IT I ALTING SIKKERHED I INGENTING? Identity Architect, Ph.d Gert Læssøe Mikkelsen

Transkript

1 IT I ALTING SIKKERHED I INGENTING? Identity Architect, Ph.d Gert Læssøe Mikkelsen Gert.l.Mikkelsen@Alexandra.dk

2 ALEXANDRA INSTITUTTET A/S Almennyttigt anvendelsorienteret forskning fokus på IT GTS Godkendt Teknologisk Service (1 af 9 GTSinstitutter i DK) Ca. 100 ansatte generating R&D Researchers Providers Users Commercial Development Consultancy Ideation Networks Dissemination Side 2 inspiration

3 SECURITY LAB Forskningsprojekter Kommercielle opgaver IoT Identitet på nettet i et globalt perspectiv IT i alting, Sikkerhed i ingenting? Side 3

4 IT I ALTING SIKKERHED I INGENTING?

5 Side 5

6 Side 6 WIRED Magazine

7 TESLA HACK Side 7

8 HACKER GOD ELLER OND? Henvendelser vedr. kompromitteringer. Dem der finder sikkerhedsproblemer i IoT-produkter enten: Fortæller om det Holder det hemmeligt Kan give økonomisk gevinst for dem ikke jer Side 8

9 PATCH MANAGEMENT HAV EN PLAN B Plan A: Lav et produkt uden sikkerhedshuller Plan B: Når nogen har fundet et sikkerhedshul i jeres produkt Så hav en plan for at kunne opdaterer Support: hvor længe? Indtil kunden har købt det? 2 år? 10 år? 20 år? Side 9

10 DISKUSSION Hvilke IoT/Smarte produkter har I derhjemme? Hvilke overvejelser omkring sikkerhed har I haft omkring disse? Har I valgt et produkt til eller fra pga. sikkerhed? Side 10

11 FORSKELLIGE TYPER TRUSLER Safety liv og helbred Privacy Datalæk fra produktet Datalæk fra apps Datalæk fra backend Produktet holder op med at virke Økonomisk incitament Adgang til andre systemer Side 11

12 ADGANGSKONTROL Både på produktet, backend, apps osv. Passwords er altid et problem Default passwords er endnu værre Større problemer når produkter/services kobles sammen Side 12

13 OPFIND IKKE JERES EGEN SIKKERHED! WPS WI-FI Protected Setup OSGP Open Smart Grid Protocol Dumb Crypto in Smart Grids 2015 Brug ordentlige standarder, metoder og biblioteker til sikkerhedskritiske dele Side 15

14 BRUG DE RIGTIGE VÆRKTØJER - KRYPTO ER SVÆRT Kryptografi kan være svært at bruge rigtigt! The Most Dangerous Code in the World: Validating SSL Certificates in Non-Browser Software 2012 Nøgle håndtering! Side 16

15 EKSTERNE LEVERANDØRER HARDWARE OG SOFTWARE Sikkerhed? Kan HW understøtte kryptografi? Kraftig nok Tilgang til ordentligt tilfældighed vigtigt for kryptografi Stort problem for embeddede systemer bla. routere Er der support/sikkerhedsopdateringer i hele jeres produkts levetid? Eller kan I skifte leverandør? Side 17

16 SECURITY BY DESIGN Sikkerhed er ikke en add-on feature der klisters på til sidst Sikkerhed skal tænkes ind fra starten af designfasen Privacy by design Ser ud til at komme med i den nye EU Persondata forordning Desværre nok mest relevant (juridisk) i en evt. backend Side 18

17 DISKUSSION Hvem har ansvaret for sikkerheden i IoT/Smarte produkter? Hvordan sikre vi at de tager dette ansvar på sig? Side 19

18 KRITISK INFRASTRUKTUR FX CHPCOM Mål: standardisere kommunikation i EL-nettet især omkring decentrale kraftvarmeværker. Fleksibilitet Nemmere administration Maskinadgang til nye data Lavere omkostning ved at skifte samarbejdspartnere. Osv. Fandt ud af at sikkerhed var vigtigt at få med Side 20

19 CHPCOM Outside the power plant Inside the power plant Internettet! Side 21

20 CHPCOM Hjørnesten i PKI CA Certificate Authority Talking to strangers! Tillid baseret på? Outside the power plant Inside the power plant Side 22

21 CHPCOM Hærdning Nye bokse mod internettet Kommunikation Kryptografi RBAC PKI Setup/skalerbart PKI RBAC Outside the power plant Inside the power plant Side 23

22 DISKUSSION Hvordan har I det med at kritisk infrastruktur kommer på internettet? Hvordan sikre vi at vi som samfund er klar til dette (ikke kun teknisk) Side 24

23 IT-SIKKERHED - RISIKOVURDERING Fortrolighed Integritet (autenticitet) Tilgængelighed Sikker computer - en der Sikkert produkt - et der ikke ikke er på nettet?! er på nettet?! Perfekt sikkerhed findes ikke, hvad så? Cost/benefit! Hvordan? Side 25

24 RISIKOVURDERINGSPROCES. OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) Side 26

25 RISIKOVURDERING Impact Likelihood Very low Low Medium High Very high very low low medium high very high The Risk Level: Low Medium High

26 HVILKE ASSETS? Assets er ikke kun data Det kan også være konfiguration Problemer med SSL validering Problemet: Lækkede google login kontooplysninger Side 28

27 GUIDES/BEST PRACTICE Flere gode vejledninger er på vej. Securing Smart Home Environments, Good practices and recommendations - Enisa rapport november OWASP Internet of Things Project (DRAFT) OWASP andre guides IoT Trust Framework - Security, Privacy & Sustainability (DRAFT) Online Trust Alliance Der er flere på vej. Måske er der standarder/compliance indenfor jeres felt Side 29

28 BABY ALARMER Video det er en god ide Internet det er en god ide Rapid 7 har undersøgt IoT babyalarmer og fandt problemer i 8 produkter Mangelfuld autentifikation på produktet og backend Manglende kryptering Default passwords Én producent (Philips) reagerede på henvendelserne Side 30

29 VEJEN TIL HELVEDE ER BROLAGT MED IOT OG SMARTE PRODUKTER Gode intentioner Fokus på funktionalitet Gammelt hardware på internettet Crowd funding/opstartsvirksomheder/ukendte producenter Side 31

30 VEJEN TIL HELVEDE ER BROLAGT MED IOT OG SMARTE PRODUKTER Vil min nye IoT Smart brandalarm virke hvis der er ild i min WiFi router? Side 32

31 VEJEN TIL HELVEDE ER BROLAGT MED IOT OG SMARTE PRODUKTER Vil min nye IoT Smart brandalarm virke hvis der er ild i min WiFi router? Vil min Smartlås virke, hvis jeg opdatere min smartphone Side 33

32 DANSKE VIRKSOMHEDER ER KENDT FOR KVALITET Danske virksomheder er kendt produkter af høj kvalitet. Lad det være tilfældet med jeres kommende internetopkoblede produkter. Dette er muligt, hvis vi tager sikkerheden seriøst! Side 34

33 Side 35 Tak for opmærksomheden!