastrukturen bewertet, die von klein bis groß reichen, einschließlich; einfache Webanwendungen, große Enterprise-Banking-Anwendungen und voll funktionsfähige US-Militär-spezifische Bereitstellungssysteme.