Im Rückblick beschäftigen sich die letzten drei Artikel mehr damit, die Probleme und Grenzen im Bereich IT- Sicherheit zu beschreiben als auf geeignete Lösungen zu verweisen. Daher soll dieser Artikel einige interessante Ansätze liefern, wie Kunden sich effektiv schützen können. Einige sind proprietäre Lösungen von Kontron und S&T, andere sind auch von anderen Unternehmen erhältlich - aber um ehrlich zu sein, gibt es nicht so viele andere, die so gut und einfach integrierbar sind wie die von S&T.
Beginnen wir also mit den Grundlagen: Secure Bootund TPMsind etablierte Mechanismen zur sicheren Identifizierung eines Geräts. Sie geben vor, welche Programme das System booten darf - typischerweise ist es ein Linux- oder Windows-System, das zusammen mit dem TPM 'entscheidet', ob eine bestimmte Anwendung ausgeführt werden darf. Im Detail generiert das TPM IDs oder Schlüssel, die nicht kopiert werden können. So kann man sicher sein, dass eine bestimmte Information wirklich aus dem eigenen System kommt. Das TPM hilft auch bei der Erstellung von Fingerabdrücken der Binärdateien oder Anwendungen.
Die erste Software, die in der Regel auf einem PC neben der Management Engine genutzt wird, ist jedoch typischerweise das Bios. Der Secure Boot verfügt über mehrere, definierte Speicherplätze für öffentliche Schlüssel. Abhängig von diesen Schlüsseln entscheidet er, ob der Loader, der typischerweise nach dem Bios gestartet wird, vertrauenswürdig ist und ausgeführt werden darf.
Erhöhte Sicherheit durch Services zusätzlich zur reinen Hardware
Beide beschriebenen Funktionen sind wirksam und dienen der Sicherheit, müssen aber richtig eingesetzt werden. Hier setzt S&T an und bietet zusätzliche Services rund um die Hardware an. Im Zusammenhang mit dem TPM bedeutet dies, dass die TPM-Chips korrekt initialisiert werden und die öffentlichen Schlüssel an den Kunden übergeben werden (so ist er sicher, dass ein Gerät ihm gehört). Dazu muss aber sichergestellt werden, dass ein dediziertes Gerät, z.B. Linux OS und Komponenten, geladen wird. Dafür wird ein, mit einem eindeutigen Schlüssel signiertes OS und Anwendungsimage generiert, und dieser öffentliche Teil wird an den Secure Boot-Mechanismus des Bios übergeben.
Jetzt haben wir also ein Secure OS (exakt die Komponenten, die wir ausgewählt haben/ohne Malware) auf unserem System, aber die Probleme beginnen mit der Anbindung ans Netz. Wann immer irgendwo eine Sicherheitslücke gefunden wird, benötigt das Betriebssystem in der Regel ein Update. Das bedeutet, jeder Kunde muss eigenständig sein Betriebssystem aktualisieren. Windows wird in der Regel die Updates übernehmen oder auch z.B. Canonical bietet einen Service für LTB-Versionen bestimmter Linux-Distributionen an. Aber neben dem reinen Update brauchen Kunden mehr, nämlich die Gewissheit, dass Geräte und deren Apps auch nach einem Update noch laufen.
Standards, aber maßgeschneidert
Wie können wir hier sichergehen? Als Grundlage greifen wir zunächst auf unsere Standardprodukte zurück, z.B ein Linux-System, das auf Yocto basiert, häufig auf Penetration getestet wird und Updates erhält, falls sie benötigt werden. Dies ist die Grundlage für alle unsere Firewall-Anwendungen und Remote-Lösungen. Da unsere Kunden jedoch oft sehr spezifische Anforderungen haben, kombinieren wir verschiedene Komponenten aus diesen Standardprodukten, um Lösungen maßzuschneidern. Im einfachsten Fall ist dies nur ein Penetrationstest, um zu prüfen, wie kritisch die Situation eines Produkts ist (wenn ein Gerät nicht vernetzt ist, sind viele potenzielle Gefahren natürlich nicht so akut). In komplexeren Szenarien erstellen und patchen wir ihre Systeme über den gesamten Lebenszyklus.
Natürlich beschreibt dies nur das sehr allgemeine Vorgehen. Wir bieten auch kleinere Systeme mit sehr chip-spezifischen Mechanismen oder Sensoren an, die nicht wirklich ein vollständiges Betriebssystem oder ein TPM haben. Insbesondere in der IoT- oder Sensorumgebung stellen wir diese Geräte typischerweise direkt in der Cloud-Installation unserer Kunden bereit. So können sie sicher sein, dass ein Gerät exakt das ist, was sie benötigen, brauchen nicht selbst daran herumwerkeln und können es direkt an Kunden oder den Installationsort versenden. So etablieren wir ein Standardvorgehen, das vollständig an die Bedürfnisse jedes Kunden angepasst werden kann.
Wie Secure Boot, TPM, Provisioning, Secure OS und "Cloud-Provisioning"im Detail funktionieren, werde ich im nächsten Beitrag behandeln.
Titelbild: AdobeStock
{{comment.comment}}