- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

IoT-Gateway überbrückt Kommunikationslücke


Was ist ein IoT-Gateway und wie lässt er sich am besten absichern?
Ein IoT-Gateway überbrückt die Kommunikationslücke zwischen IoT-Geräten, Sensoren, Ausrüstung, Systemen und der Cloud

- Anzeigen -





Von Nisarg Desai, GlobalSign

Stellen Sie sich die betrieblichen Abläufe eines modernen Logistik-Unternehmens vor. Alle Fahrzeuge der Flotte werden über IoT-Geräte nachverfolgt. Sie haben ein Lager mit Lagerbestandsverfolgung und maschinenbetriebene Produktionslinien, die die Produkte erzeugen, die verpackt und zu Läden in der ganzen Welt transportiert werden. An der Produktionslinie messen IoT-Geräte und Sensoren die Leistung der Produktion und Maschinen. Sie haben IoT-Geräte und Sensoren, die den Lagerbestand messen und die Produktionslinie informieren, wie schnell sie aufgrund dieser Daten produzieren soll. Sie haben sogar IoT-Geräte, die Signale an die Fahrer senden, um ihnen mitzuteilen, wenn sie etwas abholen müssen. Und sie signalisieren das nur den LKWs, die dem Lager gerade am nächsten sind.

In diesem Szenario passiert eine Menge, das mit bloßem Auge nicht sichtbar ist - Geräte, die mit unterschiedlichen Protokollen über verschiedene Netzwerke wie WLAN, Ethernet, Z-Wave oder ZigBee miteinander kommunizieren. Geräte und Sensoren, die mit der Cloud kommunizieren und sogar die Cloud, die mit entscheidenden Systemen kommuniziert. Das alles wirkt schon einigermaßen erdrückend. IoT-Gateways lösen eine Reihe von Problemen, die dieses veraltete Modell mit sich bringt.

Was ist ein IoT-Gateway?
Ein IoT-Gateway überbrückt die Kommunikationslücke zwischen IoT-Geräten, Sensoren, Ausrüstung, Systemen und der Cloud. Durch die systematische Verbindung von Feld und Cloud, bieten IoT-Gateways lokale Verarbeitungs- und Speicherlösungen sowie die Möglichkeit, die Geräte im Feld durch Dateninput von Sensoren autonom zu steuern.

Ein Edge Gateway sitzt am Übergang von Edge-Systemen zwischen dem externen Internet und dem lokalen Intranet, das von den anderen Geräten im betreffenden Ökosystem verwendet wird. Es ist also der zentrale Zugriffspunkt für Netzwerkverbindungen, sowohl innerhalb als auch außerhalb des Geräte-Ökosystems.

Wie funktioniert ein IoT-Gateway?
Da Fähigkeiten und Bedürfnisse der Geräte gleichermaßen steigen, ist es oft nicht möglich, sie direkt mit Systemen kommunizieren zu lassen. Einige Sensoren und Controller unterstützen energieintensive Protokolle wie WLAN oder Bluetooth nicht. Einige Geräte aggregieren wertvolle Rohdaten in überwältigenden Mengen und alle verbinden sich mit einer Vielzahl von öffentlichen und privaten Netzwerken.

Ein IoT-Gateway hat verschiedene wichtige Funktionen: über die Übersetzung von Protokollen bis hin zur Verschlüsselung sowie dem Verarbeiten, Verwalten und Filtern von Daten. In einem IoT-Ökosystem sitzt ein Gateway zwischen Geräten und Sensoren, um mit der Cloud zu kommunizieren.

Warum einen IoT-Gateway verwenden?

Die Lücke zwischen OT und IT überbrücken
IoT-Gateways helfen, die Lücke zwischen Betrieb und IT-Infrastruktur innerhalb eines Unternehmens zu überbrücken. Sie schaffen das durch die Optimierung der Systemleistung mithilfe der Betriebsdaten, die sie im Feld oder an der Netzwerkgrenze sammeln und in Echtzeit verarbeiten.

IoT-Gateways bringen den OT- und IT-Silos eine Reihe von Verbesserungen:

• >> Hohe Skalierbarkeit – Sie können intelligente Daten aus dem Rechenzentrum oder der Cloud ins Feld oder zur Netzwerkgrenze schieben.
• >> Kosten senken – Seit ein Gateway das alles für sie erledigt, brauchen Endpunktgeräte weniger Rechenleistung, Speicher oder Storage.
• >> Schnellere Produktion – Beschleunigt die Produktionslinie und senkt die Durchlaufzeit.
• >> Telekommunikationskosten senken – Weniger M2M-Kommunikation bedeutet ein kleineres Netzwerk und weniger (WAN)-Verkehr.
• >> Risiken mindern – Gateways sind in der Lage Geräte und Sensoren zu isolieren, die nicht funktionieren. Uns zwar bevor sie innerhalb der Produktionslinie größere Probleme verursachen.

Eine Sicherheitsebene mehr
Mit einer wachsenden Anzahl von Geräten und Sensoren nimmt auch der Informationsaustausch zu, der über eine Kombination von öffentlichen und privaten Netzwerken stattfindet. Der Informationsaustausch zwischen den 'Dingen', dem Gateway und der Cloud muss folglich sicher sein, um Datenmanipulation oder uneingeschränkten Zugang zu verhindern.

Das geschieht in der Regel durch eine PKI-Infrastruktur, wobei jedes 'Ding', das kommuniziert, eine Identität erhält. Das heißt, ein kryptografisches Schlüsselpaar (oder digitales Zertifikat), mit dem die Kommunikation verschlüsselt werden kann. Ohne einen IoT-Gateway kann das allerdings recht aufwendig sein.

Angenommen, Sie verfügen über ein Tool, das alle Gerätezertifikate verwaltet, muss der Gateway Ihnen dabei helfen, Geräte einzuarbeiten (Installation von Zertifikaten und Bereitstellung der Identität). Weitere Einzelheiten zu diesem Thema finden Sie am Schluss dieses Textes.

Echtzeit-Updates im Feld
Sie bemerken beispielsweise eine Schwachstelle in Ihren Geräten, oder Sie stellen fest, dass einer der Sensoren Ihnen mitteilt, dass das Lager zu heiß ist. Ohne ein Gateway-Gerät müssten Sie manuelle Korrekturen vornehmen, da die Rechenleistung von Geräten und Sensoren zu gering ist, um diese Aufgabe selbst zu erledigen. Mit einem Gateway werden die Daten dorthin gesendet. Der Gateway ist so konfiguriert, dass er Firmware-Updates an alle Geräte sendet (d. h. hier intelligente Belüftungsklappen), wenn die Daten anzeigen, dass das Lager zu heiß ist.

Worauf Sie bei Herstellern von IoT-Gateways achten müssen
Da Sie nun wissen, was ein IoT-Gateway ist, spricht einiges dafür ihn im eigenen IoT Ökosystem einzusetzen. Wenn Sie es geschafft haben, die richtigen Leute im Unternehmen von den Vorteilen eines IoT-Gateways zu überzeugen ist der nächste Schritt der tatsächliche Kauf. Es gibt ein paar Dinge, die Sie vor dem Kauf eines IoT-Gateway-Geräts beachten sollten. Diese sind auch auf Prokarmas Blog übersichtlich aufgelistet.

Netzwerksicherheit
Der kommunizierende Kanal sollte mit starker Sicherheit und Verschlüsselung der Übertragung der IoT-Nutzlast ausgestattet sein.

Ausfallzeit
Es sollte einen Plan geben, wenn die Verbindungsgeschwindigkeit im Netzwerk eher niedrig ist oder nach der Datenmenge abgerechnet wird, die vom Gateway zur Cloud fließt. Prokarma rät zur Verwendung von Protokollen wie CoAP, MQTT oder UDP über TCP.

Verbindungsprobleme
Was passiert, wenn Sie keine Internetverbindung haben? Sie können nie sicher sein, dass der Betriebsablauf reibungslos ist. Die Software im Gateway sollte Risiken dieser Art minimieren indem sie verbindungsfrei läuft. Sie sollte zusätzlich Daten-Caching und Queuing von Daten nutzen, falls eine Verbindung für einen längeren Zeitraum ausfällt.

Remote-Updates
Ihr IoT-Gateway wird unweigerlich kabellose (OTA) Updates benötigen und daher braucht es ein Betriebssystem (OS) (wie Linux u. a.), das sie entsprechend unterstützt.

Stromversorgung
Ein Gateway-Gerät muss unvorhersehbare Einschaltzyklen überleben, wie z.B. Überlasten oder Stromausfälle. Es sollte in diesen Zuständen zumindest noch eine minimale Funktionalität bereitstellen und noch mit der Cloud kommunizieren, sodass es sich selbst wiederherstellen kann.

So sichern Sie ein IoT-Gateway
Es gibt drei wichtige Kernprinzipien der Sicherheit - Vertraulichkeit, Integrität und Authentifizierung. Sie müssen sicherstellen, dass die gesamte Kommunikation zwischen dem Gateway und den Geräten jeden der drei Grundsätze erfüllt, während die Kommunikation in den internen und externen Netzwerken stattfindet.

Es ist erwähnenswert, dass ein Gateway aus zwei Gründen oftmals als erstes angegriffen wird:
1. >>
Der Gateway hat eine höhere Rechenleistung, die er verwendet, um (rechen)intensivere Anwendungen auszuführen. Mehr Leistung bedeutet bessere Software. Aber bessere Software bedeutet potenzielle mehr Schwachstellen, die ein Hacker ausnutzen kann.
2. >> Aufgrund der Position als Edge-Gerät zwischen Internet und Intranet, ist der Gateway der Eintrittspunkt für sämtliche Angriffsvektoren (sowie die erste Verteidigungslinie innerhalb eines Systems).

Um einen IoT-Gateway abzusichern empfehlen wir drei wichtige Schritte zu beherzigen:

>> Schritt 1: Identität für das Gateway-Gerät
Der erste Schritt ist, dem Gateway-Gerät eine Identität zu geben (durch ein digitales X.509-Zertifikat). Alle externen Objekte, die sich mit dem Gateway verbinden, können jetzt die Identität des Gateways verifizieren, was HTTPs- oder NTLS- Protokolle erlaubt. An Geräte oder Sensoren im Feld erteilte Befehle kommen nun von einem vertrauenswürdigen Gerät.

>> Schritt 2: Aktivieren Sie 'starke' Identität für das Gateway-Gerät
Da ein Gateway-Gerät anfällig für physische Manipulationen ist, können private Schlüssel extrahiert und geklont werden. Das macht ein Gateway-Gerät anfällig für Spoofing- oder sogar Man-in-the-Middle (MITM)-Angriffe.

Um das zu verhindern, sollte man zusätzliche Sicherheitsmaßnahmen ergreifen, wie zum Beispiel die Einbettung eines Trusted Platform Module (TPM) mit einer PUF (Physical Unclonable Funktion) im Gateway. So sind die privaten Schlüssel aller digitalen Zertifikate sicher gespeichert und es ist gewährleistet, dass sie den Gateway nie verlassen.

>> Schritt 3: Verwenden Sie den Gateway, um dem Ökosystem eine Identität zu geben
Da jetzt im Gateway-Gerät eine starke Identität aktiviert ist sollte man sie für die Geräte und Sensoren im Feld auch haben. Da sich einige davon wahrscheinlich nicht mit dem Internet verbinden können, ist die Bereitstellung von Identität über einen Certificate Management Service (Zertifikatmanagementdienst) ohne Gateway schwierig.

Stattdessen kann man den Gateway als vertrauenswürdigen Sicherheitsmechanismus verwenden, um alles abzusichern, das mit dem Gateway im Intranet verbunden ist. Der Gateway fungiert als Proxy zwischen der Plattform (CA-Dienste) und den Geräten im Feld. Wie beim Gerät selbst, passiert das selbstverständlich über die Standard-PKI-Infrastruktur, das heißt mit einem X.509-Zertifikat über eine private Hierarchie.

Jetzt sind Gateway und Geräte abgesichert und damit die gesamte Kommunikation im Intranet. Sicherheit, Vertraulichkeit und Authentifizierung sichern das IoT-Ökosystem Ende-zu-Ende mit einer PKI-Infrastruktur.

Das IoT boomt und eh wir uns versehen, werden wir IoT-Ökosysteme in praktisch jedem Unternehmen haben. Jetzt ist der Zeitpunkt, um über Sicherheit versus Bequemlichkeit nachzudenken. Weitere Informationen zu GlobalSigns Public Key Infrastructure und Identity und Access Management Lösungen. (GlobalSign: ra)

eingetragen: 26.09.16
Home & Newsletterlauf: 18.10.16


GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • KI: Kein Ersatz für IT-Sicherheitsteams

    Ob Spear-Phishing, Ransomware oder Zero-Day-Exploits, Netzwerke sind ständig in Gefahr gehackt zu werden. Die wachsende Bedrohung geht einher mit immer komplexeren IT-Landschaften, mehr Daten und weniger IT-Personal. Um ihre Netzwerke unter diesen schwierigen Umständen effektiver zu schützen, setzen viele Unternehmen inzwischen auf Technologien wie KI-basierte Verhaltensüberwachung. Sie nutzt die Möglichkeiten von Datenanalyse und maschinellem Lernen um einen der größten Risikofaktoren im Netzwerk zu minimieren: den Benutzer. Nutzer sind die Einfallstore, die sensible Unternehmensdaten gefährden, sei es ein kompromittiertes Nutzerkonto im Netzwerk, ein Insider-Angriff oder unbedachtes Verhalten eines Mitarbeiters.

  • Cyber-Erpressung auf Bestellung

    CryptoLocker, GoldenEye, Locky, WannaCry - Ransomware hat mit der Geiselnahme von Dateien durch Verschlüsselung in den letzten Jahren eine beachtliche und unrühmliche Karriere hingelegt. Und da sich Kriminelle auch bei Digitalisierungstrends wie as-a-Service-Angeboten nicht lumpen lassen, hat die Untergrundökonomie mit Ransomware-as-a-Service (RaaS) rasch ein lukratives Geschäftsmodell für sich entdeckt, das in kürzester Zeit enormes Wachstum erlebt hat. Das Prinzip ist denkbar einfach - wie in der legalen Wirtschaft sind die Dienstleistungen ganz auf die Bedürfnisse einer möglichst breiten Kundschaft zugeschnitten: Auf Ransomware-as-a-Service-Plattformen können nun auch technisch wenig versierte Kriminelle ins Cyber-Erpressergeschäft einsteigen und sich von Schadware-Entwicklern die entsprechende Service-Leistung gegen Abgabe einer festen Gebühr oder einer Provision basierend auf den Lösegeldeinnahmen besorgen.

  • Investitionen in IT-Sicherheit legitimieren

    Wenn man so oft direkt mit unterschiedlichen Unternehmen und Menschen zu tun hat wie der Vertrieb, erkennt man schnell bestimmte Reaktionsschemata. Ebenso wie zuverlässig wiederkehrende Schwierigkeiten beim Implementieren von IT-Sicherheitsmaßnahmen. Den größten Teil unserer Zeit verbringen wir damit zu erläutern warum Cybersicherheit derart wichtig ist und wie ein Unternehmen von bestimmten Maßnahmen am besten profitiert. Trotzdem erhält man regelmäßig dieselben Antworten: "Ich verstehe absolut wovon Sie sprechen, und ich gebe Ihnen sogar Recht. Nur, wie soll ich die zusätzlichen Ausgaben gegenüber der Geschäftsleitung rechtfertigen?" Es gibt allerdings einige grundlegende Argumente die Kunden helfen, Sicherheitsansätze und Lösungen gegenüber der Geschäftsführung oder anderen Zeichnungsbefugten plausibel zu machen.

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert.

  • Tor-Browser, um IP-Adressen zu verschleiern

    Trotz ausgereifter Sicherheitstechnologien bleiben Anwender für Unternehmen eine empfindliche Schwachstelle, insbesondere deshalb, weil Cyberkriminelle ihre Social Engineering-Angriffe immer weiter verfeinern. Vor allem Phishing zählt zu den Angriffsvektoren, die Unternehmen gegenwärtig Kopfschmerzen bereiten. So werden E-Mails im Namen von Payment-Services, Shopanbietern oder E-Mailservice-Hosts von den kriminellen Hintermännern täuschend echt nachgeahmt, mit dem Ziel, durch das Abfischen von Logindaten weitere sensible, persönliche Daten zu erbeuten. Doch wie sehen die Konsequenzen aus, wenn Nutzerdaten von Mitarbeitern in die falschen Hände geraten und welche Auswirkungen hätte dies auf das Unternehmen? Das Forschungsteam von Bitglass hat versucht, mithilfe eines Experiments unter dem Namen "Cumulus" den Verbreitungswegen illegal erbeuteter Daten auf die Spur zu kommen.