Welche sind die besten verfügbaren IoT-Authentifizierungsmethoden für Sie?

Internet der Dinge, oder IoT-Geräte, gibt es überall auf der Welt, ob zu Hause, im Büro oder einfach im Internet. Ein IoT-Gerät ist jeder Gerätetyp, der sich mit einem Netzwerk verbindet, um auf das Internet zuzugreifen. Daher gelten PCs, Mobiltelefone, einige Lautsprecher und sogar einige Steckdosen als IoT-Geräte. Heutzutage verwenden sogar Autos und Flugzeuge IoT-Geräte. Das bedeutet, dass diese Geräte bei einem Angriff von Cyberkriminellen entführt oder gestohlen werden könnten. Angesichts der weiten Verbreitung von IoT-Geräten ist die Authentifizierung und Autorisierung von IoT-Geräten im Netzwerk Ihres Unternehmens unerlässlich geworden. Wenn Sie nicht autorisierten IoT-Geräten Zugriff auf Ihr Netzwerk gewähren, kann dies dazu führen, dass Cyberkriminelle diese nicht autorisierten Geräte für Schadsoftwareangriffe in Ihrem Unternehmen nutzen.

Softwarebasierte IoT-Authentifizierung

Bevor wir über konkrete Möglichkeiten zur Autorisierung von IoT-Geräten sprechen, sollten wir zunächst einen Blick auf einige der allgemeinen, softwarebasierten Authentifizierungsmethoden werfen, die für Geräte des Internets der Dinge verfügbar sind.

• Einweg-Authentifizierung: Wenn zwei Geräte miteinander kommunizieren möchten, kann die Einweg-Authentifizierung verwendet werden, um nur eines der Geräte zu authentifizieren, anstatt beide. Dies ähnelt der Funktionsweise einer Client-Server-Beziehung, bei der sich der Client lediglich beim Server authentifiziert, nicht umgekehrt. Ein Beispiel für eine Einweg-Authentifizierung wäre die Anmeldung bei einem Server mit Benutzername und Kennwort.
• Zwei-Wege-Authentifizierung: Ähnlich wie die Einweg-Authentifizierung ist die Zweiweg-Authentifizierung, bei der sich beide Parteien gegenseitig authentifizieren. Ein Beispiel für eine Zweiweg-Authentifizierung könnte ein SSL/TLS-Handshake sein.
• Drei-Wege-Authentifizierung: Eine weitere Authentifizierungsmethode ist die Drei-Wege-Authentifizierung. Bei der Drei-Wege-Authentifizierung wird ein zentraler Punkt, beispielsweise ein Server, verwendet, um beide Geräte, die miteinander kommunizieren möchten, sowohl mit dem zentralen Punkt selbst als auch untereinander zu authentifizieren. Ein Beispiel für die Drei-Wege-Kommunikation könnte die Verwendung eines Servers sein, dem beide Kommunikationspartner vertrauen, um sich gegenseitig zu vertrauen.
• Verteilte Authentifizierung: Eine weitere Authentifizierungsmethode für IoT-Geräte ist die verteilte Authentifizierung. Bei der verteilten Authentifizierung wird ein verteiltes System zur Authentifizierung der beiden Kommunikationspartner verwendet.
• Zentralisierte Authentifizierung: Ähnlich wie die verteilte Authentifizierung ist die zentralisierte Authentifizierung. Statt eines verteilten Systems wird zur Authentifizierung der Parteien ein zentralisiertes Standortsystem verwendet. Eine weitere Möglichkeit zur Authentifizierung von Geräten ist die Zwei-Faktor-Authentifizierung. Beim Anmelden in einem Netzwerk kann ein Benutzer Benutzername und Passwort sowie eine Zwei-Faktor-Authentifizierung verwenden. Bei der Zwei-Faktor-Authentifizierung kann die Identität des Benutzers durch Senden einer E-Mail oder SMS oder durch Scannen eines QR-Codes überprüft und so das Gerät authentifiziert werden.

Dies sind größtenteils gängige Authentifizierungsmethoden, die folgenden hardwarebasierten Autorisierungsmethoden sind jedoch in größeren Organisationen häufiger anzutreffen.

Hardwarebasierte Autorisierungsmethoden

Wie bereits erwähnt, werden hardwarebasierte Autorisierungsmethoden in Unternehmen häufiger eingesetzt, da sie die am weitesten verbreitete und sicherste Methode zur Authentifizierung von IoT-Geräten innerhalb eines Netzwerks darstellen. Eine dieser hardwarebasierten Methoden ist die Verwendung von Hardware-Sicherheitsmodule. Hardware-Sicherheitsmodule (HSMs) werden verwendet, um private Schlüssel sicher zu speichern von asymmetrisch Schlüsselpaare. Ein asymmetrisches Schlüsselpaar besteht aus einem öffentlichen und einem privaten Schlüssel, die mathematisch miteinander verknüpft sind.

Der private Schlüssel bleibt, wie der Name schon sagt, geheim, während der öffentliche Schlüssel für jedermann einsehbar ist. Bei der Authentifizierung von IoT-Geräten verfügen Geräte innerhalb eines Netzwerks über ein asymmetrisches Schlüsselpaar und ein damit verknüpftes digitales Zertifikat, das mit dem zu authentifizierenden Gerät verknüpft ist. Enthält das dem HSM bereitgestellte Zertifikat einen öffentlichen Schlüssel, der mit dem im HSM gespeicherten privaten Schlüssel verknüpft ist, erhält das Gerät Zugriff auf das Netzwerk. Andernfalls wird der Zugriff verweigert. 

Eine weitere Methode, die üblicherweise in Verbindung mit HSMs verwendet wird, ist die Verwendung einer Public Key Infrastructure. Infrastruktur öffentlicher Schlüssel, oder PKI, ist eine Verbindung von Zertifizierungsstellen stammen von einer Stammzertifizierungsstelle, die Zertifikate erstellt und an autorisierte Geräte in einem Netzwerk verteilt. Diese Zertifikate lassen sich auf die vertrauenswürdige Stammzertifizierungsstelle (Root CA) zurückführen, die dem mit diesem Zertifikat verbundenen IoT-Gerät die Nutzung des Unternehmensnetzwerks autorisiert. Die meisten PKIs integrieren ein HSM in ihre PKI-Systeme, um ein Höchstmaß an Sicherheit zu gewährleisten. Das HSM übernimmt die Speicherung der privaten Schlüssel der von den CAs generierten Zertifikate. Wird kein gültiges Zertifikat mit einer gültigen Zertifikatskette gefunden, die das Zertifikat mit der Stammzertifizierungsstelle verbindet, hat das Gerät keinen Zugriff auf das Netzwerk, das die PKI nutzt.

Einige Organisationen richten eine Trusted Execution Environment (TEE) ein, um ihr Netzwerk und die darin gespeicherten sensiblen Daten zu schützen. TEE wird in einem Gerät installiert, das sich mit einer Organisation verbindet, und verwendet eine hochgradige Verschlüsselung, um dem Gerät die Verbindung zum Netzwerk der Organisation zu ermöglichen. TEE wird in vielen Organisationen eingesetzt, da es die Systeme eines Geräts nicht überlastet und nur minimale Rechenleistung benötigt. 

Eine letzte Authentifizierungsmethode, die Unternehmen häufig verwenden, ist ein Trusted Platform Module (TPM). Ein Trusted Platform Module (TPM) ist ein Mikrochip, der in ein IoT-Gerät eingebaut wird und die Authentifizierung des IoT-Geräts dank der darin gespeicherten hostspezifischen Verschlüsselungsschlüssel abschließt. Der Chip und die darin enthaltenen Schlüssel sind nicht über Software zugänglich, sodass ein Angreifer den Chip nicht nutzen kann, um Zugriff auf ein Netzwerk zu erhalten. Beim Verbinden mit einem Netzwerk über TPMs stellt der Chip einen Schlüssel bereit, den das Netzwerk mit bekannten Host-Schlüsseln vergleicht. Stimmen sie mit einem der bekannten Host-Schlüssel überein, wird der Zugriff gewährt.

Fazit

Dies sind nur einige der vielen verschiedenen Lösungen für die IoT-Geräteauthentifizierung, die Unternehmen zur Verfügung stehen. Die Wahl der richtigen Lösung ist sehr wichtig, da nicht jedes Unternehmen die gleichen Anforderungen und Wünsche an die Sicherheit seiner IoT-Geräte hat. Es ist wichtig, in Ihrem Cybersicherheitsteam ausführlich zu besprechen, welche wichtigen Punkte diese Authentifizierungsmethode berücksichtigen muss und wie weit verbreitet sie sein muss. Für große Unternehmen mit nur wenigen sensiblen Informationen ist ein TPM wahrscheinlich nicht die richtige Wahl, da die Sicherheit nicht so streng sein muss und die Installation eines Chips in jedem Gerät im Netzwerk extrem teuer wäre. Zu beachten ist, dass viele dieser Systeme manuell bedient werden müssen. IoT-Management-Plattformen können hier Abhilfe schaffen, da sie es Unternehmen ermöglichen, Sicherheitstools zu verwalten und über dieses Portal Zustandsberichte zu Hunderten von IoT-Geräten abzurufen. Für Beratungsbedarf zu PKI- oder HSM-Arbeit besuchen Sie unsere Website unter www.encryptionconsulting.com.