IoT Security - Cheatsheet

Sicherheitsprobleme spezifisch für IoT

Definition:

Sicherheitsprobleme spezifisch für IoT beziehen sich auf die besonderen Herausforderungen und Risiken, die mit der Absicherung von internetfähigen Geräten und Sensoren verbunden sind.

Details:

• Begrenzte Ressourcen: Eingeschränkte Rechenleistung und Energie begrenzen Sicherheitsprotokolle.
• Veraltete Firmware: Selten durchgeführte Updates führen zu anfälligen Systemen.
• Schwache Authentifizierung: Oftmals keine starken oder standardisierten Authentifizierungsmechanismen.
• Skalierbarkeit: Schwierigkeit, Sicherheitspraktiken auf viele Geräte zu skalieren.
• Datenintegrität: Gefahr von Manipulation und ungesicherter Datenübertragung.
• Sicherheitslücken in der Kommunikation: Unverschlüsselte oder schlecht verschlüsselte Datenübertragung.
• Physischer Zugriff: Geräte oft an öffentlich zugänglichen Orten, was sie für physische Angriffe anfällig macht.

Verschlüsselungsalgorithmen (AES, RSA, ECC)

Definition:

Verschlüsselungsalgorithmen schützen Daten durch Umwandlung in unlesbare Form, nur entschlüsselbar mit Schlüssel. AES, RSA und ECC sind prominente Algorithmen in IoT-Security.

Details:

• AES (Advanced Encryption Standard): Symmetrische Verschlüsselung, 128/192/256 Bit Schlüssel. Weit verbreitet wegen Geschwindigkeit und Sicherheit.
• RSA (Rivest-Shamir-Adleman): Asymmetrische Verschlüsselung, basiert auf Faktorisierung großer Zahlen. Langsamer, aber nützlich für Schlüsselaustausch und digitale Signaturen.
• ECC (Elliptic Curve Cryptography): Asymmetrische Verschlüsselung, nutzt Elliptische Kurven. Bietet gleiche Sicherheit wie RSA bei kürzeren Schlüsseln, daher effizient in Rechenleistung und Speicherplatz.

Firewall- und IDS/IPS-Lösungen

Definition:

Firewall- und IDS/IPS-Lösungen bieten Schutz für IoT-Infrastrukturen, indem sie unbefugte Zugriffe und Angriffe erkennen und blockieren.

Details:

• Firewall schützt Netzwerk, indem es eingehenden und ausgehenden Datenverkehr überwacht und filtert.
• IDS (Intrusion Detection System): erkennt potenzielle Sicherheitsverletzungen und alarmiert Administratoren.
• IPS (Intrusion Prevention System): erkennt und verhindert Sicherheitsverletzungen durch unmittelbare Eingriffe.
• Kombination aus Firewall und IDS/IPS bietet mehrschichtigen Schutz.
• Wichtige Protokolle und Ports konfigurieren.
• Regelmäßige Updates und Patches notwendig.

DTLS (Datagram Transport Layer Security)

Definition:

Ermöglicht sichere Kommunikation über Datagramm-Protokolle wie UDP, durch die Bereitstellung von Verschlüsselung, Datenintegrität und Authentifizierung.

Details:

• Nutzt TLS-Features für Datagramm-Gegebenheiten.
• Unterstützt kürzere Verbindungsaufbauzeiten und geringere Latenzen im Vergleich zu TLS.
• Wichtig für Echtzeitanwendungen wie VoIP und Online-Gaming.
• Unterstützt neue Handshake-Erweiterung für Schadensmanagement durch Paketverluste.
• Verwendet standardmäßige TLS-Ports, aber mit UDP statt TCP.

Risikoabschätzungsmodelle

Definition:

Modelle zur Bewertung und Quantifizierung von Risiken in IoT-Systemen.

Details:

• Bewertung der Eintrittswahrscheinlichkeit und Schadensausmaß.
• Häufig verwendete Modelle: quantitativer Ansatz, qualitativer Ansatz.
• Formeln: Risikogleichung: \( Risiko = Eintrittswahrscheinlichkeit * Auswirkung \)
• Risiko-Matrix: Visualisierung basierend auf beiden Faktoren.
• Ziel: Identifikation und Priorisierung von Sicherheitsmaßnahmen.

Secure Software Development Lifecycle (SDLC)

Definition:

Sichere Softwareentwicklung über den gesamten Lebenszyklus hinweg, von Planung bis Wartung, mit Fokus auf Sicherheitsaspekte.

Details:

• Einbindung von Sicherheitsanforderungen in jeder Phase
• Gefährdungsmodellierung und Risikobewertung
• Sicheres Codieren mit Best Practices
• Statische und dynamische Codeanalyse
• Sicherheitsüberprüfungen und Penetrationstests
• Regelmäßige Aktualisierungen und Patches
• Training und Bewusstseinsschaffung für Entwickler

DSGVO und IoT

Definition:

DSGVO (Datenschutz-Grundverordnung) regelt den Schutz personenbezogener Daten in der EU. Relevanz für IoT: Umgang und Schutz der gesammelten Daten.

Details:

• DSGVO-Anforderungen: Datenminimierung, Zweckbindung, Transparenz, Einwilligung, Rechte der Betroffenen
• IoT-Herausforderungen: Große Datenmengen, Sensordaten, Datenschutz über Lebenszyklus des Geräts
• Technische und organisatorische Maßnahmen notwendig
• Beispiele: Verschlüsselung, Anonymisierung, Zugriffskontrollen

Sicherheits- und Datenschutzprotokolle (VPN, SSL/TLS)

Definition:

Technologien zur sicheren Datenübertragung in Netzwerken, essentiell für IoT-Geräte.

Details:

• VPN (Virtual Private Network): Verschlüsselung des gesamten Datenverkehrs, Schutz vor Abhören und Man-in-the-Middle-Angriffen.
• SSL/TLS (Secure Sockets Layer/Transport Layer Security): Verschlüsselung von Daten zwischen Webbrowser und Server, Nutzerauthentifizierung, Datenintegrität.
• Wichtige Konzepte: Verschlüsselung, Authentifizierung, Integrität, Vertraulichkeit.
• Anwendung in IoT: Sicherstellung der Datenübertragung zwischen Geräten und Servern, Schutz sensibler Daten.