Sicherheit erschließt das wahre Potenzial des IoT

Noch vor wenigen Jahren beschäftigten sich die Hersteller des Internets der Dinge (IoT) hauptsächlich mit Hardware und nicht mit Software. Heute, sagt Richard Hayton, CISO, Trustonic , IoT-Appliances haben sich drastisch verändert, wobei Software an Bedeutung gewinnt und in Bezug auf verbraucherbezogene Anwendungen wächst.

Heutzutage wird der Begriff „IoT“ hauptsächlich für verbraucherorientierte Anwendungen verwendet:Dazu gehören unter anderem vernetzte Fahrzeuge, Wearable Technology und Connected Health. Laut Statista , prognostizieren Zahlen, dass der IoT-Markt für Endbenutzerlösungen bis 2025 auf rund 1,6 Billionen US-Dollar (1,31 Billionen Euro) anwachsen wird.

Endbenutzerlösungen sind jedoch nicht der einzige Markt für das Internet der Dinge. Auch organisatorische und industrielle Anwendungen von IoT-Geräten sind auf dem Vormarsch, insbesondere in der Fertigung und im Gesundheitswesen.

Sicherheit und IoT

Da die Vielfalt der IoT-Anwendungen immer größer wird, besteht ein zunehmender Bedarf, sowohl Hardware- als auch Softwareplattformen wiederzuverwenden. Die Wiederverwendung von Software kann zwar positive Aspekte haben, erhöht aber die Sicherheitsauswirkungen jeder Schwachstelle, die ausgenutzt werden kann. Eine Bibliothek oder ein Subsystem, das für einen Anwendungsfall entwickelt wurde, kann in einer Anwendung wiederverwendet werden, von der der ursprüngliche Autor keine Ahnung hatte.

Die Branche lernt schnell und „sicheres Booten“ und „sicheres Software-Update“ werden immer häufiger. Diese Techniken sind zwar wichtig, aber kein Allheilmittel. Insbesondere wenn Geräte Informationen von hohem Wert für einen Angreifer speichern oder aktivieren, wie z. B. sensible personenbezogene Daten, oder auf Zugangsdaten zu anderswo gespeicherten Daten zugreifen.

Sicheres Booten und Sicherheitsupdates bieten eine erste Verteidigungsstufe, aber aus Sicherheitssicht ist es am besten davon auszugehen, dass diese Verteidigung manchmal durchbrochen wird. Wenn dies die einzigen sind  Verteidigung, dann gehen alle Daten auf dem Gerät verloren, und der Angreifer kann das Gerät missbrauchen, um an anderer Stelle anzugreifen.

Einführung einer vertrauenswürdigen Ausführungsumgebung

Ein breiterer Sicherheitsansatz besteht darin, mehrere Zonen oder Umgebungen für die Software auf einem Gerät bereitzustellen, um sie zu isolieren und vor Angriffen zu schützen und die Auswirkungen eines erfolgreichen Angriffs zu reduzieren. Einige Umgebungen, in denen sensible Daten gespeichert oder manipuliert werden, werden speziell mit dem vorrangigen Ziel der Sicherheit entwickelt.

Von modernen Chipsätzen bereitgestellte Technologien wie Arm TrustZone kann eine isolierte Zone bereitstellen, die durch die CPU-Hardware und sicheres Booten geschützt ist und die auch dann sicher bleibt, wenn andere Teile des Geräts kompromittiert werden. Vertrauenswürdige Ausführungsumgebungen, die mit dieser Technologie erstellt wurden, wurden mit einem „Defense-in-Depth“-Ansatz entwickelt, der sich auf kryptographisch signierten Code und von unabhängigen Stellen gegen Angriffe zertifizierte APIs konzentriert. Software, die in solchen Umgebungen ausgeführt wird, kann ihre Legitimität auch gegenüber externen Cloud-Servern beweisen, was es für einen Angreifer viel schwieriger macht, das breitere IoT-Ökosystem zu unterwandern.

Für eine Person kann ein Cyberangriff über ihre Geräte verheerend sein, personenbezogene Daten stehlen und möglicherweise Identitätsdiebstahl oder umfassendere kriminelle Aktivitäten ermöglichen, wie z .

Für einen Gerätehersteller und für die gesamte Branche können Angriffe noch größere Auswirkungen haben. Sobald das Vertrauen der Verbraucher in eine Marke verloren ist, ist es sehr schwer wiederzugewinnen, und Verbraucher werden Marken oder ganze Produktsegmente schnell ablehnen, wenn das Risiko-Nutzen-Verhältnis nicht vernünftig erscheint. Diese Aussage gilt noch mehr für regulierte Märkte wie das medizinische oder kommerzielle IoT, wo die Regulierungsbehörden schnell reagieren, wenn ein Produkt mangelhaft ist.

Ein Weg nach vorn

In der Vergangenheit war Sicherheit keine Kaufentscheidung. Das ändert sich. Regulierungsbehörden auf der ganzen Welt fordern einige grundlegende Hygienemaßnahmen für das Consumer-IoT wie sicheres Booten und Entfernen von Standardpasswörtern. Dies ist ein guter Anfang, aber zweifellos nur der erste Schritt und, wie oben diskutiert, nur ein Teil einer Sicherheitsstrategie. Die Branche kann mit zukünftigen Regulierungen rechnen, aber was wirklich benötigt wird, ist ein Übergang von der Sicherheit als Kontrollkästchen zu Sicherheit als integraler Bestandteil des Produkts.

Der Autor ist Richard Hayton, CISO, Trustonic.