Özel olmayan sensör verilerinin şifrelenmesinin bir avantajı var mı?

Gibi bazı siteler, IOT için uçtan uca şifreleme başlıklı bu makaleyi , düşündürmektedir tüm söyleyerek IOT ağ üzerinden gönderilen trafik şifreli edilmelidir:

Şirketler, devlet kurumları ve diğer kuruluşlar, IoT'nin etkin olduğu ihlallere karşı korunmak için bir “her şeyi şifreleme” stratejisini benimsemelidir.

'Akıllı kilit' cihazını kilitleme / kilidini açma komutları gibi gizli olabilecek verileri şifreleme ihtiyacını anlayabiliyorum, ancak mevcut termostat okumasını bildiren sensör gibi her şeyi şifrelemek gerçekten gerekli mi?

"Her şeyi şifrelemek", insanların gerçekten şifrelenmesi gereken verileri şifrelemeyi unutmasını engelliyor mu yoksa ekstra güç, zaman ve maliyete rağmen kriptografi kullanmanın gerçek bir yararı var mı?

Kesinlikle, çünkü:

1. Güvenli bir cihaz ve kanal , verilere güvenebileceğiniz anlamına gelir . Evet, gerçek sıcaklık çok özel değildir, ancak bir saldırgan yanlış sıcaklıklar sağlayabilir ve istenmeyen bir yanıta neden olabilir (örn. Isıtmayı gereksiz yere açmak). Stuxnet, santrifüjlerin hızını yanlış bildirerek bu şekilde çalıştı ve kontrol sisteminin kırılıncaya kadar daha hızlı gitmelerini sağladı. Güvenli bir kanalın yalnızca şifreli değil, aynı zamanda doğrulanmış ve bütünlük korumalı olduğunu unutmayın . Burada önemli olan bütünlüktür.
   Yalnızca şifreleme verilere güvenmenize izin vermez: bir saldırgan tam olarak neyi değiştirdiklerini bilmeseler bile şifrelenmiş verileri değiştirebilir. Tek başına kimlik doğrulama bile, gerçek veriler yeniden oynatılabileceğinden verilere tam olarak güvenmenize izin vermez. Veri bütünlüğünü garanti eden bir protokole ihtiyacınız var.
2. Arızalı bir cihaz ile güvenliği ihlal edilmiş bir cihaz arasındaki farkı söylemek zor. Arızaların tespiti ve onarımı zordur ve maliyetlidir, bu nedenle cihazları tamir etmek (veya tüm sistemi hata ayıklamak) bir miktar güvenlik sağlamaya değer.
3. Daha geniş bir ekosistemde, şifreli bazı cihazları istemezsiniz, bazıları istemez, çünkü bu, cihazların maliyetini, bakımını ve yönetimini artırır. Kesin olarak, sistemde (yalnızca cihazda değil) birkaç yıl içinde hiçbir özel verinin iletilmeyeceğini söyleyemezseniz, şimdi mühendislik yapmak daha güvenli olabilir.
4. Özel veri tanımınız yanlış olabilir ve faaliyet gösterdiğiniz bölgelerdeki denetçiler ve düzenleyici uzmanlarla kontrol etmiyorsanız, verilerin gizli olduğunu varsayalım. GPS koordinatları ve hatta IP adresleri, bazı düzenleyici çerçeveler tarafından kişisel olarak tanımlanabilir kabul edilebilir.

Sensör, mevcut bir termostat okumasını rapor ediyor ve bana çok özel geliyor. Bir hırsız, bir kişinin evde olduğunu öğrenmek için verileri kullanabilir. Ev soyulduktan sonra sahibi, gizliliğini ihlal eden ve böylece hırsızlığı sağlayan termostat üreticisine dava açmanın iyi bir fikir olduğuna karar verebilir.

Bu, termostat üreticisinin ürünleri için istediği tür bir yasal risk midir? Bir mahkemenin önünde, hırsızlara müşterilerinizin evlerine ne zaman gireceklerini bilmeleri için ihtiyaç duydukları bilgileri vermenin tamamen iyi olduğunu iddia etmek ister misiniz?

Evet, tüm iletişimleri şifrelemenin avantajı var. Evinizi kilitlemenin herhangi bir avantajı olduğunu soramazsınız değil mi?

Soru var mı, ne kadar avantajı olabileceği.

Harika bir blogu olan btw'ye sahip en büyük güvenlik uzmanlarından Bruce Schneier , işleri tamamen güvende tutamayacağınızı söyleyecektir. Yapabileceğiniz şey, onları kırmanın maliyetini, faydalarından daha fazla yapmak için yeterince güvenli hale getirmektir.

Kaba finansal terimlerle, bir yere girmenin ve 5 $ almanın 100 dolara mal olması durumunda, içeri girmek mümkün olsa bile potansiyel davetsiz misafir caydırılır.

Kaba sosyal terimlerle, görünür bir alarmım, güvenlik kameraları, hareket aktivasyon projektörleri ve bir av köpeği varsa, kararlı bir hırsız hala evime girebilir . Ama evinizin yanındaki kapı aynı görünüyorsa ve böyle caydırıcı yoksa ...

Goggling tarafından Bruce Schneier iot, IoT'deki birçok eserini okuyabilirsiniz.

• Nesnelerin İnterneti Güvenlik Ekonomisi
• Nesnelerin İnternetinin Düzenlenmesi
• Gerçek Dünya Güvenliği ve Nesnelerin İnterneti
• İnterneti Nesnelerin İnterneti'nden Kurtarmamız Gerekiyor
• Büyük IoT felaketi her zaman olabilir

Rastgele Bruce Schneier gerçek # 81

Bruce Schneier, Chuck Norris'e asansörde sessiz dururken sıfıra nasıl bölüneceğini öğretti.

Her zaman tasarımcının / geliştiricinin seçimi. Ancak bu günlerde şifreleme ve diğer güvenlik önlemlerini kullanmak bir gereklilik haline geliyor.

Bir örneğe göre, mevcut termostat okumasını bildiren sensör, size yanlış sinyaller göndermek için bir davetsiz misafir tarafından kontrol edilebilir. (Bunu yaparak sizi soymak için bazı stratejileri olabilir , kim bilir?)

Ulaşılamaz sistemleri yapamayacağınızı duymuş olabilirsiniz . Sadece kırılması zor olan sistemleri yaparsınız!

Hangi adımları atmış olursanız olun, hala onları kırabilirler. Peki neden güvenliğini sağlamak için bazı ek adımlar atmaya zahmet ediyorsunuz?

Diğer cevaplara ek olarak, veriler düz metin olarak gönderilirse değiştirilebilir.

Bahsedilen sorunların yanı sıra, sahte veriler neden olabilir (sıcak yaz ortasında yalancı termometreden dolayı ısıyı maksimuma çevirmek, örneğin yangın tehlikesine yol açabilir), verilerin manipüle edilmesi IoT cihazının tehlikeye girmesine ve erişen her şeye (için Örneğin, dizüstü bilgisayarınız sıcaklığı kontrol ediyor olabilir, ancak sıcaklığı gösteren HTML sayfası, dahili ağınızı etkilemek için tasarlanmış bilgisayar virüsü ile geçiş sırasında değiştirilebilir veya JSON verileri, hatalı biçimlendirilmiş verileri okuyan uygulamalara girecek şekilde değiştirilebilir).

Güvenliğin uygulanmasının, özellikle IoT dünyasında riskleri olmadığı anlamına gelmez. Güvenlik zordur ve uygulanması genellikle kod tabanını ve onunla birlikte hata sayısını (ve dolayısıyla olası saldırı vektörleri / yararlanma fırsatlarını) büyük ölçüde artırır. IoT'ler nadiren bellenim yükseltmeleri alır, bu nedenle otomatik güncellemesiz bir IoT cihazında bir sorun olduğunda, Botnet'lere ekstra zombi makineleri sağlamak neredeyse garanti edilir .

Ve evet, otomatik yükseltme kendisi sorunsuz değildir - gizlilik sorunlarından kötüye kullananların düzgün uygulanmadığı takdirde onu kontrol etme olasılığına kadar; ancak saldırganların zombi saflarını artırmasına izin veren herhangi bir güvenlik hatası olmadan ilk bellenimin olmasını ummaktan daha düşük riskli olmalıdır.