IIC Endpoint Security Best Practices

Nylig har Industrial Industrial Consortium gitt ut en interessant artikkel med deres anbefalte sikkerhetspraksis for sluttpunktet.

Barbara IoT er alltid spent på denne typen initiativer, da vi sterkt tror det er mye arbeid å gjøre i IoT-sikkerhet, og enheten er sannsynligvis den svakeste lenken som er til stede i IoT-verdikjeden. Og som vi vet, kjeden er like sterk som den svakeste ledd, så sikring av enheter ville være et must (hvis den ikke allerede er det).

Denne artikkelen går gjennom det grunnleggende i IIC-anbefalingene og kartlegger dem mot Barbara Software Platform, en sikker løsning for IoT-enhetens livssyklus. Følgende tabell oppsummerer samsvarsmatrisen:

Men la oss komme inn på detaljene ...

Sikkerhetsnivåer:

IIC definerer tre sikkerhetsnivåer, Security Level Basic (SLB), Security Level Enhanced (SLE) og Security Level Critical (SLC), tilsvarende sikkerhetsnivåer 2, 3 og 4 som definert i IEC 62443 3–3. Grunnnivå beskytter mot "forsettlig brudd med enkle midler med lave ressurser". Forbedret nivå beskytter systemet vårt mot "sofistikerte midler med moderate ressurser". Kritisk nivå øker for å gi beskyttelse for "sofistikerte midler med utvidede ressurser". Avhengig av applikasjonen og omstendighetene, må du beskytte endepunktet ditt med riktig sikkerhetsnivå.

Basert på dette sikkerhetsnivået, foreslår IIC tre forskjellige arkitekturer som bør være basert på åpne standarder og bør være interoperable mellom multileverandør, multiplattform-sluttpunkter for å bli ansett som sikre.

IIC foreslo arkitekturer

La oss gå dypere inn på hver enkelt av disse komponentene, beskrive dem mer detaljert og oppdage hvordan Barbara Software Platform følger IIC-retningslinjene.

Root of Trust:

Root of Trust (RoT) utgjør grunnlaget for enhver endepunktsikkerhet og gir funksjoner som endepunktidentitet og attestering av programvare og maskinvareidentitet og integritet. Som du kan forestille deg, vil sluttpunktet være like sterkt som Root of Trust, så en sikker implementering av Root of Trust er obligatorisk.

Spesielt IIC hevder at for forbedrede og kritiske sikkerhetsnivåer, bør Root of Trust implementeres basert på maskinvare. For å overholde IIC-anbefalingene kan det hende vi trenger en spesifikk maskinvaresikkerhetsbrikke (eller lignende) med sabotasjemotstand.

Når det gjelder Root of Trust, setter Barbara Software Platform sammen alle sikkerhetsfunksjoner for å styrke Root of Trust. Programvarestabelen vår bruker en privateid PKI (Public Key Infrastructure basert på Public Key Cryptography Standards), og gir de tilsvarende krokene for å tillate enkel integrasjon med Trusted Platform Modules etter kundens valg.

Endpoint Identity:

Endepunktidentitet er en grunnleggende komponent for å bygge mest mulig ut av sikkerhetsfunksjoner. I følge IIC-anbefalinger er PKI-støtte (Public Key Infrastructure) obligatorisk for å dekke grunnleggende, forbedrede og kritiske nivåer. Det anbefales også å implementere en åpen standard sertifikathåndteringsprotokoll for utstedelse og administrasjon av sertifikater fra en intern eller ekstern CA (sertifikatmyndighet).

Som kommentert før Barbara Software Platform inkluderer sin egen PKI basert på PKCS (Freeipa, www.freeipa.org/). FreeIPA er en integrert identitets- og autentiseringsløsning som gir sentralisert autentisering, autorisasjon og kontoinformasjon. Som forespurt av IIC, er FreeIPA bygget oppå kjente Open Source-komponenter og standardprotokoller.

Sikker oppstart:

Et pålitelig Secure Boot-system som krypterer beskyttelse av endepunktet er igjen et krav for grunnleggende, forbedrede og kritiske nivåer. I henhold til IICs beste praksis, kan dette implementeres kryptografiske hashes basert på PKCS (Public Key Cryptography Standards). Å gjøre det slik at vi kan være sikre på at programvare uten de riktige nøklene vil være i stand til å starte opp enheten. Barbara Software Platform kan porteres til maskinvarebrett som støtter sikker oppstart innen rimelig innsats.

Kryptografiske tjenester og sikker kommunikasjon:

Å bruke kryptografi under datatransport (i bevegelse), for datalagring (i ro) og applikasjoner (i bruk) er et tydelig krav for de tre nevnte sikkerhetsnivåene (Basic, Enhanced, Critical). Funksjonene som trengs for å gi en slik beskyttelse er:

  • Kryptografiske algoritmer basert på standarder som er validert av NIST / FIPS.
  • Asymmetriske og symmetriske chiffer-suiter, hashingfunksjoner og tilfeldig antall. generatorer sterke nok og basert på PKCS (Public Key Cryptography Standards)
  • I feltoppdateringsevnen til kryptografiske algoritmer for å kunne dekke mulige sårbarheter.
  • Retningslinjebasert kontroll av bruken av kryptografiske funksjoner for applikasjoner, og unngår bruk av usikker kryptografi.
  • Interoperabilitet av krypto nøkler og sertifikater på tvers av systemer med flere leverandører.

Barbara Software Platform implementerer flere funksjoner som garanterer kvaliteten på kryptografiske tjenester. Den bruker LUKS som standard, som er standarden for LINUX harddiskkryptering. LUKS er åpen, så den er lett å lese og den er basert på PKCS som anbefalt.

På datatransportsiden inneholder Barbara OS de nødvendige bibliotekene for å kommunisere ved hjelp av IoT standard applikasjonsprotokoller over kryptert transport (TLS og DTLS).

På toppen av det er det nødvendig med en sikker ende-til-ende kommunikasjonsstabel for de tre definerte nivåene. Denne kommunikasjonsbunken skal omfatte støtte for autentisering, beskyttet tilkobling, endepunkt-brannmur og inkludering av sikre transportprotokoller (TLS, DTLS, SSH ...). Alle disse funksjonene er inkludert i Barbara Software Platform, slik at ALLE Barbara-kommunikasjon er autentisert og kryptert.

Endpoint Configuration and Management

Og skalerbart system for å oppdatere operativsystemet, applikasjoner og / eller konfigurasjon av enheten er nødvendig for å overholde Forbedrede og kritiske nivåer, idet det tas i betraktning at det kan være nødvendig å utføre slike oppdateringer over millioner av endepunkter samtidig. Selvfølgelig skal alle disse operasjonene utføres i et sikkert miljø inkludert sertifikatbasert validering mellom enheten som serverer oppdateringen og sluttpunktet som mottar den.

I denne forbindelse inkluderer Barbara Software Platform Barbara-panelet. Barbara Panel er serversides løsningen for å administrere alle sluttpunktene for en IoT-distribusjon. Det gir en enkel og sentralisert konsoll for OTA (Over The Air) oppdateringsadministrasjon, enhetsovervåking og konfigurasjonshåndtering. Alle disse funksjonene tilbys i et best mulig sikkerhetsmiljø.

Kontinuerlig overvåking

I realtid overvåking av sluttpunktet er et krav for kritisk sikkerhetsnivå, i følge IIC. Dette vil tillate brukeren å kontrollere og forhindre uautoriserte endringer i konfigurasjonen og å ha kontroll på applikasjonsnivå for å oppdage og forhindre uautoriserte aktiviteter som bruk av usikre sifre som kan kompromittere systemet

Barbara Panel inkluderer og varslingssystem som gjør at brukeren kan motta forhåndsdefinerte sikkerhetsvarsler og å definere sine egne varsler og skyve dem til sluttpunktene.

Policy- og aktivitetspanel

For å være i samsvar med kritisk nivå, kreves det muligheten for å styre endepunkter eksternt. Systemadministrator skal kunne skyve og utføre retningslinjer på en måte som garanterer riktig distribusjon av policyene over nettverket, og fungerer på den måten som et effektivt sikkerhetsrammeverk.

Barbara Panel lar distribusjonsledere overvåke sluttpunktaktiviteter og definere og skyve sikkerhetspolitikk basert på den innhentede informasjonen. Som et eksempel kan nye retningslinjer distribuere nye regler i den nevnte brannmuren når mistenkelige kommunikasjonsmønstre oppdages.

Systeminformasjon og hendelsesstyring

Koblet til det tidligere avsnittet er muligheten til å fange opp hendelseslogger og definere og distribuere policyer basert på informasjonen fra loggene også et kritisk nivå. Det anbefales at disse administrasjonsoperasjonene gjøres ved bruk av datamodeller eller utvidbare formater som REST API eller JSON.

Barbara Software Platform-loggingssystem gir systemadministratorer store mengder informasjon som vil bli brukt til generering av sikkerhetspolitikk.

Konklusjon

Barbara IoT gjør en stor innsats for å bygge et sikkert produkt. Et produkt som kan brukes i de mest krevende scenariene når det gjelder industrisikkerhet. I likhet med IIC, tror vi at denne typen initiativer kan hjelpe hele industriens økosystem ved å fremme tillit og styrke alle aktører i økosystemet.

referanser:

  • http://www.iiconsortium.org/
  • IIC Endpoint Security Best Practices; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Hva brukere bør vite om Full Disk Encryption basert på LUKS, Simone Bossi og Andrea Visconti; Cryptography and Coding Laboratory (CLUB), Institutt for informatikk, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Dette innlegget ble opprinnelig publisert på barbaraiot.com 6. juni 2018. Hvis du liker det og vil motta lignende innhold, abonner på vårt nyhetsbrev