Computerviren, Phishing-Angriffe und andere webbasierte Störungen können schwerwiegende Konsequenzen haben. Häufig wird jedoch nicht daran gedacht, dass wir von verbundenen, eingebetteten Geräten umgeben sind, die noch vor wenigen Jahren als Science Fiction galten. Die entsprechenden Konsequenzen werden daher oft unterschätzt. Winzige, kabellos aktivierte Prozessoren sind so kostengünstig, dass sie häufig in so trivialen physischen Geräten wie Leuchtmitteln zu finden sind.
Angesichts dieses allgegenwärtigen Netzwerks aus verbunden Dingen könnten böswillige Akteure zahlreiche (und möglicherweise ungeschützte) Geräte für ihre Zwecke missbrauchen – vielleicht, um die Kontrolle über Ihr Netzwerk zu übernehmen oder es zum Teil eines Bot-Netzes zu machen. Ingenieure und Systementwickler sollten sich nicht darauf verlassen, dass Endbenutzer ihre Geräte so einrichten, dass sie geschützt sind.
Die Gerätesicherheit muss daher von Anfang an beim Design von Geräten berücksichtigt werden. Dies ist besonders in einer Welt wichtig, in der Hacker auf KI und andere moderne Tools zugreifen und potenziell neue Angriffsvektoren entwickeln oder vorhandene Techniken weiterentwickeln können.
In diesem Artikel untersuchen wir fünf kritische Konzepte für die Implementierung von Sicherheitsfunktionen in OEM-Geräte.
Konzept 1 – Sicherheit ist eine kontinuierliche, den gesamten Produktlebenszyklus umspannende Überlegung
Vor der Auslieferung verbundener Geräte an Kunden haben die Ingenieure wahrscheinlich bereits die entsprechenden Prüfungen durchgeführt, um sicherzustellen, dass sie sicher sind. Auch wenn sich ein bestimmtes Team auf die Sicherheit konzentriert, gilt dies auch für das nächste Team? Wie können große und komplexe Organisationen sicherstellen, dass vielfältige oder funktionsübergreifende Gruppen Sicherheitsverfahren konsistent einführen und implementieren? Was passiert, wenn an späterer Stelle im Produktlebenszyklus zusätzliche Sicherheitsrisiken auftreten, die behandelt werden müssen?
Die Lösung dieser Herausforderung wird im Leitfaden Microsoft Security Development Lifecycle behandelt. Microsoft beschreibt hier fünf Grundsätze im Bereich Sicherheit, die für die unternehmensweite Anwendung optimaler Designverfahren kritisch sind. Diese fünf Grundsätze sind:
- Anforderungen – Definition der vorliegenden Aufgabe und der inhärenten Sicherheitsanforderungen
- Design – Auslegung von Software/Firmware auf die Erfüllung dieser Sicherheitsanforderungen
- Implementierung – Entwicklung des Codes gemäß den Designspezifikationen
- Verifizierung – Analyse des Codes hinsichtlich Fehlern und Sicherheitsanfälligkeiten
- Veröffentlichung – Inkrementelle Veröffentlichung von Updates zur schnellen Korrektur von Fehlern
Auch wenn Microsoft für seine Lösungen und Dienste im Bereich Software und Cloud am besten bekannt ist, können in diesem Zeitalter zunehmend intelligenter und verbundener Geräte die gleichen Konzepte auf die Sicherheit von OEM-Geräten angewendet und zugeschnitten werden.
Diese Kerngrundsätze werden durch kontinuierliche Schulungen ergänzt, die sicherstellen, dass auch das menschliche Kapital stets auf dem aktuellen Stand des Wissens ist. Darüber tragen die zuvor identifizierten Gegenmaßnahmen zur Sicherheit bei, wenn sie bei Reaktionen angewendet werden.
Auch wenn Hersteller vielleicht nicht direkt an der Entsorgung der Hardware am Ende des Produktlebenszyklus beteiligt sind, sollten Überlegungen dazu angestellt werden, was mit einem OEM-Gerät nach dessen Außerbetriebnahme passiert. Ein Dokument, das Endbenutzer über die korrekte Entfernung sensibler Daten informiert, ist sinnvoll. Die alleinige Bereitstellung eines solchen Dokuments bedeutet jedoch nicht, dass dies tatsächlich so passiert. Vielmehr sollten Mechanismen zur Löschung überflüssiger Daten vorhanden sein, wenn diese für einen Prozess nicht mehr benötigt werden.
Konzept 2 – Sichere Zwei-Wege-Authentifizierung
In einer perfekten IoT-Welt gäbe es keine Notwendigkeit für Sicherheitsfunktionen und Daten könnten einfach von einem Gerät zum anderen übertragen werden. Leider sieht die Wirklichkeit jedoch anders aus. Böswillige Akteure suchen nach Wegen für die Kompromittierung von Netzwerken, ob groß oder klein. Sicherheitsverletzungen treten in vielen verschiedenen Formen und Größenordnungen auf. Das Fehlen einer Zwei-Wege-Authentifizierung – ob auf eingebetteten Geräten, einzelnen Computern oder sogar in der Cloud – gehört jedoch zu den häufigsten Gründen für Sicherheitsverletzungen.
Techniken wie Secure Socket Layer (SSL) oder Transport Security Layer (TLS) nutzen öffentliche und private Schlüssel, um den korrekten Schutz der übertragenen Daten sicherzustellen. Möglicherweise abgefangene verschlüsselte Daten stellen lediglich einen Haufen chaotischer Zeichen dar und können ohne den richtigen Schlüssel nicht gelesen werden.
Diese Art von Sicherheitsmaßnahmen muss vom Sender und vom Ziel eingeführt werden, damit sensible Daten nicht unverschlüsselt gesendet oder empfangen werden. Wenn dies nicht korrekt implementiert wird und ein Angreifer ein authentisches Gerät erfolgreich simuliert, kann dies offensichtlich zu Sicherheitsverletzungen führen.
Eingebettete Geräte werden bei der Betrachtung der allgemeinen Sicherheits- und Authentifizierungslage häufig übersehen. Eine der besten Möglichkeiten zur Bekämpfung dieser Bedrohungen stellt die direkte Integration sicherer Authentifizierungsfunktionen in das Gerät durch den OEM dar. Designs mit integrierten Sicherheitsfunktionen können durch Sicherheitselemente unterstützt werden, die von führenden Prozessorherstellern angeboten werden. Arrow bietet verschiedene Starter-Kits für Sicherheitslösungen (Security Starter Kits, SSKs) an, darunter Lösungen für Gateways, Edge-Computing und kabellose Endknoten, die Sie als Referenzdesigns nutzen können, um heute noch die ersten Schritte zu machen.
Konzept 3 – Was leistet das sichere Booten?
Ein Weg, auf dem Hacker IoT-Geräte und andere bereitgestellte Geräte angreifen, sind Firmware-Angriffe. Beim sicheren Booten wird sichergestellt, dass die Firmware legitim ist und vom Hersteller stammt, bevor sie auf einem bereitgestellten Gerät ausgeführt wird. Dieser Prozess basiert auf der Kombination privater und öffentlicher Schlüssel.
Der Hersteller brennt den Prozessor mit gehashten Root-Schlüsseln, die über einen einmaligen Programmierungsprozess aus einem Zertifikat generiert werden. Der private Schlüssel wird vom Hersteller sicher aufbewahrt. Der öffentliche Schlüssel kann nach der Programmierung nicht mehr geändert werden. Das bedeutet, dass er auch nicht durch einen schädlichen Code modifiziert werden kann. Da der öffentliche Schlüssel mathematisch an den privaten Schlüssel gebunden ist, kann er sicher auf den bereitgestellten Geräten gespeichert werden. Beim Booten überprüft das Betriebssystem Signatur und Schlüssel, um festzustellen, ob der Code manipuliert wurde.
Für zusätzliche Sicherheit wird der Code für das sichere Booten auf dem Gerät gespeichert, in der Regel an einer einmalig programmierbaren Stelle (One-Time Programmable, OTP-Stelle), die gesperrt wird und daher nicht geändert werden kann.
Auch wenn das sichere Booten die Sicherheit verbessern kann, müssen einige Dinge beachtet werden. Auch wenn das Betriebssystem vielleicht aus einer bekannten Quelle stammt, bedeutet das nicht, dass die übrige Software/Firmware auf einem System sicher oder frei von Schwachstellen ist. Es ist auch möglich, dass für das verifizierte Betriebssystem selbst Schwachstellen festgestellt werden. Dies kann ein Update der bereitgestellten Geräte nötig machen. Und wenn der private Schlüssel verloren geht, können den bereitgestellten Geräten keine weiteren Firmware-Updates gesendet werden, um das Gerät auf dem aktuellen Stand zu halten. Wenn der private Schlüssel kompromittiert wird, kann auch die Sicherheitskette der betreffenden Geräte kompromittiert werden.
Konzept 4 – Sichere OTA-Updates – Warum ist diese Funktion wichtig?
Over-The-Air-Updates (OTA-Updates) werden zur laufenden Aktualisierung kabelloser Geräte verwendet. Diese Geräte sind unterschiedlich komplex, von verbundenen Leuchtmitteln über Fahrzeuge, medizinische Geräte und Systeme für Heizung, Lüftung und Klimatisierung (HLK) bis zu kritischen Infrastrukturkomponenten in Städten.
Die OTA-Sicherheit hat kritische Bedeutung. Denken Sie an verbundene Leuchtmittel: eine stellenweise fehlende (oder nicht geplante) Beleuchtung stellt vielleicht kein unmittelbares Sicherheitsrisiko dar. Auch wenn nur ein einziges Leuchtmittel kompromittiert wäre, könnten die Berechtigungen für dieses „einfache“ Gerät jedoch eskaliert werden, sodass schließlich das gesamte Netzwerk kompromittiert ist. Und wenn in einem Fahrzeug die falsche Firmware installiert wird, besteht eine klare und unmittelbare Gefahr für die Fahrzeuginsassen. Wie im Fall der verbundenen Leuchtmittel ist es möglich, dass Probleme zu anderen Systemen weiterverteilt werden.
Insbesondere bei so sicherheitskritischen Dingen wie Fahrzeugen stellt sich die Frage, ob solche Produkte überhaupt OTA-Updates nutzen sollten. In einer perfekten Welt, in der Software, Firmware und sogar mechanische Systeme von vornherein sicher, geschützt und zuverlässig sind, gäbe es gute Argumente, sie lediglich kabelgebunden zu aktualisieren. In der aktuellen Welt sicherheitskritischer Systeme und des sich entwickelnden autonomen Fahrens stellen laufende Updates jedoch eine notwendige Komplexität dar. Nicht vergessen werden sollte, dass Verbraucher und kommerzielle Nutzer den Komfort und Echtzeitcharakter von OTA-Updates erhalten möchten.
Leider ist es eine Tatsache, dass bereitgestellte Geräte durch Hackerangriffe kompromittiert werden können oder kritische Fehler aufweisen können, die behoben werden müssen. Firmware-Updates sind notwendig, um Geräte während des gesamten Lebenszyklus nutzen und schützen zu können. Da alle Produkte mehr und mehr von Software abhängig werden, müssen OTA-Updates verfügbar, zuverlässig und sicher sein. Bei Verwendung geeigneter Verschlüsselungstechniken können Firmware-Updates beim sicheren Booten darauf überprüft werden, ob sie legitim sind, sobald sie vom Gerät empfangen werden.
Konzept 5 – Sicherheit auf Geräteebene und auf Cloudebene
Auch wenn die Welt mittlerweile für zahlreiche Computingfunktionen cloudbasierte Infrastrukturen nutzt, werden nach wie vor physische Geräte mit Speicherkapazitäten und Verarbeitungsleistungen benötigt. Dabei kann es sich um Smartphones oder industrielle Steuerungssysteme handeln, die Ingenieure möglicherweise nicht als legitime Ziele betrachten. Der Schutz dieser physischen Geräte, ihrer Daten und des geistigen Eigentums, das sie enthalten, erfordert einen gewissen Aufwand. Die Verlagerung von Computingressourcen in die Cloud beseitigt zwar einige Probleme, der Druck hinsichtlich des Schutzes Ihrer Daten und der Daten Ihrer Kunden bei Übertragung und im Ruhezustand wird jedoch größer.
Gut bekannte Verfahren wie die Verwendung starker Passwörter, die Sperrung nicht verwendeter Geräte und die Vermeidung nicht beaufsichtigter Bereiche, in denen sie gestohlen werden könnten, stellen offensichtliche Sicherheitsstrategien dar. Bei Geräten, die am Edge bereitgestellt werden, oder den Gateways, mit denen sie verbunden sind, sollten private Daten, Unternehmensdaten und anderes geistiges Eigentum durch eine korrekte Verschlüsselung geschützt werden.
Auch der Schutz des Arbeitsspeichers ist wichtig. In einigen Fällen sollte sichere Enklaven oder Vertrauenszonen in den Siliziumkomponenten der eingebetteten Systeme verwendet werden. Hier ist es wichtig, Siliziumkomponenten von Herstellern zu verwenden, die diese im Hinblick auf Sicherheit entwickeln. Edge-Geräte können sehr viel effizienter, sicherer und robuster sein, wenn ihre Entwickler Elektronikkomponenten mit Sicherheitsfunktionen verwenden, z. B. hardwarebasierte Kryptobeschleuniger und Zufallsnummerngeneratoren in Sicherheitsalgorithmen.
Zusätzlich können eine korrekte Konfiguration, geeignete Speicherverfahren und sogar die Entsorgung nicht benötigter Daten zur Reduzierung der Risiken beitragen. Im Fall industrieller Steuerungssysteme könnten Sie sogar sichere Verbindungen zwischen Schnittstellenelementen erstellen und Richtlinien einrichten, sodass Infrastrukturdetails nicht für externe Gruppen freigegeben werden – oder für interne Gruppen, die keinen Zugriff benötigen.
Hinsichtlich der Cloudsicherheit kann es verlockend sein, anzunehmen, dass der Schutz von Systemen in der Verantwortung der Cloudanbieter liegt. Auch wenn ein Cloudanbieter robuste Sicherheitsmaßnahmen ergriffen hat, kann es jedoch zu Sicherheitsverletzungen kommen. Nach IBM waren im Jahr 2019 falsch konfigurierte Ressourcen für 86 % der Sicherheitsverletzungen verantwortlich. Benutzer müssen dafür sorgen, dass ihre Cloudkonfigurationen sicher sind, da (anders als bei lokalen Ressourcen) Cloudressourcen inhärent aus dem Internet erreichbar sein müssen.
Überlegen Sie, welche Daten lokal gespeichert werden können und welche Daten in der Cloud gespeichert werden müssen. Sie müssen auch wissen, welche Daten verschlüsselt oder gelöscht werden müssen. Cloudressourcen müssen inventarisiert werden, um sicherzustellen, dass sich dieser Speicher nicht zu einem ständig wachsenden Repository für nicht verwendete und potenziell sensible Daten entwickelt. Anders als im Fall lokaler Speicher, deren Betrieb eine physische Infrastruktur erfordert, ist die Erweiterung von Speicher und Verarbeitungsleistung in der Cloud eine Frage des Geldes.
Ob Sie Daten lokal oder in der Cloud speichern – letzten Endes sind Sie für Ihre Daten und die Daten Ihrer Kunden verantwortlich. Nutzen Sie die Sicherheitsfunktionen Ihres Cloudanbieters. Diese Funktionen sollen Ihre Geräte schützen und bei Sicherheitsverletzungen schnelle Aktionen auslösen, damit Sie ein Edge-Gerät oder einen kompromittierten Gateway sperren oder ein neues OTA-Update verteilen können, das skalierbar bereitgestellt werden kann. Regelmäßige Überprüfungen der Sicherheitsverfahren Ihres Cloudanbieters, der in der Cloud gespeicherten Daten und der Konfiguration der Ressourcen tragen zur Reduzierung des Risikos bei.
OEM-Sicherheit hat kritische Bedeutung
Ihre Kunden müssen sich darauf verlassen können, dass Sie als OEM alles unternommen haben, was in Ihrer Macht steht, um Sicherheitsverletzungen zu verhindern. Sie müssen außerdem bei minimaler Beeinträchtigung des Betriebs Ihrer Kunden schnell reagieren können, sollte es dennoch zu Sicherheitsverletzungen kommen. Sie können dazu beitragen, dass Kunden dieses Vertrauen in Sie entwickeln, indem Sie die hier beschriebenen sowie weitere Verfahren und Ansätze befolgen, die für Ihre Branche geeignet sind. Und schließlich sollten Ihre Sicherheitsverfahren laufend aktuell gehalten und kontinuierlich befolgt werden, um potenziellen Angreifern stets einen Schritt voraus zu sein.
Wenn Sie mehr über Sicherheitslösungen erfahren möchten, laden Sie heute noch das E-Book von Arrow zu eingebetteten Sicherheitslösungen herunter.
WEITERE INFORMATIONEN ZUM E-BOOK