Sikring af tingets internet

Med en stationær computer eller smart mobilenhed er det nemt at tilføje sikkerhedsbeskyttelse. Bare installer en sikkerhedspakke eller en antivirus-app, så er du færdig. Det er let netop fordi de pågældende enheder kører avancerede operativsystemer, der håndterer multitasking og interprocess-kommunikation. Hele denne beskyttelsesmodel bryder sammen, når det drejer sig om de mange tilsluttede enheder, der udgør det, vi kalder Internet of Things (IoT).

Pc'er og smartphones har masser af processorkraft; de koster også masser af dollars. En producent, der ønsker at tilføje internetforbindelse til en dukke eller en stikkontakt, skal bruge så lidt som muligt, ellers er produktet ikke konkurrencedygtigt. Disse enheder har ikke engang et operativsystem som sådan. Alle koder er indlejret i firmware, og du kan ikke bare sko en antivirus i firmwaren.

I tilfælde af et sikkerhedsproblem eller anden fejl overskriver producenten simpelthen firmwaren med en ny version. Desværre kan skurke bruge den indbyggede firmwareopdateringsevne til ubehagelige formål. Hvad med at udskifte din smarte dørlåses firmware med en ny version, der gør alt, hvad den skal, men som også åbner for skurkens kommando? Denne form for angreb er almindelig, og resultaterne er normalt ubehagelige. Er der noget håb?

Arxan inde

På den nylige RSA-konference i San Francisco talte jeg med Patrick Kehoe, CMO for Arxan Technologies, og Jonathan Carter, projektleder for virksomhedens omvendt projekt og forebyggelse af kodemodifikation (ganske mundfuld!). På enkleste vilkår, hvad Carter's team gør, er at hjælpe appudviklere med at bage sikkerhed lige ind i firmwaren.

Carter forklarede, at nogle angreb mod IoT-enheder fokuserer på at opfange og manipulere eller duplikere netværkstrafik mellem enheden og en server eller en smartphone. Men Arxans beskyttelse går dybere. "Vi fokuserer på aktiviteten inden for den mobile enhed, inden for IoT-enheden, " sagde Carter. "Hvad vi gør bag kulisserne, vi stopper den onde fyr fra at opfange trafikken i første omgang. Dette er ikke på netværksniveau, det er inden for apps selv. På kørsel kan vi registrere om nogen har forsøgt at inficere firmwarekoden."

Når en udvikler sammenstiller kode ved hjælp af Arxans teknologi, indbygges selvbeskyttelse lige ind i firmwaren. Dens komponenter overvåger den aktive kode (og hinanden) for at registrere og forhindre enhver ændring. Afhængig af angrebet og udviklerens valg, kan beskyttelseskoden lukke en kompromitteret app, reparere skaden, sende en advarsel eller alle tre.

Kan ikke kopiere mig!

Hvis en angriberen formår at udskifte firmware helt, forsvinder naturligvis al denne beskyttelseskode sammen med resten af ​​den originale firmware. Det er her Arxan's tilsløringsteknologi kommer ind. Kort sagt, under oprettelsen af ​​firmwarekoden, bruger Arxan's teknologi mange forskellige tricks til at gøre demontering og reverse engineering af firmwaren ekstremt vanskelig.

Hvorfor er dette vigtigt? I et typisk angreb til firmwareudskiftning er skurerne nødt til at holde de eksisterende firmwarefunktioner i funktion. Hvis en hacket talende dukke holder op med at tale, vil du sandsynligvis smide den væk, før de slemme fyre kan bruge den til at væve ind i dit netværk. Hvis din hackede, smarte dørlås ikke åbnes for dig , lugter du en rotte.

Carter påpegede, at producenterne har andre grunde til at beskytte firmware mod reverse engineering. "De bekymrer sig om kloning eller forfalskning af IoT-enheder, " forklarede han. "Nogle producenter er bekymrede over at sælge endda en enhed i Kina. Før de ved det, vises der en knockoff til en brøkdel af prisen."

"Vi panser koden, " fortsatte Carter, "men udviklere skal stadig følge retningslinjerne for sikker kodning. De er nødt til at afbryde bufferoverløbsangreb og andre klassiske sårbarheder. Lad os bekymre os om krænkelser af integritet."

Du er mig

Carter påpegede en IoT-enhed med angrebspotentiale, som jeg ikke engang havde tænkt på. I disse dage modtager besøgende til Disney-forlystelsesparker et Magic Band, der lader dem låse op på hotelværelset, komme ind i parken og endda foretage køb. Det kvalificeres bestemt som en IoT-enhed. Hvis Beagle Boys hakker dit Magic Band, kunne de rense dit hotelværelse og derefter gå på en lækker middag på Blue Bayou… din godbit! "Selvfølgelig, " spottede Carter, "Disney er vanvittig stor på sikkerhed." Ak, jeg kunne ikke lokke ham til at uddybe.

Jeg må sige, jeg har bekymret mig for, at vi ikke kan sikre IoT. Jeg er ikke en firmwareudvikler, men for mig Arxan's tilgang, der lægger beskyttelse inde i hver enheds nødvendige firmware, virker som en meget fungerende tilgang.