Best practice per la sicurezza degli endpoint IIC

Molto recentemente, il Consorzio Internet industriale ha pubblicato un documento interessante con le Best practice sulla sicurezza consigliate per l'endpoint.

Barbara IoT è sempre entusiasta di questo tipo di iniziative poiché crediamo fermamente che ci sia molto lavoro da fare nella sicurezza dell'IoT e il dispositivo è probabilmente l'anello più debole attualmente presente nella catena del valore dell'IoT. E come sappiamo, la catena è forte quanto l'anello più debole, quindi i dispositivi di sicurezza sarebbero indispensabili (se non lo sono già).

Questo articolo esamina le basi delle raccomandazioni IIC e le associa alla piattaforma software Barbara, una soluzione sicura per il ciclo di vita dei dispositivi IoT. La seguente tabella riassume la matrice di conformità:

Ma entriamo nei dettagli ...

Livelli di sicurezza:

IIC definisce tre livelli di sicurezza, Security Level Basic (SLB), Security Level Enhanced (SLE) e Security Level Critical (SLC), corrispondenti ai livelli di sicurezza 2, 3 e 4, come definito nella norma IEC 62443 3–3. Il livello base protegge da "violazione intenzionale utilizzando mezzi semplici con risorse limitate". Il livello avanzato protegge il nostro sistema da "mezzi sofisticati con risorse moderate". Il livello critico aumenta fornendo protezione per "mezzi sofisticati con risorse estese". A seconda dell'applicazione e delle circostanze, è necessario proteggere l'endpoint con il livello di sicurezza appropriato.

Sulla base di questi livelli di sicurezza, IIC propone tre diverse architetture che dovrebbero essere basate su standard aperti e dovrebbero essere interoperabili tra endpoint multi vendor e multipiattaforma per essere considerati sicuri.

Architetture proposte da IIC

Andiamo più in profondità in ciascuno di questi componenti, descrivendoli in modo più dettagliato e scoprendo come Barbara Software Platform è conforme alle linee guida IIC.

Root of Trust:

Root of Trust (RoT) costituisce la base per ogni sicurezza endpoint e fornisce funzionalità come identità endpoint e attestazione di identità e integrità software e hardware. Come puoi immaginare, l'endpoint sarà forte come il Root of Trust, quindi è obbligatoria un'implementazione sicura del Root of Trust.

In particolare IIC afferma che per livelli di sicurezza avanzati e critici, Root of Trust dovrebbe essere implementato in base all'hardware. Per ottemperare alle raccomandazioni IIC potrebbe essere necessario un chip di sicurezza hardware specifico (o simile) con resistenza alla manomissione.

Per quanto riguarda Root of Trust, Barbara Software Platform mette insieme tutte le funzionalità di sicurezza per rafforzare Root of Trust. Il nostro stack di software utilizza una PKI di proprietà privata (infrastruttura a chiave pubblica basata su standard di crittografia a chiave pubblica) e fornisce gli hook corrispondenti per consentire una facile integrazione con i moduli di piattaforma affidabili a scelta del cliente.

Identità endpoint:

L'identità dell'endpoint è un componente di base per creare la maggior parte delle funzionalità di sicurezza. Secondo le raccomandazioni IIC, il supporto PKI (Public Key Infrastructure) è obbligatorio per coprire livelli di base, avanzati e critici. Si consiglia inoltre di implementare un protocollo di gestione dei certificati Open standard per l'emissione e la gestione di certificati da un'autorità di certificazione interna o esterna (autorità di certificazione).

Come commentato prima, Barbara Software Platform include il proprio PKI basato su PKCS (Freeipa, www.freeipa.org/). FreeIPA è una soluzione integrata di identità e autenticazione che fornisce informazioni centralizzate su autenticazione, autorizzazione e account. Come richiesto da IIC, FreeIPA è basato su noti componenti Open Source e protocolli standard.

Avvio sicuro:

Un sistema affidabile di avvio sicuro che protegge crittograficamente l'accensione dell'endpoint è di nuovo un requisito per livelli di base, potenziati e critici. Secondo le migliori pratiche IIC, questo può essere implementato hash crittografici basati su PKCS (Public Key Cryptography Standards). In questo modo possiamo essere certi che il software senza le chiavi appropriate sarebbe in grado di avviare il dispositivo. La piattaforma software Barbara può essere trasferita su schede hardware che supportano l'avvio sicuro in uno sforzo ragionevole.

Servizi crittografici e comunicazioni sicure:

L'uso della crittografia durante il trasporto dei dati (in movimento), per l'archiviazione dei dati (a riposo) e le applicazioni (in uso) è un chiaro requisito per i tre livelli di sicurezza di cui sopra (Base, Avanzato, Critico). Le caratteristiche necessarie per fornire tale protezione sono:

  • Algoritmi crittografici basati su standard validati da NIST / FIPS.
  • Suite di cifratura asimmetrica e simmetrica, funzioni di hashing e numero casuale. generatori abbastanza potenti e basati su PKCS (Public Key Cryptography Standards)
  • Capacità di aggiornamento sul campo degli algoritmi crittografici per essere in grado di coprire possibili vulnerabilità.
  • Controllo basato su criteri dell'uso delle funzioni crittografiche da parte delle applicazioni, evitando l'uso di crittografia non sicura.
  • Interoperabilità di chiavi crittografiche e certificati tra sistemi multi-vendor.

La piattaforma software Barbara implementa diverse funzionalità che garantiscono la qualità dei servizi di crittografia. Utilizza LUKS per impostazione predefinita, che è lo standard per la crittografia del disco rigido LINUX. LUKS è Open, quindi è facilmente controllabile e si basa su PKCS come raccomandato.

Sul lato del trasporto dei dati, il sistema operativo Barbara contiene le librerie necessarie per comunicare usando i protocolli applicativi standard IoT sul trasporto crittografato (TLS e DTLS).

Inoltre, è richiesto uno stack di comunicazioni end-to-end sicuro per i tre livelli definiti. Questo stack di comunicazioni dovrebbe includere il supporto per autenticazione, connettività protetta, firewall endpoint e inclusione di protocolli di trasporto sicuri (TLS, DTLS, SSH ...). Tutte queste funzionalità sono incluse nella piattaforma software Barbara, quindi TUTTE le comunicazioni Barbara sono autenticate e crittografate.

Configurazione e gestione degli endpoint

È necessario un sistema scalabile per aggiornare il sistema operativo, le applicazioni e / o la configurazione del dispositivo per conformarsi ai livelli avanzato e critico, tenendo presente che potrebbe essere necessario eseguire tali aggiornamenti su milioni di endpoint contemporaneamente. Ovviamente, tutte queste operazioni devono essere eseguite in un ambiente sicuro, compresa la convalida basata su certificati tra l'entità che serve l'aggiornamento e l'endpoint che lo riceve.

A questo proposito, la piattaforma software Barbara include il pannello Barbara. Barbara Panel è la soluzione lato server per gestire tutti gli endpoint di una distribuzione IoT. Fornisce una console semplice e centralizzata per la gestione degli aggiornamenti OTA (Over The Air), il monitoraggio dei dispositivi e la gestione della configurazione. Tutte queste funzionalità sono offerte in un ambiente di sicurezza di prim'ordine.

Monitoraggio continuo

Il monitoraggio in tempo reale dell'endpoint è un requisito per il livello di sicurezza critico, secondo IIC. Ciò consentirebbe all'utente di controllare e prevenire modifiche non autorizzate nella configurazione e di avere il controllo a livello di applicazione per rilevare e prevenire attività non autorizzate in quanto l'uso di cifre non sicure che potrebbero compromettere il sistema

Barbara Panel include un sistema di avvisi che consentirebbe all'utente di ricevere avvisi di sicurezza predefiniti e di definire i propri avvisi e trasferirli agli endpoint.

Cruscotto su criteri e attività

Per essere conforme al Livello critico, è richiesta la capacità di gestire gli endpoint in remoto. L'amministratore di sistema dovrebbe essere in grado di spingere ed eseguire le politiche in modo da garantire la corretta distribuzione delle politiche attraverso la rete, fungendo in tal modo da un efficace quadro di sicurezza.

Barbara Panel consente ai responsabili della distribuzione di monitorare le attività degli endpoint e di definire e spingere le politiche di sicurezza in base alle informazioni acquisite. Ad esempio, nuove politiche possono distribuire nuove regole nel suddetto firewall quando vengono rilevati schemi di comunicazione sospetti.

Informazioni di sistema e gestione degli eventi

Collegata al precedente paragrafo, la capacità di acquisire registri eventi e di definire e distribuire politiche basate sulle informazioni dai registri è anche un requisito per il livello critico. Si consiglia di eseguire queste operazioni di gestione utilizzando modelli di dati o formati estensibili come API REST o JSON.

Il sistema di registrazione della piattaforma software Barbara fornisce agli amministratori di sistema grandi quantità di informazioni che verrebbero utilizzate per la generazione di politiche di sicurezza.

Conclusione

Barbara IoT sta facendo uno sforzo enorme per costruire un prodotto sicuro. Un prodotto che può essere utilizzato negli scenari più impegnativi in ​​termini di sicurezza industriale. Come l'IIC, riteniamo che questo tipo di iniziative possa aiutare l'intero ecosistema del settore promuovendo la fiducia e responsabilizzando tutti gli attori all'interno dell'ecosistema.

Riferimenti:

  • http://www.iiconsortium.org/
  • Best Practices IIC Endpoint Security; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Ciò che gli utenti dovrebbero sapere sulla crittografia full disk basata su LUKS, Simone Bossi e Andrea Visconti; Laboratorio di crittografia e codifica (CLUB), Dipartimento di Informatica, Università degli Studi di Milano http://www.club.di.unimi.it/

Questo post è stato originariamente pubblicato su barbaraiot.com il 6 giugno 2018. Se ti piace e desideri ricevere contenuti simili iscriviti alla nostra newsletter