Wat is apparaatattest?

Als organisatie die is gebaseerd op de expertise en inzichten van onze leden, hebben we van de gelegenheid gebruik gemaakt om enkele van de nieuwe en opkomende technologieën die onze industrieën vormgeven te bespreken, en hoe GlobalPlatform werkt aan het definiëren van normen waarmee digitale apparaten en services veilig kunnen worden op de markt gebracht.

In dit interview, Jeremy O'Donoghue, voorzitter van GlobalPlatform's Trusted Platform Services (TPS) Comité en technisch directeur bij Qualcomm , legt uit wat attestering is en waarom het zo belangrijk is voor het succes van veilige IoT-implementaties. Jeremy deelt ook inzicht in de Entity Attestation API-specificatie van GlobalPlatform en hoe dit meer vertrouwen zal brengen in het ecosysteem van verbonden apparaten.

GlobalPlatform:ten eerste, wat is apparaatattest?

Jeremy O'Donoghue: Het basisidee van attestatie is dat het betrouwbaar bewijs of bewijs over iets is. In het geval van een cyberbeveiligingssysteem betekent dit bijvoorbeeld dat een vertrouwende partij zoals een bank of een IoT-cloudprovider zeker kan zijn van wat ze van een apparaat ontvangen.

Als we daar dieper op ingaan, bedoelen we met attestering dat we een beveiligde omgeving hebben – een Root of Trust (RoT) – die cryptografisch ondertekend bewijs levert over de staat van het apparaat. Is het bijvoorbeeld veilig opgestart, is debug ingeschakeld, zijn er aanwijzingen voor manipulatie? Dit stelt de vertrouwende partij in staat, omdat het is cryptografisch ondertekend, om te verifiëren dat het een bepaald apparaat van een bepaalde fabrikant is en dat er niet mee is geknoeid voordat het op het netwerk wordt aangesloten

GlobalPlatform:waarom is attestatie belangrijk voor het succes van Internet of Things (IoT)-implementaties?

Jeremy O'Donoghue: Een van de grote uitdagingen van het IoT is het verkrijgen van vertrouwen in het groeiend aantal ‘dingen’ die nu verbinding maken met onze netwerken. Zijn ze echt wat ze zeggen dat ze zijn? Zullen ze zich gedragen zoals het hoort en geen risico's voor het netwerk veroorzaken? En we hebben gezien dat beveiliging een echt probleem is. Attestation helpt ons om die apparaten te identificeren waarmee is geknoeid, of waarop mogelijk een slechte of verouderde versie van de software draait, of zelfs regelrechte vervalsingen zijn. Dit zijn de soorten dingen die je kunt bepalen.

Door vertrouwen te hebben in de dingen op uw netwerk, ondersteund door een RoT en idealiter een die gecertificeerd is voor beveiliging, begint u echte en nauwkeurige beoordelingen te maken over wat u heeft en hoeveel u erop kunt vertrouwen.

GlobalPlatform:zijn er uitdagingen op het gebied van interoperabiliteit en beperken deze de acceptatie?

Jeremy O'Donoghue: Tegenwoordig is het erg moeilijk om betrouwbare attesten te doen, en in de praktijk moeten vertrouwende partijen een soort van propriëtaire set metrieken gebruiken om informatie te identificeren over het apparaat waarmee ze praten. Er is een voortdurende activiteit tussen normalisatie-instanties om te zorgen voor één enkele en interoperabele basisstandaard, zodat vertrouwende partijen en fabrikanten van apparaten erop kunnen vertrouwen dat wat ze ontwikkelen waarschijnlijk op grote schaal zal worden gebruikt en interoperabel zal zijn.

GlobalPlatform is bijzonder goed gepositioneerd om te helpen, omdat we met onze nalevingsprogramma's en met al onze interoperabiliteitstestschema's in staat zijn om apparaten te creëren waarvan u erop kunt vertrouwen dat ze een hoge mate van interoperabiliteit zullen hebben. Bovendien, en wat cruciaal is, is dat het hele attesteringskader dat we gebruiken al breed wordt gestandaardiseerd bij de IETF en dat er een groeiende interesse is van andere groepen. We zijn ervan overtuigd dat de uitdagingen op het gebied van interoperabiliteit mettertijd zullen verdwijnen en dat er een enkele en betrouwbare manier zal zijn om betrouwbaar bewijs te bepalen over een apparaat dat, omdat het wordt ondersteund door een RoT, oprecht vertrouwen heeft.

GlobalPlatform:wat is de waarde van de Entity Attestation API van GlobalPlatform?

Jeremy O'Donoghue: De waarde is echt meervoudig. We nemen een openlijk ontwikkelde standaard – dat is het Entity Attestation Token (EAT)-werk van de IETF – en we breiden deze uit om EAT te definiëren die is geproduceerd in een GlobalPlatform RoT. We gaan nog een stap verder en definiëren hoe die RoT zich gedraagt ​​en dekken de beveiligingscertificering ervan. Dit zou een betrouwbaar attest mogelijk maken, niet alleen van een Secure Element (SE) of Trusted Execution Environment (TEE), maar ook van een RoT die onafhankelijk is gecertificeerd, bijvoorbeeld onder de GlobalPlatform TEE-beveiligingscertificering of Common Criteria. Dat is een enorme waarde omdat het de mogelijkheid biedt om op een betrouwbare manier te weten dat iemand anders die RoT heeft gecontroleerd.

GlobalPlatform:wat zijn de volgende stappen voor het ecosysteem?

Jeremy O'Donoghue: Het eerste is om de specificaties af te ronden en dan vroeg te beginnen met de interoperabiliteitstests, die we voor 2020 plannen. Dan, en dit is de kritische factor, zullen we kijken naar beveiligingscertificering. Zoals ik eerder heb besproken, is een RoT van nature iets waar je op moet vertrouwen. De beste manier om dat vertrouwen te garanderen, is door een derde partij het te laten controleren, bijvoorbeeld een onafhankelijk beveiligingslaboratorium dat weet hoe het dingen moet breken en u het echte beveiligingsniveau kan vertellen dat u moet hebben.

Word lid van GlobalPlatform om deel te nemen aan het werk van GlobalPlatform's Trusted Platform Services Committee.

De auteur is Jeremy O'Donoghue, voorzitter van de Trusted Platform Services (TPS)-commissie van GlobalPlatform en technisch directeur bij Qualcomm.