Doporučené postupy zabezpečení IIC Endpoint Security

Nedávno průmyslové konsorcium Industrial Internet Consortium vydalo zajímavý dokument se svými doporučenými bezpečnostními doporučenými postupy pro koncový bod.

Barbara IoT je s tímto druhem iniciativ vždy nadšená, protože jsme pevně přesvědčeni, že v oblasti bezpečnosti IoT je třeba vykonat spoustu práce a zařízení je pravděpodobně nejslabším článkem v současné době v hodnotovém řetězci IoT. A jak víme, řetěz je stejně silný jako nejslabší článek, takže zajištění zařízení by bylo nutné (pokud již není).

Tento článek se věnuje základům doporučení IIC a mapuje je proti softwarové platformě Barbara, což je bezpečné řešení pro životní cyklus zařízení IoT. Následující tabulka shrnuje matici shody:

Ale pojďme do podrobností….

Úrovně zabezpečení:

IIC definuje tři úrovně zabezpečení, úroveň zabezpečení Basic (SLB), úroveň zabezpečení vylepšená (SLE) a úroveň zabezpečení kritická (SLC), odpovídající úrovni zabezpečení 2, 3 a 4, jak je definováno v IEC 62443 3–3. Základní úroveň chrání před „úmyslným porušením jednoduchými prostředky s nízkými zdroji“. Vylepšená úroveň chrání náš systém před „sofistikovanými prostředky s mírnými prostředky“. Kritická úroveň posílí poskytování ochrany „sofistikovaným prostředkům s rozšířenými zdroji“. V závislosti na aplikaci a okolnostech musíte svůj koncový bod chránit pomocí odpovídající úrovně zabezpečení.

Na základě této úrovně zabezpečení IIC navrhuje tři různé architektury, které by měly být založeny na otevřených standardech a měly by být interoperabilní mezi koncovými body s více dodavateli a více platformami, aby byly považovány za bezpečné.

IIC navržené architektury

Pojďme hlouběji do každé z těchto součástí, podrobněji je popíšeme a zjistíme, jak softwarová platforma Barbara vyhovuje směrnicím IIC.

Kořen důvěry:

Root of Trust (RoT) je základem každého zabezpečení koncového bodu a poskytuje funkce jako identitu koncového bodu a osvědčení o totožnosti a integritě softwaru a hardwaru. Jak si dokážete představit, koncový bod bude stejně silný jako kořen důvěry, takže bezpečná implementace kořen důvěry je povinná.

Konkrétně IIC tvrdí, že pro zvýšenou a kritickou úroveň zabezpečení by měl být Root of Trust implementován na základě hardwaru. Abychom vyhověli doporučením IIC, můžeme potřebovat specifický hardwarový bezpečnostní čip (nebo podobný) s odolností proti neoprávněné manipulaci.

Pokud jde o kořen důvěry, softwarová platforma Barbara spojuje všechny bezpečnostní prvky do pevnosti kořen důvěry. Náš softwarový zásobník používá soukromou PKI (infrastrukturu veřejných klíčů založenou na standardech kryptografie veřejných klíčů) a poskytuje odpovídající háčky, které umožňují snadnou integraci s důvěryhodnými platformovými moduly podle výběru zákazníka.

Identita koncového bodu:

Identita koncového bodu je základní komponentou k vytvoření co největšího počtu bezpečnostních funkcí. Podle doporučení IIC je podpora PKI (Public Key Infrastructure) povinná pokrýt základní, vylepšené a kritické úrovně. Doporučuje se také implementovat otevřený standardní protokol pro správu certifikátů pro vydávání a správu certifikátů od interního nebo externího CA (certifikační autorita).

Jak již bylo uvedeno, Barbara Software Platform zahrnuje vlastní PKI založené na PKCS (Freeipa, www.freeipa.org/). FreeIPA je integrované řešení Identity and Authentication, které poskytuje centralizovanou autentizaci, autorizaci a informace o účtu. Jak požaduje IIC, FreeIPA je postavena na vrcholu známých komponent Open Source a standardních protokolů.

Bezpečné spuštění:

Důvěryhodný systém Secure Boot, který kryptograficky chrání napájení koncového bodu, je opět požadavkem na základní, vylepšenou a kritickou úroveň. Podle osvědčených postupů IIC to může být implementováno kryptografické hašování založené na PKCS (Cryptography Standards of Public Key Cryptography Standards). Můžeme si být jisti, že software bez správných klíčů bude schopen zařízení spustit. Softwarovou platformu Barbara lze přenést na hardwarové desky podporující bezpečné spuštění v rozumném úsilí.

Kryptografické služby a zabezpečená komunikace:

Použití kryptografie během přenosu dat (v pohybu), pro ukládání dat (v klidu) a aplikací (v provozu) je jasným požadavkem na tři výše uvedené úrovně zabezpečení (základní, vylepšený, kritický). Funkce potřebné k zajištění takové ochrany jsou:

  • Kryptografické algoritmy založené na standardech validovaných NIST / FIPS.
  • Asymetrické a symetrické šifry, hashovací funkce a náhodné číslo. generátory dostatečně silné a založené na PKCS (Cryptography Standards of Public Key Cryptography Standards)
  • V terénní aktualizaci schopnost kryptografických algoritmů pokrýt možné zranitelnosti.
  • Řízení aplikací založené na zásadách používá kryptografické funkce, vyhýbá se použití nezabezpečené kryptografie.
  • Interoperabilita krypto klíčů a certifikátů napříč systémy více dodavatelů.

Softwarová platforma Barbara implementuje několik funkcí, které zaručují kvalitu kryptografických služeb. Ve výchozím nastavení používá LUKS, což je standard pro šifrování pevného disku LINUX. LUKS je otevřený, takže je snadno auditovatelný a je založen na PKCS podle doporučení.

Na straně přenosu dat obsahuje Barbara OS požadované knihovny pro komunikaci pomocí standardních aplikačních protokolů IoT přes šifrovaný přenos (TLS a DTLS).

Kromě toho je pro tři definované úrovně vyžadován zabezpečený komunikační balíček typu end-to-end. Tento komunikační zásobník by měl zahrnovat podporu pro ověřování, chráněné připojení, firewall koncových bodů a zahrnutí zabezpečených přenosových protokolů (TLS, DTLS, SSH…). Všechny tyto funkce jsou součástí softwarové platformy Barbara, takže VŠECHNY komunikace Barbary jsou ověřeny a šifrovány.

Konfigurace a správa koncových bodů

A škálovatelný systém pro aktualizaci operačního systému, aplikací a / nebo konfigurace zařízení je vyžadován, aby byl v souladu s vylepšenými a kritickými úrovněmi, přičemž je třeba vzít v úvahu, že může být nutné provést takové aktualizace na více než milionu koncových bodů současně. Všechny tyto operace by samozřejmě měly být prováděny v zabezpečeném prostředí, včetně ověření na základě certifikátu mezi entitou obsluhující aktualizaci a koncovým bodem, který ji přijal.

V tomto ohledu zahrnuje softwarová platforma Barbara panel Barbara. Barbara Panel je serverové řešení pro správu všech koncových bodů nasazení IoT. Poskytuje jednoduchou a centralizovanou konzolu pro správu aktualizací OTA (Over The Air), monitorování zařízení a správu konfigurace. Všechny tyto funkce jsou nabízeny v rámci nejlepšího bezpečnostního prostředí třídy.

Nepřetržité monitorování

Monitorování koncového bodu v reálném čase je podle IIC požadavkem na kritickou úroveň zabezpečení. To by uživateli umožnilo kontrolovat a předcházet neautorizovaným změnám v konfiguraci a mít kontrolu na úrovni aplikace k detekci a zabránění neautorizovaným činnostem, jako je použití nezabezpečených šifer, které mohou ohrozit systém

Panel Barbara obsahuje a systém výstrah, který by uživateli umožňoval přijímat předdefinované bezpečnostní výstrahy a definovat její vlastní výstrahy a tlačit je do koncových bodů.

Panel zásad a aktivit

Aby byl v souladu s kritickou úrovní, je vyžadována schopnost vzdáleně spravovat koncové body. Správce systému by měl být schopen tlačit a provádět politiky způsobem, který zaručuje správné rozdělení politik v síti, a tím působit jako účinný bezpečnostní rámec.

Panel Barbara umožňuje manažerům nasazení sledovat činnosti koncových bodů a definovat a prosazovat bezpečnostní politiky na základě získaných informací. Například nové zásady mohou nasadit nová pravidla do výše uvedeného firewallu, když jsou detekovány podezřelé komunikační vzorce.

Systémové informace a správa událostí

V souvislosti s předchozím odstavcem je schopnost kritické úrovně zaznamenávat protokoly událostí a definovat a distribuovat politiky založené na informacích z protokolů. Doporučujeme tyto operace správy provádět pomocí datových modelů nebo rozšiřitelných formátů, jako je REST API nebo JSON.

Systém protokolování softwarové platformy Barbara poskytuje správcům systému velké množství informací, které by byly použity pro generování bezpečnostních politik.

Závěr

Barbara IoT vynakládá obrovské úsilí na vytvoření bezpečného produktu. Produkt, který lze použít v nejnáročnějších scénářích z hlediska průmyslové bezpečnosti. Stejně jako IIC si myslíme, že tento druh iniciativ může napomoci celému ekosystému průmyslu tím, že podpoří důvěru a zmocní všechny aktéry v ekosystému.

Reference:

  • http://www.iiconsortium.org/
  • Doporučené postupy zabezpečení IIC Endpoint Security; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Co by uživatelé měli vědět o úplném šifrování disku založeném na LUKS, Simone Bossi a Andrea Visconti; Laboratoř kryptografie a kódování (CLUB), Katedra informatiky, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Tento příspěvek byl původně publikován na barbaraiot.com 6. června 2018. Pokud se vám líbí a chcete dostávat podobný obsah, přihlaste se k odběru našeho zpravodaje