אבטחת IoT שונה לחלוטין מאבטחת מידע

 מאת פול צ'ן, מנהל מוצרים בכיר, ווינד ריבר

לא מכבר השתתפתי בכנס מפתחי ה- IoT השלישי DevCon.

כפתיח, יו"ר האירוע, מרכוס לוי, כתב בתוכנית האירוע: "האינטרנט של הדברים:  הייפ או מציאות? ברור כי ה- IoT הוא הרבה יותר מאשר רק 'דברים' – הוא הפך למאמץ שיתופי עצום כדי לחבר את הכל ביחד, כך שהשרשרת המחברת את האדם אל המכונה ואל הענן תספק ערך אמיתי. כנס מפתחי האינטרנט של הדברים, זו המציאות – לא הייפ".

העברתי את רוב זמני במסלולי האבטחה של הכנס, בהם אוזכרה מספר פעמים העובדה כי אבטחה היא הבעיה מספר אחת שמגבילה אימוץ נרחב של  IoT (הרצאה אחת אף נקראה: "אין IoT ללא SoT – האבטחה של הדברים").

כדי לעורר מוטיביציה, מספר הרצאות הזכירו פריצות IoT שזכו לכותרות, כמו:

• הפריצה מרחוק לרכב Jeep Cherokee

• פריצה למכשיר הזרקת תרופות

• פריצה למוניטור של מיטת תינוק
• פריצה לרובה צלפים עם Wi Fi
• הפריצה לרשת הקמעונאית  Target
• תולעת Stuxnet

באחת ההרצאות נטען כי כמעט מיליון התקפות האקרים חדשות מזוהות בכל יום. בנוסף צוין כי אבטחת IoT שונה מאבטחת מידע:

• לאבטחת IoT יש שטח פנים גדול יותר של תקיפה מאשר אבטחת  סייבר (עשרות מיליארדי "דברים" מקושרים).
• ל"דברים" יש נגישות גבוהה יותר לתקיפות (כגון נורות חשמל, תרמוסטטים, מוני חשמל)
• "הדברים" הם לעתים קרובות נקודות קצה שמחירן נמוך, עם תקציב אבטחה נמוך או ללא תקציב כלל עבור צעדי אבטחה (כגון מניעת גישה פיזית) או לעוצמת עיבוד גבוהה (מה שיכול להגביל יכולות הצפנה, למרות שיש היום מעבדי הצפנה שמחירם דולר אחד ליחידה.

המשמעות של הבדלים אלה היא שייתכן כי יש צורך בגישה שונה ואמצעי אבטחה שונים בעת אספקת אבטחת IoT, מאשר כשמספקים אבטחת סייבר מסורתית.  לדוגמא, במספר הרצאות ציינו כי אבטחת ה- IoT, או של מכשיר IoT, היא תרגיל בהגנת-עומק, כאשר יש צורך לשקול מספר שכבות אבטחה.  אין פתרון קסם אחד ויחיד: אבטחה תלויה במודל האבטחה של המכשיר, אשר מצדו תלוי באיומים ותוקפים בלתי מזוהים שיש להתגונן בפניהם.  סיווג טוב של תוקפים מסופק על ידי ה- ICS-CERT של המשרד להגנת המולדת בארה"ב.

• ממשלות לאומיות – תוכניות לחימת סייבר לאומיות.
• טרוריסטים.
• מרגלים תעשייתיים וקבוצות פשע מאורגנות.
• האקטיביסטים – האקרים עם מניעים פוליטיים עם דגש על אנטי-ארה"ב.
• האקרים – החל מילדוני סקריפטים, דרך כותבי תולעים ווירוסים, ועד לחוקרי אבטחה ו"האקרים כובע לבן" (שבעצם מאבטחים ובודקים פרצות אבטחה באתרים ומדווחים עליהם), עד ל"האקרים כובע שחור" (שפורצים למטרות זדוניות) והאקרים מקצועיים.

זיהוי התוקפים האפשריים והמניעים שלהם, מגדיר את האיומים  שמודל אבטחת המכשיר צריך להתמודד עימם, מה שמשפיע על סוגי צעדי האבטחה שצריך להפעיל. מספר הרצאות סווגו אמצעים כאלה לקטגוריות, ולמעשה מיפו את התחומים אותם יצרני מכשירי IoT צריכים לקחת בחשבון כאשר הם מספקים אבטחה עבור מכשירי IoT שלהם:

• שכבת הגנה פיסית
  • הפיכת החומרה לעמידה מחדירה חיצונית.
  • נעילת מממשק ניפוי באגים.
• שכבת תקשורת המכשיר
  • שימוש בטכנולוגיות ופרוטוקולים מאובטחים לתקשורת חוטית ואלחוטית.
  • הצפנת נתונים במנוחה ונתונים בתנועה.
  • שימוש בטכנולוגיית  TRNG (יצירת מספר אקראי אמיתי) להצפנה איכותית.
  • שימוש באבטחה מבוססת חומרה היכן שניתן (לדוגמא, מנועי הצפנה, TPM).
• שכבת אפליקציית המכשיר
  • לעולם לא להשתמש בסיסמאות צרובות (סטטיות).
  • לדרוש מהמשתמש לשנות את סיסמת ברירת המחדל, ולא לאפשר סיסמאות קלות ונפוצות.
  • לדרוש אימות ID ייחודי בנקודות קצה headless (decoupled).
• פיתוח מכשירים
  • להשתמש בפרוטוקולי תכנון ואבטחה מאובטחים כבר מתחילת הפיתוח.
  • לאבטח את שרשרת האספקה, החל מיצרני שבבים עד ליצרני OEM וספקי אפליקציות.
• פריסת מכשירים
  • להבטיח כי מכשירים משתמשים בתהליך אתחול מאובטח.
  • להבטיח הקצאה מאובטחת של מכשירים.
  • להבין כי למכשירים עשוי להיות אורך חיים של שנים או עשרות שנים, ולספק עדכוני תוכנה וקושחה, שהנם קריטיים לשימור אבטחה.

חשוב לזכור כי מכשיר הקצה הוא לא תמיד מטרת התקיפה בפועל. למרות שהיצרן שלו אולי לא חשב כי המכשיר שלו מהווה מטרה ראויה לתקיפה (ולכן גם להגנה), הוא עלול להיות אטרקטיבי לתוקף, מאחר שברגע שהוא מחובר ל- IoT, המכשיר הופך להיות שער גישה לרשת, ומשם לנכסים ארגוניים אליהם הוא מחובר: מטרות האמת.

הרצאה נוספת ציינה כי מסגרת אבטחת הסייבר NIST לאבטחה מקצה-לקצה, עשויה להיות שימושית כאשר בונים אבטחה למכשיר IoT:

• זיהוי – לפתח את ההבנה הארגונית על ניהול סיכוני אבטחת סייבר למערכות, נכסים, נתונים ויכולות.
• הגנה – פיתוח והטמעה של מנגנוני הגנה מתאימים כדי להבטיח אספקה של שירותי תשתית קריטיים.
• איתור – פיתוח והטמעה של הפעולות המתאימות לזיהוי התרחשויות של אירוע אבטחת סייבר.
• תגובה – פיתוח והטמעה של הפעולות המתאימות שיש לבצע בתגובה לזיהוי אירוע סייבר.
• התאוששות – פיתוח והטמעת הפעולות המתאימות לקיום תוכניות עבור שרידות ולאחזור של יכולות או שירותים שנפגעו כתוצאה מאירוע סייבר.

חשוב לוודא כי מכשירי IoT יוכלו להגן על עצמם נגד תוקפים שזוהו, לאתר תקיפות כאלה בזמן אמת, להגיב אליהן במהירות, ולהתאושש ביעילות (כולל עדכוני תוכנה/קושחה לשרידות מתמשכת). אלה יסייעו להפוך את ה- IoT למאובטח יותר, ולשפר את מהירות האימוץ (ובכך, את הדרך לרווחיות עבור חברות IoT). כדי לסייע בתחום זה, ה- IoT Design Center של ווינד ריבר, יכול לבצע הערכת IoT אשר תבטיח יישום נוהלי האבטחה העדכניים והטובים ביותר לא רק במוצר ה- IoT, אלא גם בתהליכים המשמשים חברה.

באמצעות תכנון נכון של אבטחת מידע בתוך ה- IoT, אנו יכולים לקוות להימנע מטעויות יקרות כגון אלו שעבורן Jeep ו- Target כנראה עדיין משלמות – אם לא בכסף אז לפחות בבקרת נזקים למוניטין שלהן.  כפרפרזה על כותרת המצגת של ה-UL: לא יהיה IoT ללא אבטחה.

למעוניינים, הרצאות הכנס זמינות כאן.

 לקשר עם ווינד ריבר ניתן לפנות לחברת ScaleIL ב- info@scaleil.com