IoT-säkerhet: Viktiga utmaningar, faktorer som förstärker effekten av dessa och strategier för att mildra riskerna

IDC förutspår att utgifterna för IoT-enheter kommer att uppgå till 1,2 biljoner dollar år 2022, med en genomsnittlig årlig tillväxttakt (CAGR) på 13,6 procent.

Gartner förutspår att det totala antalet uppkopplade enheter kommer att uppgå till 25 miljarder år 2021.

Statista uppger att antalet uppkopplade IoT-enheter för närvarande ligger på omkring 23 miljarder och förväntar sig att detta antal ska nå 30 miljarder år 2020 och överstiga 75 miljarder år 2025.

Siffrorna varierar mellan olika undersökningar, men alla undersökningar, rapporter och prognoser om uppkopplade IoT-enheter understryker tydligt ett enda faktum – att tillväxten av IoT-enheter under den kommande tiden kommer att vara exponentiell.

Så, vad innebär det i praktiken? Jo, svaret är: Många saker! Till att börja med visar dessa siffror att livskvaliteten kommer att förbättras, att uppkoppling och kommunikation kommer att förenklas, att tekniken kommer att införas i snabbare takt, att konsumentupplevelserna kommer att bli bättre och att affärspotentialen för tekniska tillämpningar och införande kommer att vara enorm. Allt detta kan dock endast förverkligas om IoT-enheterna, lösningarna och de relaterade tjänsterna bygger på en stark grund av säkerhet.

Även om införandet av IoT för modernisering av företag och processer har kommit igång i snabb takt kvarstår grundläggande utmaningar när det gäller säkerhet, tillförlitlighet, informationssekretess och -integritet samt integritetsskydd. Det är därför absolut nödvändigt att IoT-leverantörer börjar bygga in säkerhet i de komponenter som utgör IoT-systemen, så att både de fristående lösningarna och deras integration med befintliga system kan övervinna de säkerhetsluckor som kan äventyra användarnas säkerhet.

De övergripande komponenterna som utgör IoT-systemen listas nedan. Dessa är också de säkerhetsaspekter som IoT-leverantörer måste ta hänsyn till för att säkerställa en stark säkerhetsgrund för IoT.

Enhet eller utrustning: Fysiska enheter och slutpunkter, t.ex. sensorer, elektroniska styrenheter (ECU), smarta mätare och smarta enheter, ansluts till andra enheter och slutpunkter via nätverk för att samla in eller tillhandahålla information om sig själva och sin omgivning.

Gateway eller hubb: Gör det möjligt för dessa enheter att ansluta till omvärlden via Ethernet, RFID, trådlöst nätverk, Bluetooth m.m.

Nätverk eller transportkanaler: Underlättar anslutningen och överföringen av information från enheter/gateways, t.ex. IP-nätverk, GSM/CDMA, satellitnätverk m.m.

Underlättande: Ger enheterna möjlighet att skicka data/information via gateways/nätverk för vidare lagring, bearbetning och analys, t.ex. molntjänster, big data m.m.

Konsumentanvändning eller applikation: Gör det möjligt för slutanvändare/kunder att ta del av information på sina smarta enheter, såsom surfplattor, smartphones, TV-apparater och bärbara datorer.

Nästa logiska steg efter att ha identifierat IoT-systemets komponenter är att genomföra en omfattande riskbedömning som identifierar alla svaga länkar genom vilka systemets säkerhet kan brytas. Detta kan endast göras om man utför en grundorsaksanalys av de olika faktorer som kan leda till ett säkerhetshot. Några av dessa är följande:

Dataexponering: Känslig eller personlig information, såsom patientdata i elektroniska patientjournaler (EHR/EMR) om dessa är anslutna till EKG, ventilatorer etc., GPS-position för ett fordon för att spåra en person, sniffing, avlyssning och överfall.

Stort beroende av programvara och applikationer: De flesta attackerna riktas mot applikationer, särskilt webbapplikationer – injektioner, XSS, CSRF m.m.

Obehörig fjärråtkomst: Fjärrdiagnostik/övervakning och fjärrunderhåll av enheter och utrustning medför risk för avlyssning och manipulation om det inte sker via säker kommunikation, vilket kan leda till MITM-attacker (man-in-the-middle).

Oidentifierade, obehöriga och ogiltiga enheter: Unik identifiering av användaren, enheter, autentisering och åtkomstkontroll av enheter som kanske inte har ett unikt ID från tillverkaren – detta kan leda till identitetsförfalskning, nätfiske, oseriösa enheter, identitetsstöld etc.

Attackytan har ökat: Omfattande användning av öppna nätverk, t.ex. internet och offentliga molntjänster, i kombination med dataloggningsmedier såsom sensorer, webbapplikationer, USB, trådlösa nätverk, Bluetooth, Zigbee och GSM.

Äldre system (föråldrade operativsystem/programvara) som inte längre stöds av tillverkarna: Programuppdateringar och säkerhetskorrigeringar har i stort sett blivit ett bortglömt begrepp på äldre enheter, särskilt när tillverkaren inte längre tillhandahåller support, vilket gör dem till ingångspunkter för sabotage av kundnätverk som leder till DOS-attacker, infektionspunkter för skadlig programvara och utpressningsprogram.

Enkelt uttryckt har hotbilden ökat mångfaldigt i takt med teknikens alltmer genomgripande roll, och IoT-system är bara så starka som sina svagaste komponenter. Därför måste varje komponent i systemet övervakas noggrant och säkras individuellt för att undvika säkerhetsöverträdelser. Även om det inte finns någon mirakelkur för att omedelbart motverka säkerhetshot, bidrar bästa praxis – såsom att följa CIA-triaden (Compliance, Integrity, Availability) och implementera en metodisk strategi som ”Defense-in-depth” – i hög grad till att kväva attackerna i sin linda genom att bygga upp ett skiktat försvarssystem för att motverka attacken.

Det skiktade tillvägagångssättet tar itu med systemets komponentsäkerhet i varje steg – samma steg som vi listade tidigare, från den fysiska enheten till gatewayen, nätverket, faciliteringen och vidare till applikationen eller konsumentanvändningen.

Läs LTTS vitbok om säkerhetsaspekter för IoT för att få fördjupad kunskap om bästa praxis för att motverka IoT-risker på varje lager.

Omfattningen och konsekvenserna av säkerhetsöverträdelser inom IoT sträcker sig bortom ekonomiska bedrägerier och kan potentiellt skada människors liv och leda till samhällsstörningar. Som det berömda citatet från Spiderman lyder: ”Med stor makt följer stort ansvar.” IoT, dess framväxt och tillväxt är en sådan kraft som mänskligheten har skapat, men samtidigt är det varje enskild skapare av IoT-system, produktdesigner, lösningsutvecklare och tjänsteleverantörs ansvar att säkerställa att integriteten gentemot konsumenten och konsumentens information bevaras väl och är oöverträffad. 

Med bidrag från LTTS vitbok ”Security Considerations for IoT”.