A busca por um padrão universal de segurança IoT

“Por que não existe um padrão de segurança universal para IoT?” É uma pergunta muito comum que nosso grupo de soluções de IoT ouça um pouco de desenvolvedores de IoT, tomadores de decisão e pesquisadores especialistas, independentemente do nível de conhecimento que eles têm no tópico. E é justo, afinal, existem padrões para praticamente qualquer ambiente de tecnologia, então por que não a IoT?

A resposta fácil é que a IoT é muito diversificada para ter um padrão definido. Embora seja verdade, isso não explica adequadamente o tópico com o nível de detalhes sutis que é garantido. Descobrimos que existem pelo menos três fatores de influência que impactam os padrões universais de IoT:heterogeneidade do dispositivo, padrões verticais específicos e conceitos arquitetônicos emergentes. Vamos dar uma olhada em cada um.

Natureza heterogênea dos dispositivos IoT

Os dispositivos IoT são diversos. Embora a maioria das pessoas pense em um dispositivo IoT como algo que podem ver, tocar e interagir, como um smartphone, elas são, na verdade, muito mais. Freqüentemente, eles não têm nenhuma interação humana. Eles são sensores que interagem com seu ambiente para relatar a temperatura em ambientes controlados, comunicar quando uma porta é aberta ou fechada em uma instalação remota ou informa sobre o status ligado / desligado de um interruptor de luz em um edifício inteligente. Eles são gateways que protegem as vias de comunicação, transferindo dados de um ponto final para a nuvem ou atuadores que desligam essas luzes quando ninguém está presente. Eles também são operações de infraestrutura crítica que alimentam o fornecimento de energia, mantêm ambientes de fabricação ou atendem centros de telecomunicações.

Existem inúmeros tipos de dispositivos IoT e como cada um é usado dentro de seu ambiente - seu caso de uso - também é único. Cada um tem recursos técnicos diferentes e podem ser integrados a várias plataformas de IoT. Os ambientes e dispositivos IoT às vezes são limitados na largura de banda ou na capacidade do dispositivo (bateria, armazenamento, computação). As plataformas de dispositivos IoT também têm uma enorme diversidade em suas plataformas de software, em comparação com a computação de desktop. Na computação de desktop, você está falando apenas de um punhado de sistemas operacionais (SOs), enquanto no lado do dispositivo o número de sistemas incorporados é muito maior, dada a natureza personalizada de muitas plataformas.

Encontrar padrões comuns entre tanta diversidade é um desafio e impede o desenvolvimento de padrões universais de IoT.

Líderes do setor com padrões específicos verticais

Apesar da miríade de dispositivos e de sua ampla variedade de casos de uso, os setores da indústria estão colaborando para criar padrões de conectividade e segurança IoT específicos para casos de uso. Existem padrões sendo propostos por aí.

Às vezes, esses padrões evoluem com o tempo. Podemos ver essa evolução se olharmos para as implantações baseadas em PKI dentro da IoT e compararmos como a PKI foi padronizada no mundo da PKI da web hoje. Na PKI da web, temos Autoridades de Certificação (CAs) públicas, o Fórum da Autoridade de Certificação / Navegador (CA / B) e os próprios navegadores da web. Existe uma forma de caso de uso tradicional e estabelecida de proteger servidores da web. Esse é um padrão e um caso de uso padrão bem aceito para PKI, onde os requisitos básicos do Fórum CA / B orientam isso. A necessidade de um padrão pelos navegadores é impulsionada por um ecossistema aberto de clientes no ambiente - todos os navegadores da web e usuários precisam se conectar a um conjunto aberto e amplo de servidores.

Conforme consideramos a PKI para ecossistemas de IoT, parte disso muda. Enquanto a PKI da web usa principalmente modelos de confiança públicos, a PKI para IoT tende a usar ecossistemas privados mais fechados. Nos ecossistemas de IoT atualmente, os modelos de confiança em muitos desses ecossistemas são muito mais fechados na confiança, uma vez que ainda está no estágio inicial de implantação. Geralmente, um OEM fornecerá toda a pilha, desde o dispositivo até a nuvem. Eles irão executar a nuvem ou, mais provavelmente, farão parceria com alguém para executar a nuvem, como a Microsoft ou a Amazon. Esses modelos de confiança de ecossistema estão atualmente fechados e isolados.

Essa configuração ainda está em desenvolvimento. Estamos vendo evoluções de padrões de identidade e padrões de identidade IoT em ecossistemas específicos mais verticais. Por exemplo, vemos padrões emergindo com grupos dos quais somos membros, como a Wi-SUN Alliance, uma organização que impulsiona a adoção de Redes Inteligentes Ubíquas Interoperáveis, e o LXI Consortium (LAN eXtensions for Instrumentation), um grupo de teste internacional de ponta e empresas de medição que colaboram para desenvolver e orientar o padrão de comunicações para instrumentação de teste e medição.

Existem muitos outros exemplos desses casos de uso específicos da indústria que estão gerando consistência em seus próprios domínios, como automotivo ou doméstico. Isso é algo que previmos que aconteceria e algo que consideramos quando começamos a entrar no espaço da IoT. Sabíamos que veríamos uma divergência inicial de onde os modelos de identidade são implantados na web hoje. Que mudaria para ecossistemas fechados e então começaria a crescer em ecossistemas semiprivados ou semipúblicos e, eventualmente, cresceria em algo que é mais amplo e equivalente como uma autenticação geral ou padrão de identidade para esses ecossistemas. Os verticais da indústria estão ajudando a estabelecer padrões básicos que provavelmente surgirão como padrões mais amplos à medida que a IoT amadurece.

Conceitos arquitetônicos emergentes

Cada vertical IoT e caso de uso tem padrões arquitetônicos diferentes. No entanto, estamos vendo alguns pontos em comum surgirem também, o que se materializou a partir da especificação IEEE 802.1 AR e está encontrando tração nos ecossistemas de IoT. É em torno dos componentes conceituais gerais e amplos de um IDevID e LDevID. Eles são aplicados em conceitos arquitetônicos que são um pouco mais agnósticos de caso de uso ou agnósticos verticais.

Um IDevID (identidade inicial do dispositivo) costuma durar muito tempo e é protegido por hardware seguro, além de representar a identidade central do dispositivo, como uma certidão de nascimento. Um LDevID (identidade do dispositivo local) é um certificado de nível de acesso significativo localmente que tem duração mais curta e fornece acesso ao ambiente, que pode ser considerado semelhante a uma carteira de motorista.

Este é um dos padrões de identidade arquitetônica agnósticos mais verticais que usamos com vários de nossos clientes existentes. É necessária uma consideração cuidadosa de sua cadeia de suprimentos para ser implementada. Primeiro, consideramos onde e como os IDevIDs são provisionados com segurança naquele dispositivo ou componente ou chipset - em qualquer nível da plataforma do dispositivo em que você deseja concebê-lo, bem como em que estágio do processo de fabricação. Em seguida, consideramos como potencializar alguns dos atributos de confiança de IDevID que foram provisionados de forma segura durante a fabricação em um LDevID operacional localmente significativo que pode ser usado para permitir que o dispositivo se conecte e opere no ecossistema IoT. Esses LDevIDs geralmente são alternados com mais frequência durante o ciclo de vida do dispositivo.

Este padrão IDevID / LDevID é um daqueles projetos de identidade arquitetônica em que a PKI está começando a se apoiar na IoT, e estamos usando alguns desses conceitos para proteger dispositivos e cadeias de suprimentos de ameaças emergentes.

Portanto, a resposta para a pergunta "Por que não existe um padrão de segurança universal para IoT?" é um pouco nebuloso e merece mais do que uma resposta de uma linha. A IoT não é apenas muito diversa para ter um único padrão, embora essa seja uma explicação legítima, mas também ainda está emergindo, crescendo e encontrando os fios comuns que podem eventualmente levar a algo mais homogêneo.