Open Source im professionellen Einsatz
Linux-Magazin 10/2015
© Joerg Hackemann , 123RF

© Joerg Hackemann , 123RF

Sicherheit für IoT-Geräte

Bedrohter Schwarm

Schwärmt eine Geräteflotte im Internet der Dinge erst mal in alle Welt aus, will der Kunde nicht nur sicher mit seinen Knotenpunkten reden, sondern der Hersteller notfalls aus der Ferne Sicherheitslücken stopfen. Embedded-Entwickler Julien Vermillard schildert Sicherheitsrisiken und stellt Lösungsansätze vor.

375

Das Internet der Dinge (Internet of Things, IoT) soll in Zukunft den Gesundheitssektor, Wohnhäuser und ganze Städte, den öffentlichen Nahverkehr und viele weitere Bereiche umkrempeln. Das vernetzte Klein-Klein hält aus technischer Sicht zahlreiche Herausforderungen bereit. Zu ihnen gehören das Hardwaredesign, Zertifizierungen, Embedded Software für Ressourcen-arme Geräte, das Servermanagement übers Internet oder die Benutzerfreundlichkeit.

Der Artikel behandelt eine der größten Herausforderungen: die Sicherheit. Er beschreibt, wie sich die Hardware schützen und sicher mit Updates versorgen lässt, nach Möglichkeit mit Hilfe von Open-Source-Lösungen.

Strikte Regeln

Für Software-Entwickler ist Geräte-Security leider nur selten ein wichtiges Thema. Ihre erste Reaktion lautet meist: Was kümmert es mich? Erhalte jemand physischen Zugriff auf ein Device, beträfe das nur dieses Gerät und würde nicht das komplette System gefährden.

Das stimmt zwar, zugleich gibt es in der realen Welt oft andere Konsequenzen als in der digitalen. Zum Beispiel kann ein Angreifer viele solche Geräte kaufen oder sich anderweitig Zugang darauf verschaffen, eine Firmware-Backdoor einfügen und sie später weiterverkaufen. So verwandelt er sie in Spamschleudern oder Spione im Eigenheim. Vor diesem Hintergrund bleibt zu hoffen, dass Hardware-Security-Funktionen wie Secure Boot, Secure Debug und abgesicherter Flashspeicher zur Norm werden.

Sichere Hardware

Secure Boot lässt sich zum Beispiel über das Verified-Boot-Feature von U-Boot [1] nutzen. Das überprüft den gebooteten Linux-Kernel oder das Bootimage, falls der Admin nicht auf Linux setzt. Mit einem RSA-Schlüsselpaar erzeugt er für den Kernel eine Signatur sowie einen Hash (siehe Hashes-Artikel in der Know-how-Rubrik), das Gerät verwahrt den zur Signatur passenden öffentlichen Schlüssel sicher auf.

Die verschiedenen Features lassen sich auch verketten: Das Device kann ein TPM (Trusted Platform Module, [2]) enthalten, das die U-Boot-Binärdatei vor dem Booten verifiziert. U-Boot wiederum überprüft das gebootete Linux-System. Das wiederum validiert die installierten Anwendungspakete.

Wenn aber die Hardware nur offizielle Firmware bootet, um den Nutzer abzusichern, verbietet das wiederum den Einsatz speziell angepasster Firmware, wie sie etwa das Open-WRT-Projekt anbietet. Hier befindet sich der Hersteller in einer Zwickmühle und muss Kompromisse finden. Will er die Firmware-Policy durchdrücken oder Optionen für Anpassungen lassen? Zumindest kann er inzwischen festlegen, wie sicher er die Bootsequenz machen möchte.

Diesen Artikel als PDF kaufen

Express-Kauf als PDF

Umfang: 4 Heftseiten

Preis € 0,99
(inkl. 19% MwSt.)

Linux-Magazin kaufen

Einzelne Ausgabe
 
Abonnements
 
TABLET & SMARTPHONE APPS
Bald erhältlich
Get it on Google Play

Deutschland

Ähnliche Artikel

  • MQTT

    Das MQTT-Protokoll hat sich im Internet of Things als Standard durchgesetzt. Sein leichtgewichtiger Ansatz unterstützt selbst die kostengünstigsten Mikrocontroller. Das eröffnet auch ganz neue Möglichkeiten bei der Heimautomatisierung. Dieser Praxis-Artikel stellt sie vor.

  • MQTT

    Obwohl das Protokoll MQTT gewöhnlich im selben Atemzug wie das Internet of Things (IoT) erwähnt wird, bietet es Admins mit seinen Features auch ganz andere spannende Verwendungsmöglichkeiten. Zum Beispiel beim Monitoring.

  • Eignung

    Wer beim Entwickeln fit ist und mit seinen Projekten hoch hinaus will, tut gut dran, sein Equipment zu checken. Eclipse ist nicht zufällig der Generalausrüster vieler ambitionierter Open-Source-Missionen. In manchen Welten jedoch schrammt die IDE nur knapp am Prädikat "Schrott" vorbei.

  • Alchemie?

    In den meisten Haushalten und Büros stehen oder liegen Geräte herum, die sich prinzipiell mit Linux auf- und umrüsten ließen. Die Titelgeschichten dieser Ausgabe liefern genau dafür die magische Mixtur aus Ideen, Motivation und technischem Know-how.

  • Eclipse Luna mit Java-8-Unterstützung verfügbar

    Die Eclipse Foundation hat die Luna-Release ihrer integrierten Entwicklungsumgebung inklusive Zubehör veröffentlicht. Sie bringt es auf stolze 61 Millionen Zeilen Code und 76 teilnehmende Projekte.

comments powered by Disqus

Stellenmarkt

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.