Gegen Gefahren im IoT Sicherheitsmodelle für das Internet der Dinge

Spätestens seit dem großen DDoS-Angriff auf den DNS-Dienst Dyn.com wird viel über die Sicherheit im Internet der Dinge (IoT) geredet. Das Internet of Things stellt eine extrem breite Angriffsfläche dar, für die es dringend einen gemeinsamen Sicherheits-Ansatz braucht.

Anbieter zum Thema

Parasoft® Deutschland GmbH

RTI Real-Time Innovations

PTC Germany GmbH

Während man als Einzelner bisher bei der Arbeit im Allgemeinen einen dedizierten Rechner nutzt, stellt das Internet der Dinge (IoT) mit Milliarden an vernetzten Geräten, die großteils nicht von Menschen überwacht werden, enorme inhärente Sicherheitsrisiken dar.

Allein die schier endlose Anzahl sowie die unterschiedlichen Typen potenzieller Angriffsziele im IoT verbunden mit der fehlenden Betreuung durch Menschen verhindern den Einsatz gängiger Sicherheitsmethoden. Darüber hinaus trägt die Art der Geräte, die jetzt mit dem Internet verknüpft sind, wie beispielsweise Autos, elektrische Generatoren, Pumpen für die Wasserversorgung, im Falle eines erfolgreichen Angriffs das Potenzial echter Schäden in sich.

Einen Vorgeschmack auf die drohenden Gefahren für vernetzte Geräte bot der Angriff auf das Energieversorgungsnetz in der Ukraine, bei dem Ende 2015 30 Teilbereiche offline waren und über 230.000 Haushalte und Büros für bis zu sechs Stunden im Dunkeln standen.

Die Angreifer hatten sogar die Firmware kritischer Geräte modifiziert, so dass diese nicht mehr aus der Ferne bedient werden konnten und Trennschalter und andere Geräte selbst Monate danach noch manuell gesteuert werden mussten.

Im Vergleich zu Clouds, für die es inzwischen wohldefinierte Sicherheitsmodelle und beschränkte Einstiegspunkte gibt, stellt das IoT allein aufgrund der unterschiedlichen Gerätetypen, Betriebssysteme und Protokolle eine viel breitere Angriffsfläche dar. Während beim Anwendermanagement in der Cloud üblicherweise einer konkreten Person für ein konkretes Programm Zugriff erteilt wird, machen IoT-Geräte ein deutlich komplexeres Rechtemodell erforderlich. IoT-Geräte können sich selbstständig als Person oder im Auftrag einer Person authentifizieren.

Einige Unternehmen sind sich zwar dieser Gefahren bewusst, sehen aber noch keine Dringlichkeit, entsprechend zu agieren, da sie bis jetzt keine IoT-Applikationen im großen Stil einsetzen. Aber wissen sie wirklich, wie viele ihrer Geräte bereits mit dem Internet vernetzt und damit möglichen Attacken ausgesetzt sind?

Die Suchmaschine Shodan, die das Internet nach vernetzten Geräten durchkämmt, hat bereits 500 Millionen vernetzte Geräte kategorisiert, darunter Steuerungssysteme für Fabriken, Eishockey-Bahnen, Autowaschanlagen, Verkehrsampeln, Sicherheitskameras und sogar ein Atomkraftwerk. Die meisten dieser Geräte sind mit dem Internet durch eine interne Applikation des Herstellers bzw. von Drittanbietern verknüpft.

Ein großer Teil dieser Geräte besitzt dabei nur sehr eingeschränkte Sicherheitsfunktionen. Vielfach erfordert es nicht einmal ein Passwort, um sich mit dem Gerät zu verbinden, häufig werden „Admin“ als Benutzername und „1234“ als Passwort verwendet. 70 Prozent der Geräte kommunizieren darüber hinaus auch im Textformat – was Angriffe einfach macht, selbst wenn die verwendeten Passwörter etwas sicherer sind.

(ID:44366410)