IIC Endpoint Security Best Practices

Nyligen har Industrial Industrial Consortium släppt ett intressant papper med deras rekommenderade säkerhetsbästa praxis för slutpunkten.

Barbara IoT är alltid upphetsad med den här typen av initiativ eftersom vi tror starkt att det finns mycket arbete att göra i IoT-säkerhet och enheten är förmodligen den svagaste länken som för närvarande finns i IoT-värdekedjan. Och som vi vet är kedjan lika stark som den svagaste länken, så att säkra enheter skulle vara ett måste (om det inte redan är det).

Den här artikeln går igenom grunderna i IIC-rekommendationerna och kartlägger dem mot Barbara Software Platform, en säker lösning för IoT-enhetens livscykel. Följande tabell sammanfattar överensstämmelsesmatrisen:

Men låt oss gå in på detaljerna ...

Säkerhetsnivåer:

IIC definierar tre säkerhetsnivåer, Security Level Basic (SLB), Security Level Enhanced (SLE) och Security Level Critical (SLC), motsvarande säkerhetsnivåerna 2, 3 och 4 enligt definitionen i IEC 62443 3–3. Grundnivå skyddar mot ”avsiktlig överträdelse med enkla medel med låga resurser”. Förbättrad nivå skyddar vårt system mot ”sofistikerade medel med måttliga resurser”. Kritisk nivå ökar skyddet för "sofistikerade medel med utökade resurser". Beroende på applikationen och omständigheterna måste du skydda din slutpunkt med lämplig säkerhetsnivå.

Baserat på dessa säkerhetsnivåer föreslår IIC tre olika arkitekturer som bör baseras på öppna standarder och bör vara driftskompatibla mellan flera leverantörs, slutplattformar för flera plattformar för att betraktas som säkra.

IIC föreslog arkitekturer

Låt oss gå djupare in i var och en av dessa komponenter, beskriv dem mer detaljerat och upptäck hur Barbara Software Platform följer IIC-riktlinjerna.

Root of Trust:

Root of Trust (RoT) utgör grunden för varje slutpunktssäkerhet och tillhandahåller funktioner som slutpunktidentitet och intyg om mjukvara och hårdvaruidentitet och integritet. Som du kan föreställa dig kommer slutpunkten att vara lika stark som Root of Trust så att ett säkert genomförande av Root of Trust är obligatoriskt.

Speciellt hävdar IIC att för förbättrade och kritiska säkerhetsnivåer bör Root of Trust implementeras baserat på hårdvara. För att följa IIC-rekommendationer kan vi behöva ett specifikt hårdvarusäkerhetschip (eller liknande) med manipulationsmotstånd.

Beträffande Root of Trust, Barbara Software Platform sätter samman alla säkerhetsfunktioner för att stärka Root of Trust. Vår programvaruback använder en privatägd PKI (Public Key Infrastructure baserad på Public Key Cryptography Standards) och tillhandahåller motsvarande krokar för att möjliggöra enkla integrationer med Trusted Platform Modules enligt kundens val.

Endpoint Identity:

Endpoint identitet är en grundkomponent för att bygga ut det mesta av säkerhetsfunktioner. Enligt IIC-rekommendationer är PKI-stöd (Public Key Infrastructure) obligatoriskt för att täcka grundläggande, förbättrade och kritiska nivåer. Det rekommenderas också att implementera ett öppet standardcertifikathanteringsprotokoll för utfärdande och hantering av certifikat från en intern eller extern CA (certifikatutfärdare).

Som kommenteras innan Barbara Software Platform inkluderar sin egen PKI baserad på PKCS (Freeipa, www.freeipa.org/). FreeIPA är en integrerad identitets- och autentiseringslösning som tillhandahåller centraliserad autentisering, godkännande och kontoinformation. Som begärts av IIC är FreeIPA byggd ovanpå välkända Open Source-komponenter och standardprotokoll.

Säker start:

Ett pålitligt Secure Boot-system som kryptografiskt skyddar slutpunktens kraft är återigen ett krav för grundläggande, förbättrade och kritiska nivåer. Enligt IIC bästa praxis kan detta implementeras kryptografiska hash baserat på PKCS (Public Key Cryptography Standards). Om vi ​​gör det så kan vi vara säkra på att programvara utan rätt nycklar skulle kunna starta om enheten. Barbara Software Platform kan överföras till hårdvarukort som stöder säker start inom en rimlig ansträngning.

Kryptografiska tjänster och säker kommunikation:

Att använda kryptografi under datatransport (i rörelse), för datalagring (i vila) och applikationer (i användning) är ett tydligt krav för de tre nämnda säkerhetsnivåerna (Basic, Enhanced, Critical). Funktionerna som krävs för att ge ett sådant skydd är:

  • Kryptografiska algoritmer baserade på standarder validerade av NIST / FIPS.
  • Asymmetriska och symmetriska chiffersviter, hashingfunktioner och slumpmässigt antal. generatorer tillräckligt starka och baserade på PKCS (Public Key Cryptography Standards)
  • I fältuppdateringsfunktion för kryptografiska algoritmer för att kunna täcka möjliga sårbarheter.
  • Politikbaserad kontroll av applikationsanvändning av kryptografiska funktioner och undviker användning av icke-säker kryptering.
  • Interoperabilitet mellan kryptoknappar och certifikat i flera leverantörssystem.

Barbara Software Platform implementerar flera funktioner som garanterar kvaliteten på kryptografiska tjänster. Den använder LUKS som standard, vilket är standarden för LINUX hårddiskkryptering. LUKS är öppen, så det är lätt att granska och det är baserat på PKCS som rekommenderat.

På datatransportsidan innehåller Barbara OS de bibliotek som krävs för att kommunicera med IoT-standardapplikationsprotokoll över krypterad transport (TLS och DTLS).

Därutöver krävs en säker kommunikationsstapel från slutet till de tre definierade nivåerna. Den här kommunikationsstacken bör innehålla stöd för autentisering, skyddad anslutning, endpoint-brandvägg och inkludering av säkra transportprotokoll (TLS, DTLS, SSH ...). Alla dessa funktioner ingår i Barbara Software Platform, så ALLA Barbara-kommunikationer är autentiserade och krypterade.

Endpoint Configuration and Management

Och skalbart system för att uppdatera operativsystemet, applikationer och / eller konfiguration av enheten krävs för att uppfylla förbättrade och kritiska nivåer, med hänsyn tagen till att det kan behövas för att utföra sådana uppdateringar över miljoner slutpunkter samtidigt. Naturligtvis bör alla dessa åtgärder utföras i en säker miljö inklusive certifikatbaserad validering mellan den enhet som serverar uppdateringen och slutpunkten som tar emot den.

I detta avseende inkluderar Barbara Software Platform Barbara-panelen. Barbara Panel är serversidan för att hantera alla slutpunkter för en IoT-distribution. Det ger en enkel och centraliserad konsol för OTA (Over The Air) uppdateringshantering, enhetsövervakning och konfigurationshantering. Alla dessa funktioner erbjuds inom den bästa klassens säkerhetsmiljö.

Kontinuerlig övervakning

I realtid övervakning av slutpunkten är ett krav för kritisk säkerhetsnivå, enligt IIC. Detta skulle göra det möjligt för användaren att kontrollera och förhindra obehöriga förändringar i konfigurationen och ha kontroll på applikationsnivå för att upptäcka och förhindra obehöriga aktiviteter som användning av osäkra cifrar som kan äventyra systemet

Barbara Panel innehåller och varningssystem som gör det möjligt för användaren att ta emot fördefinierade säkerhetsvarningar och att definiera sina egna varningar och skjuta dem till slutpunkterna.

Politik- och aktivitetspanel

För att följa kritisk nivå krävs det förmågan att hantera slutpunkter på distans. Systemadministratören ska kunna driva och utföra policyer på ett sätt som garanterar rätt distribution av policyn över nätverket och fungerar på det sättet som ett effektivt säkerhetsramverk.

Barbara Panel tillåter distributionshanterare att övervaka slutpunktsaktiviteter och definiera och driva säkerhetspolicyer baserat på den förvärvade informationen. Som exempel kan nya policyer distribuera nya regler i nämnda brandvägg när misstänkta kommunikationsmönster upptäcks.

Systeminformation och evenemangshantering

Kopplat till det tidigare stycket är förmågan att fånga händelseloggar och att definiera och distribuera policyer baserat på informationen från loggarna också ett krav på kritisk nivå. Det rekommenderas att dessa hanteringsåtgärder görs med hjälp av datamodeller eller utdragbara format som REST API eller JSON.

Barbara Software Platform-loggningssystem ger systemadministratörer stora mängder information som skulle kunna användas för att skapa säkerhetspolicyer.

Slutsats

Barbara IoT gör en enorm ansträngning för att bygga en säker produkt. En produkt som kan användas i de mest krävande scenarierna när det gäller industrisäkerhet. Liksom IIC tror vi att denna typ av initiativ kan hjälpa hela industrins ekosystem genom att främja förtroende och stärka alla aktörer inom ekosystemet.

referenser:

  • http://www.iiconsortium.org/
  • IIC Endpoint Security Best Practices; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Vad användare bör veta om Full Disk Encryption baserat på LUKS, Simone Bossi och Andrea Visconti; Cryptography and Coding Laboratory (CLUB), Institutionen för datavetenskap, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Detta inlägg publicerades ursprungligen på barbaraiot.com den 6 juni 2018. Om du gillar det och vill få liknande innehåll prenumerera på vårt nyhetsbrev