Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
Nieuwe bouwsteen voor veilig Internet of Things (IoT)
08-05-2016, 19:16 door Anoniem, 13 reacties
Zoals herhaaldelijk op security.nl werd gemeld, zou bij IoT (Internet of Things) de beveiliging vaak tekort schieten:
https://www.security.nl/posting/469908/IBM%3A+Telnet+opent+Internet+of+Things+voor+hackers
https://www.security.nl/posting/460463/Inlichtingenhoofd+VS%3A+Internet+of+Things+kans+en+bedreiging
https://www.security.nl/posting/451363/%27Een+kwart+van+Internet+of+Things-apparaten+is+lek%E2%80%99
https://www.security.nl/posting/443207/FBI+waarschuwt+consument+voor+Internet+of+Things
Maar daar kan in de nabije toekomst verbetering in komen.
Vorige week heeft fabrikant Microchip(TM) een nieuwe microcontroller geïntroduceerd.
Voor weinig meerkosten kunnen er nu gemakkelijk securitymogelijkheden worden toegevoegd aan IoT -apparaten,
terwijl het apparaat toch energiezuinig blijft.
De officiële aankondiging van deze nieuwe controller kun je lezen in:
https://www.microchip.com/en/pressreleasepage/microchip-introduces-hardware-cryptography-enabled-32-bit-microcontroller-for-internet-of-things-applications
De nieuwe telg heet CEC1302, en is voorzien van een ARM(TM)Cortex(TM)M4 core.
Hij staat momenteel in de prijslijst voor $1.75 per stuk bij afname van 5000 stuks.
De CEC1302 is een volwaardige, energiezuinige 32-bit microcontroller met pre-boot controle voor de firmware.
Dit voorkomt achteraf sjoemelen met de firmware en andere firmware corruptie. Hierdoor kunnen er al bepaalde man-in-the-middle aanvallen, DOS-aanvallen en backdoor kwetsbaarheden worden voorkomen.
Ook kan de microcontroller de authenticiteit van via het netwerk aangeboden firmware updates controleren,
en het systeem beveiligen tegen malware of geheugencorruptie.
De microcontroller biedt verder een private sleutel en veel flexibiliteit.
Hij kan worden toegevoegd als een extra op zichzelf staande security coprocessor,
of een bestaande microcontroller compleet vervangen.
Zijn hardwarematig aangedreven public-key engine is 20 tot 50 maal sneller dan firmwaregestuurde algoritmen,
en zijn hardwarematige hashing is ca. 100-maal sneller.
Het gevolg hiervan is dat de controller voor de beveiligingsfuncties maar korte tijden actief hoeft te zijn, en daarom snel weer in een stroombesparende modus kan worden gezet. In geval van batterijvoeding gaan batterijen hierdoor nog steeds lang mee, ook al wordt er encryptie gebruikt. Dit, en alle extra kosten die er mee gemoeid gingen, kon tot voor kort een probleem zijn om goede beveiliging in te bouwen in een IoT -apparaat. Maar die drempel is nu dus een flink stuk verlaagd.
Goeroehoedjes
https://www.security.nl/posting/469908/IBM%3A+Telnet+opent+Internet+of+Things+voor+hackers
https://www.security.nl/posting/460463/Inlichtingenhoofd+VS%3A+Internet+of+Things+kans+en+bedreiging
https://www.security.nl/posting/451363/%27Een+kwart+van+Internet+of+Things-apparaten+is+lek%E2%80%99
https://www.security.nl/posting/443207/FBI+waarschuwt+consument+voor+Internet+of+Things
Maar daar kan in de nabije toekomst verbetering in komen.
Vorige week heeft fabrikant Microchip(TM) een nieuwe microcontroller geïntroduceerd.
Voor weinig meerkosten kunnen er nu gemakkelijk securitymogelijkheden worden toegevoegd aan IoT -apparaten,
terwijl het apparaat toch energiezuinig blijft.
De officiële aankondiging van deze nieuwe controller kun je lezen in:
https://www.microchip.com/en/pressreleasepage/microchip-introduces-hardware-cryptography-enabled-32-bit-microcontroller-for-internet-of-things-applications
De nieuwe telg heet CEC1302, en is voorzien van een ARM(TM)Cortex(TM)M4 core.
Hij staat momenteel in de prijslijst voor $1.75 per stuk bij afname van 5000 stuks.
De CEC1302 is een volwaardige, energiezuinige 32-bit microcontroller met pre-boot controle voor de firmware.
Dit voorkomt achteraf sjoemelen met de firmware en andere firmware corruptie. Hierdoor kunnen er al bepaalde man-in-the-middle aanvallen, DOS-aanvallen en backdoor kwetsbaarheden worden voorkomen.
Ook kan de microcontroller de authenticiteit van via het netwerk aangeboden firmware updates controleren,
en het systeem beveiligen tegen malware of geheugencorruptie.
De microcontroller biedt verder een private sleutel en veel flexibiliteit.
Hij kan worden toegevoegd als een extra op zichzelf staande security coprocessor,
of een bestaande microcontroller compleet vervangen.
Zijn hardwarematig aangedreven public-key engine is 20 tot 50 maal sneller dan firmwaregestuurde algoritmen,
en zijn hardwarematige hashing is ca. 100-maal sneller.
Het gevolg hiervan is dat de controller voor de beveiligingsfuncties maar korte tijden actief hoeft te zijn, en daarom snel weer in een stroombesparende modus kan worden gezet. In geval van batterijvoeding gaan batterijen hierdoor nog steeds lang mee, ook al wordt er encryptie gebruikt. Dit, en alle extra kosten die er mee gemoeid gingen, kon tot voor kort een probleem zijn om goede beveiliging in te bouwen in een IoT -apparaat. Maar die drempel is nu dus een flink stuk verlaagd.
Goeroehoedjes
Reacties (13)
En nu moet het ook niet moeilijk meer zijn om veilige ontwerpen te ontwikkelen met een veilige chip:
https://www.microchip.com/pressreleasepage/microchip-simplifies-the-development-of-smart-connected-and-secure-solutions
https://www.microchip.com/pressreleasepage/microchip-simplifies-the-development-of-smart-connected-and-secure-solutions
08-03-2017, 21:36 door
ph-cofi
Kan deze microchip voorkomen dat fabrikanten backdoortoegang voor zichzelf regelen?
Door ph-cofi: Kan deze microchip voorkomen dat fabrikanten backdoortoegang voor zichzelf regelen?
Door Anoniem: en de verborgen code in de chips?
Daar is geen kruid tegen gewassen. Om te beginnen zal men natuurlijk de goede mindset moeten hebben.Bijna elk product kan je vóór of tegen mensen gebruiken.
Slagroomtaarten bijvoorbeeld...
Het probleem zit meestal niet in het al dan niet gebruiken van encryptie maar in slecht programmeerwerk.
Dat los je niet op met een kale processor, dan moet je komen met een kant en klare IoT bouwmodule die het
hele netwerkgedeelte al regelt en waar je alleen je hardware (sensors, outputs, displays, e.d.) nog op hoeft aan
te sluiten en een simpel als-dit-dan-dat programmeer omgeving. Een soort PLC voor IoT.
Dat los je niet op met een kale processor, dan moet je komen met een kant en klare IoT bouwmodule die het
hele netwerkgedeelte al regelt en waar je alleen je hardware (sensors, outputs, displays, e.d.) nog op hoeft aan
te sluiten en een simpel als-dit-dan-dat programmeer omgeving. Een soort PLC voor IoT.
Door Anoniem: Zoals herhaaldelijk op security.nl werd gemeld, zou bij IoT (Internet of Things) de beveiliging vaak tekort schieten:
...
Maar daar kan in de nabije toekomst verbetering in komen.
Zijn hardwarematig aangedreven public-key engine is 20 tot 50 maal sneller dan firmwaregestuurde algoritmen,
en zijn hardwarematige hashing is ca. 100-maal sneller.
Het gevolg hiervan is dat de controller voor de beveiligingsfuncties maar korte tijden actief hoeft te zijn, en daarom snel weer in een stroombesparende modus kan worden gezet. In geval van batterijvoeding gaan batterijen hierdoor nog steeds lang mee, ook al wordt er encryptie gebruikt. Dit, en alle extra kosten die er mee gemoeid gingen, kon tot voor kort een probleem zijn om goede beveiliging in te bouwen in een IoT -apparaat. Maar die drempel is nu dus een flink stuk verlaagd.
Goeroehoedjes
Leuke features, nice to haves....
Maar daar kan in de nabije toekomst verbetering in komen.
Zijn hardwarematig aangedreven public-key engine is 20 tot 50 maal sneller dan firmwaregestuurde algoritmen,
en zijn hardwarematige hashing is ca. 100-maal sneller.
Het gevolg hiervan is dat de controller voor de beveiligingsfuncties maar korte tijden actief hoeft te zijn, en daarom snel weer in een stroombesparende modus kan worden gezet. In geval van batterijvoeding gaan batterijen hierdoor nog steeds lang mee, ook al wordt er encryptie gebruikt. Dit, en alle extra kosten die er mee gemoeid gingen, kon tot voor kort een probleem zijn om goede beveiliging in te bouwen in een IoT -apparaat. Maar die drempel is nu dus een flink stuk verlaagd.
Goeroehoedjes
Volgens mij zijn 99% van de issues bij IoT in webinterfaces of verkeerde configuratie. Daarna houdt het snel op voor de mogelijkheden om dit tegen te houden. En zijn mogelijkheden, maar als er dit soort slordigheids foutjes in de code zitten, dan ben je eigenlijk al klaar.
Door Anoniem:
Bijna elk product kan je vóór of tegen mensen gebruiken.
Slagroomtaarten bijvoorbeeld...
Ok eens. Om te beginnen mindset goed zien te krijgen.Door ph-cofi: Kan deze microchip voorkomen dat fabrikanten backdoortoegang voor zichzelf regelen?
Door Anoniem: en de verborgen code in de chips?
Daar is geen kruid tegen gewassen. Om te beginnen zal men natuurlijk de goede mindset moeten hebben.Bijna elk product kan je vóór of tegen mensen gebruiken.
Slagroomtaarten bijvoorbeeld...
Door Anoniem: Het probleem zit meestal niet in het al dan niet gebruiken van encryptie maar in slecht programmeerwerk.
Hier ben ik het voor een groot deel mee eens. Maar de ontwikkelomgeving die er nu dus bij is gekomen voor deze chip:https://www.microchip.com/pressreleasepage/microchip-simplifies-the-development-of-smart-connected-and-secure-solutions vermindert nu de kans op zulke fouten.
Leuke features, nice to haves.
Volgens mij zijn 99% van de issues bij IoT in webinterfaces of verkeerde configuratie. Daarna houdt het snel op voor de mogelijkheden om dit tegen te houden. En zijn mogelijkheden, maar als er dit soort slordigheids foutjes in de code zitten, dan ben je eigenlijk al klaar.
De problemen zijn breder. Ongeschikte hardware is er één van. Deze chip kan in die behoefte voorzien.Volgens mij zijn 99% van de issues bij IoT in webinterfaces of verkeerde configuratie. Daarna houdt het snel op voor de mogelijkheden om dit tegen te houden. En zijn mogelijkheden, maar als er dit soort slordigheids foutjes in de code zitten, dan ben je eigenlijk al klaar.
De chip is bijna al een jaar verkrijgbaar en niet duur. Het ontwikkelsysteem dat er nu net bij is gekomen helpt fouten te voorkomen. Voor IoT probleemgebieden zie:https://www.toptal.com/it/are-we-creating-an-insecure-internet-of-things
Door Anoniem:
De problemen zijn breder. Ongeschikte hardware is er één van. Deze chip kan in die behoefte voorzien.
De chip is bijna al een jaar verkrijgbaar en niet duur.
Nou dat geeft al aan dat het niet helpt. Je moet niet een chip hebben maar een compleet systeem. Een chipDe problemen zijn breder. Ongeschikte hardware is er één van. Deze chip kan in die behoefte voorzien.
De chip is bijna al een jaar verkrijgbaar en niet duur.
is daar een onderdeel van, een door deskundigen gemaakt OS en basisapplicatie een ander.
Alleen is het track record voor het maken van dit soort dingen niet best. Je zou bijvoorbeeld kunnen denken
"als die chip nou met een virtuele machine interpreter uitgerust wordt kan de software die daar in draait door
prutsers ontwikkeld worden en toch blijft de hele zaak veilig". Echter dat doet sterk denken aan JAVA, en de
historie daarvan heeft bewezen dat het maken van die virtuele machine (sandbox) zodanig dat die veilig is,
geen sinecure is en vele iteraties van fixes vereist. En dat is nou net wat op een IoT device niet kan: het moet
in een keer goed zijn want updates zijn in de praktijk niet meer mogelijk, zeker als ze niet automatisch gedaan
worden. En automatische updates vormen weer een nieuwe aanvalsvector.
10-03-2017, 14:16 door
[Account Verwijderd]
-
Bijgewerkt: 10-03-2017, 14:16
[Verwijderd]
10-03-2017, 16:32 door
[Account Verwijderd]
[Verwijderd]
Waar het om gaat is dat je een door deskundigen ontwikkelde runtime omgeving hebt waarin zich de software bevindt
die met de buitenwereld interfaced (netwerk). Daar zit bijvoorbeeld de webserver in.
In de virtuele machine (sandbox) draait de door prutsers ontwikkelde applicatie-specifieke code.
Het moet nu zo werken dat zelfs kwaadaardige applicatie-specifieke code geen schade (zoals DDoS attacks,
attacks op het lokale netwerk, e.d.) kan uitvoeren.
Dat is eenzelfde taak als het maken van de browserplugin van JAVA. En zal dus net zo moeilijk zijn verwacht ik.
Lukt dat wel dan zou je een "bouwsteen" voor IoT devices kunnen verkopen met een keurmerk erop waaraan de
klant kan zien dat het een device is wat in principe veilig is.
Het probleem is alleen dat geen enkel weldenkend bedrijv zo'n garantie zal willen geven, dus zal deze bouwsteen
voorlopig wel niet te koop zijn.
die met de buitenwereld interfaced (netwerk). Daar zit bijvoorbeeld de webserver in.
In de virtuele machine (sandbox) draait de door prutsers ontwikkelde applicatie-specifieke code.
Het moet nu zo werken dat zelfs kwaadaardige applicatie-specifieke code geen schade (zoals DDoS attacks,
attacks op het lokale netwerk, e.d.) kan uitvoeren.
Dat is eenzelfde taak als het maken van de browserplugin van JAVA. En zal dus net zo moeilijk zijn verwacht ik.
Lukt dat wel dan zou je een "bouwsteen" voor IoT devices kunnen verkopen met een keurmerk erop waaraan de
klant kan zien dat het een device is wat in principe veilig is.
Het probleem is alleen dat geen enkel weldenkend bedrijv zo'n garantie zal willen geven, dus zal deze bouwsteen
voorlopig wel niet te koop zijn.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
