Warum ein globaler Standard für Consumer IoT Security essenziell ist

Während sich das Internet of Things (IoT) ausdehnt, sind alltägliche Objekte in unseren Homes zunehmend mit dem Web verbunden, was neue Entry Points für Cyber-Angriffe und potenzielle Privacy Breaches schafft.

Alex Leadbeater, Chairman von ETSIs Cyber Security Technical Committee (TC CYBER), notiert einen rising tide von Consumer-IoT Incidents in recent years. Beispielsweise deckten Security Researchers auf, dass der Smart Home Hub ZipaMicro den gleichen Private Key across allen Units wiederverwendete und Hardcoded Passwörter hatte, was Angreifern erlaubte, Devices zu unlocken, die als sicher galten.

Risiken erstrecken sich über Home Hubs hinaus. Connected Toys können Kameras und Mikrofone beherbergen, die remote zugegriffen werden können; viele setzen nun auf Bluetooth, eine bekannte Vulnerability. Smarte Speaker wie Amazons Echo exponieren private Gespräche potenzielles Eavesdropping.

Vendors patchen neue Devices typischerweise schnell, aber Delays können existierende Units exponieren, und Recall Practices bleiben inkonsistent. Regierungen steigen ein mit Legislation: UK konsultiert neue Gesetze, die Product Labelling und Minimum Security Standards mandatieren könnten, während Kalifornien bereits Generic Default Passwörter verboten hat. Datenschutzregulierungen – wie die EU GDPR – apply auch auf jegliche gespeicherte persönliche Information.

Für Manufacturer ist das Versöhnen disparater internationaler Requirements in einem fast-moving Market herausfordernd. Ein unified, Outcome-fokussiertes Framework würde Compliance straffen und Innovation fördern.

ETSI TS 103 645: Ein globaler Benchmark für Consumer IoT Security

ETSI hat TS 103 645 released, den ersten globalen Standard spezifisch für Consumer-IoT Security. Statt exakte Methods vorzuschreiben, definiert der Standard Security Outcomes, was Companies die Flexibilität gibt, die effektivsten Solutions für ihre Products zu wählen.

Er deckt eine breite Array von Devices ab – Connected Toys, Wearable Fitness Tracker, Smart Assistants, TVs, Door Locks und Home Automation Systems – und setzt eine Common Baseline für Protection.

Wesentliche Device Requirements

• Einzigartige, Non-Default Passwörter, die nicht auf Factory Setting zurückgesetzt werden können.
• Sichere Speicherung aller sensitiven Daten, sowohl auf Device als auch in associated Cloud Services.
• Keine Hardcoded Credentials, die leicht extrahiert werden könnten.
• Klare, User-freundliche Instruktionen für Data Deletion auf Request.
• Umfassende Dokumentation für Installation und täglichen Gebrauch.
• End-to-End Encryption aller Data in Transit, mit Safeguards gegen Encryption Attacks.

Zusätzliche Engineering Practices umfassen: Unused Ports und Software schließen, alle Inputs validieren zur Verhinderung von Exploitation Out-of-Range Values, Hardware-basierten Secure Boot implementieren und Graceful Handling von Power oder Network Interruptions sicherstellen.

Vendor Responsibilities

Hersteller müssen Vulnerabilities proaktiv identifizieren und remediieren, und sichere Over-the-Air Updates für ihre Device Firmware und Software facilitate.

Consumer Confidence aufbauen

Durch Adhärenz zu ETSI TS 103 645 können Vendors Expertise demonstrieren, Customer Privacy schützen und das Risiko kostspieliger Breaches und Reputational Damage mindern. Der Standard bietet Konsumenten Reassurance, dass ihre vernetzten Devices strenge Security und Privacy Kriterien erfüllen.

Sie können den ETSI Standard hier lesen

Der Autor ist Alex Leadbeater, Chairman, ETSI Cyber Security Technical Committee (TC CYBER).