Secure Design von IoT Systemen
2. CMG Security KONKRET
René Pfeiffer / @deepsec / DeepSec
2. CMG Security KONKRET, 25. April 2019
Anmerkung #1
Secure Coding ≠ Secure Design
Secure Design ≠ Design
Anmerkung #2
- Safety ≠ Security
- Safety – „Gegner“ ist die Physik
- Security - „Gegner“ sind Menschen
Security?
IT Security Anforderungen
- Confidentiality
- Integrity
- Availability
IT Security Bausteine
- Kompartimentierung
- Isolierung
- Principle of Least Privilege
- Defence in Depth / gestaffelte Sicherheitsebenen
- mehrfache Sicherheitsvorrichtungen
- schwächste Glieder absichern/beschützen
- fail securely / sicher versagen
- Keep It Simple & Stupid (KISS)
IoT Architektur
IoT Standards
Auswege
- Härten von Komponenten und Applikationen
- gesteigerte Isolation
- sicheres Edge Computing
- Modell DIY Mainframe
- Ausgleich limitierter Kapazitäten
- Übergang auf starke Sicherheit
- Tests nach Secure Design Prinzipien
IoT Ökosystem
Härtung von Komponenten
- IoT Endgeräte
- Fokus auf Angriffsfläche
- Reduktion von Code
- Beschränkungen (Lebensdauer, Leistung, Platz)
- Applikationen
- Secure Coding
- Security Testing
- noch nicht Standard!
Messaging
2G 3G 4G 5G 6LoWPAN 802.15.4e ANT ANT+ Bluetooth Bluetooth Low Energy (BLE) Dash7 DigiMesh EnOcean HTTP HTTPS Ingenu ISA 100.11a LoRaWAN LTE Cat 0/1 LTE-M1 MiWi MQTT NB-IoT NFC RFID SigFox SMQTT Thread (= IPv6 + 6LoWPAN) Weightless-N / Weightless-P / Weightless-W WiFi-ah (802.11ah) WirelessHART ZigBee Z-Wave …
Secure Design Prinzipien
- Klassifikation
- Welche Daten werden wie verarbeitet?
- Wer produziert/konsumiert Daten?
- Klassifikation ist Schlüssel für Isolation!
- Identifizieren der Übergänge (Edges)
- Welche Grenzen werden von Daten wie passiert?
- Welche Komponenten kommunizieren mit wem? Warum? Wie?
- Wiederholen für interne Übergänge
- Verfolgen / Beschreiben interner Zustände
Fuzzing
- Fuzzing -> Zufallsdaten als Input für Code
- Technik existiert seit den 1950er (defekte Lochkarten)
- Forschungsfeld seit 1981
- verschidene Ansätze
- vollständig zufällige Daten
- strukturbewußte zufällige Daten
- stuktur- und code-bewußte zufällige Daten
- Black/White Box Model
- Standardwerkzeug für Software Entwicklung
Fuzzing Frameworks
Zusammenfassung
- Secure Coding/Design Neuland für Software Entwicklung
- Fokus auf
- IoT Endpunkte
- Edges / Edge Computing
- Netzwerk(e)
-
„Cloud“
- Testen Sie Unvorhergesehenes!
- Testen Sie ständig!
Fragen?
Quellen
- Internet of Things: Survey on Security and Privacy, 6. Juli 2017
- Reconfigurable Security: Edge Computing-based Framework for IoT, 19. September 2017
- Enforcement of Security Policy Rules for the Internet of Things, Oktober 2014
- The Intelligent Edge: What it is, what it's not, and why it's useful, 15. November 2018
- Google OSS-Fuzz
Über die DeepSec
Die DeepSec GmbH veranstaltet seit 2007 jährlich im November die DeepSec In-Depth Security Conference in Wien. Die DeepSec bringt als neutrale Plattform die Sicherheitsexperten aus allen Bereichen zum Gedanken- und Erfahrungsaustausch zusammen. Dort erhalten IT- und Security-Unternehmen, Anwender, Behördenvertreter, Forscher und die Hacker-Community in über 42 Vorträgen und Workshops die Chance, sich über die aktuellen und zukünftigen Sicherheitsthemen auszutauschen. Die Konferenz möchte insbesondere dem verbreiteten Vorurteil entgegen wirken, dass Hacker zwangsläufig Kriminelle sind.
Über den Autor
René Pfeiffer ist selbstständiger Systemadministrator und Vortragender an der Fachhochschule Technikum Wien im Bereich Computer- und Datensicherheit. Mit über 15 Jahren Berufs- und 30 Jahren Computererfahrung sowie einem akademischen Hintergrund in theoretischer Physik verbindet er in Schulungen und Projekten erfolgreich Theorie und Praxis.
Seine Themenschwerpunkte liegen im Bereich IT Administration, Aufbau sicherer Infrastrukturen (Host-/Netzwerkbereich), sichere Kommunikation in Organisationen und Infrastruktur (VPN Technologien, Nachrichtensysteme), Wireless Security, technische Dokumentation, Betreuung von Forschungsarbeiten in der IT Security, technischem Auditing und Evaluierung von Software.
Herr Pfeiffer hält seit 2000 jährlich Fachvorträge und Schulungen auf Tagungen und Seminaren (Institute for International Research (I.I.R.), Business Circle, Confare, Linuxwochen Österreich, SAE Institute Wien, DeepSec In-Depth Security Conference, Bundesverband Sicherheitspolitik an Hochschulen, Kundenveranstaltungen).