IoT-beveiliging: Implementatiebarrières Overwinnen

Beveiliging blijft de topprioriteit in de ontwikkeling en implementatie van het Internet of Things. Gartner rapporteert dat IoT-beveiliging in 2020 20% van alle beveiligingsbudgetten zal innemen.

Nick Sacke, head of Product and IoT bij Comms365, waarschuwt dat analisten, vendors en stakeholders steeds meer bezorgd zijn over de significante beveiligingsrisico's geassocieerd met IoT-rollouts. Deze zorgen vormen besluitvorming en ondermijnen eindgebruikersvertrouwen, vooral bij het gebruik van bestaande netwerken — zoals Wi‑Fi, die een geschiedenis van kwetsbaarheden hebben — of nieuwere unlicensed-spectrum systemen zoals LoRaWAN en Sigfox.

Het gebrek aan industrie-brede standaardisatie is een ander obstakel. Oudere en nieuwere netwerken hebben beide cohesieve beveiligingsbeleid nodig om vooruit te gaan.

Gebrek aan Informatie

Een grote factor die vertrouwen ondermijnt is de schaarste aan informatie over de beveiligingsmaatregelen die al aanwezig zijn voor de netwerken die IoT ondersteunen, zowel gelicenseerde als ongelicenseerde. Low-Power Wide-Area Network (LPWAN) platforms zoals LoRaWAN en Sigfox opereren in het ongelicenseerde spectrum en zijn gecritiseerd voor het missen van traditionele beveiligingsmechanismen van cellulaire netwerken. Carriers argumenteren vaak dat een cellulaire IoT-netwerk "veiliger is" omdat verkeer binnen de controle van de carrier blijft.

Het is essentieel om het type sensordata en de beveiliging die op elk punt in het netwerk toegepast kan worden, te onderscheiden. Al het LoRaWAN-verkeer is non-IP, gebruikt 128-bit AES-encryptie, en wordt gedecrypteerd door een applicatieserver gehost in een private cloud-omgeving. Dit is een stark contrast met Wi‑Fi-gebaseerde sensornetwerken die kunnen connecteren met publieke internet-gateways en daarom strenge on-site beveiligingsmaatregelen vereisen. Ideaal zouden publieke netwerken, hun providers en apparaatfabrikanten elk ontwerpelement moeten scrutiniseren om bescherming te maximaliseren en gebruikers te verzekeren.

Terwijl beveiligingszorgen echt zijn, zijn niet alle IoT-netwerken even kwetsbaar. Recente LoRaWAN-implementaties incorporeren built-in beveiliging vanaf het begin, wat cruciaal is voor het beschermen van data.

Wie draagt uiteindelijke verantwoordelijkheid voor IoT-beveiliging? Het antwoord is alle partijen: netwerkoperators, apparaatfabrikanten en eindgebruikers. Een gecoördineerde, end-to-end aanpak is vereist om IoT te beveiligen van ontwikkeling tot implementatie en dagelijkse operatie. Afhankelijk van de gekozen netwerktoegangstechnologie, kunnen inherent beveiligingsfeatures — zoals die in cellulaire LPWAN — al bestaan, maar vergelijkbare arrangementen kunnen tot stand komen voor ongelicenseerde-spectrum netwerken door private, gelaagde beveiligingsarchitecturen te creëren.

Hoe Eén Stad Het Deed

Het Milton Keynes smart-city project deployde een LoRaWAN-netwerk aan het einde van vorig jaar, bedekkend stadscentrumgebieden voor diverse use cases — inclusief energie, parkeeren en milieumonitoring.

Data van duizenden LoRa-gebaseerde sensoren wordt veilig verzameld via het LPWAN en gestort in een purpose-built IoT data hub, waar het geanalyseerd kan worden door meerdere stakeholders in een gemonitoreerde, wettelijk compatibele omgeving.

Gegeven de schaal van de implementatie en de bevolkingsgroep die bediend wordt, is beveiliging paramount. Consumenten moeten vertrouwen dat het beveiligingsframework robuust is, niet alleen in software maar ook in de fysieke omgeving. Initiatieven zoals blockchain worden al verkend om beveiliging te verdiepen, zelfs voor publiek-netwerkverkeer. Misschien het meest cruciale element is het beschermen van de sites waar apparaten fysiek geïmplementeerd zijn om lokale manipulatie te voorkomen.

Als een lokale aanvaller een apparaat kan compromitteren, is de integriteit van het hele datapad gecompromitteerd. Tamper-proofing is daarom essentieel voor het monitoren van IoT-sensorgezondheid — van simpele accelerometer-checks tot temperatuurschwankingen — zodat analytics interferentie kunnen detecteren en mitigeren.

Enterprise onzekerheid over beveiliging kan implementatie vertragen, maar hoeft niet. Door beveiliging op elk stadium toe te passen — device, edge, WAN en cloud — wordt een hogere waarschijnlijkheid bereikt om potentiële inbraken te mitigeren.

Fabrikanten integreren al veel beveiligingsfeatures direct in apparaten, en de halfgeleiderindustrie adresseren actief hardware-beveiliging. Echter, het gebrek aan gestandaardiseerde hardware-beveiligingsrichtlijnen blijft een barrière. Fragmentatie blijft bestaan doordat fabrikaten proprietaire oplossingen najagen, maar cross-industrie coördinatie kan deze uitdaging overwinnen.

Wanneer de juiste partners en systemen gekozen worden, kunnen implementatie en beveiliging naadloos verlopen. Voortgezette vooruitgang in IoT-beveiliging zal klanten het vertrouwen geven om op schaal en met intensiteit te deployen.

De auteur van deze blog is Nick Sacke, head of Product and IoT bij Comms365.