Безопасность IoT: преодоление барьеров внедрения

Безопасность остается главным приоритетом в разработке и внедрении Интернета вещей. Gartner сообщает, что к 2020 году IoT-безопасность будет составлять 20% от всех бюджетов безопасности.

Ник Сак, руководитель продукта и IoT в Comms365, предупреждает, что аналитики, вендоры и стейкхолдеры все больше обеспокоены значительными рисками безопасности, связанными с внедрением IoT. Эти опасения формируют принятие решений и подрывают уверенность конечных пользователей, особенно при использовании существующих сетей — таких как Wi-Fi, имеющие историю уязвимостей — или более новых систем в нелицензированном спектре вроде LoRaWAN и Sigfox.

Отсутствие отраслевой стандартизации — еще одно препятствие. И старым, и новым сетям нужны согласованные политики безопасности для движения вперед.

Недостаток информации

Один из главных факторов, подрывающих уверенность — дефицит информации о мерах безопасности, уже существующих для сетей, лежащих в основе IoT, как лицензированных, так и нелицензированных. Платформы Low-Power Wide-Area Network (LPWAN) вроде LoRaWAN и Sigfox работают в нелицензированном спектре и критиковались за отсутствие традиционных механизмов безопасности клеточных сетей. Операторы часто утверждают, что клеточная IoT-сеть «безопаснее», потому что трафик остается в контроле оператора.

Необходимо различать тип сенсорного трафика и безопасность, применимую в каждой точке сети. Весь трафик LoRaWAN — non-IP, использует 128-битное AES-шифрование и расшифровывается сервером приложений, размещенным в частной облачной среде. Это резко контрастирует с Wi-Fi-сенсорными сетями, которые могут подключаться к публичным интернет-шлюзам и поэтому требуют строгих on-site мер безопасности. Идеально, публичные сети, их провайдеры и производители устройств должны проверять каждый элемент дизайна для максимизации защиты и успокоения пользователей.

Пока проблемы безопасности реальны, не все IoT-сети одинаково уязвимы. Недавние развертывания LoRaWAN включают встроенную безопасность с самого начала, что критично для защиты данных.

Кто в конечном счете несет ответственность за IoT-безопасность? Ответ — все стороны: операторы сетей, производители устройств и конечные пользователи. Координированный, end-to-end подход требуется для защиты IoT от разработки через внедрение и ежедневную операцию. В зависимости от выбранной технологии доступа к сети, инherentные функции безопасности — такие как в клеточных LPWAN — могут уже существовать, но похожие соглашения могут быть установлены для сетей в нелицензированном спектре созданием частных, многослойных архитектур безопасности.

Как один город это сделал

Проект умного города Милтон-Кинз развернул сеть LoRaWAN в конце прошлого года, покрыв центр города для разнообразных сценариев — включая энергетику, парковку и экологический мониторинг.

Данные с тысяч сенсоров на базе LoRa собираются безопасно через LPWAN и сбрасываются в целевой IoT-дата-хаб, где их могут анализировать множественные стейкхолдеры в мониторинговой, юридически-комплаентной среде.

Учитывая масштаб развертывания и обслуживаемое население, безопасность первостепенна. Потребители должны доверять, что фреймворк безопасности надежен не только в ПО, но и в физической среде. Инициативы вроде блокчейна уже исследуются для углубления безопасности, даже для трафика публичных сетей. Возможно, самый критичный элемент — защита сайтов, где физически развернуты устройства, для предотвращения локального вмешательства.

Если локальный злоумышленник может скомпрометировать устройство, целостность всего пути данных скомпрометирована. Тампер-пуфинг (защита от вмешательства) поэтому критичен для мониторинга здоровья IoT-сенсоров — от простых акселерометрических проверок до температурных вариаций — чтобы аналитика могла обнаруживать и смягчать вмешательство.

Неопределенность предприятий о безопасности может задерживать внедрение, но не должна. Применяя безопасность на каждом этапе — устройство, edge, WAN и облако — достигается более высокая вероятность смягчения потенциальных нарушений.

Производители уже интегрируют многие функции безопасности непосредственно в устройства, а полупроводниковая индустрия активно адресует аппаратную безопасность. Однако отсутствие стандартизированных гайдлайнов аппаратной безопасности остается барьером. Фрагментация сохраняется, пока производители преследуют проприетарные решения, но межотраслевая координация может преодолеть этот вызов.

Когда выбраны правильные партнеры и системы, внедрение и безопасность могут быть бесшовными. Продолжающие достижения в IoT-безопасности дадут клиентам уверенность для развертывания в масштабе и с интенсивностью.

Автор блога — Ник Сак, руководитель продукта и IoT в Comms365.