- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

IoT-Gateway überbrückt Kommunikationslücke


Was ist ein IoT-Gateway und wie lässt er sich am besten absichern?
Ein IoT-Gateway überbrückt die Kommunikationslücke zwischen IoT-Geräten, Sensoren, Ausrüstung, Systemen und der Cloud

- Anzeigen -





Von Nisarg Desai, GlobalSign

Stellen Sie sich die betrieblichen Abläufe eines modernen Logistik-Unternehmens vor. Alle Fahrzeuge der Flotte werden über IoT-Geräte nachverfolgt. Sie haben ein Lager mit Lagerbestandsverfolgung und maschinenbetriebene Produktionslinien, die die Produkte erzeugen, die verpackt und zu Läden in der ganzen Welt transportiert werden. An der Produktionslinie messen IoT-Geräte und Sensoren die Leistung der Produktion und Maschinen. Sie haben IoT-Geräte und Sensoren, die den Lagerbestand messen und die Produktionslinie informieren, wie schnell sie aufgrund dieser Daten produzieren soll. Sie haben sogar IoT-Geräte, die Signale an die Fahrer senden, um ihnen mitzuteilen, wenn sie etwas abholen müssen. Und sie signalisieren das nur den LKWs, die dem Lager gerade am nächsten sind.

In diesem Szenario passiert eine Menge, das mit bloßem Auge nicht sichtbar ist - Geräte, die mit unterschiedlichen Protokollen über verschiedene Netzwerke wie WLAN, Ethernet, Z-Wave oder ZigBee miteinander kommunizieren. Geräte und Sensoren, die mit der Cloud kommunizieren und sogar die Cloud, die mit entscheidenden Systemen kommuniziert. Das alles wirkt schon einigermaßen erdrückend. IoT-Gateways lösen eine Reihe von Problemen, die dieses veraltete Modell mit sich bringt.

Was ist ein IoT-Gateway?
Ein IoT-Gateway überbrückt die Kommunikationslücke zwischen IoT-Geräten, Sensoren, Ausrüstung, Systemen und der Cloud. Durch die systematische Verbindung von Feld und Cloud, bieten IoT-Gateways lokale Verarbeitungs- und Speicherlösungen sowie die Möglichkeit, die Geräte im Feld durch Dateninput von Sensoren autonom zu steuern.

Ein Edge Gateway sitzt am Übergang von Edge-Systemen zwischen dem externen Internet und dem lokalen Intranet, das von den anderen Geräten im betreffenden Ökosystem verwendet wird. Es ist also der zentrale Zugriffspunkt für Netzwerkverbindungen, sowohl innerhalb als auch außerhalb des Geräte-Ökosystems.

Wie funktioniert ein IoT-Gateway?
Da Fähigkeiten und Bedürfnisse der Geräte gleichermaßen steigen, ist es oft nicht möglich, sie direkt mit Systemen kommunizieren zu lassen. Einige Sensoren und Controller unterstützen energieintensive Protokolle wie WLAN oder Bluetooth nicht. Einige Geräte aggregieren wertvolle Rohdaten in überwältigenden Mengen und alle verbinden sich mit einer Vielzahl von öffentlichen und privaten Netzwerken.

Ein IoT-Gateway hat verschiedene wichtige Funktionen: über die Übersetzung von Protokollen bis hin zur Verschlüsselung sowie dem Verarbeiten, Verwalten und Filtern von Daten. In einem IoT-Ökosystem sitzt ein Gateway zwischen Geräten und Sensoren, um mit der Cloud zu kommunizieren.

Warum einen IoT-Gateway verwenden?

Die Lücke zwischen OT und IT überbrücken
IoT-Gateways helfen, die Lücke zwischen Betrieb und IT-Infrastruktur innerhalb eines Unternehmens zu überbrücken. Sie schaffen das durch die Optimierung der Systemleistung mithilfe der Betriebsdaten, die sie im Feld oder an der Netzwerkgrenze sammeln und in Echtzeit verarbeiten.

IoT-Gateways bringen den OT- und IT-Silos eine Reihe von Verbesserungen:

• >> Hohe Skalierbarkeit – Sie können intelligente Daten aus dem Rechenzentrum oder der Cloud ins Feld oder zur Netzwerkgrenze schieben.
• >> Kosten senken – Seit ein Gateway das alles für sie erledigt, brauchen Endpunktgeräte weniger Rechenleistung, Speicher oder Storage.
• >> Schnellere Produktion – Beschleunigt die Produktionslinie und senkt die Durchlaufzeit.
• >> Telekommunikationskosten senken – Weniger M2M-Kommunikation bedeutet ein kleineres Netzwerk und weniger (WAN)-Verkehr.
• >> Risiken mindern – Gateways sind in der Lage Geräte und Sensoren zu isolieren, die nicht funktionieren. Uns zwar bevor sie innerhalb der Produktionslinie größere Probleme verursachen.

Eine Sicherheitsebene mehr
Mit einer wachsenden Anzahl von Geräten und Sensoren nimmt auch der Informationsaustausch zu, der über eine Kombination von öffentlichen und privaten Netzwerken stattfindet. Der Informationsaustausch zwischen den 'Dingen', dem Gateway und der Cloud muss folglich sicher sein, um Datenmanipulation oder uneingeschränkten Zugang zu verhindern.

Das geschieht in der Regel durch eine PKI-Infrastruktur, wobei jedes 'Ding', das kommuniziert, eine Identität erhält. Das heißt, ein kryptografisches Schlüsselpaar (oder digitales Zertifikat), mit dem die Kommunikation verschlüsselt werden kann. Ohne einen IoT-Gateway kann das allerdings recht aufwendig sein.

Angenommen, Sie verfügen über ein Tool, das alle Gerätezertifikate verwaltet, muss der Gateway Ihnen dabei helfen, Geräte einzuarbeiten (Installation von Zertifikaten und Bereitstellung der Identität). Weitere Einzelheiten zu diesem Thema finden Sie am Schluss dieses Textes.

Echtzeit-Updates im Feld
Sie bemerken beispielsweise eine Schwachstelle in Ihren Geräten, oder Sie stellen fest, dass einer der Sensoren Ihnen mitteilt, dass das Lager zu heiß ist. Ohne ein Gateway-Gerät müssten Sie manuelle Korrekturen vornehmen, da die Rechenleistung von Geräten und Sensoren zu gering ist, um diese Aufgabe selbst zu erledigen. Mit einem Gateway werden die Daten dorthin gesendet. Der Gateway ist so konfiguriert, dass er Firmware-Updates an alle Geräte sendet (d. h. hier intelligente Belüftungsklappen), wenn die Daten anzeigen, dass das Lager zu heiß ist.

Worauf Sie bei Herstellern von IoT-Gateways achten müssen
Da Sie nun wissen, was ein IoT-Gateway ist, spricht einiges dafür ihn im eigenen IoT Ökosystem einzusetzen. Wenn Sie es geschafft haben, die richtigen Leute im Unternehmen von den Vorteilen eines IoT-Gateways zu überzeugen ist der nächste Schritt der tatsächliche Kauf. Es gibt ein paar Dinge, die Sie vor dem Kauf eines IoT-Gateway-Geräts beachten sollten. Diese sind auch auf Prokarmas Blog übersichtlich aufgelistet.

Netzwerksicherheit
Der kommunizierende Kanal sollte mit starker Sicherheit und Verschlüsselung der Übertragung der IoT-Nutzlast ausgestattet sein.

Ausfallzeit
Es sollte einen Plan geben, wenn die Verbindungsgeschwindigkeit im Netzwerk eher niedrig ist oder nach der Datenmenge abgerechnet wird, die vom Gateway zur Cloud fließt. Prokarma rät zur Verwendung von Protokollen wie CoAP, MQTT oder UDP über TCP.

Verbindungsprobleme
Was passiert, wenn Sie keine Internetverbindung haben? Sie können nie sicher sein, dass der Betriebsablauf reibungslos ist. Die Software im Gateway sollte Risiken dieser Art minimieren indem sie verbindungsfrei läuft. Sie sollte zusätzlich Daten-Caching und Queuing von Daten nutzen, falls eine Verbindung für einen längeren Zeitraum ausfällt.

Remote-Updates
Ihr IoT-Gateway wird unweigerlich kabellose (OTA) Updates benötigen und daher braucht es ein Betriebssystem (OS) (wie Linux u. a.), das sie entsprechend unterstützt.

Stromversorgung
Ein Gateway-Gerät muss unvorhersehbare Einschaltzyklen überleben, wie z.B. Überlasten oder Stromausfälle. Es sollte in diesen Zuständen zumindest noch eine minimale Funktionalität bereitstellen und noch mit der Cloud kommunizieren, sodass es sich selbst wiederherstellen kann.

So sichern Sie ein IoT-Gateway
Es gibt drei wichtige Kernprinzipien der Sicherheit - Vertraulichkeit, Integrität und Authentifizierung. Sie müssen sicherstellen, dass die gesamte Kommunikation zwischen dem Gateway und den Geräten jeden der drei Grundsätze erfüllt, während die Kommunikation in den internen und externen Netzwerken stattfindet.

Es ist erwähnenswert, dass ein Gateway aus zwei Gründen oftmals als erstes angegriffen wird:
1. >>
Der Gateway hat eine höhere Rechenleistung, die er verwendet, um (rechen)intensivere Anwendungen auszuführen. Mehr Leistung bedeutet bessere Software. Aber bessere Software bedeutet potenzielle mehr Schwachstellen, die ein Hacker ausnutzen kann.
2. >> Aufgrund der Position als Edge-Gerät zwischen Internet und Intranet, ist der Gateway der Eintrittspunkt für sämtliche Angriffsvektoren (sowie die erste Verteidigungslinie innerhalb eines Systems).

Um einen IoT-Gateway abzusichern empfehlen wir drei wichtige Schritte zu beherzigen:

>> Schritt 1: Identität für das Gateway-Gerät
Der erste Schritt ist, dem Gateway-Gerät eine Identität zu geben (durch ein digitales X.509-Zertifikat). Alle externen Objekte, die sich mit dem Gateway verbinden, können jetzt die Identität des Gateways verifizieren, was HTTPs- oder NTLS- Protokolle erlaubt. An Geräte oder Sensoren im Feld erteilte Befehle kommen nun von einem vertrauenswürdigen Gerät.

>> Schritt 2: Aktivieren Sie 'starke' Identität für das Gateway-Gerät
Da ein Gateway-Gerät anfällig für physische Manipulationen ist, können private Schlüssel extrahiert und geklont werden. Das macht ein Gateway-Gerät anfällig für Spoofing- oder sogar Man-in-the-Middle (MITM)-Angriffe.

Um das zu verhindern, sollte man zusätzliche Sicherheitsmaßnahmen ergreifen, wie zum Beispiel die Einbettung eines Trusted Platform Module (TPM) mit einer PUF (Physical Unclonable Funktion) im Gateway. So sind die privaten Schlüssel aller digitalen Zertifikate sicher gespeichert und es ist gewährleistet, dass sie den Gateway nie verlassen.

>> Schritt 3: Verwenden Sie den Gateway, um dem Ökosystem eine Identität zu geben
Da jetzt im Gateway-Gerät eine starke Identität aktiviert ist sollte man sie für die Geräte und Sensoren im Feld auch haben. Da sich einige davon wahrscheinlich nicht mit dem Internet verbinden können, ist die Bereitstellung von Identität über einen Certificate Management Service (Zertifikatmanagementdienst) ohne Gateway schwierig.

Stattdessen kann man den Gateway als vertrauenswürdigen Sicherheitsmechanismus verwenden, um alles abzusichern, das mit dem Gateway im Intranet verbunden ist. Der Gateway fungiert als Proxy zwischen der Plattform (CA-Dienste) und den Geräten im Feld. Wie beim Gerät selbst, passiert das selbstverständlich über die Standard-PKI-Infrastruktur, das heißt mit einem X.509-Zertifikat über eine private Hierarchie.

Jetzt sind Gateway und Geräte abgesichert und damit die gesamte Kommunikation im Intranet. Sicherheit, Vertraulichkeit und Authentifizierung sichern das IoT-Ökosystem Ende-zu-Ende mit einer PKI-Infrastruktur.

Das IoT boomt und eh wir uns versehen, werden wir IoT-Ökosysteme in praktisch jedem Unternehmen haben. Jetzt ist der Zeitpunkt, um über Sicherheit versus Bequemlichkeit nachzudenken. Weitere Informationen zu GlobalSigns Public Key Infrastructure und Identity und Access Management Lösungen. (GlobalSign: ra)

eingetragen: 26.09.16
Home & Newsletterlauf: 18.10.16


GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Mehr wissen: Insider versus Algorithmus?

    Russische Hacker? Eher nicht. Nach Informationen des Nachrichtenmagazins Spiegel vermutet die Bundespolizei nach ihren Ermittlungen, dass im Bundestag möglicherweise ein sogenannter "Maulwurf" - also ein Insider - sitzt und die Daten aus dem Untersuchungsausschuss an die Enthüllungsplattform WikiLeaks weitergegeben hat. Nach Angaben von WikiLeaks sollen die rund 2.400 Dokumente zum NSA-Ausschuss aus verschiedenen Quellen stammen und nachweisen, dass die amerikanischen National Security Agency (NSA) und der BND zusammengearbeitet haben. Noch vor einigen Wochen hatte die "Frankfurter Allgemeine Sonntagszeitung" einen hohen Sicherheitsbeamten mit den Worten zitiert, "es gebe eine "hohe Plausibilität" dafür, dass die von WikiLeaks veröffentlichten Geheimakten beim Cyberangriff auf den Bundestag erbeutet wurden. Für den Angriff machten Sicherheitskreise russische Hacker verantwortlich."

  • Rohde & Schwarz Cybersecurity

    Cyber-Attacken nehmen zu, werden raffinierter und kosten Unternehmen inzwischen Milliarden. Herkömmliche Sicherheitskonzepte sind zunehmend machtlos. Die Digitalisierung vieler Branchen sowie die Themen Internet of Things und Industrie 4.0 verschärfen die Notwendigkeit nach wirksamen und praktikablen Sicherheitslösungen. Wer sich schützen will muss umdenken. 51 Milliarden Euro - so hoch ist laut Bitkom der Schaden, der deutschen Unternehmen durch Plagiate und den Verlust der Wettbewerbsfähigkeit in Folge von Cyber-Angriffen in einem einzigen Jahr entstanden ist. Cybercrime ist inzwischen ein lukratives Geschäftsmodell und in seiner finanziellen Dimension vergleichbar mit dem weltweiten Drogenhandel. Die Zahl der Angriffe steigt stetig - eine manuelle Bewältigung ist unmöglich. Volkswagen beispielsweise beziffert die Cyber-Attacken auf sein IT-Netz mit rund 6.000 pro Tag.

  • Code Signing-Attacken verhindern

    Das Certification Authority Security Council (CASC) hat seine neuen Minimum Requirements für öffentlich vertrauenswürdige Code- Signing-Zertifikate offiziell bekannt gegeben. Zum ersten Mal sind Zertifizierungsstellen (CAs) damit an eine Reihe von standardisierten Ausstellungs- und Managementrichtlinien gebunden, die speziell für das Code Signing entwickelt wurden. Die Requirements gehen ausführlich auf CA-Richtlinien ein und behandeln Themen wie Zertifikatinhalte, Widerruf- und Statusprüfungen, Verifizierungspraktiken und vieles mehr. Zertifizierungsstellen haben hinter den Kulissen schon recht eifrig daran gearbeitet das Anforderungsprofil umzusetzen. Was aber heißt das für die Benutzer? Wir wollen einen Blick darauf werfen, welche Anforderungen die User betreffen, die überhaupt Zertifikate zum Signieren von Code benutzen.

  • Ransomware-Attacken und Anzeigepflicht

    In vielerlei Hinsicht unterscheiden sich die Reaktionen auf eine Ransomware-Attacke nicht grundlegend von dem, was grundsätzlich im Falle eines Datenschutzvorfalls zu tun ist. Kurzgefasst: jedes Unternehmen sollte einen Plan haben wie die Malware zu analysieren und zu isolieren ist, um den Schaden zu begrenzen, laufende Geschäftsprozesse müssen gegebenenfalls wiederhergestellt und die entsprechenden Aufsichts- und Strafverfolgungsbehörden in Kenntnis gesetzt werden. Dabei sollten die verschiedenen Abteilungen eines Unternehmens Hand in Hand arbeiten. Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt. Gerade den juristisch und technisch Verantwortlichen kommt eine Schlüsselrolle zu, wenn es gilt den Schaden zu begrenzen und die vorgeschriebenen Maßnahmen zu ergreifen. Soweit so gut.

  • Bewusstsein für Cybersicherheitsfragen entwickeln

    Was haben das ukrainische Stromnetz, die Zentralbank von Bangladesch und die Welt-Antidoping-Agentur gemeinsam? Alle wurden in den vergangenen Monaten Opferhochkarätiger Cyberangriffe, die finanzielle Folgen wie auch Imageprobleme auslösten. Darüber hinaus kehrten 2016ältere Angriffsarten zurück, um Unternehmen erneut heimzusuchen: sowohl LinkedIn als auch Yahoo! erleben die Auswirkungen historischer Diebstähle Hunderter Millionen von Nutzernamen, Passwörtern und mehr. Wieder hatten es die Cyberkriminellen auf die Nutzerdaten abgesehen und wieder tauchten Datensätze auf einschlägig bekannten Plattformen im Darkweb auf.