Osvedčené postupy zabezpečenia IIC koncového bodu

Konzorcium Industrial Internet Consortium nedávno vydalo zaujímavý dokument so svojimi doporučenými bezpečnostnými osvedčenými postupmi pre koncový bod.

Barbara IoT je s takýmito iniciatívami vždy nadšená, pretože sme pevne presvedčení, že v oblasti bezpečnosti internetu vecí je ešte veľa práce a zariadenie je pravdepodobne najslabším článkom, ktorý v súčasnosti existuje v hodnotovom reťazci internetu vecí. A ako vieme, reťaz je taká silná ako najslabší článok, takže zabezpečenie zariadení by bolo nevyhnutné (ak ešte nie je).

Tento článok prechádza základmi odporúčaní IIC a mapuje ich proti softvérovej platforme Barbara, zabezpečenému riešeniu životného cyklu zariadení IoT. V nasledujúcej tabuľke sú zhrnuté matice zhody:

Ale poďme k detailom ....

Úrovne bezpečnosti:

IIC definuje tri úrovne bezpečnosti, úroveň základnej bezpečnosti (SLB), úroveň zvýšenej úrovne bezpečnosti (SLE) a kritickú úroveň bezpečnosti (SLC), zodpovedajúce úrovniam bezpečnosti 2, 3 a 4, ako sú definované v IEC 62443 3–3. Základná úroveň chráni pred „úmyselným porušením jednoduchými prostriedkami s nízkymi zdrojmi“. Vylepšená úroveň chráni náš systém pred „sofistikovanými prostriedkami s miernymi zdrojmi“. Zintenzívňuje sa kritická úroveň poskytujúca ochranu „sofistikovaným prostriedkom s rozšírenými zdrojmi“. V závislosti od aplikácie a okolností musíte svoj koncový bod chrániť pomocou príslušnej úrovne zabezpečenia.

Na základe tejto úrovne bezpečnosti IIC navrhuje tri rôzne architektúry, ktoré by mali byť založené na otvorených štandardoch a mali by byť interoperabilné medzi koncovými bodmi viacerých dodávateľov a koncovými bodmi viacerých platforiem, aby sa považovali za bezpečné.

IIC navrhované architektúry

Poďme hlbšie do každej z týchto súčastí, podrobnejšie ich popíšeme a zistíme, ako softvérová platforma Barbara dodržiava smernice IIC.

Koreň dôvery:

Root of Trust (RoT) predstavuje základ pre každé zabezpečenie koncového bodu a poskytuje funkcie ako identitu koncového bodu a osvedčenie identity a integrity softvéru a hardvéru. Ako si viete predstaviť, koncový bod bude rovnako silný ako Root of Trust, takže bezpečná implementácia Root of Trust je povinná.

Konkrétne tvrdenia spoločnosti IIC, že v záujme zvýšenej a kritickej úrovne zabezpečenia by sa mal root implementovať na základe hardvéru. Na splnenie odporúčaní IIC môžeme potrebovať špeciálny hardvérový bezpečnostný čip (alebo podobný) s odolnosťou proti neoprávnenej manipulácii.

Pokiaľ ide o Root of Trust, softvérová platforma Barbara spája všetky bezpečnostné prvky do pevnosti Root of Trust. Náš softvérový balík používa súkromnú PKI (infraštruktúru verejných kľúčov založenú na štandardoch kryptografie s verejným kľúčom) a poskytuje zodpovedajúce háčiky, ktoré umožňujú ľahkú integráciu s modulmi dôveryhodných platforiem podľa výberu zákazníka.

Identita koncového bodu:

Identita koncového bodu je základným komponentom na zostavenie väčšiny bezpečnostných prvkov. Podľa odporúčaní IIC je podpora PKI (infraštruktúra verejných kľúčov) povinná na pokrytie základných, vylepšených a kritických úrovní. Odporúča sa tiež implementovať otvorený štandardný protokol na správu certifikátov na vydávanie a správu certifikátov od internej alebo externej CA (certifikačnej autority).

Ako už bolo uvedené, Barbara Software Platform zahŕňa svoj vlastný PKI založený na PKCS (Freeipa, www.freeipa.org/). FreeIPA je integrované riešenie Identity and Authentication, ktoré poskytuje centralizovanú autentizáciu, autorizáciu a informácie o účte. Ako vyžaduje IIC, FreeIPA je postavená na najznámejších komponentoch Open Source a štandardných protokoloch.

Zabezpečené spustenie:

Dôveryhodný systém Secure Boot, ktorý kryptograficky chráni zapnutie koncového bodu, je opäť požiadavkou na základné, vylepšené a kritické úrovne. Podľa osvedčených postupov IIC to môže byť implementovaný kryptografický hash založený na PKCS (Cryptography Standards of Public Key Cryptography Standards). Môžeme si byť istí, že softvér bez správnych kľúčov bude schopný naštartovať zariadenie. Softvérová platforma Barbara sa dá preniesť na hardvérové ​​dosky podporujúce bezpečné zavedenie v primeranom úsilí.

Kryptografické služby a bezpečná komunikácia:

Použitie kryptografie počas prenosu dát (v pohybe), na ukladanie údajov (v pokoji) a aplikácií (v prevádzke) je jasnou požiadavkou na tri vyššie uvedené úrovne bezpečnosti (Základná, Vylepšená, Kritická). Funkcie potrebné na zabezpečenie takejto ochrany sú:

  • Kryptografické algoritmy založené na normách schválených NIST / FIPS.
  • Asymetrické a symetrické šifry, hashovacie funkcie a náhodné číslo. generátory dostatočne silné a založené na PKCS (Cryptography Standards of Public Key Cryptography Standards)
  • V terénnej aktualizačnej schopnosti kryptografických algoritmov dokázať pokryť možné zraniteľné miesta.
  • Riadenie aplikácií založené na politikách využíva kryptografické funkcie a vyhýba sa používaniu nezabezpečenej kryptografie.
  • Interoperabilita šifrovacích kľúčov a certifikátov medzi systémami viacerých výrobcov.

Softvérová platforma Barbara implementuje niekoľko funkcií, ktoré zaručujú kvalitu kryptografických služieb. V predvolenom nastavení používa LUKS, čo je štandard pre šifrovanie pevného disku LINUX. LUKS je otvorený, takže je ľahko auditovateľný a je založený na PKCS podľa odporúčaní.

Na strane prenosu údajov obsahuje Barbara OS potrebné knižnice na komunikáciu pomocou štandardných aplikačných protokolov IoT cez šifrovaný prenos (TLS a DTLS).

Okrem toho je pre tri definované úrovne potrebný zabezpečený komunikačný zásobník medzi koncovými bodmi. Tento komunikačný zásobník by mal obsahovať podporu pre autentifikáciu, chránené pripojenie, koncový firewall a zahrnutie bezpečných prenosových protokolov (TLS, DTLS, SSH…). Všetky tieto funkcie sú zahrnuté v softvérovej platforme Barbara, takže VŠETKY komunikácie Barbary sú autentifikované a šifrované.

Konfigurácia a správa koncových bodov

A škálovateľný systém na aktualizáciu operačného systému, aplikácií a / alebo konfigurácie zariadenia je potrebný na dosiahnutie súladu s vylepšenými a kritickými úrovňami, pričom je potrebné vziať do úvahy, že môže byť potrebné vykonať takéto aktualizácie v miliónoch koncových bodov súčasne. Všetky tieto operácie by sa, samozrejme, mali vykonávať v bezpečnom prostredí vrátane validácie založenej na certifikáte medzi entitou slúžiacou aktualizáciou a koncovým bodom, ktorý ju prijíma.

Softvérová platforma Barbara v tejto súvislosti zahŕňa panel Barbara. Barbara Panel je serverové riešenie na správu všetkých koncových bodov nasadenia IoT. Poskytuje jednoduchú a centralizovanú konzolu pre správu aktualizácií OTA (Over The Air), monitorovanie zariadení a správu konfigurácií. Všetky tieto funkcie sú ponúkané v najlepšom bezpečnostnom prostredí triedy.

Nepretržité monitorovanie

Monitorovanie koncového bodu v reálnom čase je požiadavka na kritickú úroveň bezpečnosti podľa IIC. To by užívateľovi umožnilo kontrolovať a predchádzať neoprávneným zmenám v konfigurácii a mať kontrolu na úrovni aplikácie na zisťovanie a prevenciu neoprávnených aktivít, ako je použitie nezabezpečených šifrov, ktoré môžu ohroziť systém.

Panel Barbara obsahuje a systém výstrah, ktorý by používateľovi umožňoval prijímať preddefinované bezpečnostné výstrahy a definovať svoje vlastné výstrahy a tlačiť ich na koncové body.

Informačný prehľad o politike a činnosti

Aby bola v súlade s kritickou úrovňou, vyžaduje sa schopnosť vzdialenej správy koncových bodov. Správca systému by mal byť schopný tlačiť a vykonávať politiky spôsobom, ktorý zaručuje správne rozdelenie politík v sieti, a tým pôsobiť ako účinný bezpečnostný rámec.

Panel Barbara umožňuje manažérom nasadenia monitorovať činnosti koncových bodov a definovať a presadzovať bezpečnostné politiky na základe získaných informácií. Napríklad nové politiky môžu nasadiť nové pravidlá do vyššie uvedeného firewallu, keď sa zistia podozrivé vzorce komunikácie.

Informácie o systéme a správa udalostí

V súvislosti s predchádzajúcim odsekom je požiadavkou na kritickú úroveň aj schopnosť zachytávať denníky udalostí a definovať a distribuovať politiky založené na informáciách z denníkov. Odporúča sa, aby sa tieto riadiace operácie vykonávali pomocou dátových modelov alebo rozšíriteľných formátov, ako je REST API alebo JSON.

Systém protokolovania softvérovej platformy Barbara poskytuje správcom systému veľké množstvo informácií, ktoré by sa použili na tvorbu bezpečnostných politík.

záver

Barbara IoT vynakladá veľké úsilie na vytvorenie bezpečného produktu. Produkt, ktorý sa dá použiť v najnáročnejších scenároch z hľadiska priemyselnej bezpečnosti. Rovnako ako IIC si myslíme, že tento druh iniciatív môže pomôcť celému odvetvovému ekosystému tým, že podporuje dôveru a splnomocňuje všetkých aktérov v ekosystéme.

Referencie:

  • http://www.iiconsortium.org/
  • Osvedčené postupy pre bezpečnosť koncových bodov IIC; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Čo by mali používatelia vedieť o úplnom šifrovaní diskov na základe LUKS, Simone Bossi a Andrea Visconti; Laboratórium kryptografie a kódovania (CLUB), Katedra počítačov, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Tento príspevok bol pôvodne uverejnený na adrese barbaraiot.com 6. júna 2018. Ak sa vám páči a chcete dostávať podobný obsah, prihláste sa na odber nášho spravodajcu