Рекомендации по безопасности конечных точек IIC

Совсем недавно промышленный интернет-консорциум выпустил интересную статью с рекомендациями по безопасности для конечных точек.

Barbara IoT всегда в восторге от подобных инициатив, поскольку мы твердо убеждены, что в области безопасности IoT предстоит проделать большую работу, и данное устройство, вероятно, является самым слабым звеном, присутствующим в настоящее время в цепочке создания стоимости IoT. И, как мы знаем, цепочка так же сильна, как и самое слабое звено, поэтому обеспечение безопасности устройств будет обязательным (если это еще не сделано).

В этой статье рассматриваются основы рекомендаций IIC и сопоставляется их с программной платформой Barbara - безопасным решением для жизненного цикла устройств IoT. Следующая таблица суммирует матрицу соответствия:

Но давайте углубимся в детали ...

Уровни безопасности:

IIC определяет три уровня безопасности: базовый уровень безопасности (SLB), повышенный уровень безопасности (SLE) и критический уровень безопасности (SLC), соответствующие уровням безопасности 2, 3 и 4, как определено в МЭК 62443 3–3. Базовый уровень защищает от «преднамеренного нарушения с использованием простых средств с ограниченными ресурсами». Повышенный уровень защищает нашу систему от «сложных средств с умеренными ресурсами». Критический уровень повышается, обеспечивая защиту «сложных средств с расширенными ресурсами». В зависимости от приложения и обстоятельств вы должны защитить свою конечную точку с соответствующим уровнем безопасности.

На основе этих уровней безопасности IIC предлагает три разные архитектуры, которые должны основываться на открытых стандартах и ​​должны быть совместимы между мультивендорными, многоплатформенными конечными точками, чтобы считаться безопасными.

IIC предложил архитектуры

Давайте углубимся в каждый из этих компонентов, более подробно описав их и выяснив, как программная платформа Barbara соответствует требованиям IIC.

Корень доверия:

Root of Trust (RoT) является основой для безопасности каждой конечной точки и предоставляет такие функции, как идентификация конечной точки и подтверждение подлинности и целостности программного и аппаратного обеспечения. Как вы можете себе представить, конечная точка будет такой же сильной, как Root of Trust, поэтому безопасная реализация Root of Trust обязательна.

В частности, IIC утверждает, что для повышенных и критических уровней безопасности Root of Trust должен быть реализован на основе аппаратного обеспечения. Для соответствия рекомендациям IIC нам может понадобиться специальный аппаратный чип безопасности (или аналогичный) с защитой от несанкционированного доступа.

Что касается Root of Trust, Barbara Software Platform объединяет в себе все функции безопасности для укрепления Root of Trust. Наш программный стек использует частную инфраструктуру открытых ключей (Public Key Infrastructure, основанную на стандартах криптографии с открытым ключом) и предоставляет соответствующие возможности для простой интеграции с доверенными платформенными модулями по выбору клиента.

Идентификация конечной точки:

Идентификация конечной точки является основным компонентом для создания большинства функций безопасности. Согласно рекомендациям IIC, поддержка PKI (инфраструктуры открытых ключей) является обязательной для охвата базового, расширенного и критического уровней. Рекомендуется также реализовать открытый протокол управления сертификатами для выпуска и управления сертификатами из внутреннего или внешнего центра сертификации (центра сертификации).

Как отмечалось ранее, Barbara Software Platform включает в себя свою собственную PKI на основе PKCS (Freeipa, www.freeipa.org/). FreeIPA - это интегрированное решение для идентификации и аутентификации, которое предоставляет централизованную аутентификацию, авторизацию и информацию об учетной записи. По запросу IIC FreeIPA построена на основе хорошо известных компонентов с открытым исходным кодом и стандартных протоколов.

Безопасная загрузка:

Надежная система Secure Boot, криптографически защищающая включение конечных точек, снова является требованием для базового, расширенного и критического уровней. В соответствии с лучшими практиками IIC, это может быть реализовано криптографическими хешами на основе PKCS (Стандарты криптографии с открытым ключом). Делая это, мы можем быть уверены, что программное обеспечение без соответствующих ключей сможет загрузить устройство. Программная платформа Barbara может быть перенесена на аппаратные платы, поддерживающие безопасную загрузку, за разумные усилия.

Криптографические сервисы и безопасная связь:

Использование криптографии во время транспортировки данных (в движении), для хранения данных (в состоянии покоя) и приложений (в использовании) является четким требованием для трех вышеупомянутых уровней безопасности (базовый, расширенный, критический). Функции, необходимые для обеспечения такой защиты:

  • Криптографические алгоритмы, основанные на стандартах, утвержденных NIST / FIPS.
  • Асимметричные и симметричные наборы шифров, хеш-функции и случайные числа. Генераторы достаточно сильны и основаны на PKCS (Стандарты шифрования с открытым ключом)
  • Возможность обновления криптографических алгоритмов в полевых условиях для покрытия возможных уязвимостей.
  • Контроль приложений на основе политик использует криптографические функции, избегая использования небезопасной криптографии.
  • Функциональная совместимость криптографических ключей и сертификатов в системах разных производителей.

Программная платформа Barbara реализует несколько функций, которые гарантируют качество криптографических услуг. По умолчанию он использует LUKS, что является стандартом для шифрования жесткого диска LINUX. LUKS является Открытым, поэтому легко проверяется и основан на PKCS в соответствии с рекомендациями.

Что касается передачи данных, ОС Barbara содержит библиотеки, необходимые для связи с использованием стандартных протоколов приложений IoT через зашифрованный транспорт (TLS и DTLS).

Кроме того, для трех определенных уровней требуется безопасный сквозной стек связи. Этот коммуникационный стек должен включать поддержку аутентификации, защищенного соединения, межсетевого экрана конечной точки и включения безопасных транспортных протоколов (TLS, DTLS, SSH…). Все эти функции включены в программную платформу Barbara, поэтому ВСЕ сообщения Barbara аутентифицируются и шифруются.

Конфигурация и управление конечной точкой

Масштабируемая система для обновления операционной системы, приложений и / или конфигурации устройства должна соответствовать уровням Enhanced и Critical, принимая во внимание, что может потребоваться выполнение таких обновлений одновременно для миллионов конечных точек. Конечно, все эти операции должны выполняться в безопасной среде, включая проверку на основе сертификатов между объектом, обслуживающим обновление, и конечной точкой, получающей его.

В связи с этим в Barbara Software Platform входит панель Barbara. Barbara Panel - это решение на стороне сервера для управления всеми конечными точками развертывания IoT. Он предоставляет простую централизованную консоль для управления обновлениями OTA (Over The Air), мониторинга устройств и управления конфигурацией. Все эти функции предлагаются в лучших в своем классе условиях безопасности.

Непрерывный мониторинг

Мониторинг конечной точки в режиме реального времени является обязательным требованием для критического уровня безопасности, согласно IIC. Это позволило бы пользователю контролировать и предотвращать несанкционированные изменения в конфигурации и иметь контроль на уровне приложений для обнаружения и предотвращения несанкционированных действий, таких как использование незащищенных шифров, которые могут поставить под угрозу систему

Barbara Panel включает в себя и систему оповещений, которая позволит пользователю получать заранее определенные оповещения о безопасности, определять свои собственные оповещения и отправлять их на конечные точки.

Панель управления политикой и активностью

Чтобы соответствовать Критическому уровню, требуется возможность удаленного управления конечными точками. Системный администратор должен иметь возможность выдвигать и выполнять политики таким образом, чтобы гарантировать правильное распределение политик по сети, действуя таким образом как эффективная структура безопасности.

Barbara Panel позволяет администраторам развертывания отслеживать действия конечных точек, а также определять и внедрять политики безопасности на основе полученной информации. Например, новые политики могут развертывать новые правила в вышеупомянутом брандмауэре при обнаружении подозрительных шаблонов связи.

Системная информация и управление событиями

Связанный с предыдущим абзацем, возможность сбора журналов событий, а также определения и распространения политик на основе информации из журналов также является требованием для критического уровня. Эти операции управления рекомендуется выполнять с использованием моделей данных или расширяемых форматов, таких как REST API или JSON.

Система ведения журнала Barbara Software Platform предоставляет системным администраторам большое количество информации, которая будет использоваться для создания политик безопасности.

Вывод

Barbara IoT прилагает огромные усилия для создания безопасного продукта. Продукт, который может использоваться в самых требовательных сценариях с точки зрения промышленной безопасности. Как и IIC, мы считаем, что такого рода инициативы могут помочь всей отраслевой экосистеме, способствуя укреплению доверия и расширению прав и возможностей всех участников экосистемы.

Ссылки:

  • http://www.iiconsortium.org/
  • Рекомендации по безопасности конечных точек IIC; IIC: WHT: IN17: V1.0: PB: 20180312 Стив Ханна, Шринивас Кумар, Дин Вебер.
  • https://github.com/guardianproject/luks/wiki
  • Что пользователи должны знать о Full Disk Encryption на основе LUKS, Симоне Босси и Андреа Висконти; Лаборатория криптографии и кодирования (CLUB), факультет компьютерных наук, Университет Милана, http://www.club.di.unimi.it/

Этот пост был первоначально опубликован на barbaraiot.com 6 июня 2018 года. Если вам это нравится и вы хотите получать похожий контент, подпишитесь на нашу рассылку.