Безопасность раскрывает истинный потенциал Интернета вещей

Всего пару лет назад производители Интернета вещей (IoT) в первую очередь интересовались аппаратным обеспечением, а не программным обеспечением. Сегодня, - говорит Ричард Хэйтон, директор по информационной безопасности, Trustonic , Устройства Интернета вещей резко изменились:программное обеспечение стало популярным и расширялось с точки зрения потребительских приложений.

В настоящее время термин «Интернет вещей» в основном используется для приложений, ориентированных на потребителя:к ним, среди прочего, относятся подключенные автомобили, носимые технологии и подключенное здравоохранение. По данным Statista , согласно прогнозам, к 2025 году рынок решений для конечных пользователей Интернета вещей вырастет примерно до 1,6 триллиона долларов США (1,31 триллиона евро).

Однако решения для конечных пользователей - не единственный рынок Интернета вещей. Организационные и промышленные применения устройств IoT также растут, особенно в производственном секторе и секторе здравоохранения.

Безопасность и Интернет вещей

По мере расширения спектра приложений IoT возрастает потребность в повторном использовании как аппаратных, так и программных платформ. Повторное использование программного обеспечения, хотя и может иметь положительные стороны, увеличивает воздействие на безопасность любой уязвимости, которая может быть использована. Библиотека или подсистема, разработанные для одного варианта использования, могут быть повторно использованы в приложении, о котором исходный автор не предвидел.

Индустрия быстро учится, и «безопасная загрузка» и «безопасное обновление программного обеспечения» становятся все более распространенными. Хотя эти методы важны, они не панацея. Особенно, когда устройства хранят или предоставляют информацию, имеющую большое значение для злоумышленника, например конфиденциальные личные данные, или доступ к учетным данным к данным, хранящимся в другом месте.

Безопасная загрузка и обновления безопасности обеспечивают первый уровень защиты, но с точки зрения безопасности лучше предположить, что эта защита иногда будет нарушена. Если это единственные После взлома все данные на устройстве теряются, и злоумышленник может использовать устройство для атаки в другом месте.

Представляем надежную среду выполнения

Более широкий подход к безопасности состоит в том, чтобы предоставить программному обеспечению на устройстве несколько зон или сред, чтобы изолировать и защитить их от атаки, а также уменьшить влияние успешной атаки. Некоторые среды, в которых хранятся конфиденциальные данные или манипулируют ими, будут специально разрабатываться с учетом безопасности в качестве основной цели.

Технологии, предоставляемые современными чипсетами, такими как Arm TrustZone может предоставить изолированную зону, которая защищена аппаратным обеспечением ЦП и безопасной загрузкой, и которая остается безопасной, даже если другие части устройства скомпрометированы. Надежные среды выполнения, построенные с использованием этой технологии, разработаны с использованием подхода «глубокой защиты» с упором на код, подписанный криптографически, и API-интерфейсы, сертифицированные независимыми органами для защиты от атак. Программное обеспечение, работающее в таких средах, также может доказать свою легитимность внешним облачным серверам, что значительно усложняет злоумышленнику подрыв более широкой экосистемы Интернета вещей.

Для человека кибератака через его устройства может быть разрушительной, воровать личные данные и потенциально сделать возможной кражу личных данных или более широкую преступную деятельность, такую ​​как злоупотребление платежными учетными данными, хранящимися на устройстве IoT, или использование взломанного устройства для атаки на другие устройства в домашней сети. .

Для производителя устройств и для отрасли в целом атаки могут иметь еще большее влияние. Когда доверие потребителей к бренду потеряно, его очень трудно восстановить, и потребители будут быстро отказываться от брендов или целых сегментов продукта, если компромисс между риском и выгодой не кажется разумным. Это утверждение еще более верно в отношении регулируемых рынков, таких как медицинский или коммерческий Интернет вещей, где регулирующие органы быстро действуют, если обнаруживается недостаток продукта.

Путь вперед

Раньше безопасность не была вопросом покупки. Это меняется. Регулирующие органы во всем мире требуют некоторых элементарных правил гигиены для потребительского Интернета вещей, таких как безопасная загрузка и удаление паролей по умолчанию. Это отличное начало, но это, несомненно, только первый шаг и, как обсуждалось выше, только одна часть стратегии безопасности. Отрасль может рассчитывать на регулирование в будущем, но на самом деле необходимо перейти от безопасности как отметки для галочки к безопасности как неотъемлемой особенности продукта.

Автор - Ричард Хэйтон, директор по информационной безопасности, Trustonic.