- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

IoT-Gateway überbrückt Kommunikationslücke


Was ist ein IoT-Gateway und wie lässt er sich am besten absichern?
Ein IoT-Gateway überbrückt die Kommunikationslücke zwischen IoT-Geräten, Sensoren, Ausrüstung, Systemen und der Cloud

- Anzeigen -





Von Nisarg Desai, GlobalSign

Stellen Sie sich die betrieblichen Abläufe eines modernen Logistik-Unternehmens vor. Alle Fahrzeuge der Flotte werden über IoT-Geräte nachverfolgt. Sie haben ein Lager mit Lagerbestandsverfolgung und maschinenbetriebene Produktionslinien, die die Produkte erzeugen, die verpackt und zu Läden in der ganzen Welt transportiert werden. An der Produktionslinie messen IoT-Geräte und Sensoren die Leistung der Produktion und Maschinen. Sie haben IoT-Geräte und Sensoren, die den Lagerbestand messen und die Produktionslinie informieren, wie schnell sie aufgrund dieser Daten produzieren soll. Sie haben sogar IoT-Geräte, die Signale an die Fahrer senden, um ihnen mitzuteilen, wenn sie etwas abholen müssen. Und sie signalisieren das nur den LKWs, die dem Lager gerade am nächsten sind.

In diesem Szenario passiert eine Menge, das mit bloßem Auge nicht sichtbar ist - Geräte, die mit unterschiedlichen Protokollen über verschiedene Netzwerke wie WLAN, Ethernet, Z-Wave oder ZigBee miteinander kommunizieren. Geräte und Sensoren, die mit der Cloud kommunizieren und sogar die Cloud, die mit entscheidenden Systemen kommuniziert. Das alles wirkt schon einigermaßen erdrückend. IoT-Gateways lösen eine Reihe von Problemen, die dieses veraltete Modell mit sich bringt.

Was ist ein IoT-Gateway?
Ein IoT-Gateway überbrückt die Kommunikationslücke zwischen IoT-Geräten, Sensoren, Ausrüstung, Systemen und der Cloud. Durch die systematische Verbindung von Feld und Cloud, bieten IoT-Gateways lokale Verarbeitungs- und Speicherlösungen sowie die Möglichkeit, die Geräte im Feld durch Dateninput von Sensoren autonom zu steuern.

Ein Edge Gateway sitzt am Übergang von Edge-Systemen zwischen dem externen Internet und dem lokalen Intranet, das von den anderen Geräten im betreffenden Ökosystem verwendet wird. Es ist also der zentrale Zugriffspunkt für Netzwerkverbindungen, sowohl innerhalb als auch außerhalb des Geräte-Ökosystems.

Wie funktioniert ein IoT-Gateway?
Da Fähigkeiten und Bedürfnisse der Geräte gleichermaßen steigen, ist es oft nicht möglich, sie direkt mit Systemen kommunizieren zu lassen. Einige Sensoren und Controller unterstützen energieintensive Protokolle wie WLAN oder Bluetooth nicht. Einige Geräte aggregieren wertvolle Rohdaten in überwältigenden Mengen und alle verbinden sich mit einer Vielzahl von öffentlichen und privaten Netzwerken.

Ein IoT-Gateway hat verschiedene wichtige Funktionen: über die Übersetzung von Protokollen bis hin zur Verschlüsselung sowie dem Verarbeiten, Verwalten und Filtern von Daten. In einem IoT-Ökosystem sitzt ein Gateway zwischen Geräten und Sensoren, um mit der Cloud zu kommunizieren.

Warum einen IoT-Gateway verwenden?

Die Lücke zwischen OT und IT überbrücken
IoT-Gateways helfen, die Lücke zwischen Betrieb und IT-Infrastruktur innerhalb eines Unternehmens zu überbrücken. Sie schaffen das durch die Optimierung der Systemleistung mithilfe der Betriebsdaten, die sie im Feld oder an der Netzwerkgrenze sammeln und in Echtzeit verarbeiten.

IoT-Gateways bringen den OT- und IT-Silos eine Reihe von Verbesserungen:

• >> Hohe Skalierbarkeit – Sie können intelligente Daten aus dem Rechenzentrum oder der Cloud ins Feld oder zur Netzwerkgrenze schieben.
• >> Kosten senken – Seit ein Gateway das alles für sie erledigt, brauchen Endpunktgeräte weniger Rechenleistung, Speicher oder Storage.
• >> Schnellere Produktion – Beschleunigt die Produktionslinie und senkt die Durchlaufzeit.
• >> Telekommunikationskosten senken – Weniger M2M-Kommunikation bedeutet ein kleineres Netzwerk und weniger (WAN)-Verkehr.
• >> Risiken mindern – Gateways sind in der Lage Geräte und Sensoren zu isolieren, die nicht funktionieren. Uns zwar bevor sie innerhalb der Produktionslinie größere Probleme verursachen.

Eine Sicherheitsebene mehr
Mit einer wachsenden Anzahl von Geräten und Sensoren nimmt auch der Informationsaustausch zu, der über eine Kombination von öffentlichen und privaten Netzwerken stattfindet. Der Informationsaustausch zwischen den 'Dingen', dem Gateway und der Cloud muss folglich sicher sein, um Datenmanipulation oder uneingeschränkten Zugang zu verhindern.

Das geschieht in der Regel durch eine PKI-Infrastruktur, wobei jedes 'Ding', das kommuniziert, eine Identität erhält. Das heißt, ein kryptografisches Schlüsselpaar (oder digitales Zertifikat), mit dem die Kommunikation verschlüsselt werden kann. Ohne einen IoT-Gateway kann das allerdings recht aufwendig sein.

Angenommen, Sie verfügen über ein Tool, das alle Gerätezertifikate verwaltet, muss der Gateway Ihnen dabei helfen, Geräte einzuarbeiten (Installation von Zertifikaten und Bereitstellung der Identität). Weitere Einzelheiten zu diesem Thema finden Sie am Schluss dieses Textes.

Echtzeit-Updates im Feld
Sie bemerken beispielsweise eine Schwachstelle in Ihren Geräten, oder Sie stellen fest, dass einer der Sensoren Ihnen mitteilt, dass das Lager zu heiß ist. Ohne ein Gateway-Gerät müssten Sie manuelle Korrekturen vornehmen, da die Rechenleistung von Geräten und Sensoren zu gering ist, um diese Aufgabe selbst zu erledigen. Mit einem Gateway werden die Daten dorthin gesendet. Der Gateway ist so konfiguriert, dass er Firmware-Updates an alle Geräte sendet (d. h. hier intelligente Belüftungsklappen), wenn die Daten anzeigen, dass das Lager zu heiß ist.

Worauf Sie bei Herstellern von IoT-Gateways achten müssen
Da Sie nun wissen, was ein IoT-Gateway ist, spricht einiges dafür ihn im eigenen IoT Ökosystem einzusetzen. Wenn Sie es geschafft haben, die richtigen Leute im Unternehmen von den Vorteilen eines IoT-Gateways zu überzeugen ist der nächste Schritt der tatsächliche Kauf. Es gibt ein paar Dinge, die Sie vor dem Kauf eines IoT-Gateway-Geräts beachten sollten. Diese sind auch auf Prokarmas Blog übersichtlich aufgelistet.

Netzwerksicherheit
Der kommunizierende Kanal sollte mit starker Sicherheit und Verschlüsselung der Übertragung der IoT-Nutzlast ausgestattet sein.

Ausfallzeit
Es sollte einen Plan geben, wenn die Verbindungsgeschwindigkeit im Netzwerk eher niedrig ist oder nach der Datenmenge abgerechnet wird, die vom Gateway zur Cloud fließt. Prokarma rät zur Verwendung von Protokollen wie CoAP, MQTT oder UDP über TCP.

Verbindungsprobleme
Was passiert, wenn Sie keine Internetverbindung haben? Sie können nie sicher sein, dass der Betriebsablauf reibungslos ist. Die Software im Gateway sollte Risiken dieser Art minimieren indem sie verbindungsfrei läuft. Sie sollte zusätzlich Daten-Caching und Queuing von Daten nutzen, falls eine Verbindung für einen längeren Zeitraum ausfällt.

Remote-Updates
Ihr IoT-Gateway wird unweigerlich kabellose (OTA) Updates benötigen und daher braucht es ein Betriebssystem (OS) (wie Linux u. a.), das sie entsprechend unterstützt.

Stromversorgung
Ein Gateway-Gerät muss unvorhersehbare Einschaltzyklen überleben, wie z.B. Überlasten oder Stromausfälle. Es sollte in diesen Zuständen zumindest noch eine minimale Funktionalität bereitstellen und noch mit der Cloud kommunizieren, sodass es sich selbst wiederherstellen kann.

So sichern Sie ein IoT-Gateway
Es gibt drei wichtige Kernprinzipien der Sicherheit - Vertraulichkeit, Integrität und Authentifizierung. Sie müssen sicherstellen, dass die gesamte Kommunikation zwischen dem Gateway und den Geräten jeden der drei Grundsätze erfüllt, während die Kommunikation in den internen und externen Netzwerken stattfindet.

Es ist erwähnenswert, dass ein Gateway aus zwei Gründen oftmals als erstes angegriffen wird:
1. >>
Der Gateway hat eine höhere Rechenleistung, die er verwendet, um (rechen)intensivere Anwendungen auszuführen. Mehr Leistung bedeutet bessere Software. Aber bessere Software bedeutet potenzielle mehr Schwachstellen, die ein Hacker ausnutzen kann.
2. >> Aufgrund der Position als Edge-Gerät zwischen Internet und Intranet, ist der Gateway der Eintrittspunkt für sämtliche Angriffsvektoren (sowie die erste Verteidigungslinie innerhalb eines Systems).

Um einen IoT-Gateway abzusichern empfehlen wir drei wichtige Schritte zu beherzigen:

>> Schritt 1: Identität für das Gateway-Gerät
Der erste Schritt ist, dem Gateway-Gerät eine Identität zu geben (durch ein digitales X.509-Zertifikat). Alle externen Objekte, die sich mit dem Gateway verbinden, können jetzt die Identität des Gateways verifizieren, was HTTPs- oder NTLS- Protokolle erlaubt. An Geräte oder Sensoren im Feld erteilte Befehle kommen nun von einem vertrauenswürdigen Gerät.

>> Schritt 2: Aktivieren Sie 'starke' Identität für das Gateway-Gerät
Da ein Gateway-Gerät anfällig für physische Manipulationen ist, können private Schlüssel extrahiert und geklont werden. Das macht ein Gateway-Gerät anfällig für Spoofing- oder sogar Man-in-the-Middle (MITM)-Angriffe.

Um das zu verhindern, sollte man zusätzliche Sicherheitsmaßnahmen ergreifen, wie zum Beispiel die Einbettung eines Trusted Platform Module (TPM) mit einer PUF (Physical Unclonable Funktion) im Gateway. So sind die privaten Schlüssel aller digitalen Zertifikate sicher gespeichert und es ist gewährleistet, dass sie den Gateway nie verlassen.

>> Schritt 3: Verwenden Sie den Gateway, um dem Ökosystem eine Identität zu geben
Da jetzt im Gateway-Gerät eine starke Identität aktiviert ist sollte man sie für die Geräte und Sensoren im Feld auch haben. Da sich einige davon wahrscheinlich nicht mit dem Internet verbinden können, ist die Bereitstellung von Identität über einen Certificate Management Service (Zertifikatmanagementdienst) ohne Gateway schwierig.

Stattdessen kann man den Gateway als vertrauenswürdigen Sicherheitsmechanismus verwenden, um alles abzusichern, das mit dem Gateway im Intranet verbunden ist. Der Gateway fungiert als Proxy zwischen der Plattform (CA-Dienste) und den Geräten im Feld. Wie beim Gerät selbst, passiert das selbstverständlich über die Standard-PKI-Infrastruktur, das heißt mit einem X.509-Zertifikat über eine private Hierarchie.

Jetzt sind Gateway und Geräte abgesichert und damit die gesamte Kommunikation im Intranet. Sicherheit, Vertraulichkeit und Authentifizierung sichern das IoT-Ökosystem Ende-zu-Ende mit einer PKI-Infrastruktur.

Das IoT boomt und eh wir uns versehen, werden wir IoT-Ökosysteme in praktisch jedem Unternehmen haben. Jetzt ist der Zeitpunkt, um über Sicherheit versus Bequemlichkeit nachzudenken. Weitere Informationen zu GlobalSigns Public Key Infrastructure und Identity und Access Management Lösungen. (GlobalSign: ra)

eingetragen: 26.09.16
Home & Newsletterlauf: 18.10.16


GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Ransomware: Es kommt schlimmer

    Seit ich im Jahr 2014 meine erste Keynote zu diesem Thema gehalten habe beschäftige ich mich mit Ransomware-Prognosen. Seinerzeit wagte ich etwa ein Dutzend Vorhersagen und tatsächlich sind alle eingetroffen. Vor kurzem wurde ich gebeten einen Beitrag für das ITSP Magazine beizusteuern. Und dieses Mal sollten die Prognosen nicht nur spezifischer sein, sondern die Sache auf die Spitze treiben. Sprich, welche Prognosen kommen dabei heraus, wenn man die aktuellen Szenarien bis zu Ende denkt. Soviel lässt sich sagen, alle sind einigermaßen beängstigend. Soeben hat eine Analyse von @David Formby eine der schlimmsten Befürchtungen bestätigt: Kritische Infrastrukturen geraten zunehmend ins Visier von Ransomware-Attacken (Targeting Critical Infrastructure for Ransom). Im letzten Frühjahr litten vornehmlich Krankenhäuser unter der sogenannten SamSam-Ransomware, und im Rahmen unserer Incident Containment-Methode haben wir drei Dinge übereinstimmend festgestellt.

  • Von IT-Sicherheitsexperten lernen

    Die Varonis Blog-Autoren haben inzwischen mit etlichen Sicherheitsexperten aus den unterschiedlichsten Bereichen gesprochen: mit Penetrationstestern, Anwälten, CDOs, Datenschützern, IT-Experten und sogar einem IT-Security-Guru. Wir haben die wichtigsten Analysen und Tipps hier für Sie zusammengetragen. Die Weltformel: Das Internet der Dinge (IoT) ist ein guter Ausgangspunkt, um seine Lehren in Sachen IT-Sicherheit zu ziehen. Mit dem IoT, also dem Internet der Dinge mit seiner überwältigen Zahl an Geräten, werden Unternehmen und Endverbraucher mit praktisch allen Datenschutz- und Datensicherheitsproblemen konfrontiert, die man sich denken kann.

  • Lösegeld-Erpressung über Ransomware

    Die Erpressung von Lösegeld war im abgelaufenen Jahr weltweit das häufigste Motiv für Angriffe auf Netzwerke, Server und Anwendungen von Unternehmen und Organisationen. Das geht aus dem jetzt veröffentlichten Global Application and Network Security Report 2016-2017 von Radware hervor, in dem über 40 Prozent der knapp 600 befragten Unternehmen angaben, dass die Lösegelderpressung 2016 der häufigste Grund für Angriffe auf ihre Netzwerke gewesen sei. Speziell in Europa liegt dieser Wert mit 49 Prozent noch deutlich höher als im weltweiten Durchschnitt. Die Erpressung von Lösegeld erfolgt in der Regel über Ransomware oder über Ransom Denial of Service (RDoS). Ransomware nennt man einen Trojaner, einen Wurm oder eine andere Schadsoftware, die ein System unter ihre Kontrolle bringt und den legitimen Zugriff darauf unmöglich macht, bis ein Lösegeld gezahlt wird (und manchmal auch darüber hinaus). In der Regel werden dabei die Daten verschlüsselt, und das Opfer muss für die Entschlüsselung zahlen.

  • Volumetrische DDoS-Angriffe abwehren

    Experten sind sich einig. IoT-Geräte - gerade für Endverbraucher - bekommen mangelnde Sicherheit quasi automatisch mitgeliefert. Und wir in den letzten Wochen die Quittung. Für Sicherheitsspezialisten keine große Überraschung, sie warnen schon lange. Die jüngsten Angriffe aber haben gezeigt, in welche Dimensionen uns IoT-basierte Botnetze bei DDoS-Angriffen katapultieren und welche Schäden sie in der Lage sind anzurichten. Die Attacke auf den DNS-Provider Dyn im Oktober dieses Jahres war ein solcher Weckruf. Das prognostizierte Szenario ist keine bloß theoretische Annahme mehr, sondern real. Und es gibt Handlungsbedarf. Unternehmen und Verbraucher fragen sich angesichts einer steigenden Zahl von im Internet der Dinge verbundenen Geräten wie sie sich besser schützen können. Es ist kein großes Geheimnis, dass IoT-fähige Geräte aus sicherheitstechnischer Hinsicht wenig überzeugend sind. Die überwiegende Zahl von ihnen integriert kaum Sicherheitsmechanismen, und ist mit äußerst simplen Standard-Passwörtern ausgestattet. Das macht die Geräte für potenzielle Angreifer zu einer leichten Beute. Die Folge: Hacker machen sie beispielsweise zum Teil eines Botnetzes von dem DDoS-Angriffe mit enormer Bandbreite ausgehen können.

  • S/MIME und wie es funktioniert

    S/MIME, oder Secure/Multipurpose Internet Mail Extensions, ist eine relativ bekannte Technologie um E-Mails zu verschlüsseln. S/MIME basiert auf asymmetrischer Verschlüsselung, um E-Mails vor unerwünschtem Zugriff zu schützen. Zusätzlich dient S/MIME dazu E-Mails digital zu signieren, um den legitimen Absender einer Nachricht als solchen zu verifizieren. Das macht S/MIME zu einer effektiven Waffe gegen verschiedene Arten von Phishing-Angriffen. Das ist, kurz gefasst, worum bei S/MIME geht. Wenn es allerdings darum geht, S/MIME praktisch einzusetzen, taucht meist noch eine Reihe von Fragen beim Anwender auf.