IoT-sector zou zich zorgen moeten maken over wereldwijde PKI-trends, zegt Thales

De IoT-industrie heeft een visieprobleem. Het publiek kan de voordelen niet zo gemakkelijk zien als de nadelen.

We moeten dit probleem zeker aanpakken, zegt freelance technologieschrijver Nick Booth. Er is een historisch precedent om dit aan te pakken. Oude astronomen overbrugden een veel grotere kloof van 'geloofssprong' door beelden te gebruiken om de sterrenbeelden te verklaren. De grote beer, Orion en de ploeg zijn niet bepaald wetenschappelijke namen, maar ze hielpen de massa om de planeten te begrijpen.

Zouden soortgelijke tactieken helpen om het Internet of Things (IoT) te verklaren? Ze kunnen niet erger zijn dan de vreselijke acroniemsalades die we mensen dwingen te verteren.

Piekachtige oogkleppen

Het verhaal van public key infrastructure (PKI) is moeilijk te verkopen. De dichtstbijzijnde populaire uitdrukking die ik uit die constellatie van letters kon maken, zou Peaky Blinders zijn, een beruchte criminele bende uit Birmingham, Engeland in de jaren 1890. Ook zij probeerden controle op te leggen aan de niet-politiële delen van hun wereld.

Publieke sleutel (Peaky verblinding) Infrastructuur zal een cruciaal wapen zijn om het IoT te beveiligen en te voorkomen dat buitenstaanders naar binnen kunnen kijken.

Iedereen die het Ponemon's Institute . leest ’s Global PKI Trends Survey  zou geschokt kunnen zijn door de implicaties ervan. Dat zullen helaas niet veel mensen zijn, omdat ze alle goede dingen hebben verdoezeld met pijnlijke afbeeldingen.

Betekenisvolle onthullingen zijn begraven in guff. "In de afgelopen jaren zijn cloudapplicaties en nu het IoT de nieuwste disruptors voor toekomstige PKI-planning", aldus de rapporten. Wat betekent dat eigenlijk?

'Disruptors' is een van die woorden die alles betekent wat de gebruiker wil. En zonder algemeen begrip van de betekenis van de term, is het betekenisloos voor de luisteraar. Je zou toch denken dat de communicatie-industrie zich aan taalprotocollen zou houden, nietwaar?

De samenvatting van het rapport gaat verder:"Organisaties moeten niet alleen voldoen aan de digitale certificeringsbehoeften van vandaag, maar ook aan een toekomst met nooit eerder vertoonde diversiteit en schaal."

Het jargon ontwarren

Gelukkig waren twee vriendelijke beveiligingsexperts zo vriendelijk om dit in context te plaatsen. Ja, we hebben overal PKI nodig, zegt John Grimm, senior director security strategy voor Thales e-security. Er zijn praktische problemen voor IoT-veiligheid en politieke problemen, zegt hij.

De politieke zijn dezelfde waar PKI in het verleden mee te maken heeft gehad. Er zijn al lang gevechten over onder wiens jurisdictie het valt. Meerdere afdelingen kunnen de verantwoordelijkheid nemen, van beveiliging tot IT tot compliance en operations. Het hangt er allemaal van af hoe prestigieus de installatie zou kunnen zijn. Succesvolle projecten hebben veel ouders, maar mislukkingen zijn altijd wezen.

De ideale PKI-persoon zou een erkende IoT-architect zijn, zegt Grimm. "Gartner zegt dat er maar zo'n 100 mensen op de wereld zijn', zegt Grimm. Ondertussen verbinden mensen apparaten en sensoren en 'dingen' zonder ooit de IT-afdeling te raadplegen. We zijn 20 jaar geleden op deze weg geweest toen lokale netwerken groeiden als Japanse duizendknoop, alleen met minder beheersbaarheid en ze waren nog moeilijker uit te roeien en te doden.

Domme apparaten

De praktische uitdaging van het gebruik van PKI om het IoT te beschermen, is dat er veel machines in de industrie zijn die nooit zijn ontworpen om in een netwerk te worden opgenomen. PKI is te processorintensief om praktisch te zijn voor sommige van de dommere apparaten.

De speciaal gebouwde IoT-dingen zijn niet veel beter, omdat het door meerdere bronnen is gebouwd. In elke productiefase kunnen apparaten worden gecompromitteerd door een oneerlijke fabrikant van originele apparatuur (OEM). De ontwikkelaar van code voor de microchip van elk apparaat kan bijvoorbeeld frauduleuze software insluiten waarmee het apparaat kan worden gehackt door een hacker.

"Als je een IoT-apparaat in je netwerk plaatst dat vanaf het begin is aangetast, is je netwerk vanaf het begin gedoemd te mislukken", zegt Clive Watts, productmanager voor Secure Thingz . Watts heeft ooit voor een chipfabrikant gewerkt, dus vermoedelijk weet hij dit risico te vermijden.

Ondertussen zal de publieke perceptie van het IoT worden geleid door de verhalen die we kunnen begrijpen als en wanneer ze in de reguliere pers verschijnen. Zoals het verhaal over een casino in Las Vegas dat werd gehackt via een met internet verbonden thermometer in een aquarium in de lobby.

Dat is een visie die tot de verbeelding van het publiek zal spreken en bij hen zal blijven. Geen enkele hoeveelheid Peaky Blinding zal mensen dat doen vergeten.

De auteur van deze blog is de freelance technologieschrijver Nick Booth.