Het IoT beveiligen van de netwerklaag naar de applicatielaag

Beveiliging in het internet der dingen (IoT) is een kritieke vereiste geworden, met recente wetgeving die 'redelijke beveiligingsfuncties' verplicht stelt. .

Beveiliging is in lagen opgebouwd; de eerste laag die moet worden beveiligd, is de hardwarelaag, de tweede laag is de netwerklaag. In dit artikel is de netwerklaag waarnaar wordt verwezen de Thread-netwerklaag:een goedkoop, energiezuinig, meshed IoT-netwerk.

Het netwerk is echter een mix van draadloze en bekabelde IP-technologieën, dus er is ook behoefte aan beveiliging op applicatieniveau. Dit komt van de OCF-toepassingslaag; een beveiligd domein waar alle apparaten en clients veilig met elkaar kunnen praten, bijvoorbeeld Wouter van der Beek, senior IoT-architect, Cisco Systems en voorzitter van de technische werkgroep, Open Connectivity Foundation en Bruno Johnson, CEO van Cascoda , een lid van de Open Connectivity Foundation.

Hardwarebeveiliging

De beperkte microcontroller heeft functies nodig om hem te beschermen tegen kwaadaardige code en op hardware gebaseerde snooping die de veiligheid in gevaar zou brengen. Veilige hardware beschermt de opstartvolgorde van de microcontroller door zijn handtekening te valideren en beschermt de toegang tot geheugen en randapparatuur om kritieke delen van de code te isoleren. Dit geeft alleen toegang via een goed gedefinieerde en vertrouwde Application Programming Interface (API). Deze functies minimaliseren het aanvalsoppervlak van aangesloten apparaten en bieden een veilige basis voor het netwerk en de applicatie.

Netwerkbeveiliging

De netwerklaag moet ervoor zorgen dat de gegevens die via de ether worden verzonden niet kunnen worden gewijzigd en dat apparaten die zich op het netwerk aansluiten legitiem zijn. Om gegevens via de ether te beveiligen, gebruikt Thread een netwerkbrede sleutel die gebruikmaakt van symmetrische sleutelcryptografie, bekend als AES-CCM. AES-CCM voegt een tagcode toe aan elk bericht en versleutelt het met deze netwerkbrede sleutel. Als de ontvanger de sleutel heeft, kan deze ontcijferen, de herkomst verifiëren en controleren of het bericht tijdens het transport niet beschadigd is geraakt. Ten slotte wordt de sleutel periodiek gewijzigd op basis van de bestaande sleutel en een specifieke volgordeteller voor het geval deze wordt gecompromitteerd.

Wanneer een nieuw apparaat echter moet worden aangesloten op een netwerk, kent het de netwerkbrede sleutel niet en moet het deze daarom verkrijgen. Dit proces staat bekend als inbedrijfstelling. Natuurlijk kan de sleutel niet worden verzonden zonder codering, omdat deze door een aanvaller kan worden onderschept. Om dit probleem op te lossen, gebruikt de inbedrijfstelling van Thread een proces dat bekend staat als Password-Authenticated Key Exchange (PAKE), dat deel uitmaakt van de Datagram Transport Layer Security-standaard (DTLS).

PAKE gebruikt een geheim van lage sterkte in combinatie met asymmetrische cryptografie om een ​​geheim van hoge sterkte tussen de twee partijen te genereren. Het uiterst sterke geheim wordt gebruikt om de communicatie van de sleutel van de Thread-commissaris (bijv. smartphone verbonden met het Thread-netwerk) naar het verbindingsapparaat te coderen.

Applicatiebeveiliging

Om end-to-end beveiliging op de applicatielaag te garanderen, biedt OCF oplossingen om eigendom over te dragen van fabrikant naar koper, of van de ene koper naar de volgende. De eerste stap in de integratie is om het eigendom van het apparaat vast te stellen. Hiervoor geeft OCF certificaten uit en houdt het een database bij voor elk gecertificeerd apparaat. In dit stadium is het apparaat voorzien van die referenties voor het tot stand brengen van wederzijds geverifieerde veilige verbindingen met andere apparaten in het beveiligde IoT-domein, dankzij OCF Public Key Infrastructure (PKI).

De inrichtingsinstructies worden dan gegeven via een beveiligde verbinding, versleuteld door DTLS. Het proces begint met de eigendomsoverdracht van het apparaat en vervolgens het inrichten van het apparaat, na een reeks statusovergangen. Opgemerkt moet worden dat OCF er rekening mee houdt dat een apparaat tijdens zijn levenscyclus van eigenaar kan veranderen. Daarom vereist OCF dat apparaten een hardwarereset uitvoeren om terug te keren naar hun initialisatiestatus.

Naast dit onboardingproces kunnen OCF-apparaten worden voorzien van verschillende beveiligingsniveaus. OCF biedt een gelaagde aanpak:op rollen gebaseerde toegangscontrole en gebruiksbeschrijvingen van de fabrikant. De eerste richt zich op apparaatbeveiliging, terwijl de laatste een extra beveiligingslaag van het netwerk toevoegt.

Implementatie met beperkte hardware

Het implementeren van OCF-over-Thread op beperkte hardware is een uitdaging vanwege de zeer beperkte coderuimte, het geheugen en de rekenkracht van goedkope microcontrollers. Als gevolg hiervan is het noodzakelijk om te profiteren van hergebruik van code. De grootste codebesparing komt van het delen van de kerncryptografiebibliotheek en mbedTLS, die beide stacks gemeen hebben. Dit is mogelijk omdat OCF en Thread beide op DTLS zijn gebouwd.

De uitvoering van de belangrijkste cryptografieprimitieven voor DTLS vereist toegang tot speciale hardware voor versnelling, wat veel meer tijd en energie kost dan pure software. Een dergelijke hardwareversnelling verkort de inbedrijfstellingstijd van Thread met verschillende ordes van grootte - een aanzienlijke snelheidsverhoging voor de meest rekenintensieve taak waarvoor de microcontroller verantwoordelijk is. Daarom is het van cruciaal belang om de toegang tot de hardwarecryptografische functionaliteit voor beide stacks te beheren via de mbedTLS-bibliotheek.

Zowel OCF als Thread Group voeren open source-projecten uit voor hun respectievelijke specificaties. Deze concrete implementaties elimineren ambiguïteit voor ontwikkelaars en zorgen voor interoperabiliteit.

Technologieën die kunnen samenwerken van de applicatie tot de netwerklaag, vormen een best-in-class veilig IoT-platform dat vandaag kan worden ingezet.

De auteurs zijn Wouter van der Beek, senior IoT-architect, voorzitter van Cisco Systems and Technical Working Group, Open Connectivity Foundation &Bruno Johnson, CEO van Cascoda, lid van de Open Connectivity Foundation.