IIC Endpoint Security Best Practices

Baru-baru ini, Konsortium Internet Perindustrian telah mengeluarkan kertas menarik dengan Amalan Terbaik Keselamatan yang Disyorkan untuk Titik Akhir.

Barbara IoT sentiasa teruja dengan inisiatif semacam ini kerana kami sangat percaya terdapat banyak kerja yang perlu dilakukan dalam keselamatan IoT dan peranti itu mungkin merupakan pautan paling lemah yang kini terdapat dalam rantaian nilai IOT. Dan seperti yang kita ketahui, rantaian ini sama kuatnya dengan pautan yang paling lemah, jadi mengamankan peranti akan menjadi suatu keharusan (jika belum).

Artikel ini menerangkan asas-asas cadangan IIC dan memetakannya terhadap Platform Perisian Barbara, penyelesaian yang selamat untuk kitaran peranti peranti IoT. Jadual berikut meringkaskan matriks pematuhan:

Tetapi mari kita masuk ke butiran ....

Tahap Keselamatan:

IIC mentakrifkan tiga tahap keselamatan, Basic Level Security (SLB), Tingkat Keselamatan Dipertingkatkan (SLE), dan Tahap Keselamatan Kritikal (SLC), bersamaan dengan paras keselamatan 2, 3, dan 4 seperti yang ditakrifkan dalam IEC 62443 3-3. Tahap asas melindungi daripada "pelanggaran sengaja dengan menggunakan cara mudah dengan sumber yang rendah". Tahap yang dipertingkatkan melindungi sistem kami daripada "cara yang canggih dengan sumber yang sederhana". Tahap kritis langkah-langkah menyediakan perlindungan untuk "cara yang canggih dengan sumber yang diperluas". Bergantung pada aplikasi dan keadaan, anda mesti melindungi titik akhir anda dengan Tahap Keselamatan yang sesuai.

Berdasarkan tahap keselamatan ini, IIC mencadangkan tiga seni bina yang berbeza yang harus berdasarkan standard terbuka dan harus beroperasi di antara vendor berbilang, titik akhir platform multi untuk dianggap selamat.

IIC mencadangkan seni bina

Marilah masuk ke dalam setiap komponen ini, menerangkannya dengan lebih terperinci dan menemui bagaimana Platform Perisian Barbara mematuhi garis panduan IIC.

Akar Amanah:

Root of Trust (RoT) merupakan asas untuk setiap keselamatan endpoint dan menyediakan ciri sebagai identiti titik akhir dan pengesahan terhadap identiti dan integriti perisian dan perkakasan. Seperti yang dapat anda bayangkan, titik akhir akan menjadi kuat seperti Root of Trust sehingga pelaksanaan Root of Trust yang aman adalah wajib.

Secara khusus, IIC mendakwa bahawa untuk tahap keselamatan yang ditingkatkan dan kritikal, Root of Trust harus dilaksanakan berdasarkan Perkakasan. Untuk mematuhi saranan IIC, kami mungkin memerlukan cip keselamatan perkakasan tertentu (atau serupa) dengan rintangan tampar.

Mengenai Root of Trust, Platform Perisian Barbara meletakkan semua ciri keselamatan untuk menguatkan Root of Trust. Stack perisian kami menggunakan PKI milik swasta (Public Key Infrastructure berdasarkan Standard Kriptografi Kunci Awam), dan menyediakan cangkuk yang sama untuk membolehkan integrasi mudah dengan Modul Platform Dipercayai pilihan pelanggan.

Identiti Endpoint:

Identiti titik akhir adalah komponen asas untuk membina kebanyakan ciri keselamatan. Menurut cadangan IIC, sokongan PKI (Public Key Infrastructure) adalah wajib untuk menampung tahap asas, peningkatan dan kritikal. Adalah disyorkan juga untuk melaksanakan protokol pengurusan sijil standard Terbuka untuk mengeluarkan dan menguruskan sijil daripada CA dalaman atau luaran (pihak berkuasa sijil).

Seperti yang dikemukakan sebelum Platform Perisian Barbara termasuk PKI sendiri berdasarkan PKCS (Freeipa, www.freeipa.org/). FreeIPA adalah penyelesaian Identiti dan Pengesahan yang bersepadu yang menyediakan maklumat pengesahan, otorisasi dan akaun terpusat. Seperti yang diminta oleh IIC, FreeIPA dibina di atas komponen Open Source yang terkenal dan protokol piawai.

Boot Secure:

Satu sistem Boot Secure yang boleh dipercayai yang cryptographically melindungi kuasa titik akhir adalah sekali lagi keperluan untuk tahap asas, ditingkatkan dan kritikal. Mengikut amalan terbaik IIC, ini boleh dilaksanakan atas hash kriptografi berdasarkan PKCS (Standard Kriptografi Utama Awam). Melakukannya, kita dapat memastikan bahawa perisian tanpa kunci yang betul akan dapat boot peranti. Platform Perisian Barbara boleh dialihkan ke papan perkakasan yang menyokong boot selamat dalam usaha yang munasabah.

Perkhidmatan Kriptografi dan Komunikasi Selamat:

Menggunakan kriptografi semasa pengangkutan data (bergerak), untuk penyimpanan data (di rehat) dan aplikasi (sedang digunakan) adalah keperluan yang jelas untuk tiga tahap keselamatan yang dinyatakan di atas (Basic, Enhanced, Critical). Ciri-ciri yang diperlukan untuk menyediakan perlindungan sedemikian adalah:

  • Algoritma Kriptografi berdasarkan piawaian yang disahkan oleh NIST / FIPS.
  • Asimetri dan symmetric suite cip, fungsi hashing dan nombor rawak. penjana cukup kuat dan berdasarkan PKCS (Standard Kriptografi Kunci Awam)
  • Dalam keupayaan kemas kini bidang algoritma kriptografi untuk dapat menampung kemungkinan kelemahan.
  • Kawalan berasaskan dasar aplikasi menggunakan fungsi kriptografi, mengelakkan penggunaan kriptografi tidak selamat.
  • Pengoperasian kekunci crypto dan sijil merentas pelbagai sistem vendor.

Platform Perisian Barbara melaksanakan beberapa ciri yang menjamin kualiti Perkhidmatan Cryptographic. Ia menggunakan LUKS secara lalai, iaitu standard untuk penyulitan cakera keras LINUX. LUKS Terbuka, jadi mudah diteliti dan Ia berdasarkan PKCS seperti yang disyorkan.

Pada sisi pengangkutan data, Barbara OS mengandungi perpustakaan yang diperlukan untuk berkomunikasi menggunakan protokol aplikasi standard IoT ke atas pengangkutan yang disulitkan (TLS dan DTLS).

Di samping itu, tumpuan komunikasi akhir-ke-akhir yang selamat diperlukan untuk tiga tahap yang ditetapkan. Stack komunikasi ini harus termasuk sokongan untuk pengesahan, sambungan yang dilindungi, firewall titik akhir dan kemasukan protokol pengangkutan selamat (TLS, DTLS, SSH ...). Semua ciri-ciri ini dimasukkan ke dalam Platform Perisian Barbara, jadi ALL komunikasi Barbara disahkan dan disulitkan.

Konfigurasi dan Pengurusan Endpoint

Sistem yang berskala untuk mengemas kini Sistem Operasi, aplikasi dan / atau konfigurasi peranti diperlukan untuk mematuhi tahap Enhanced and Critical, dengan mengambil kira bahawa ia mungkin diperlukan untuk melakukan kemas kini seperti lebih daripada satu juta titik akhir pada masa yang sama. Sudah tentu, semua operasi ini harus dilakukan dalam persekitaran yang selamat termasuk pengesahan berasaskan sijil di antara entiti yang menyajikan kemas kini dan titik akhir yang menerimanya.

Dalam hal ini, Platform Perisian Barbara merangkumi Panel Barbara. Barbara Panel adalah penyelesaian sampingan pelayan untuk menguruskan semua titik akhir penggunaan IOT. Ia menyediakan konsol yang mudah dan terpusat untuk pengurusan kemas kini OTA (Over The Air), pemantauan peranti dan pengurusan konfigurasi. Semua ciri-ciri ini ditawarkan dalam persekitaran keselamatan kelas yang terbaik.

Pemantauan Berterusan

Pemantauan masa sebenar titik akhir adalah keperluan untuk tahap keselamatan Kritikal, menurut IIC. Ini akan membolehkan pengguna untuk mengawal dan mencegah perubahan yang tidak dibenarkan dalam konfigurasi dan mempunyai kawalan pada tahap aplikasi untuk mengesan dan mencegah aktiviti yang tidak dibenarkan kerana penggunaan ciphers tidak selamat yang mungkin berkompromi dengan sistem

Panel Barbara termasuk dan sistem Alert yang membolehkan pengguna menerima amaran keselamatan yang telah ditetapkan dan untuk menentukan amarannya sendiri dan menolaknya ke titik akhir.

Papan Pemuka Dasar dan Aktiviti

Untuk mematuhi Tahap Kritikal, diperlukan keupayaan untuk mengurus titik akhir dari jauh. Pentadbir sistem harus dapat menolak dan melaksanakan dasar dengan cara yang menjamin pengedaran dasar yang betul di seluruh rangkaian, bertindak dengan cara itu sebagai rangka kerja keselamatan yang berkesan.

Panel Barbara membolehkan pengurus penempatan untuk memantau aktiviti titik akhir dan untuk menentukan dan menolak dasar keselamatan berdasarkan maklumat yang diperoleh. Sebagai contoh, dasar baru boleh menggunakan peraturan baru dalam firewall yang dinyatakan di atas apabila corak komunikasi yang mencurigakan dikesan.

Pengurusan Maklumat dan Pengurusan Acara

Dihubungkan dengan ayat sebelumnya, keupayaan untuk menangkap log acara dan untuk menentukan dan mengagihkan dasar berdasarkan maklumat dari log juga merupakan keperluan untuk tahap Kritikal. Adalah disyorkan operasi pengurusan yang akan dilakukan menggunakan model data atau format yang boleh dilanjutkan seperti REST API atau JSON.

Barbara Software Platform sistem pembalakan menyediakan pentadbir sistem dengan maklumat yang banyak yang akan digunakan untuk penjanaan dasar keselamatan.

Kesimpulannya

Barbara IoT sedang berusaha keras untuk membina produk yang selamat. Produk yang boleh digunakan dalam senario yang paling menuntut dari segi keselamatan industri. Seperti IIC, kami berpendapat inisiatif seperti ini dapat membantu seluruh ekosistem industri dengan menggalakkan keyakinan dan memperkasakan semua pelaku dalam ekosistem.

Rujukan:

  • http://www.iiconsortium.org/
  • Amalan Terbaik Keselamatan Akhir IIC; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Pengguna apa yang perlu tahu tentang Penyulitan Disk Penuh berdasarkan LUKS, Simone Bossi dan Andrea Visconti; Kriptografi dan Makmal Pengkodan (CLUB), Jabatan Sains Komputer, Universit√° degli Studi di Milano http://www.club.di.unimi.it/

Pos ini pada asalnya diterbitkan di barbaraiot.com pada 6 Jun 2018. Jika anda suka dan ingin menerima kandungan yang sama melanggan Newsletter kami