Sicherung von IoT-Geräten für Verbraucher:Warum ein globaler Standard erforderlich ist

Für Verbraucher bedeutet das Wachstum des Internets der Dinge (IoT), dass immer mehr Gegenstände in ihrem Zuhause mit dem Internet verbunden sind und potenziell durch Cyberangriffe oder die Offenlegung personenbezogener Daten bei Datenschutzverletzungen gefährdet sind.

In den letzten Jahren, sagt Alex Leadbeater, Vorsitzender von ETSI Cyber ​​Security Technical Committee (TC CYBER) gibt es immer mehr Berichte über diese Art von IoT-Problemen für Verbraucher. Sicherheitsforscher haben beispielsweise kürzlich herausgefunden, dass ZipaMicro , ein Smart-Home-Hub, verwendet in jedem Hub den gleichen privaten Schlüssel, der in den Geräten fest codiert ist. In Kombination mit verschlüsselten Passwörtern, die sie im Internet fanden, ermöglichte dies den Forschern, vom Hub kontrollierte Schlösser zu öffnen.

Zu den gefährdeten Geräten gehören vernetzte Spielzeuge, die durchaus Kameras und Mikrofone enthalten können, auf die aus der Ferne zugegriffen werden kann. Neben Angriffen über das Internet verwenden einige Spielzeuge jetzt auch Bluetooth, was eine potenzielle Schwachstelle darstellt. Intelligente Lautsprecher wie Amazon 's Echo, sind auch anfällig für Hacker, die private Gespräche mithören.

Diese Art von Problemen wird normalerweise schnell von Geräteherstellern behoben, sobald sie bei neuen Produkten benachrichtigt wurden, aber das kann zu spät sein und es gibt einen inkonsistenten Ansatz zur Behebung oder zum Rückruf bereits auf dem Markt befindlicher Produkte. Regierungen versuchen, Gesetze zu erlassen, die höhere Standards vorschreiben – das Vereinigte Königreich berät beispielsweise zu neuen Gesetzen, die eine obligatorische Kennzeichnung von Produkten und Mindeststandards beinhalten können. Die USA liegen nicht weit dahinter, wobei Kalifornien bereits generische Standardpasswörter verbietet. Dann gibt es in Bezug auf den Datenschutz Gesetze wie die DSGVO der EU, die für alle gespeicherten personenbezogenen Daten gelten.

Dies kann Produktanbietern jedoch das Leben schwer machen – wie können sie sicherstellen, dass sie in einem sich schnell ändernden Markt, in dem noch Vorschriften definiert werden, in verschiedenen Ländern unterschiedliche Anforderungen kostengünstig erfüllen?

Standard bietet Sicherheitsempfehlungen

Um dieses Problem anzugehen, hat ETSI kürzlich ETSI TS 103 645 angekündigt, den ersten globalen Standard für Verbraucher-IoT-Sicherheit. Der neue Standard zielt darauf ab, einen Maßstab dafür zu setzen, wie Unternehmen alle Verbraucherprodukte schützen sollten, die mit dem Internet verbunden werden, und Best Practices zu fördern.

Gleichzeitig wurde es mit einem Fokus auf Ergebnisse und nicht auf spezifische Methoden geschrieben, was bedeutet, dass genügend Flexibilität vorhanden ist, um es Unternehmen zu ermöglichen, innovativ zu sein und die beste Lösung für ihre jeweiligen Produkte zu finden. Der Standard zielt darauf ab, die Anforderungen einer breiten Palette vernetzter Geräte zu erfüllen, darunter Spielzeug, tragbare Fitness-Tracker, Smart-Home-Assistenten, Smart-TVs, Türschlösser und Heimautomatisierungssysteme.

Schauen wir uns die Ratschläge im neuen ETSI-Standard an und wie er vernetzte Verbrauchergeräte sicherer macht.

Geräteanforderungen

Zunächst einmal besagt der Standard, dass alle Gerätepasswörter eindeutig sein müssen – wodurch das Problem überwunden wird, dass heute viele Produkte mit einem Standardbenutzernamen und einem Standardkennwort verkauft werden, die Benutzer oft nicht ändern. Es sagt auch, dass es unmöglich sein sollte, das Passwort auf einen Standard zurückzusetzen. Es ist überraschend, dass viele Produkte auf dem Markt diese oder andere grundlegendere Anforderungen bereits in der neuen Norm nicht erfüllen.

Der Schutz personenbezogener Daten ist ein wichtiger Bestandteil des Standards und erfordert die sichere Speicherung aller sensiblen Informationen – sowohl auf den Geräten selbst als auch in zugehörigen Diensten, beispielsweise in der Cloud. Geräte dürfen keine hartcodierten Anmeldeinformationen haben, da diese relativ leicht zu erkennen sind.

Die Produkte müssen es den Verbrauchern mit klaren Anweisungen leicht machen, ihre personenbezogenen Daten zu löschen, wenn sie dies wünschen. Ebenso müssen die Installation und Nutzung von IoT-Geräten einfach und gut dokumentiert sein. Auch bei der Übermittlung müssen Daten geschützt und verschlüsselt werden. Geräte müssen einen geeigneten Schutz vor Angriffen auf die Verschlüsselung bieten.

Alle angeschlossenen Geräte müssen der guten Sicherheitstechnik folgen, z. B. das Schließen nicht verwendeter Software und Netzwerkports, um das Angriffsrisiko zu minimieren. Alle eingegebenen Daten sollten validiert werden, um Exploits wie die Verwendung von Werten außerhalb des zulässigen Bereichs zu verhindern. Die Geräte müssen auch in der Lage sein, ihre Software mithilfe eines hardwarebasierten sicheren Boot-Mechanismus zu überprüfen und Strom- oder Netzwerkausfälle erfolgreich zu bewältigen.

Neben den Anforderungen an die Geräte selbst stellt der ETSI-Standard spezifische Anforderungen an die Produktanbieter. Dazu gehört das schnelle Aufspüren und Beheben von Schwachstellen.

Und die Gerätesoftware muss einfach und sicher aktualisiert werden können.

Das Vertrauen der Verbraucher stärken

Verbraucher sind zu Recht besorgt über die IoT-Sicherheit. Der neue Standard ist eine unschätzbare Möglichkeit für Anbieter, das Vertrauen ihrer Kunden wiederherzustellen. Durch Befolgen der Richtlinien können Hersteller sicherstellen, dass ihre Produkte ein angemessenes Maß an Sicherheit und Datenschutz erfüllen. Dies bedeutet, dass Kunden geschützt sind und Unternehmen kostspielige Sicherheitsverletzungen und die Auswirkungen negativer Werbung vermeiden können.

Noch wichtiger ist, dass der ETSI-Standard für Verbraucher eine entscheidende Veränderung darstellt, die ihnen die Gewissheit gibt, dass ihre Sicherheit, Privatsphäre und Sicherheit durch die Verwendung verbundener Geräte nicht gefährdet werden.

Sie können den ETSI-Standard hier lesen

Der Autor ist Alex Leadbeater, Vorsitzender des ETSI Cyber ​​Security Technical Committee (TC CYBER).