Branche, teknologi, komponentdistribution

 

IoT-udviklingen er som en Formel 1-racer uden sikkerhedsudstyrGert Læssøe Mikkelsen er leder af Alexandra Instituttets Security Lab.

IoT-udviklingen er som en Formel 1-racer uden sikkerhedsudstyr

Billigere hardware og billigere kommunikation gør det nemmere at koble produkter til nettet, men hvis IoT-sikkerheden ikke er på plads, så åbner det også op for et mareridt af hackede produkter, advarer Alexandra Instituttet.

Billigere hardware og billigere kommunikation åbner i øjeblikket op for 'rapid development'. Det gør det nemmere at koble produkter til nettet, men hvis IoT-sikkerheden ikke er på plads, så åbner det også op for et mareridt af hackede produkter. Sådan lyder det fra Gert Læssøe Mikkelsen, leder af Alexandra Instituttets Security Lab, der kommer med råd til, hvordan man styrker IoT-sikkerheden som producent.

I følge ham kan man sammenligne IoT-sikkerhed – eller cybersecurity – med det nødvendige sikkerhedsudstyr i en Formel 1-racer. De ekstra stærke sikkerhedsseler og styrtbøjlen er med til at gøre, at man kan køre endnu hurtigere.

Det samme gør sig gældende med digitaliseringen af fysiske produkter. Det betyder, at virksomheder, der kobler produkter til nettet, er nødt til at foretage et skift og tage IoT-sikkerhed alvorligt. De kan ikke bare sige, at 'det er ikke noget for os'. Fordi ellers gør konkurrenterne det bare.

- Lige nu ser vi et skift i kraft af, at vi får billigere hardware og billigere kommunikation. Det er blevet meget nemmere at have enheder, der kommunikerer. Det åbner op for rapid development, hvor man kan købe noget standard hardware og koble et standard operativsystem på, og så er man ellers i gang. Det giver konkurrencefordele for nogle virksomheder, der kan koble tjenester på deres produkter. Men er sikkerheden ikke på plads, så åbner de nye muligheder desværre også op for et mareridt af hackede enheder. Vi skulle gerne have en udvikling uden det mareridt, forklarer Gert Læssøe Mikkelsen.

Farerne lurer derude

Et lyskryds i København, der ikke virkede sidste år, fordi det skulle opdateres, er et godt eksempel på, at den fysiske verden bliver digital. Et andet eksempel er Mirai-angrebet, som peakede i 2016. Her blev hundredvis af kendte hjemmesider utilgængelige for millioner af brugere. Angrebet blev udløst af 2-300.000 inficerede IoT-enheder, som alle på samme tid begyndte at sende forespørgsler til de her tjenester, som så ikke kunne følge med. 

Det var første gang, at man så et denial-of-service-angreb i så massiv skala. Det kom hovedsageligt fra routere, IP-kameraer og videooptagere, som er interessante, fordi de sidder på et ret godt forbundet internet og god strømforsyning. Begge dele var medvirkende til, at angrebet lykkedes, også fordi det er billig konsum-elektronik uden særlig meget sikkerhed.

- Angrebet var ikke særlig sofistikeret. Dem, der havde lavet angrebet, havde taget 68 kombinationer af brugernavne og kodeord. Et af dem var 123456! Det er jo lidt trist, fordi det gør, at IoT til tider får det her image med at være fuldstændig usikkert, forklarer han.

Hvad skal man så gøre?

Netop dårlige passwords topper den top ti-liste, som OWASP https://owasp.org/www-pdf-archive/OWASP-IoT-Top-10-2018-final.pdf har lavet over problemer med IoT-produkter. 

Gert Læssøe Mikkelsen råder virksomheder til først og fremmest at fokusere på, hvor der er størst risiko. Engelske IoT Security Foundation har lavet en guide til risikoanalyse for IoT-produkter https://www.iotsecurityfoundation.org, som man bør kigge på.

- Det er en lettilgængelig guide og tjekliste, som giver mulighed for at se, hvilket niveau af sikkerhed, der er nødvendigt. Sandsynligheden er selvfølgelig større, hvis kompetencerne og motivationen er større. Men hvis systemets styrke er stor, er der selvfølgelig mindre risiko for, at der sker noget, siger han og tilføjer:

- Den risikobaserede tilgang kan være en god måde at få snakket om de her impacts på tværs af organisationen. For det er vigtigt huske, at det ikke kun er en teknisk disciplin, som en eller anden ingeniør kan håndtere, uden at han eller hun har ledelsens opbakning.

16/6 2020
Produktlinks
Find din leverandør:

Mekanik underleverandør

Test & Måleudstyr

Test laboratorier

Tilføj dit firma
  • ROHM Semiconducter

    ROHM Semiconducter

    En PMIC til NXP’s i.MX 8M Mini applikations-processor
  • altoo

    altoo

    Nyt om måleteknik. Gratis webinar. Tilbud på demoudstyr
  • altoo

    altoo

    Få mere oscilloskop for pengene. Gratis undervisningsmateriale fra Keysight
  • Texim

    Texim

    Focus Suppliers Nordic
  • congatec

    congatec

    Rugged 10 GbE infrastructure equipment