Sådan kan vi få styr på de ekstreme it-sikkerheds-risici i Internet of Things

Apparater med indbygget internetadgang er en tikkende bombe under sikkerheden. Identitet kan være med til at løse problemet.

Hvem er du, kære maskine?

Det spørgsmål skal de intelligente dimser i vores liv fremover kunne besvare. For at få et sikkert Internet of Things (IoT) har vi brug for Identity of Things.

Internet of Things vokser hurtigt. Stadig flere elementer i vores hverdag kan gå på nettet og dermed betjene os mere intelligent.

Vi kan tænde for varmen i sommerhuset hjemmefra via en app, så huset er varmt, når vi ankommer.

Lægen kan fjernstyre patientens pacemaker, så dens indstillinger kan ændres, uden at det kræver en operation.

Bilen kan hente trafikinformation over nettet og lede os uden om trafikpropper.

Men de smarte dimser medfører nye sikkerhedsrisici.
For eksempel skal der være styr på, hvem der ændrer på opsætningen af pacemakeren.

Hvordan ved pacemakeren, at en kommando kommer fra patientens læge?

I sikkerhedskredse er man begyndt at tale om Identity of Things. Det handler om metoder til at identificere vores dimser.

Eksemplet med den hackede pacemaker er ekstremt.

Men behovet viser sig også i mere dagligdags teknologier.

For nylig er websteder blevet ramt af overbelastningsangreb fra botnettet Mirai.

Computerne i Mirai er ikke pc'er eller servere. I stedet er de typisk digitale videooptagere.

Mirai-programmet har let ved at inficere apparaterne. De har nemlig en standardbrugerkonto med tilhørende standardpassword.

Sikker opdatering
Mirai-botnettet demonstrerer behovet for stærkere identitet for apparater. Ligesom vi styrer menneskelige brugeres adgang til it-systemer med autentifikation, skal vi gøre det for apparaterne.

En af de store udfordringer ved Internet of Things er vedligeholdelse af firmware.

Når sikkerhedsforskere finder et sikkerhedshul, skal det lukkes. Producenten kan som regel forholdsvis hurtigt skrive en ny version af firmwaren.

Problemet kommer, når den nye version skal ud til apparaterne.
Vores dimser kører ikke et tjek for nye opdateringer en gang om måneden.

Derfor skal brugerne selv aktivt opdage, at der er kommet en ny version af firmwaren.

De skal finde ud af, hvordan de opdaterer deres dimser. Og de skal gøre det, hver gang der kommer en ny version.

Det er ikke praktisk muligt. Selv med de gode systemer til opdatering, Windows og MacOS tilbyder i dag, kører mange med forældede softwareversioner på deres pc.

Hvordan skal vi så forvente, at forbrugerne kan holde deres apparater opdateret?

Et led i Identity of Things er derfor også at etablere en sikker metode til at opdatere udstyret.

Måske kan PKI (Public Key Infrastructure) blive en del af løsningen.

Ved hjælp af digitale certifikater kan et apparat sikre sig, at det kun modtager opdateringer og kommandoer fra autoriserede kilder.

Mit personlige apparat
Et andet element i Identity of Things er forbindelsen mellem apparat og menneske.

I nogle tilfælde er der brug for at koble apparatets og dets brugers identitet sammen.

For eksempel kan en pacemaker vide, at den er indopereret i en bestemt person.

Når min bil kører ud af et parkeringshus, skal afregningssystemet være sikker på, at jeg kun bliver opkrævet for min egen parkering - ikke for andre biler, der har været parkeret der.

Mangler vi et CDR?

I USA er myndighederne opmærksomme på problemet med usikre dimser på nettet. Department of Homeland Security har for nylig udgivet en samling strategiske principper for at sikre Internet of Things.

Et grundlæggende princip er, at sikkerheden skal ind i produkterne allerede i designfasen.
I Danmark holder centrale systemer som CPR og CVR styr på identiteten af henholdsvis borgere og virksomheder. Måske er det på tide med et CDR - Centralt Dimse-Register?

Det kunne give apparaterne sikkerhed for, at de kommunikerer med den rigtige tjeneste.

Men hvis det laves forkert, åbner sådan et register for problemer med privatlivsbeskyttelsen.
Ovenstående ideer til løsninger er kun løse tanker fra min side.

Dimsernes identitetsproblem må løses i et samarbejde mellem producenter, brugere og myndigheder.

DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet. I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeIC (Danish e-Infrastructure Cooperation).

Henrik Larsen, der er chef for DKCERT og bestyrelsesmedlem i Rådet for Digital Sikkerhed, opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.

Læs også:

Når IoT-enheder er det svage led: Sådan går ransomware-hackerne på jagt i dit netværk

Internet of Things er en kæmpe sikkerhedstrussel: Vil store bøder være en løsning?

Alle taler om internet of things - men Danmark har slet ingen IoT-sikkerhedsplan

Internet of things er på trapperne: Fem skridt mod bedre sikkerhed

Internet of Things kommer til at ændre alt: Sådan vil du kunne koble både droner og maskiner direkte til dit ERP-system




Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Brother Nordic A/S
Import og engroshandel med kontormaskiner.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Internet of Things er klar til næste fase: Forretning, teknologi og sikkerhed

Der er blevet talt og skrevet meget om Internet of Things i de senere år. Internet of Things bevæger sig nu ind i en ny fase, hvor løsningerne og anvendelsesmulighederne stiger hastigt i antal samtidig med, at det egentlige potentiale er klar til at blive indfriet. Vi sætter fokus på forretningsmulighederne og på hvordan I kan komme igang samt på udfordringer med sikkerhed, privacy og it-drift.

24. april 2018 | Læs mere


Basware Connect 2018

Kigger du efter nye måder at fremtidssikre og vækste din virksomhed på? Udnytter du den eksplosion af data, som digitaliseringen har ført med sig? Virksomheder der gør brug af data mining, kunstig intelligens og er drevet af data analyse kan bedre forstå deres kunder og deres produkter - og dermed øge deres konkurrencemæssige fordele. Allerede nu er der nemlig masser af muligheder for at automatisere sine indkøbs- og betalingsprocesser og få adgang til data, der bør danne grundlaget for strategien.

25. april 2018 | Læs mere


Digitaliseringskrav, ledelse og fremtidens kommunikationsudfordringer

Hør om håndteringen af digitaliseringskrav, ledelsesudfordringer og effektiv kommunikation og få en smagsprøve på IDG Kurser og Computerworlds nye lederuddannelse til dig som er CIO, IT-chef og/eller digital-leder: It Executive Masterclass.

25. april 2018 | Læs mere






Premium
Opsang til kommunerne: “I bruger uforholdsmæssigt meget tid på udbuddet og alt for lidt på kontrakten”
Kommunerne har for meget fokus på at undgå at få noget lovmæssigt i klemme og for lidt på at få brugbare kontrakter, når de laver it-udbud, lyder kritikken fra erfaren udbudsrådgiver.
Computerworld
Her er Danmarks fem bedste CIO'er lige nu: Disse fem it-chefer er nomineret til titlen som Årets CIO 2018
Årets CIO 2018: Den eftertragtede titel som Årets CIO i Danmark skal snart uddeles for 13. gang af Computerworld, IDC og Dansk IT. Her er de fem nominerede til Årets CIO 2018.
CIO
Allersidste opdatering på vej: Om en uge er det slut med stor-version af Windows 10 - skynd dig at opdatere
Om en uge er det slut for altid med den første store udgave af Windows 10, som Microsoft efter 29 måneder ikke længere vil supportere.
Job & Karriere
Klassiske brokere af it-konsulenter står over for kæmpe udfordring - forretningsmodellen er under pres
Klumme: Eksterne konsulenter er populære og en god løsning i en branche i vækst. Men selve forretningsmodellen bag it-konsulenterne er under alvorligt pres.
White paper
Hvilken slags CRM understøtter bedst din forretning?
Hvordan vælger jeg det rigtige CRM-system? Hvad skal jeg prioritere? Denne guide giver dig et solidt grundlag for at vælge det CRM-system, der understøtter netop din virksomhed og jeres processer bedst – og som støtter op om arbejdet med bl.a. salg, marketing og service gennem den samlede kunderejse. Du får også konkrete og brugbare tips til, hvordan du øger sandsynligheden for, at CRM bliver en naturlig og selvfølgelig del af dine medarbejderes dagligdag. Hvilket jo er grundlaget for, at det samlede CRM-projekt bliver til en succes.