internet van dingen, of IoT, apparaten zijn overal ter wereld te vinden, of u nu thuis, op kantoor of gewoon op internet bent. Een IoT-apparaat is elk type apparaat dat verbinding maakt met een netwerk om toegang te krijgen tot internet. Zo worden pc's, mobiele telefoons, sommige luidsprekers en zelfs stopcontacten beschouwd als IoT-apparaten. Tegenwoordig gebruiken zelfs auto's en vliegtuigen IoT-apparaten. Dit betekent dat als deze apparaten worden aangevallen door kwaadwillenden, auto's of vliegtuigen gekaapt of gestolen kunnen worden. Met het wijdverbreide gebruik van IoT-apparaten in onze wereld is het authenticeren en autoriseren van IoT-apparaten binnen het netwerk van uw organisatie essentieel geworden. Het toelaten van ongeautoriseerde IoT-apparaten tot uw netwerk kan ertoe leiden dat kwaadwillenden deze ongeautoriseerde apparaten gebruiken om malware-aanvallen binnen uw organisatie uit te voeren.

Softwaregebaseerde IoT-authenticatie

Voordat we ingaan op specifieke manieren om autorisatie te verlenen aan IoT-apparaten, moeten we eerst een aantal algemene, softwarematige authenticatiemethoden bekijken die beschikbaar zijn voor IoT-apparaten.

Eenrichtingsauthenticatie: Wanneer twee apparaten met elkaar proberen te communiceren, kan eenrichtingsauthenticatie worden gebruikt om slechts één van de apparaten te authenticeren in plaats van beide. Dit is vergelijkbaar met hoe een client-serverrelatie werkt, waarbij de client zichzelf authenticeert bij de server, en niet andersom. Een voorbeeld van eenrichtingsauthenticatie is inloggen op een server met een gebruikersnaam en wachtwoord.
TweerichtingsverificatieVergelijkbaar met eenrichtingsauthenticatie is tweerichtingsauthenticatie, waarbij beide partijen zich bij elkaar authenticeren. Een voorbeeld van tweerichtingsauthenticatie is een SSL/TLS-handshake.
DriewegauthenticatieDriewegauthenticatie is ook een andere authenticatiemethode. Driewegauthenticatie maakt gebruik van een centraal punt, zoals een server, om beide apparaten die proberen te communiceren te authenticeren, zowel met het centrale punt zelf als met elkaar. Een voorbeeld van driewegcommunicatie is het gebruik van een server die door beide communicatoren wordt vertrouwd en die elkaar vertrouwt.
Gedistribueerde authenticatie: Een andere authenticatiemethode die wordt gebruikt met IoT-apparaten is gedistribueerde authenticatie. Gedistribueerde authenticatie maakt gebruik van een gedistribueerd systeem om de twee communicerende partijen te authenticeren.
Gecentraliseerde authenticatie: Vergelijkbaar met gedistribueerde authenticatie is gecentraliseerde authenticatie. In plaats van een gedistribueerd systeem te gebruiken om partijen te authenticeren, wordt een gecentraliseerd locatiesysteem gebruikt voor authenticatie. Een laatste manier om apparaten te authenticeren is een van de meest voorkomende methoden: tweefactorauthenticatie. Bij het inloggen op een netwerk kan een gebruiker een gebruikersnaam en wachtwoord gebruiken en tweefactorauthenticatie. Tweefactorauthenticatie kan de identiteit van de gebruiker verifiëren door een e-mail of sms naar de gebruiker te sturen, of door een QR-code te scannen, waarmee het apparaat wordt geauthenticeerd.

Dit zijn over het algemeen veelgebruikte authenticatiemethoden, maar de volgende hardwarematige autorisatiemethoden worden vaker gebruikt in grotere organisaties.

Hardwaregebaseerde autorisatiemethoden

Zoals ik eerder al aangaf, worden hardwarematige autorisatiemethoden vaker gebruikt binnen een organisatie, omdat ze de meest wijdverspreide en veilige methode bieden voor het authenticeren van IoT-apparaten binnen een netwerk. Een van deze hardwarematige methoden is het gebruik van HardwarebeveiligingsmodulesHardware Security Modules, of HSM's, worden gebruikt om privésleutels van asymmetrisch sleutelparen. Een asymmetrisch sleutelpaar bestaat uit een publieke en een private sleutel die wiskundig aan elkaar gekoppeld zijn.

De privésleutel blijft, zoals de naam al doet vermoeden, privé, terwijl de openbare sleutel door iedereen kan worden ingezien. Bij de authenticatie van IoT-apparaten hebben apparaten binnen een netwerk een asymmetrisch sleutelpaar en een digitaal certificaat dat aan dat sleutelpaar is gekoppeld en dat is gekoppeld aan het te authenticeren apparaat. Als het certificaat dat aan de HSM wordt verstrekt een openbare sleutel bevat die is gekoppeld aan de privésleutel die in de HSM is opgeslagen, krijgt dat apparaat toegang tot het netwerk. Zo niet, dan wordt de toegang geweigerd.

Een andere methode, die gewoonlijk in combinatie met HSM's wordt gebruikt, is het gebruik van een Public Key Infrastructure. Public Key Infrastructure, of PKI, is een verbinding van Certificaatautoriteiten afkomstig van een Root Certificate Authority (RCA), die certificaten aanmaakt en distribueert naar geautoriseerde apparaten in een netwerk. Deze certificaten zijn te herleiden tot de vertrouwde Root Certificate Authority (Root CA), die het IoT-apparaat dat met dat certificaat is verbonden, autoriseert om het netwerk van de organisatie te gebruiken. De meeste PKI's integreren een HSM met hun PKI-systemen om het hoogste beveiligingsniveau te bieden. De HSM verzorgt de opslag van de privésleutels van de certificaten die door de CA's worden gegenereerd. Als er geen geldig certificaat wordt gevonden, met een geldige certificaatketen die het certificaat verbindt met de Root CA, heeft het apparaat geen toegang tot het netwerk dat de PKI gebruikt.

Sommige organisaties zetten een Trusted Execution Environment (TEE) op om hun netwerk en alle gevoelige gegevens die daarin zijn opgeslagen te beschermen. TEE wordt geïnstalleerd op een apparaat dat verbinding maakt met een organisatie en maakt gebruik van hoogwaardige encryptie om dat apparaat te autoriseren verbinding te maken met en gebruik te maken van het netwerk van een organisatie. TEE wordt in veel organisaties gebruikt omdat het de systemen in een apparaat niet overbelast, maar in plaats daarvan minimale rekenkracht gebruikt.

Een laatste authenticatiemethode die organisaties vaak gebruiken, is een Trusted Platform Module (TPM). Een Trusted Platform Module (TPM) is een microchip die in een IoT-apparaat wordt geplaatst en die het authenticatieproces van het IoT-apparaat voltooit dankzij de hostspecifieke encryptiesleutels die erin zijn opgeslagen. De chip en de sleutels die erin zijn opgeslagen, zijn niet toegankelijk vanuit software, waardoor een aanvaller de chip niet kan gebruiken om toegang te krijgen tot een netwerk. Bij verbinding met een netwerk via TPM's verstrekt de chip een sleutel en vergelijkt het netwerk die sleutel met bekende hostsleutels. Als deze overeenkomen met een van de bekende hostsleutels, wordt toegang verleend.

Conclusie

Dit zijn slechts enkele van de vele verschillende oplossingen die organisaties kunnen bieden voor IoT-apparaatauthenticatie. Het kiezen van de juiste oplossing is erg belangrijk, aangezien niet elke organisatie dezelfde behoeften en wensen heeft voor de beveiliging van hun IoT-apparaten. Het is belangrijk om dit uitgebreid te bespreken met uw cybersecurityteam om te bepalen welke belangrijke punten deze authenticatiemethode moet aanpakken en hoe groot de verspreiding ervan moet zijn. Als uw organisatie groot is en minimale gevoelige informatie heeft, is een TPM waarschijnlijk niet de juiste keuze, omdat de beveiliging niet zo streng hoeft te zijn en het plaatsen van een chip in elk apparaat op het netwerk extreem duur zou zijn. Houd er rekening mee dat veel van deze systemen handmatig moeten worden beheerd. IoT-beheerplatforms kunnen hierbij helpen, omdat ze een organisatie in staat stellen beveiligingstools te beheren en statusrapporten te verkrijgen over honderden IoT-apparaten in hun netwerk via die portal. Voor advies met betrekking tot PKI- of HSM-werkzaamheden kunt u onze website bezoeken: www.encryptionconsulting.com.