Diese Entwicklung wird noch verstärkt durch die zunehmende Verwendung von IPv6. So soll lt. Marktforschungsunternehmen Gartner die Anzahl von vernetzten Geräten im Jahr 2020 auf über 26 Milliarden anwachsen, d.h. statistisch gesehen gut 3 Geräte pro Kopf der dann erwarteten Weltbevölkerung (7,76 Mrd. in 2020).
Die Sicherheit (Security) in den neu entstehenden Netzen scheint mit dieser Entwicklung allerdings nicht Schritt halten zu können. Immer öfter entdecken Experten, NGOs und Nutzergruppen Sicherheitslücken in vernetzten Systemen. So wurde z.B. Ende 2013 in einer Studie der Fa. Proofpoint aus den USA festgestellt, dass mehrere Hunderttausend infizierte Emails übers Internet verbreitet wurden, die nicht nur von normalen PCs und Computern stammten, sondern auch von Smart-TVs, vernetzten Kühlschränken und Kaffeeautomaten!

Ein Angriff auf eine intelligente Heizungssteuerung in einem Wohnblock beispielsweise erscheint auf den ersten Blick nicht sicherheitskritisch, dennoch sind einige hundert Bewohner bestimmt nicht sonderlich erfreut, wenn sie in Ihren Wohnungen frieren müssen oder kein Warmwasser haben. Angriffe auf andere Einrichtungen wie Strom- und Wasserversorgung oder Verkehrsleitsysteme beinhalten dagegen ein wesentlich höheres Schadenspotential. Man benötigt also neue und ganzheitliche Sicherheitsansätze, um das schnell wachsende IoT zu adressieren.

Typische Sicherheitslücken / Gefährdungspotenziale

Neben der enormen Vielfalt an vernetzten Geräten liegen weitere Gründe für ein erhöhtes Gefährdungspotenzial auch am sorglosen Umgang mit Sicherheitsaspekten bei der Entwicklung und dem Betrieb von vernetzten Geräten:

• Der Time-to-Market Druck veranlasst viele Hersteller, Sicherheitsaspekte überhaupt nicht oder nur sehr mangelhaft im Design ihrer Produkte in Betracht zu ziehen.
• Wenn überhaupt berücksichtigt, sind die Implementierungen häufig sehr eingeschränkt und unzureichend ausgeführt.
• Entwickler herkömmlicher Embedded Systeme kommen oft aus Bereichen, wo die Systeme in isolierten, abgeschirmten Netzwerken betrieben werden. Sie haben daher nicht immer die Sensitivität für die Notwendigkeit, die Systeme selbst umfassend zu schützen.
• Durch den zunehmenden Einsatz drahtlos vernetzter Sensoren und Aktoren öffnen sich zusätzliche Angriffsflächen für unerwünschte Attacken. Häufig wird dies bei Entwicklung vermeintlich „dummer“ Systeme unterschätzt.

Eine Studie von HP aus dem Jahr 2015 beschäftigt sich intensiv mitdem Thema Sicherheit im Internet of Things und der dabei verwendeten Geräte. Darin wird u.a. festgestellt, dass bei den untersuchten Systemen

• 90% mindestens eine persönliche Information enthalten, auf die via Cloud oder Mobilapplikation zugegriffen werden kann;
• 80% über in Länge und Komplexität unzureichende Passwörter geschützt werden;
• 70% unverschlüsselte Netzwerk-Services verwenden;
• 70% es Angreifern ermöglichen, durch einfache Methoden über Cloud- oder Mobilapplikation gültige Benutzer-Accounts zu identifizieren;
• 60% User Interfaces benutzen, die verwundbar hinsichtlich XSS und aufgrund schwacher Zugangsdaten sind.

Diese Studie hat auch aufgezeigt, dass selbst einfache, seit vielen Jahren bekannte  Security-Prinzipien es offensichtlich nicht in den Entwicklungsprozess des Produkts geschafft haben, beispielsweise „starke“ Passwörter.

 Wie kann die IoT-Security verbessert werden?

Ein Ansatz ist die Entwicklung von einem neuen Security-Modell und -Standards. Die derzeitigen Security-Modelle für PCs und Smartphones lassen sich nicht auf IoT-Geräte abbilden, denn die meisten dieser Geräte sind bezüglich Prozessor- und Speicherkapazität limitiert. Viele der derzeitigen Security-Modelle beinhalten Updates, das Einspielen von Security-Patches, das Installieren und Aktualisieren von Antiviren-Software und das Konfigurieren von Host-basierten Firewalls. 

Zusätzlich zu einem neuen Security-Modell benötigt man unbedingt neue Standards. Nur so garantiert man sichere und kompatible IoT-Geräte. Allerdings sind Standards für Security und Sicherheit eigentlich nicht vorhanden oder erst in der Entstehung. In Märkten wie Medizin, Automatisierung, Automotive und Transportation existieren zwar Security- und Sicherheits-Standards, aber diese müssen hinsichtlich der Einbindung von IoT-Geräten aktualisiert werden. Verschiedene Organisationen und User-Groups befassen sich seit einiger Zeit, zum Teil mit unterschiedlichen Ansätzen, mit der Definition von IoT-Standards und zugehöriger Sicherheitskonzepte. Dazu gehören z.B. das Industrial Internet Consortium (ICC), das Open Interconnect Consortium und auch Arbeitsgruppen im Rahmen der Industrie 4.0 Initiative. Es bleibt also spannend, welcher Standard sich im Endeffekt durchsetzen wird und die breiteste Akzeptanz findet.

Maßnahmen zum Schutz vor Angriffen

Da die Entwicklung neuer Security-Modelle und -Standards noch Zeit benötigt, sollten heute bei der Entwicklung von IoT-Geräten mindestens einige der nachfolgenden Security-Vorkehrungen berücksichtigt werden:

• Verwendung sicherer Methoden in der Entwicklung:
  Das Open Web Application Security Project (OWASP), eine Non-Profit-Organisation mit dem Ziel, die Sicherheit im World Wide Web zu verbessern, hat eine Liste von Maßnahmen erstellt (OWASP IoT Top Ten), die als Grundlage verwendet werden kann, um IoT-Geräte sicherer zu machen.
• Verschlüsselung der Daten:
  Alle Daten werden bei Übertragung auf ein anderes Gerät grundsätzlich verschlüsselt. Das gilt insbesondere bei der Übertragung von Daten vom Gerät zu mobilen Apps sowie in eine Cloud. Es empfiehlt sich auch, Software-Updates zu verschlüsseln.
• Offenlegung der verwendeten persönlich identifizierbaren Informationen (PII’s) und wie sie geschützt werden.
• Regelmäßige Durchführung von Security Assessments.

Auf übergeordneter Unternehmensebene lässt sich die Sicherheit von bereits existierenden IoT-Geräten verbessern indem:

• für die Geräte dieselben Sicherheitskonzepte angewandt werden wie für existierende Netzwerke und Computer;
• alle bereits in den Geräten vorhandenen Sicherheitsmöglichkeiten aktiviert werden, gegebenenfalls durch Änderung der Standardeinstellungen;
• alle Geräte in ein Sicherheitsüberwachungssystem eingebunden werden;
• konsequent sichere Updates eingespielt werden;
• regelmäßig Scans auf den Geräten durchgeführt werden.

Besonderes Augenmerk ist auf IoT-Geräte zu legen, die nicht durch Personen kontrolliert werden, sondern die häufig immer ‚online‘ sind. Meist durchlaufen sie nur einmal bei ihrer Installation einen Authentisierungsprozess. Das macht sie zur perfekten Angriffsstelle für Infiltrierung von Schadsoftware und somit zur Schwachstelle für das gesamte Firmennetz.

Zusätzlich benötigt es Vorkehrungen zur Sicherung der Speicher, in denen von IoT-Geräten gelieferte Daten abgelegt sind. Diese Speicher stellen attraktive Ziele für Firmen-Hacker und Industriespione dar, um die gespeicherten Daten entwenden und damit Geschäfte zu machen.

Konkretes Anwendungsbeispiel aus der Praxis

Um seine Railway Router vor Cyber-Angriffen zu schützen, adressiert NetModule das Thema sichere WAN- und WLAN-Verbindungen in Zügen. Diese stellen beim Ausbau von (P)WLAN in Eisenbahnen eine Schlüsselkomponente für (P)WLAN bereit: Damit wird neben dem Zugang zum Internet der Austausch von Betriebsdaten, die Übermittlung  von Fahrgastinformationen und Werbeinhalten, das Absetzen von Notrufen und Entertainment der Zugpassagiere realisiert. Um Angreifern keine Chance zu geben, hat NetModule verschiedene Sicherheitsmaßnahmen in seine Router integriert, die ständig überprüft und erweitert werden.

Besonderes Augenmerk wurde auf sicherheitskritische Bereiche wie Login, SSL und dem «USB Autorun» Feature gelegt. Letzteres wird beispielsweise erst mit einer Verzögerung von 3 Sekunden nach dem Anstecken des USB-Sticks gestartet. Es kann dabei nicht parallel zu anderen Prozessen laufen und der physikalische Zugang zum Router ist zwingend notwendig. Damit ist das «USB Autorun» Feature weder anfällig für Brute-Force-Angriffe noch für «Wörterbuch-Attacken».

Zudem sind die NetModule Router gegen andere oft genutzte Angriffsmethoden gut geschützt. Zwei davon seien hier erwähnt:

Keine Hinterlegung von privaten Schlüssel auf den Routern:
Die Software der NetModule Router enthält keine festcodierten Schlüssel oder Zertifikate. Der Anwender muss beim Konfigurieren des Geräts die Schlüssel und Zertifikate zur Sicherstellung von Diensten (z.B. HTTP- und SSH-Server) oder zur Implementierung von Authentifizierung und Verschlüsselung (z.B. für VPN-Tunnel und WLAN-Clients) explizit erstellen. Sollte eine noch stärkere kryptografische Absicherung erforderlich sein, wird empfohlen, die Schlüssel mittels eines externen RNG (Random Number Generator)-Geräts zu erstellen oder alle Zertifikate insgesamt auf einem Remote-Zertifizierungsserver zu verwalten.

Keine Verwendung von Standardpasswörter oder –zugangsdaten:
Anstelle von Standardpasswörtern oder –zugangsdaten muss der Anwender das Administrationspasswort beim ersten Start-up des Routers „von Hand“ eingeben und legt damit automatisch das Root-Passwort fest. Erst danach wird dem integrierten WebManager das Erstellen weiterer User mit entsprechenden Berechtigungen ermöglicht.

Grundsätzlich werden bei NetModule bei der Entwicklung von Software für netzfähige Produkte die Empfehlungen zur Vermeidung der OWASP Top Ten IoT-Sicherheitslücken berücksichtigt. 

 Zusammenfassung

Weil die Definition neuer, der Situation angepasster Sicherheitsstandards zwar im Gange ist, ihre Umsetzung sicher noch einige Zeit benötigt, müssen die Hersteller von „Connected Devices“ sich selbst um die Sicherheit ihrer Produkte kümmern. Schon mit einfachen Maßnahmen lässt sich diese mit einem hinreichenden Niveau erzielen. Wichtige Aspekte dabei sind:

• Sicheres und kontrolliertes Starten der Systeme
• Kontrollierter Zugang zu den Systemen
• Automatische Authentisierung bei der Verbindung mit Netzwerken jeder Art
• Einsatz von Firewalls und IPS (Intrusion Prevention System) wo immer möglich
• Regelmässige Security Scans und Updates der Systeme

Bei Berücksichtigung dieser relativ einfachen Vorkehrungen erhält man schon mit überschaubarem Aufwand ein hohes Level an Cyber-Security. Und bei der Kommunikation zwischen den Systemen gilt immer: Verschlüsseln, Verschlüsseln, Verschlüsseln…

Quellennachweise:

„Internet of Things research study, 2015 report“, Hewlett Packard Enterprise
“Internet der Dinge: Was ist zu tun, um IoT-Security Realität werden zu lassen”, Angela Orebaugh 
„Why IoT Security is so critical“, Ben Dickson