Public Key Infrastructure
Sichere Protokolle auch für kleine IoT-Geräte
Die Zahl der Geräte im Internet of Things wächst stetig, doch noch immer mangelt es an verbindlichen Standards für die Sicherheit bei der Datenübertragung. Eine der größten Herausforderungen des IoT ist die Bereitstellung vertrauenswürdiger Identitäten für Geräte mit begrenzten Ressourcen. Mit Public-Key-Factor-basierten Protokollen ließe sich das lösen.
Bild: Nexus Technology GmbHDer Branchenverband Cloud Security Alliance hat in seinem Report 'Future Proofing the Connected World' einen Katalog konkreter Maßnahmen veröffentlicht, um die Sicherheit vernetzter Geräte zu verbessern. Eine zentrale Rolle spielt dabei die Implementierung von Funktionen für die starke Authentifizierung, Autorisierung sowie für die Zugriffskontrolle. Für die Authentifizierung benötigt jedes Gerät eine vertrauenswürdige Identität. Im Bereich Netzwerkkommunikation ist dabei eine Public Key Infrastructure (PKI) der De-Facto-Standard, um vertrauenswürdige Identitäten in Form von digitalen Zertifikaten bereitzustellen. Die Zertifikate werden von einem vertrauenswürdigen Dritten (in der Regel eine sogenannte Certificate Authority) ausgestellt und sorgen dafür, dass Geräte oder auch Menschen, die bislang nichts voneinander wussten, sicher miteinander kommunizieren können. Die Herausforderung dabei ist die Zertifikatsverteilung.
Automatisierte Zertifikate
Möchte man auf einem Smartphone ein digitales Zertifikat nutzen, beispielsweise für die E-Mail-Verschlüsselung oder für das digitale Signieren von Dokumenten, so wird das Zertifikat zunächst auf einem sicheren Weg auf das Telefon übertragen bzw. direkt auf dem Smartphone erzeugt. Um die Identität des Zertifikats zu schützen, wird es mit einem PIN versehen. Dieser muss bei jeder Verwendung angegeben werden. Alternativ zum PIN ist die Bestätigung des Zertifikats auch per Fingerabdruck möglich. Bei einem Sensor funktioniert dies nicht, da keine Benutzeroberfläche vorhanden ist. Daher muss die Zertifikatsverteilung auf diese Geräte automatisiert werden. Zwar existieren bereits Protokolle, die dafür genutzt werden. Allerdings sind sie zu komplex, um auch für Geräte mit begrenzten Ressourcen, wie beispielsweise batteriebetriebene Geräte, geeignet zu sein. Häufig verwenden Hersteller anstelle der PKI-Technologie geteilte Schlüssel (symmetrische Verschlüsselung) oder PINs und Passwörter für die Kommunikation zwischen vernetzten Geräten.
Was ist ein gutes IoT-Protokoll?
Ein gutes IoT-Protokoll sollte folgende drei Anforderungen erfüllen:
- • PKI-basiert: Im Netzwerk ausgetauschte Information wird mittels asymmetrischer Kryptographie verschlüsselt
- • Automatisierte Zertifikatsverteilung: Zertifikate können in Sekundenschnelle an Tausende Geräte verteilt werden, ohne dass sie manuell bestätigt werden müssen
- • Leichtgewichtig: Das Protokoll funktioniert auch für Geräte mit geringer Rechenleistung und begrenzter Energie
Das EST-Protokoll
Das sogenannte Enrollment over Secure Transport (EST)-Protokoll wurde 2013 standardisiert und von Cisco in Zusammenarbeit mit der Internet Engineering Taskforce entwickelt. Mit dem Protokoll können Zertifikatsverteilungsprozesse beschleunigt und automatisiert werden - ein großer Vorteil in komplexen IoT-Umgebungen. Das ältere SCEP-Protokoll (Simple Certificate Enrollment Protocol) wiederum unterstützt keine Erstellung und Verteilung von Schlüsseln auf Server-Seite und ist daher nur bedingt geeignet, Zertifikate für Clients und Certificate Authorities (CA) zu erneuern. Außerdem ist SCEP nicht standardisiert und erzeugt daher oft Probleme beim Zusammenspiel verschiedener Implementierungen. Auch CMP (Certificate Management Protocol) und CMS (Certificate Management over CMS) sind weit verbreitete Protokolle, die zwar standardisiert sind, bei denen es aber schwieriger ist, sie auf Clients zu implementieren. Für Geräte mit begrenzten Ressourcen sind sie daher ungeeignet. Als als Anbieter von Identity- und Security-Lösungen war Nexus Anfang 2017 unter den ersten Unternehmen, die das EST-Protokoll in einem kommerziellen Produkt unterstützen. Allerdings fehlt dem EST-Protokoll die Funktionalität für die automatische Zertifikatserneuerung. Dies wurde mittels einer REST API (Representational State Transfer, Application Programming Interface) für die Nexus PKI gelöst, die es für Kunden und Entwickler einfacher machen soll, entsprechende Funktionen für die Zertifikatserneuerung zu implementieren.
Das Cebot Protokoll
Das EST-Protokoll ist zwar besser geeignet als seine Vorgänger, dennoch bietet es keine wirklich praktikable Lösung für das erstmalige Verteilen und Widerrufen von Zertifikaten auf vielen verteilten Geräten. Ein wichtiger Schritt in diese Richtung ist das Cebot-Protokoll (Certificate Enrollment for Billions of Things). Cebot ist ein Projekt des schwedischen Forschungsinstituts Rise SICS und Nexus, das mit den Unternehmen Ericsson, Saab, Intel und Scypho bereits einige Unterstützer hat. Das Protokoll wurde speziell für die Anforderungen des IoT entwickelt. Die Funktionsweise ist einfach: Beim Kauf einer smarten LED-Lampe hat der Hersteller beispielsweise bereits ein Zertifikat auf der Lampe installiert. Sobald diese angeschlossen wird, verbindet sie sich automatisch mit der Certificate Authority, um das Zertifikat bestätigen zu lassen. Für diese Kommunikation sorgt Cebot. Das Protokoll löst damit das Problem, Zertifikate auch für Geräte mit begrenzten Ressourcen automatisch bereitzustellen. Cebot soll in einem nächsten Schritt der Internet Engineering Task Force (IETF) vorgelegt werden, um als Standardprotokoll anerkannt zu werden.
EU investiert in IoT-Sicherheit
Um PKI noch skalierbarer und leichtgewichtiger für das IoT zu machen, hat sich Nexus mit verschiedenen Partnern aus Forschung und Wirtschaft zusammengetan. Das Secure IoT-Projekt wird von Eurostars gefördert, einem gemeinsamen Programm der europäischen Forschungsinitiative Eureka und der Europäischen Kommission. Ziele des Projekts sind u.a. eine Lösung für das automatische erstmalige Verteilen und Widerrufen von Zertifikaten für batteriebetriebene IoT-Geräte zu finden sowie die Entwicklung eines IoT-Gateways, das sowohl moderne Protokolle für die IoT-Sicherheit als auch ältere Protokolle unterstützt. Das Projekt wurde im September 2016 gestartet und ist auf 36 Monate ausgelegt.
Datenschutz autonomer Fahrzeuge
Secredas steht für 'Product Security for Cross Domain Reliable Dependable Automated Systems' und ist ein von der EU im Rahmen von Horizon 2020 gefördertes Projekt. Das Ziel ist, eine Lösung für die Sichereit und den Datenschutz vernetzter und automatisierter Fahrzeuge sowie anderer automatisierter Systeme zu finden. Im Rahmen des Projekts soll eine Softwarelösung zur Validierung von Architekturmethoden, Referenzarchitekturen, Komponenten und Integrationen entwickelt, die auch die sichere Kommunikation zwischen verschiedenen automatisierten Systemen ermöglicht. Secredas soll damit Vertrauenswürdigkeit in IoT-Netzwerke bringen, insbesondere um die europäische Auto- und Medizinindustrie in dieser Hinsicht zu stärken. Das Forschungsprojekt bringt ein Konsortium von Partnern aus 15 Ländern zusammen, das die gesamte Wertschöpfungskette der Automobilindustrie, Schlüsselakteure im medizinischen Bereich, eine Reihe von Akteuren in anderen Verkehrsbereichen (Eisenbahnen, Luft- und Raumfahrt) und Forschungsinstitute umfasst.
Die Zahl der Geräte im Internet of Things wächst stetig, doch noch immer mangelt es an verbindlichen Standards für die Sicherheit bei der Datenübertragung. Eine der größten Herausforderungen des IoT ist die Bereitstellung vertrauenswürdiger Identitäten für Geräte mit begrenzten Ressourcen. Mit Public-Key-Factor-basierten Protokollen ließe sich das lösen.
Bild: Nexus Technology GmbHDer Branchenverband Cloud Security Alliance hat in seinem Report 'Future Proofing the Connected World' einen Katalog konkreter Maßnahmen veröffentlicht, um die Sicherheit vernetzter Geräte zu verbessern. Eine zentrale Rolle spielt dabei die Implementierung von Funktionen für die starke Authentifizierung, Autorisierung sowie für die Zugriffskontrolle. Für die Authentifizierung benötigt jedes Gerät eine vertrauenswürdige Identität. Im Bereich Netzwerkkommunikation ist dabei eine Public Key Infrastructure (PKI) der De-Facto-Standard, um vertrauenswürdige Identitäten in Form von digitalen Zertifikaten bereitzustellen. Die Zertifikate werden von einem vertrauenswürdigen Dritten (in der Regel eine sogenannte Certificate Authority) ausgestellt und sorgen dafür, dass Geräte oder auch Menschen, die bislang nichts voneinander wussten, sicher miteinander kommunizieren können. Die Herausforderung dabei ist die Zertifikatsverteilung.
Nexus Technology GmbH
Dieser Artikel erschien in IT&Production September 2018 - 06.09.18.Für weitere Artikel besuchen Sie www.it-production.com
