Internet of Things- apparaten, ofwel IoT-apparaten, zijn overal ter wereld te vinden, of je nu thuis bent, op kantoor of gewoon online. Een IoT-apparaat is elk type apparaat dat verbinding maakt met een netwerk om toegang te krijgen tot internet. Denk bijvoorbeeld aan pc's, mobiele telefoons, sommige luidsprekers en zelfs bepaalde stopcontacten. Tegenwoordig maken zelfs auto's en vliegtuigen gebruik van IoT-apparaten. Dit betekent dat als deze apparaten worden aangevallen door kwaadwillenden, auto's of vliegtuigen gekaapt of gestolen kunnen worden. Gezien het wijdverspreide gebruik van IoT-apparaten is het essentieel geworden om IoT-apparaten binnen het netwerk van je organisatie te authenticeren en te autoriseren. Het toestaan ​​van ongeautoriseerde IoT-apparaten op je netwerk kan ertoe leiden dat kwaadwillenden deze apparaten misbruiken om malware-aanvallen binnen je organisatie uit te voeren.
Softwaregebaseerde IoT-authenticatie
Voordat we ingaan op specifieke manieren om autorisatie te verlenen aan IoT-apparaten, moeten we eerst een aantal algemene, softwarematige authenticatiemethoden bekijken die beschikbaar zijn voor IoT-apparaten.
- Eenrichtingsauthenticatie: Wanneer twee apparaten met elkaar proberen te communiceren, kan eenrichtingsauthenticatie worden gebruikt om slechts één van de apparaten te authenticeren in plaats van beide. Dit is vergelijkbaar met hoe een client-serverrelatie werkt, waarbij de client zichzelf authenticeert bij de server, en niet andersom. Een voorbeeld van eenrichtingsauthenticatie is inloggen op een server met een gebruikersnaam en wachtwoord.
- TweerichtingsverificatieVergelijkbaar met eenrichtingsauthenticatie is tweerichtingsauthenticatie, waarbij beide partijen zich bij elkaar authenticeren. Een voorbeeld van tweerichtingsauthenticatie is een SSL/TLS-handshake.
- DriewegauthenticatieDriewegauthenticatie is ook een andere authenticatiemethode. Driewegauthenticatie maakt gebruik van een centraal punt, zoals een server, om beide apparaten die proberen te communiceren te authenticeren, zowel met het centrale punt zelf als met elkaar. Een voorbeeld van driewegcommunicatie is het gebruik van een server die door beide communicatoren wordt vertrouwd en die elkaar vertrouwt.
- Gedistribueerde authenticatie: Een andere authenticatiemethode die wordt gebruikt met IoT-apparaten is gedistribueerde authenticatie. Gedistribueerde authenticatie maakt gebruik van een gedistribueerd systeem om de twee communicerende partijen te authenticeren.
- Gecentraliseerde authenticatie: Vergelijkbaar met gedistribueerde authenticatie is gecentraliseerde authenticatie. In plaats van een gedistribueerd systeem te gebruiken om partijen te authenticeren, wordt een gecentraliseerd locatiesysteem gebruikt voor authenticatie. Een laatste manier om apparaten te authenticeren is een van de meest voorkomende methoden: tweefactorauthenticatie. Bij het inloggen op een netwerk kan een gebruiker een gebruikersnaam en wachtwoord gebruiken en tweefactorauthenticatie. Tweefactorauthenticatie kan de identiteit van de gebruiker verifiëren door een e-mail of sms naar de gebruiker te sturen, of door een QR-code te scannen, waarmee het apparaat wordt geauthenticeerd.
Dit zijn over het algemeen veelgebruikte authenticatiemethoden, maar de volgende hardwarematige autorisatiemethoden worden vaker gebruikt in grotere organisaties.
Hardwaregebaseerde autorisatiemethoden
Zoals ik eerder al aangaf, worden hardwarematige autorisatiemethoden vaker gebruikt binnen een organisatie, omdat ze de meest gangbare en veilige methode bieden om IoT-apparaten binnen een netwerk te authenticeren. Een van deze hardwarematige methoden is het gebruik van hardwarebeveiligingsmodules . Hardwarebeveiligingsmodules, of HSM's, worden gebruikt om privésleutels van asymmetrische sleutelparen veilig op te slaan. Een asymmetrisch sleutelpaar bestaat uit een publieke en een privésleutel die wiskundig aan elkaar gekoppeld zijn.
De privésleutel blijft, zoals de naam al doet vermoeden, privé, terwijl de openbare sleutel door iedereen kan worden ingezien. Bij de authenticatie van IoT-apparaten hebben apparaten binnen een netwerk een asymmetrisch sleutelpaar en een digitaal certificaat dat aan dat sleutelpaar is gekoppeld en dat is gekoppeld aan het te authenticeren apparaat. Als het certificaat dat aan de HSM wordt verstrekt een openbare sleutel bevat die is gekoppeld aan de privésleutel die in de HSM is opgeslagen, krijgt dat apparaat toegang tot het netwerk. Zo niet, dan wordt de toegang geweigerd.
Een andere methode, die meestal in combinatie met HSM's wordt gebruikt, is het gebruik van een Public Key Infrastructure (PKI). Een PKI is een netwerk van certificeringsinstanties die uitgaan van een root-certificeringsinstantie (Root CA). Deze instanties genereren en distribueren certificaten naar geautoriseerde apparaten in een netwerk. Deze certificaten kunnen worden herleid tot de vertrouwde root-certificeringsinstantie (Root CA), waardoor het IoT-apparaat dat met dat certificaat is verbonden, toegang krijgt tot het netwerk van de organisatie. De meeste PKI's integreren een HSM met hun PKI-systemen om het hoogste beveiligingsniveau te garanderen. De HSM beheert de opslag van de privésleutels van de certificaten die door de CA's worden gegenereerd. Als er geen geldig certificaat wordt gevonden, met een geldige certificaatketen die het certificaat verbindt met de Root CA, dan heeft het apparaat geen toegang tot het netwerk dat gebruikmaakt van de PKI.
Sommige organisaties zetten een Trusted Execution Environment (TEE) op om hun netwerk en alle gevoelige gegevens die daarin zijn opgeslagen te beschermen. TEE wordt geïnstalleerd op een apparaat dat verbinding maakt met een organisatie en maakt gebruik van hoogwaardige encryptie om dat apparaat te autoriseren verbinding te maken met en gebruik te maken van het netwerk van een organisatie. TEE wordt in veel organisaties gebruikt omdat het de systemen in een apparaat niet overbelast, maar in plaats daarvan minimale rekenkracht gebruikt.
Een laatste authenticatiemethode die organisaties vaak gebruiken, is een Trusted Platform Module (TPM). Een Trusted Platform Module (TPM) is een microchip die in een IoT-apparaat wordt geplaatst en die het authenticatieproces van het IoT-apparaat voltooit dankzij de hostspecifieke encryptiesleutels die erin zijn opgeslagen. De chip en de sleutels die erin zijn opgeslagen, zijn niet toegankelijk vanuit software, waardoor een aanvaller de chip niet kan gebruiken om toegang te krijgen tot een netwerk. Bij verbinding met een netwerk via TPM's verstrekt de chip een sleutel en vergelijkt het netwerk die sleutel met bekende hostsleutels. Als deze overeenkomen met een van de bekende hostsleutels, wordt toegang verleend.
Conclusie
Dit zijn slechts enkele van de vele verschillende oplossingen die beschikbaar zijn voor de authenticatie van IoT-apparaten voor organisaties. Het kiezen van de juiste oplossing is cruciaal, omdat niet elke organisatie dezelfde behoeften en wensen heeft met betrekking tot de beveiliging van haar IoT-apparaten. Het is belangrijk om binnen uw cybersecurityteam een ​​gedetailleerde discussie te voeren om te bepalen welke belangrijke aspecten deze authenticatiemethode moet afdekken en hoe breed deze moet worden toegepast. Als uw organisatie groot is en weinig gevoelige informatie bevat, is een TPM waarschijnlijk niet de beste optie, omdat de beveiliging niet zo streng hoeft te zijn en het plaatsen van een chip in elk apparaat op het netwerk extreem kostbaar zou zijn. Een ander punt om te onthouden bij deze systemen is dat veel ervan handmatig beheerd moeten worden. IoT-managementplatformen kunnen hierbij helpen, omdat ze een organisatie in staat stellen beveiligingstools te beheren en statusrapporten te verkrijgen over honderden IoT-apparaten via één portaal. Voor advies over PKI of HSM kunt u terecht op onze website www.encryptionconsulting.com.
