KPN en Kiwa gaan samen Internet of Things-apparaten testen en certificeren
KPN en keuringsinstantie Kiwa hebben een samenwerkingsovereenkomst getekend om Internet of Things-apparaten te testen en certificeren. Er wordt onder andere gekeken naar encryptie, updatemechanismen, standaardwachtwoorden en andere belangrijke bescherming tegen aanvallen.
Fabrikanten en leveranciers kunnen hun IoT-apparaten laten toetsen aan de ETSI EN 303 645-standaard die eisen en procedures bevat voor de cyberveiligheid van IoT-apparaten. Onlangs heeft de Europese Commissie besloten dat er vanaf halverwege 2024 verplichte basisveiligheidseisen voor IoT-apparaten gaan gelden. De ETSI EN 303 645-standaard is volgens Kiwa één van de standaarden die gebruikt kan worden om te voldoen aan de aankomende verplichte eisen.
KPN zal op basis van de ETSI-standaard IoT-apparaten testen, waarna Kiwa het product certificeert. "Met het productcertificaat is de producent ervan verzekerd het product te mogen verkopen op de Europese markt en daarbuiten", aldus de keuringsinstantie. Die voegt toe dat gebruikers erop kunnen vertrouwen dat gecertificeerde producten voldoen aan de basisveiligheidseisen.
Ben zeer benieuwd wat deze nieuwe regels gaan betekenen voor de cyberveiligheid de aankomende jaren.
Bewerkt (13:33): taalfouten
Deze nieuwe regels zijn juist bedoeld om te voorkomen dat er apparatuur in de handel komt waarbij veiligheid optioneel is.
Daar kan best op getest en gekeurd worden.
Natuurlijk betekent dat niet dat alle risico's de wereld uit zijn, maar het helpt toch wel als routers niet meer allemaal met
hetzelfde default wachtwoord komen, of een automatisch gegenereerd wachtwoord op basis van het MAC adres wat
tevens ook uitgezonden wordt door de WiFi, en meer van dat soort zaken.
Ook het default inschakelen van een auto-update van de firmware behoort daar toe. Alles om er voor te zorgen dat
degenen die geen aandacht voor veiligheid hebben, default veilig zijn. De betweters die het allemaal anders gaan
instellen blijf je toch niet voor.
KPN en KIWA want deze bedrijven hebben hun sporen voor wat betreft IT/ OT security wel verdiend.
Fijn dat dit soort instanties zichzelf belangrijker maken dan dat ze zijn en bijdrage aan de papieren schijnveiligheid.
Certificering zal voor mij van geen enkele waarde zijn mochten ze dit snode plannetje echt tot uitvoering brengen, hopelijk is het (zoals we gewend zijn van de KPN) een proefballon die we nimmer mee terug zien.
Ben zeer benieuwd wat deze nieuwe regels gaan betekenen voor de cyberveiligheid de aankomende jaren.
Bewerkt (13:33): taalfouten
Daar ligt het probleem. Daar en ook dat de fabrikanten continue nieuwe "features" willen introduceren en die niet goed testen, en dan heb ik het niet eens over formele verificatie, maar gewoon testen.
Ben zeer benieuwd wat deze nieuwe regels gaan betekenen voor de cyberveiligheid de aankomende jaren.
Bewerkt (13:33): taalfouten
Keurmerken, ah de ‘we hebben potjes’ nodig oplichting.
Ach, het grootste probleem is de mens zelf. Wie zorgt ervoor dat een IoT apparaat zichzelf update? Volgens mij geen een. De mens moet het zelf updaten. Maar wanneer moet hij/zij/hun zo'n apparaat dan updaten? Zolang hij/zij/hun er geen melding van krijgt zal hij/zij/hun dat niet doen.
Daar ligt het probleem. Daar en ook dat de fabrikanten continue nieuwe "features" willen introduceren en die niet goed testen, en dan heb ik het niet eens over formele verificatie, maar gewoon testen.
Daarom moeten apparaten default zo ingesteld worden dat ze zichzelf voorzien van veiligheidsupdates, en fabrikanten worden verplicht om deze updates ook te leveren. Als ze met nieuwe releases komen met nieuwe features dan moeten die niet default geinstalleerd worden door automatische updates, maar veiligheidsupdates (bijvoorbeeld als er een exploit bekend wordt) wel.
Ik MITM graag mijn apparatuur om te controleren op malafide gedrag. Hierbij heb ik natuurlijk graag SSL, maar dan wel met mijn eigen ondertekend certificaat. Maakt een apparaat toch gebruik van een gesloten certificat-store, dan is het imho schijnveiligheid.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
