Βέλτιστες πρακτικές ασφαλείας για το Endpoint IIC

Πολύ πρόσφατα, η Κοινοπραξία Βιομηχανικού Διαδικτύου δημοσίευσε ένα ενδιαφέρον έγγραφο με τις Συνιστώμενες Βέλτιστες Πρακτικές Ασφαλείας για το Endpoint.

Η Barbara IoT είναι πάντα ενθουσιασμένη με αυτού του είδους τις πρωτοβουλίες, καθώς πιστεύουμε ακράδαντα ότι υπάρχει πολλή δουλειά στην ασφάλεια του Διαδικτύου και ότι η συσκευή είναι ίσως ο πιο αδύναμος κρίκος που υπάρχει σήμερα στην αλυσίδα αξίας του Διαδικτύου. Και όπως γνωρίζουμε, η αλυσίδα είναι τόσο ισχυρή όσο ο ασθενέστερος κρίκος, οπότε οι συσκευές ασφάλισης θα είναι υποχρεωτικές (αν δεν είναι ήδη).

Αυτό το άρθρο περνάει από τα βασικά σημεία των συστάσεων του IIC και τα χαρτογραφεί ενάντια στην πλατφόρμα λογισμικού Barbara, μια ασφαλής λύση για τον κύκλο ζωής των συσκευών IoT. Ο ακόλουθος πίνακας συνοψίζει τον πίνακα συμμόρφωσης:

Αλλά ας πάρουμε τις λεπτομέρειες ....

Επίπεδα ασφαλείας:

Το ΙΙC ορίζει τρία επίπεδα ασφάλειας, βασικά επίπεδα ασφαλείας (SLB), βελτιωμένο επίπεδο ασφάλειας (SLE) και κρίσιμη στάθμη ασφαλείας (SLC), τα οποία αντιστοιχούν στα επίπεδα ασφάλειας 2, 3 και 4 όπως ορίζεται στο IEC 62443 3-3. Το βασικό επίπεδο προστατεύει από την "εσκεμμένη παραβίαση χρησιμοποιώντας απλά μέσα με χαμηλά μέσα". Το ενισχυμένο επίπεδο προστατεύει το σύστημά μας από «πολύπλοκα μέσα με μέτριους πόρους». Το κρίσιμο επίπεδο ενισχύει την παροχή προστασίας για "εξελιγμένα μέσα με εκτεταμένους πόρους". Ανάλογα με την εφαρμογή και τις περιστάσεις, πρέπει να προστατεύσετε το τελικό σημείο σας με το κατάλληλο επίπεδο ασφαλείας.

Βάσει αυτών των επιπέδων ασφαλείας, η IIC προτείνει τρεις διαφορετικές αρχιτεκτονικές που θα πρέπει να βασίζονται σε ανοικτά πρότυπα και θα πρέπει να είναι διαλειτουργικές μεταξύ των τελικών σημείων πολλαπλών πωλητών και πολλαπλών πλατφορμών για να θεωρούνται ασφαλή.

IIC προτεινόμενες αρχιτεκτονικές

Ας πάμε βαθύτερα σε κάθε μία από αυτές τις συνιστώσες, περιγράφοντάς τις λεπτομερέστερα και ανακαλύπτοντας πως η Barbara Software Platform συμμορφώνεται με τις κατευθυντήριες γραμμές του IIC.

Ρίζα της εμπιστοσύνης:

Το Root of Trust (Root of Trust) αποτελεί τη βάση για κάθε ασφάλεια τελικού σημείου και παρέχει χαρακτηριστικά ως ταυτότητα τελικού σημείου και βεβαίωση ταυτότητας και ακεραιότητας λογισμικού και υλικού. Όπως μπορείτε να φανταστείτε, το τελικό σημείο θα είναι τόσο ισχυρό όσο η ρίζα της εμπιστοσύνης, έτσι μια ασφαλή εφαρμογή του Root of Trust είναι υποχρεωτική.

Συγκεκριμένα, η IIC υποστηρίζει ότι για ενισχυμένα και κρίσιμα επίπεδα ασφάλειας, το Root of Trust θα πρέπει να εφαρμοστεί με βάση το Hardware. Προκειμένου να συμμορφωθούμε με τις συστάσεις του IIC, μπορεί να χρειαστούμε ένα συγκεκριμένο τσιπ ασφαλείας υλικού (ή παρόμοιο) με αντίσταση σε παραβίαση.

Όσον αφορά την ρίζα της εμπιστοσύνης, η πλατφόρμα λογισμικού Barbara συγκεντρώνει όλα τα χαρακτηριστικά ασφαλείας σε ισχυρό Root of Trust. Η στοίβα λογισμικού μας χρησιμοποιεί ιδιόκτητο PKI (Υποδομή δημόσιου κλειδιού βασισμένο σε πρότυπα κρυπτογραφίας δημόσιου κλειδιού) και παρέχει τα αντίστοιχα άγκιστρα που επιτρέπουν την εύκολη ενσωμάτωση με τις μονάδες Trusted Platform Modules της επιλογής του πελάτη.

Ταυτότητα τελικού σημείου:

Η ταυτότητα του τελικού σημείου είναι ένα βασικό στοιχείο για την αξιοποίηση των περισσότερων χαρακτηριστικών ασφαλείας. Σύμφωνα με τις συστάσεις του IIC, η υποστήριξη PKI (Υποδομή δημόσιων κλειδιών) είναι υποχρεωτική για την κάλυψη των βασικών, ενισχυμένων και κρίσιμων επιπέδων. Συνιστάται επίσης να εφαρμόσετε ένα πρωτόκολλο διαχείρισης ανοικτού προτύπου για την έκδοση και τη διαχείριση πιστοποιητικών από μια εσωτερική ή εξωτερική αρχή πιστοποίησης (αρχή πιστοποίησης).

Όπως σχολίασε πριν η Barbara Software Platform περιλαμβάνει το δικό της PKI με βάση το PKCS (Freeipa, www.freeipa.org/). Το FreeIPA είναι μια ολοκληρωμένη λύση ταυτότητας και ελέγχου ταυτότητας που παρέχει συγκεντρωτική ταυτότητα, εξουσιοδότηση και πληροφορίες λογαριασμού. Όπως απαιτείται από το IIC, το FreeIPA είναι χτισμένο πάνω από τα γνωστά συστατικά στοιχεία ανοιχτού κώδικα και τα πρότυπα πρωτόκολλα.

Ασφαλής εκκίνηση:

Ένα αξιόπιστο σύστημα Secure Boot που προστατεύει κρυπτογραφικά την ισχύ του τελικού σημείου είναι και πάλι απαίτηση για βασικά, ενισχυμένα και κρίσιμα επίπεδα. Σύμφωνα με τις βέλτιστες πρακτικές του IIC, μπορεί να εφαρμοστούν κρυπτογραφικές αντισταθμίσεις βάσει του PKCS (Public Key Cryptography Standards). Κάνοντας αυτό μπορούμε να είμαστε σίγουροι ότι το λογισμικό χωρίς τα κατάλληλα κλειδιά θα είναι σε θέση να εκκινήσει τη συσκευή. Η πλατφόρμα λογισμικού Barbara μπορεί να μεταφερθεί σε πίνακες υλικού που υποστηρίζουν ασφαλή εκκίνηση σε εύλογη προσπάθεια.

Κρυπτογραφικές υπηρεσίες και ασφαλείς επικοινωνίες:

Η χρήση κρυπτογραφίας κατά τη μεταφορά δεδομένων (σε κίνηση), η αποθήκευση δεδομένων (σε κατάσταση ηρεμίας) και οι εφαρμογές (σε χρήση) αποτελούν σαφή απαίτηση για τα τρία προαναφερθέντα επίπεδα ασφάλειας (Basic, Enhanced, Critical). Τα χαρακτηριστικά που απαιτούνται για την παροχή μιας τέτοιας προστασίας είναι:

  • Κρυπτογραφικοί Αλγόριθμοι βασισμένοι σε πρότυπα επικυρωμένα από το NIST / FIPS.
  • Ασύμμετρες και συμμετρικές μονάδες κρυπτογράφησης, λειτουργίες κατακερματισμού και τυχαίος αριθμός. γεννήτριες αρκετά ισχυρές και βασισμένες στο πρότυπο κρυπτογραφίας δημόσιου κλειδιού (PKCS)
  • Στην ικανότητα ενημέρωσης πεδίου των κρυπτογραφικών αλγορίθμων ώστε να είναι δυνατή η κάλυψη πιθανών τρωτών σημείων.
  • Έλεγχος των εφαρμογών βάσει πολιτικών χρήση κρυπτογραφικών λειτουργιών, αποφεύγοντας τη χρήση μη ασφαλούς κρυπτογράφησης.
  • Διαλειτουργικότητα κρυπτογραφικών κλειδιών και πιστοποιητικών σε συστήματα πολλαπλών προμηθευτών.

Η πλατφόρμα λογισμικού Barbara υλοποιεί διάφορα χαρακτηριστικά που εγγυώνται την ποιότητα των υπηρεσιών κρυπτογράφησης. Χρησιμοποιεί το LUKS από προεπιλογή, το οποίο είναι το πρότυπο για την κρυπτογράφηση σκληρού δίσκου LINUX. Το LUKS είναι ανοικτό, επομένως είναι εύκολα ελεγχόμενο και βασίζεται στο PKCS όπως συνιστάται.

Στην πλευρά μεταφοράς δεδομένων, η Barbara OS περιέχει τις απαιτούμενες βιβλιοθήκες για να επικοινωνούν χρησιμοποιώντας πρότυπα πρωτόκολλα εφαρμογής IoT σε κρυπτογραφημένη μεταφορά (TLS και DTLS).

Επιπλέον, απαιτείται μια ασφαλής στοίβα επικοινωνίας από άκρο σε άκρο για τα τρία καθορισμένα επίπεδα. Αυτή η στοίβα επικοινωνιών θα πρέπει να περιλαμβάνει υποστήριξη για έλεγχο ταυτότητας, προστατευμένη συνδεσιμότητα, τείχος προστασίας σημείου τέλους και συμπερίληψη ασφαλών πρωτοκόλλων μεταφοράς (TLS, DTLS, SSH ...). Όλα αυτά τα χαρακτηριστικά περιλαμβάνονται στην πλατφόρμα λογισμικού Barbara, έτσι ώστε όλες οι επικοινωνίες Barbara να έχουν πιστοποιηθεί και κρυπτογραφηθεί.

Διαμόρφωση και διαχείριση τελικού σημείου

Και το κλιμακωτό σύστημα για την ενημέρωση του λειτουργικού συστήματος, των εφαρμογών ή / και της διαμόρφωσης της συσκευής απαιτείται να συμμορφώνεται με τα βελτιωμένα και τα κρίσιμα επίπεδα, λαμβάνοντας υπόψη ότι μπορεί να χρειαστεί να εκτελέσετε αυτές τις ενημερώσεις πάνω από ένα εκατομμύριο τελικών σημείων ταυτόχρονα. Φυσικά, όλες αυτές οι λειτουργίες θα πρέπει να εκτελούνται σε ένα ασφαλές περιβάλλον, συμπεριλαμβανομένης της επικύρωσης βάσει πιστοποιητικού μεταξύ της οντότητας που εξυπηρετεί την ενημέρωση και του τελικού σημείου που την λαμβάνει.

Από αυτή την άποψη, η πλατφόρμα λογισμικού Barbara περιλαμβάνει το πάνελ Barbara. Το Barbara Panel είναι η λύση της πλευράς του διακομιστή για τη διαχείριση όλων των τελικών σημείων μιας ανάπτυξης IoT. Παρέχει μια απλή και συγκεντρωμένη κονσόλα για διαχείριση ενημερώσεων OTA (over the air), παρακολούθηση συσκευών και διαχείριση παραμέτρων. Όλα αυτά τα χαρακτηριστικά προσφέρονται μέσα σε ένα καλύτερο περιβάλλον ασφάλειας κλάσης.

Συνεχής παρακολούθηση

Η παρακολούθηση του τελικού σημείου σε πραγματικό χρόνο είναι μια απαίτηση για κρίσιμο επίπεδο ασφαλείας, σύμφωνα με το IIC. Αυτό θα επέτρεπε στον χρήστη να ελέγχει και να εμποδίζει μη εξουσιοδοτημένες αλλαγές στη διαμόρφωση και να έχει έλεγχο σε επίπεδο εφαρμογής για την ανίχνευση και την πρόληψη μη εξουσιοδοτημένων δραστηριοτήτων, όπως η χρήση ανασφαλών κρυπτών που ενδέχεται να θέσουν σε κίνδυνο το σύστημα

Το Barbara Panel περιλαμβάνει σύστημα ειδοποιήσεων που επιτρέπει στο χρήστη να λαμβάνει προκαθορισμένες ειδοποιήσεις ασφαλείας και να καθορίζει τις δικές του προειδοποιήσεις και να τις ωθεί στα τελικά σημεία.

Πίνακας ελέγχου πολιτικής και δραστηριότητας

Προκειμένου να συμμορφώνεται με το κριτικό επίπεδο, απαιτείται η δυνατότητα διαχείρισης απομακρυσμένων σημείων. Ο διαχειριστής του συστήματος θα πρέπει να είναι σε θέση να προωθεί και να εκτελεί πολιτικές κατά τρόπο που να εγγυάται τη σωστή διανομή των πολιτικών σε όλο το δίκτυο, ενεργώντας έτσι ως αποτελεσματικό πλαίσιο ασφαλείας.

Το Barbara Panel επιτρέπει στους διαχειριστές ανάπτυξης να παρακολουθούν τις δραστηριότητες των τελικών σημείων και να καθορίζουν και να προωθούν πολιτικές ασφάλειας βασισμένες στις πληροφορίες που αποκτώνται. Για παράδειγμα, οι νέες πολιτικές μπορούν να εφαρμόσουν νέους κανόνες στο προαναφερθέν τείχος προστασίας όταν ανιχνεύονται ύποπτα πρότυπα επικοινωνιών.

Πληροφορίες συστήματος και διαχείριση συμβάντων

Σε σχέση με την προηγούμενη παράγραφο, η δυνατότητα λήψης αρχείων καταγραφής συμβάντων και καθορισμού και διανομής πολιτικών βάσει των πληροφοριών από τα αρχεία καταγραφής είναι επίσης μια απαίτηση για το κρίσιμο επίπεδο. Συνιστάται αυτές οι λειτουργίες διαχείρισης να γίνονται με τη χρήση μοντέλων δεδομένων ή εκτάσιμων μορφών, όπως το REST API ή το JSON.

Το σύστημα καταγραφής της πλατφόρμας λογισμικού Barbara παρέχει στους διαχειριστές συστημάτων μεγάλες ποσότητες πληροφοριών που θα χρησιμοποιηθούν για την παραγωγή πολιτικών ασφάλειας.

συμπέρασμα

Η Barbara IoT καταβάλλει τεράστια προσπάθεια για την οικοδόμηση ενός ασφαλούς προϊόντος. Ένα προϊόν που μπορεί να χρησιμοποιηθεί στα πιο απαιτητικά σενάρια όσον αφορά τη βιομηχανική ασφάλεια. Όπως και το IIC, πιστεύουμε ότι αυτού του είδους οι πρωτοβουλίες μπορούν να βοηθήσουν ολόκληρο το οικοσύστημα της βιομηχανίας, προωθώντας την εμπιστοσύνη και ενδυναμώνοντας όλους τους παράγοντες του οικοσυστήματος.

Βιβλιογραφικές αναφορές:

  • http://www.iiconsortium.org/
  • Βέλτιστες πρακτικές ασφαλείας για το Endpoint IIC. IIC: WHT: ΙΝ17: V1.0: ΡΒ: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Τι πρέπει να γνωρίζουν οι χρήστες για την κρυπτογράφηση πλήρους δίσκου βάσει των LUKS, Simone Bossi και Andrea Visconti. Εργαστήριο Κρυπτογραφίας και Κωδικοποίησης (CLUB), Τμήμα Επιστήμης Υπολογιστών, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Αυτή η ανάρτηση δημοσιεύτηκε αρχικά στο barbaraiot.com στις 6 Ιουνίου 2018. Αν σας αρέσει και θέλετε να λαμβάνετε παρόμοιο περιεχόμενο εγγραφείτε στο Newsletter μας