Beveiliging versterkt het ware potentieel van IoT

Nog maar een paar jaar geleden waren Internet of Things (IoT)-fabrikanten vooral bezig met hardware en niet met software. Vandaag, zegt Richard Hayton, CISO, Trustonic , IoT-apparaten zijn drastisch veranderd, waarbij software steeds belangrijker wordt en groeit in termen van consumentengerelateerde toepassingen.

Tegenwoordig wordt de term 'IoT' voornamelijk gebruikt voor consumentgerichte toepassingen:deze omvatten onder meer geconnecteerde voertuigen, draagbare technologie en geconnecteerde gezondheid. Volgens Statista prognosecijfers suggereren dat de IoT-markt voor oplossingen voor eindgebruikers tegen 2025 zal groeien tot ongeveer 1,6 biljoen dollar (1,31 biljoen euro).

Oplossingen voor eindgebruikers zijn echter niet de enige markt voor het internet der dingen. Organisatorische en industriële toepassingen van IoT-apparaten zijn ook in opkomst, vooral binnen de productie- en gezondheidszorgsectoren.

Beveiliging en IoT

Naarmate het aantal IoT-toepassingen groter wordt, is er een toenemende behoefte aan hergebruik van zowel hardware- als softwareplatforms. Hergebruik van software, hoewel het positieve aspecten kan hebben, vergroot de beveiligingsimpact van elke kwetsbaarheid die kan worden misbruikt. Een bibliotheek of subsysteem dat is ontworpen voor één gebruik, kan worden hergebruikt in een toepassing waarvan de oorspronkelijke auteur geen vooruitziende blik had.

De industrie leert snel en "veilig opstarten" en "beveiligde software-update" beginnen steeds normaler te worden. Hoewel deze technieken belangrijk zijn, zijn ze geen wondermiddel. Vooral wanneer apparaten informatie van hoge waarde voor een aanvaller opslaan of mogelijk maken, zoals gevoelige persoonlijke gegevens, of toegang krijgen tot gegevens die elders zijn opgeslagen.

Veilig opstarten en beveiligingsupdates bieden een eerste verdedigingsniveau, maar vanuit een beveiligingsperspectief is het het beste om aan te nemen dat deze verdediging soms wordt geschonden. Als dit de enige  . zijn verdediging, dan gaan bij een inbreuk alle gegevens op het apparaat verloren en is het de aanvaller vrij om het apparaat te misbruiken om ergens anders aan te vallen.

Introductie van een vertrouwde uitvoeringsomgeving

Een bredere benadering van beveiliging is om meerdere zones of omgevingen voor de software op een apparaat te bieden om ze te isoleren en te beschermen tegen aanvallen, en om de impact van een succesvolle aanval te verminderen. Sommige omgevingen waarin gevoelige gegevens worden opgeslagen of gemanipuleerd, zijn specifiek ontworpen met beveiliging als het primaire doel.

Technologieën geleverd door moderne chipsets, zoals Arm TrustZone kan een geïsoleerde zone bieden die wordt beschermd door de CPU-hardware en veilig opstarten, en die veilig blijft, zelfs als andere delen van het apparaat worden gecompromitteerd. Betrouwbare uitvoeringsomgevingen die met deze technologie zijn gebouwd, zijn ontworpen met een 'defense in depth'-benadering, waarbij de nadruk ligt op code die cryptografisch is ondertekend en API's die door onafhankelijke instanties zijn gecertificeerd tegen aanvallen. Software die in dergelijke omgevingen wordt uitgevoerd, kan hun legitimiteit ook bewijzen aan externe cloudservers, waardoor het voor een aanvaller veel moeilijker wordt om het bredere IoT-ecosysteem te ondermijnen.

Voor een individu kan een cyberaanval via hun apparaten verwoestend zijn, persoonlijke gegevens stelen en mogelijk identiteitsdiefstal of bredere criminele activiteiten mogelijk maken, zoals misbruik van betalingsgegevens die zijn opgeslagen op een IoT-apparaat, of het gebruik van een gehackt apparaat om andere apparaten in een thuisnetwerk aan te vallen .

Voor een apparaatfabrikant, en voor de industrie als geheel, kunnen aanvallen een nog grotere impact hebben. Als het vertrouwen van de consument in een merk eenmaal verloren is, is het erg moeilijk om het terug te winnen, en consumenten zullen merken of hele productsegmenten snel afwijzen als de afweging tussen risico en voordeel niet redelijk lijkt. Deze verklaring geldt nog meer voor gereguleerde markten, zoals medische of commerciële IoT, waar regelgevers snel in actie komen als een product ontbreekt.

Een weg vooruit

In het verleden was veiligheid geen koopbeslissing. Dat is aan het veranderen. Regelgevers over de hele wereld eisen enige basishygiëne voor IoT voor consumenten, zoals veilig opstarten en het verwijderen van standaardwachtwoorden. Dit is een goed begin, maar het is ongetwijfeld slechts de eerste stap en, zoals hierboven besproken, slechts een onderdeel van een beveiligingsstrategie. De industrie kan toekomstige regelgeving verwachten, maar wat echt nodig is, is een verschuiving van beveiliging als een aankruisvak naar beveiliging als een integraal onderdeel van het product.

De auteur is Richard Hayton, CISO, Trustonic.