Geräte des Internets der Dinge (IoT) sind weltweit allgegenwärtig – ob zu Hause, im Büro oder einfach im Internet. Als IoT-Gerät gilt jedes Gerät, das sich mit einem Netzwerk verbindet, um auf das Internet zuzugreifen. Dazu zählen beispielsweise PCs, Mobiltelefone, einige Lautsprecher und sogar manche Steckdosen. Heutzutage nutzen sogar Autos und Flugzeuge IoT-Geräte. Werden diese Geräte von Angreifern attackiert, besteht die Gefahr, dass Fahrzeuge entführt oder gestohlen werden. Angesichts der weitverbreiteten Nutzung von IoT-Geräten ist deren Authentifizierung und Autorisierung im Netzwerk Ihres Unternehmens unerlässlich. Werden nicht autorisierte IoT-Geräte in Ihr Netzwerk gelassen, können Angreifer diese für Malware-Angriffe in Ihrem Unternehmen missbrauchen.
Softwarebasierte IoT-Authentifizierung
Bevor wir über konkrete Möglichkeiten zur Autorisierung von IoT-Geräten sprechen, sollten wir zunächst einen Blick auf einige der allgemeinen, softwarebasierten Authentifizierungsmethoden werfen, die für Geräte des Internets der Dinge verfügbar sind.
- Einweg-Authentifizierung: Wenn zwei Geräte miteinander kommunizieren möchten, kann die Einweg-Authentifizierung verwendet werden, um nur eines der Geräte zu authentifizieren, anstatt beide. Dies ähnelt der Funktionsweise einer Client-Server-Beziehung, bei der sich der Client lediglich beim Server authentifiziert, nicht umgekehrt. Ein Beispiel für eine Einweg-Authentifizierung wäre die Anmeldung bei einem Server mit Benutzername und Kennwort.
- Zwei-Wege-Authentifizierung: Ähnlich wie die Einweg-Authentifizierung ist die Zweiweg-Authentifizierung, bei der sich beide Parteien gegenseitig authentifizieren. Ein Beispiel für eine Zweiweg-Authentifizierung könnte ein SSL/TLS-Handshake sein.
- Drei-Wege-Authentifizierung: Eine weitere Authentifizierungsmethode ist die Drei-Wege-Authentifizierung. Bei der Drei-Wege-Authentifizierung wird ein zentraler Punkt, beispielsweise ein Server, verwendet, um beide Geräte, die miteinander kommunizieren möchten, sowohl mit dem zentralen Punkt selbst als auch untereinander zu authentifizieren. Ein Beispiel für die Drei-Wege-Kommunikation könnte die Verwendung eines Servers sein, dem beide Kommunikationspartner vertrauen, um sich gegenseitig zu vertrauen.
- Verteilte Authentifizierung: Eine weitere Authentifizierungsmethode für IoT-Geräte ist die verteilte Authentifizierung. Bei der verteilten Authentifizierung wird ein verteiltes System zur Authentifizierung der beiden Kommunikationspartner verwendet.
- Zentralisierte Authentifizierung: Ähnlich wie die verteilte Authentifizierung ist die zentralisierte Authentifizierung. Statt eines verteilten Systems wird zur Authentifizierung der Parteien ein zentralisiertes Standortsystem verwendet. Eine weitere Möglichkeit zur Authentifizierung von Geräten ist die Zwei-Faktor-Authentifizierung. Beim Anmelden in einem Netzwerk kann ein Benutzer Benutzername und Passwort sowie eine Zwei-Faktor-Authentifizierung verwenden. Bei der Zwei-Faktor-Authentifizierung kann die Identität des Benutzers durch Senden einer E-Mail oder SMS oder durch Scannen eines QR-Codes überprüft und so das Gerät authentifiziert werden.
Dies sind größtenteils gängige Authentifizierungsmethoden, die folgenden hardwarebasierten Autorisierungsmethoden sind jedoch in größeren Organisationen häufiger anzutreffen.
Hardwarebasierte Autorisierungsmethoden
Wie bereits erwähnt, werden hardwarebasierte Autorisierungsmethoden in Unternehmen häufiger eingesetzt, da sie die sicherste und am weitesten verbreitete Methode zur Authentifizierung von IoT-Geräten in einem Netzwerk darstellen. Eine dieser hardwarebasierten Methoden ist die Verwendung von Hardware-Sicherheitsmodulen (HSMs). HSMs dienen der sicheren Speicherung privater Schlüssel asymmetrischer Schlüsselpaare. Ein asymmetrisches Schlüsselpaar besteht aus einem öffentlichen und einem privaten Schlüssel, die mathematisch miteinander verknüpft sind.
Der private Schlüssel bleibt, wie der Name schon sagt, geheim, während der öffentliche Schlüssel für jedermann einsehbar ist. Bei der Authentifizierung von IoT-Geräten verfügen Geräte innerhalb eines Netzwerks über ein asymmetrisches Schlüsselpaar und ein damit verknüpftes digitales Zertifikat, das mit dem zu authentifizierenden Gerät verknüpft ist. Enthält das dem HSM bereitgestellte Zertifikat einen öffentlichen Schlüssel, der mit dem im HSM gespeicherten privaten Schlüssel verknüpft ist, erhält das Gerät Zugriff auf das Netzwerk. Andernfalls wird der Zugriff verweigert.
Eine weitere Methode, die üblicherweise in Verbindung mit HSMs eingesetzt wird, ist die Verwendung einer Public-Key-Infrastruktur (PKI). Eine PKI ist ein Netzwerk von Zertifizierungsstellen , die von einer Stammzertifizierungsstelle (Root CA) ausgehen und Zertifikate an autorisierte Geräte in einem Netzwerk ausstellen und verteilen. Diese Zertifikate lassen sich bis zur vertrauenswürdigen Stammzertifizierungsstelle (Root CA) zurückverfolgen und autorisieren das mit diesem Zertifikat verbundene IoT-Gerät zur Nutzung des Netzwerks der Organisation. Die meisten PKIs integrieren ein HSM in ihre Systeme, um ein Höchstmaß an Sicherheit zu gewährleisten. Das HSM verwaltet die Speicherung der privaten Schlüssel der von den Zertifizierungsstellen generierten Zertifikate. Wird kein gültiges Zertifikat mit einer gültigen Zertifikatskette gefunden, die das Zertifikat mit der Stammzertifizierungsstelle verbindet, hat das Gerät keinen Zugriff auf das Netzwerk, das die PKI nutzt.
Einige Organisationen richten eine Trusted Execution Environment (TEE) ein, um ihr Netzwerk und die darin gespeicherten sensiblen Daten zu schützen. TEE wird in einem Gerät installiert, das sich mit einer Organisation verbindet, und verwendet eine hochgradige Verschlüsselung, um dem Gerät die Verbindung zum Netzwerk der Organisation zu ermöglichen. TEE wird in vielen Organisationen eingesetzt, da es die Systeme eines Geräts nicht überlastet und nur minimale Rechenleistung benötigt.
Eine letzte Authentifizierungsmethode, die Unternehmen häufig verwenden, ist ein Trusted Platform Module (TPM). Ein Trusted Platform Module (TPM) ist ein Mikrochip, der in ein IoT-Gerät eingebaut wird und die Authentifizierung des IoT-Geräts dank der darin gespeicherten hostspezifischen Verschlüsselungsschlüssel abschließt. Der Chip und die darin enthaltenen Schlüssel sind nicht über Software zugänglich, sodass ein Angreifer den Chip nicht nutzen kann, um Zugriff auf ein Netzwerk zu erhalten. Beim Verbinden mit einem Netzwerk über TPMs stellt der Chip einen Schlüssel bereit, den das Netzwerk mit bekannten Host-Schlüsseln vergleicht. Stimmen sie mit einem der bekannten Host-Schlüssel überein, wird der Zugriff gewährt.
Fazit
Dies sind nur einige der vielen verschiedenen Lösungen zur IoT-Geräteauthentifizierung, die Unternehmen zur Verfügung stehen. Die Wahl der richtigen Lösung ist entscheidend, da die Anforderungen an die IoT-Gerätesicherheit von Unternehmen sehr unterschiedlich sind. Ein ausführliches Gespräch innerhalb Ihres Cybersicherheitsteams ist unerlässlich, um die wichtigsten Aspekte dieser Authentifizierungsmethode und ihren erforderlichen Umfang festzulegen. Bei großen Unternehmen mit wenigen sensiblen Daten ist ein TPM (Trusted Property Manager) wahrscheinlich nicht die beste Wahl, da die Sicherheit nicht so streng sein muss und die Installation eines Chips in jedem Gerät des Netzwerks extrem kostspielig wäre. Zu beachten ist, dass viele dieser Systeme manuell verwaltet werden müssen. IoT-Management-Plattformen können hierbei hilfreich sein, da sie Unternehmen die Verwaltung von Sicherheitstools und den Abruf von Statusberichten für Hunderte von IoT-Geräten über ein Portal ermöglichen. Für Beratungsanfragen zu PKI oder HSM besuchen Sie unsere Website unter www.encryptionconsulting.com.
