Anzeige
Anzeige
Beitrag drucken

Public Key Infrastructure

Sichere Protokolle auch für kleine IoT-Geräte

Die Zahl der Geräte im Internet of Things wächst stetig, doch noch immer mangelt es an verbindlichen Standards für die Sicherheit bei der Datenübertragung. Eine der größten Herausforderungen des IoT ist die Bereitstellung vertrauenswürdiger Identitäten für Geräte mit begrenzten Ressourcen. Mit Public-Key-Factor-basierten Protokollen ließe sich das lösen.

Public Key Infrastructure: Sichere Protokolle auch für kleine IoT-Geräte

Bild: Nexus Technology GmbH

Der Branchenverband Cloud Security Alliance hat in seinem Report ‚Future Proofing the Connected World‘ einen Katalog konkreter Maßnahmen veröffentlicht, um die Sicherheit vernetzter Geräte zu verbessern. Eine zentrale Rolle spielt dabei die Implementierung von Funktionen für die starke Authentifizierung, Autorisierung sowie für die Zugriffskontrolle. Für die Authentifizierung benötigt jedes Gerät eine vertrauenswürdige Identität. Im Bereich Netzwerkkommunikation ist dabei eine Public Key Infrastructure (PKI) der De-Facto-Standard, um vertrauenswürdige Identitäten in Form von digitalen Zertifikaten bereitzustellen. Die Zertifikate werden von einem vertrauenswürdigen Dritten (in der Regel eine sogenannte Certificate Authority) ausgestellt und sorgen dafür, dass Geräte oder auch Menschen, die bislang nichts voneinander wussten, sicher miteinander kommunizieren können. Die Herausforderung dabei ist die Zertifikatsverteilung.

Automatisierte Zertifikate

Möchte man auf einem Smartphone ein digitales Zertifikat nutzen, beispielsweise für die E-Mail-Verschlüsselung oder für das digitale Signieren von Dokumenten, so wird das Zertifikat zunächst auf einem sicheren Weg auf das Telefon übertragen bzw. direkt auf dem Smartphone erzeugt. Um die Identität des Zertifikats zu schützen, wird es mit einem PIN versehen. Dieser muss bei jeder Verwendung angegeben werden. Alternativ zum PIN ist die Bestätigung des Zertifikats auch per Fingerabdruck möglich. Bei einem Sensor funktioniert dies nicht, da keine Benutzeroberfläche vorhanden ist. Daher muss die Zertifikatsverteilung auf diese Geräte automatisiert werden. Zwar existieren bereits Protokolle, die dafür genutzt werden. Allerdings sind sie zu komplex, um auch für Geräte mit begrenzten Ressourcen, wie beispielsweise batteriebetriebene Geräte, geeignet zu sein. Häufig verwenden Hersteller anstelle der PKI-Technologie geteilte Schlüssel (symmetrische Verschlüsselung) oder PINs und Passwörter für die Kommunikation zwischen vernetzten Geräten.

Was ist ein gutes IoT-Protokoll?

Ein gutes IoT-Protokoll sollte folgende drei Anforderungen erfüllen:

  • PKI-basiert: Im Netzwerk ausgetauschte Information wird mittels asymmetrischer Kryptographie verschlüsselt
  • Automatisierte Zertifikatsverteilung: Zertifikate können in Sekundenschnelle an Tausende Geräte verteilt werden, ohne dass sie manuell bestätigt werden müssen
  • Leichtgewichtig: Das Protokoll funktioniert auch für Geräte mit geringer Rechenleistung und begrenzter Energie

Das EST-Protokoll

Das sogenannte Enrollment over Secure Transport (EST)-Protokoll wurde 2013 standardisiert und von Cisco in Zusammenarbeit mit der Internet Engineering Taskforce entwickelt. Mit dem Protokoll können Zertifikatsverteilungsprozesse beschleunigt und automatisiert werden – ein großer Vorteil in komplexen IoT-Umgebungen. Das ältere SCEP-Protokoll (Simple Certificate Enrollment Protocol) wiederum unterstützt keine Erstellung und Verteilung von Schlüsseln auf Server-Seite und ist daher nur bedingt geeignet, Zertifikate für Clients und Certificate Authorities (CA) zu erneuern. Außerdem ist SCEP nicht standardisiert und erzeugt daher oft Probleme beim Zusammenspiel verschiedener Implementierungen. Auch CMP (Certificate Management Protocol) und CMS (Certificate Management over CMS) sind weit verbreitete Protokolle, die zwar standardisiert sind, bei denen es aber schwieriger ist, sie auf Clients zu implementieren. Für Geräte mit begrenzten Ressourcen sind sie daher ungeeignet. Als als Anbieter von Identity- und Security-Lösungen war Nexus Anfang 2017 unter den ersten Unternehmen, die das EST-Protokoll in einem kommerziellen Produkt unterstützen. Allerdings fehlt dem EST-Protokoll die Funktionalität für die automatische Zertifikatserneuerung. Dies wurde mittels einer REST API (Representational State Transfer, Application Programming Interface) für die Nexus PKI gelöst, die es für Kunden und Entwickler einfacher machen soll, entsprechende Funktionen für die Zertifikatserneuerung zu implementieren.

Das Cebot Protokoll

Das EST-Protokoll ist zwar besser geeignet als seine Vorgänger, dennoch bietet es keine wirklich praktikable Lösung für das erstmalige Verteilen und Widerrufen von Zertifikaten auf vielen verteilten Geräten. Ein wichtiger Schritt in diese Richtung ist das Cebot-Protokoll (Certificate Enrollment for Billions of Things). Cebot ist ein Projekt des schwedischen Forschungsinstituts Rise SICS und Nexus, das mit den Unternehmen Ericsson, Saab, Intel und Scypho bereits einige Unterstützer hat. Das Protokoll wurde speziell für die Anforderungen des IoT entwickelt. Die Funktionsweise ist einfach: Beim Kauf einer smarten LED-Lampe hat der Hersteller beispielsweise bereits ein Zertifikat auf der Lampe installiert. Sobald diese angeschlossen wird, verbindet sie sich automatisch mit der Certificate Authority, um das Zertifikat bestätigen zu lassen. Für diese Kommunikation sorgt Cebot. Das Protokoll löst damit das Problem, Zertifikate auch für Geräte mit begrenzten Ressourcen automatisch bereitzustellen. Cebot soll in einem nächsten Schritt der Internet Engineering Task Force (IETF) vorgelegt werden, um als Standardprotokoll anerkannt zu werden.

EU investiert in IoT-Sicherheit

Um PKI noch skalierbarer und leichtgewichtiger für das IoT zu machen, hat sich Nexus mit verschiedenen Partnern aus Forschung und Wirtschaft zusammengetan. Das Secure IoT-Projekt wird von Eurostars gefördert, einem gemeinsamen Programm der europäischen Forschungsinitiative Eureka und der Europäischen Kommission. Ziele des Projekts sind u.a. eine Lösung für das automatische erstmalige Verteilen und Widerrufen von Zertifikaten für batteriebetriebene IoT-Geräte zu finden sowie die Entwicklung eines IoT-Gateways, das sowohl moderne Protokolle für die IoT-Sicherheit als auch ältere Protokolle unterstützt. Das Projekt wurde im September 2016 gestartet und ist auf 36 Monate ausgelegt.

Datenschutz autonomer Fahrzeuge

Secredas steht für ‚Product Security for Cross Domain Reliable Dependable Automated Systems‘ und ist ein von der EU im Rahmen von Horizon 2020 gefördertes Projekt. Das Ziel ist, eine Lösung für die Sichereit und den Datenschutz vernetzter und automatisierter Fahrzeuge sowie anderer automatisierter Systeme zu finden. Im Rahmen des Projekts soll eine Softwarelösung zur Validierung von Architekturmethoden, Referenzarchitekturen, Komponenten und Integrationen entwickelt, die auch die sichere Kommunikation zwischen verschiedenen automatisierten Systemen ermöglicht. Secredas soll damit Vertrauenswürdigkeit in IoT-Netzwerke bringen, insbesondere um die europäische Auto- und Medizinindustrie in dieser Hinsicht zu stärken. Das Forschungsprojekt bringt ein Konsortium von Partnern aus 15 Ländern zusammen, das die gesamte Wertschöpfungskette der Automobilindustrie, Schlüsselakteure im medizinischen Bereich, eine Reihe von Akteuren in anderen Verkehrsbereichen (Eisenbahnen, Luft- und Raumfahrt) und Forschungsinstitute umfasst.


Identitäten verwalten seit 20 Jahren

Der IT-Sicherheitsspezialist hat bereits seit 20 Jahren eine eigene PKI-Identitätsplattform auf dem Markt, die für IoT-Anwendungen genutzt wird. Mit 10.000 Zertifikaten pro Sekunde ist das System nach Angaben des Anbieters sogar dazu geeignet, die nächste Generation der vernetzten Fahrzeugkommunikation V2X (auch als Car2X bezeichnet) zu unterstützen.


Das könnte Sie auch interessieren:

PTC hat das neunte Major Release der CAD-Software Creo vorgestellt. Das Unternehmen mit Hauptsitz in Boston hat in die Weiterentwicklung der Modellierungsumgebung investiert, um die Benutzerfreundlichkeit und Produktivität zu erhöhen.‣ weiterlesen

Mit Robotic Process Automation können standardisierte Prozesse automatisiert werden. Das entlastet Mitarbeiter, kann sie aber auch gänzlich überflüssig machen. Fehlende Akzeptanz für die Technologie kann RPA-Projekte zum Scheitern bringen. Eine Studie der Internationalen Hochschule hat untersucht, welche Kriterien für die Akzeptanz relevant sind.‣ weiterlesen

Ein neues Produkt wird in die Fertigung aufgenommen. Die Folge in vielen Unternehmen: Die Anlagen stehen zwei Wochen still, bis alle SPSen umprogrammiert sind. Dabei ließe sich die Neukonfiguration mit spezieller MES-Software quasi in der Frühstückspause einspielen.‣ weiterlesen

Das Institut für Schweißtechnik und Fügetechnik (ISF) der RWTH Aachen University untersucht im Sonderforschungsbereich 1120 'Präzision aus Schmelze' Einflüsse verschiedener Legierungselemente auf die Eigenspannungsverteilung. Um die Dehnung von Bauteilen zu untersuchen, wird sie mit in situ-Bildkorrelation beobachtet. Das Setup ist anspruchsvoll.‣ weiterlesen

Boston Micro Fabrication hat den 3D-Drucker MicroArch S240 vorgestellt: Bei einem Bauvolumen von 100x100x75mm ist er auf die Serienproduktion von Mikrobauteilen in Endqualität ausgelegt.‣ weiterlesen

Das Vertragsmanagement findet oft noch in Papierform statt. Dabei ermöglichen Lösungen für das Contract Lifecycle Management (CLM) längst eine digitale Abwicklung entlang der gesamten Wertschöpfungskette.‣ weiterlesen

Die deutschen Industrieunternehmen rechnen noch bis in das nächste Jahr mit Materialmangel. Im Schnitt gehen die Unternehmen laut einer Umfrage des Ifo Instituts von einem Zeitraum von zehn Monaten aus, bis sich die Lage wieder verbessert.‣ weiterlesen

Bordnetzhersteller können ihre spezifischen Anforderungen an Manufacturing-Execution-Systeme mit Branchenlösungen abbilden. Bei der Integration spart das viel Customizing und im Betrieb können Nutzer erwarten, dass Branchentrends besonders schnell im Standard landen.‣ weiterlesen

In einem offenen Brief haben sich IT-Forscher verschiedener Institutionen und Unternehmen an die Politik gewandt und fordern, Lösegeldzahlungen nach Ransomware-Angriffen zu unterbinden.‣ weiterlesen

Der Security-Spezialist Trend Micro gründet mit VicOne eine Tochtergesellschaft, die sich auf die Absicherung von Elektrofahrzeugen und vernetzten Fahrzeugen konzentrieren soll.‣ weiterlesen

Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Anzeige