IIC Endpoint Security -käytäntöjä

Aivan äskettäin The Industrial Internet Consortium on julkaissut mielenkiintoisen paperin, joka sisältää suositellut tietoturvan parhaat käytännöt päätepisteelle.

Barbara IoT on aina innostunut tällaisista aloitteista, koska uskomme vahvasti, että IoT-tietoturvaan on tehtävä paljon työtä, ja laite on luultavasti heikoin lenkki IoT-arvoketjussa. Ja kuten tiedämme, ketju on yhtä vahva kuin heikoin lenkki, joten laitteiden kiinnittäminen olisi välttämätöntä (ellei sitä jo ole).

Tässä artikkelissa käydään läpi IIC-suositusten perusteet ja verrataan niitä Barbara-ohjelmistoalustaan, joka on turvallinen ratkaisu IoT-laitteiden elinkaareen. Seuraava taulukko antaa yhteenvedon vaatimustenmukaisuusmatriisista:

Mutta päästäkäämme yksityiskohtiin….

Suojaustasot:

IIC määrittelee kolme turvatasoa, Turvallisuustaso Basic (SLB), Turvallisuustason parannus (SLE) ja Turvallisuustaso kriittinen (SLC), jotka vastaavat turvatasoja 2, 3 ja 4, kuten IEC 62443 3–3 määrittelevät. Perustaso suojaa "tahallisilta rikkomuksilta käyttämällä yksinkertaisia ​​keinoja, joilla on vähän resursseja". Parannettu taso suojaa järjestelmäämme "hienostuneilta keinoilta, joilla on kohtuulliset resurssit". Kriittinen taso etenee suojaamalla "hienostuneille keinoille, joilla on laajat resurssit". Sovelluksesta ja olosuhteista riippuen sinun on suojattava päätepisteesi asianmukaisella suojaustasolla.

Tämän turvatason perusteella IIC ehdottaa kolmea erilaista arkkitehtuuria, joiden tulisi perustua avoimiin standardeihin ja joiden tulisi olla yhteentoimivia useiden toimittajien ja useiden käyttöympäristöjen päätepisteiden välillä, jotta niitä voidaan pitää turvallisina.

IIC ehdotti arkkitehtuureja

Katsotaanpa syvemmälle näitä komponentteja kuvaamalla niitä yksityiskohtaisemmin ja selvittämällä, kuinka Barbara Software Platform noudattaa IIC-ohjeita.

Luottamusjuuri:

Root of Trust (RoT) on perustana jokaiselle päätepisteiden tietoturvalle ja tarjoaa ominaisuuksia päätelaitteen identiteettinä sekä ohjelmiston ja laitteiston identiteetin ja eheyden todistamisena. Kuten voitte kuvitella, päätepiste on yhtä vahva kuin Luottamusjuuri, joten Luottamusjuurin turvallinen toteutus on pakollinen.

Erityisesti IIC väittää, että parannetun ja kriittisen tietoturvatason kannalta Root of Trust olisi toteutettava laitteiston perusteella. IIC-suositusten noudattamiseksi saatamme tarvita erityisen laitteistoturvasirun (tai vastaavan), jolla on väärentämiskestävyys.

Luottamuksen juuriin liittyen Barbara Software Platform kokoaa kaikki turvaominaisuudet luottamusjuurten vahvistamiseksi. Ohjelmistomme pino käyttää yksityisomistuksessa olevaa PKI: tä (julkisen avaimen infrastruktuuri, joka perustuu julkisen avaimen kryptografiastandardeihin), ja se tarjoaa vastaavat koukut, jotka mahdollistavat helpon integroinnin asiakkaan valitsemien luotettavien alustamoduulien kanssa.

Päätepisteiden tunnistetiedot:

Päätepisteidentiteetti on peruskomponentti suurimman osan suojausominaisuuksien luomisesta. IIC: n suositusten mukaan PKI (Public Key Infrastructure) -tuki on pakollinen kattamaan perustaso, tehostettu ja kriittinen taso. On myös suositeltavaa ottaa käyttöön avoin standardin mukainen varmenteiden hallintaprotokolla varmenteiden myöntämistä ja hallintaa varten sisäiseltä tai ulkoiselta varmentajalta (varmentaja).

Kuten aiemmin kommentoitiin, Barbara Software Platform on sisällyttänyt oman PKCS-pohjaisen PKI: n (Freeipa, www.freeipa.org/). FreeIPA on integroitu henkilöllisyys- ja todennusratkaisu, joka tarjoaa keskitetyn todennuksen, valtuutuksen ja tilitiedot. Kuten IIC pyysi, FreeIPA on rakennettu tunnettujen avoimen lähdekoodin komponenttien ja standardiprotokollien päälle.

Turvallinen käynnistys:

Luotettava Secure Boot -järjestelmä, joka kryptografisesti suojaa päätepistevirtaa, on jälleen vaatimus perustasolle, parannetulle ja kriittiselle tasolle. IIC: n parhaiden käytäntöjen mukaan tämä voidaan toteuttaa PKCS: ään (Public Key Cryptography Standards) perustuviin salaustekniikoihin. Näin voimme olla varmoja, että ohjelmisto ilman asianmukaisia ​​avaimia pystyisi käynnistämään laitteen. Barbara-ohjelmistoalusta voidaan siirtää turvallista käynnistystä tukeville laitteistolevyille kohtuullisen vaivan avulla.

Salauspalvelut ja turvallinen viestintä:

Salausmenetelmien käyttäminen tiedonsiirron (liikkeessä), tietojen varastoinnin (levossa) ja sovellusten (käytön aikana) yhteydessä on selkeä vaatimus edellä mainituille kolmelle turvatasolle (Basic, Enhanced, Critical). Tällaisen suojauksen tarjoamiseen tarvittavat ominaisuudet ovat:

  • NIST / FIPS: n vahvistamiin standardeihin perustuvat salausalgoritmit.
  • Epäsymmetrinen ja symmetrinen salaussarja, hajautusfunktiot ja satunnaisluku. riittävän vahvat generaattorit, jotka perustuvat PKCS: ään (julkisen avaimen salausstandardit)
  • Salausalgoritmien kenttäpäivityskyky kyetä kattamaan mahdolliset haavoittuvuudet.
  • Poliittinen sovellusten käytön hallinta salaustoimintojen käytöllä välttäen suojaamattoman salauksen käyttöä.
  • Salausavainten ja sertifikaattien yhteentoimivuus monen toimittajan järjestelmien välillä.

Barbara-ohjelmistoalusta toteuttaa useita ominaisuuksia, jotka takaavat salauspalvelujen laadun. Se käyttää oletuksena LUKS-järjestelmää, joka on LINUX-kiintolevyn salauksen standardi. LUKS on avoin, joten se on helposti tarkastettavissa ja perustuu suositusten mukaiseen PKCS: ään.

Tiedonsiirtopuolella Barbara OS sisältää tarvittavat kirjastot kommunikoidakseen IoT-standardin mukaisilla sovellusprotokolloilla salatun siirron (TLS ja DTLS) kautta.

Tämän lisäksi vaaditaan turvallinen päästä päähän -viestinnän pino kolmella määritellyllä tasolla. Tämän tietoliikennepinon tulisi sisältää tuki todennukselle, suojatulle yhteydelle, päätepisteen palomuurille ja turvallisten siirtoprotokollien (TLS, DTLS, SSH ...) sisällyttämiselle. Kaikki nämä ominaisuudet sisältyvät Barbara-ohjelmistoalustaan, joten KAIKKI Barbaran viestinnät ovat todennettuja ja salattuja.

Päätepisteen määritys ja hallinta

Ja skaalautuvan järjestelmän käyttöjärjestelmän, sovellusten ja / tai laitteen kokoonpanon päivittämiseksi vaaditaan parannetun ja kriittisen tason mukaisiksi ottaen huomioon, että saattaa olla tarpeen suorittaa tällaiset päivitykset yli miljoona päätepistettä samanaikaisesti. Tietysti kaikki nämä toiminnot tulisi suorittaa turvallisessa ympäristössä, mukaan lukien varmennepohjainen validointi päivityksen palvelevan yksikön ja sitä vastaanottavan päätepisteen välillä.

Tässä suhteessa Barbara-ohjelmistoalusta sisältää Barbara-paneelin. Barbara Panel on palvelinpuolen ratkaisu Internetin käyttöönoton kaikkien päätepisteiden hallintaan. Se tarjoaa yksinkertaisen ja keskitetyn konsolin OTA (Over The Air) -päivitysten hallintaan, laitteen valvontaan ja kokoonpanon hallintaan. Kaikkia näitä ominaisuuksia tarjotaan parhaan luokan tietoturvaympäristössä.

Jatkuva seuranta

Päätepisteen reaaliaikainen seuranta on kriittisen turvatason vaatimus, IIC: n mukaan. Tämän avulla käyttäjä voi hallita ja estää kokoonpanon luvattomia muutoksia ja hallita sovellustasoilla luvattomien toimintojen havaitsemiseksi ja estämiseksi, koska järjestelmä voi vaarantaa epävarmoja salauksia.

Barbara-paneeli sisältää ja hälytysjärjestelmän, jonka avulla käyttäjä voi vastaanottaa ennalta määritettyjä turvahälytyksiä ja määritellä omat hälytykset ja työntää ne päätepisteisiin.

Käytäntöjen ja toimintojen hallintapaneeli

Kriittisen tason noudattaminen edellyttää kykyä hallita päätepisteitä etäyhteydellä. Järjestelmänvalvojan pitäisi pystyä siirtämään ja toteuttamaan käytäntöjä tavalla, joka takaa politiikkojen oikean jakautumisen verkossa, toimien tällä tavalla tehokkaana turvakehyksenä.

Barbara-paneeli antaa asennuspäälliköille mahdollisuuden seurata päätetapahtumien toimintaa ja määritellä ja siirtää tietoturvakäytäntöjä hankittujen tietojen perusteella. Esimerkiksi uudet käytännöt voivat ottaa käyttöön uusia sääntöjä edellä mainittuun palomuuriin, kun havaitaan epäilyttäviä viestintäkuvioita.

Järjestelmätiedot ja tapahtumien hallinta

Edelliseen kappaleeseen linkitetty kyky kaapata tapahtumalokit ja määritellä ja levittää käytäntöjä lokien tietojen perusteella on myös kriittisen tason vaatimus. On suositeltavaa, että nämä hallintatoimenpiteet suoritetaan tietomalleilla tai laajennettavilla muodoilla, kuten REST API tai JSON.

Barbara Software Platform -rekisteröintijärjestelmä tarjoaa järjestelmänvalvojille suuren määrän tietoa, jota käytettäisiin tietoturvakäytäntöjen luomiseen.

johtopäätös

Barbara IoT pyrkii rakentamaan turvallisen tuotteen. Tuote, jota voidaan käyttää teollisuuden turvallisuuden kannalta vaativimmissa tilanteissa. Kuten IIC, uskomme, että tällaiset aloitteet voivat auttaa koko teollisuuden ekosysteemiä edistämällä luottamusta ja antamalla kaikille ekosysteemin toimijoille mahdollisuus.

Viitteet:

  • http://www.iiconsortium.org/
  • IIC Endpoint Security -käytäntöjä; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Mitä käyttäjien tulisi tietää LUKS: iin, Simone Bossiin ja Andrea Viscontiin perustuvasta täyden levyn salauksesta; Salaus- ja koodauslaboratorio (CLUB), tietotekniikan laitos, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Tämä viesti julkaistiin alun perin barbaraiot.com-sivustossa 6. kesäkuuta 2018. Jos pidät siitä ja haluat saada samanlaista sisältöä, tilaa uutiskirje