Meilleures pratiques IIC Endpoint Security

Tout récemment, The Industrial Internet Consortium a publié un article intéressant avec ses meilleures pratiques de sécurité recommandées pour le point de terminaison.

Barbara IoT est toujours enthousiasmée par ce type d'initiatives, car nous croyons fermement qu'il y a beaucoup de travail à faire en matière de sécurité IoT et que l'appareil est probablement le maillon le plus faible actuellement présent dans la chaîne de valeur IoT. Et comme nous le savons, la chaîne est aussi solide que le maillon le plus faible, donc la sécurisation des appareils serait un must (si ce n'est déjà fait).

Cet article passe en revue les principes de base des recommandations IIC et les met en correspondance avec la plate-forme logicielle Barbara, une solution sécurisée pour le cycle de vie des appareils IoT. Le tableau suivant résume la matrice de conformité:

Mais entrons dans les détails….

Niveaux de sécurité:

IIC définit trois niveaux de sécurité, Security Level Basic (SLB), Security Level Enhanced (SLE) et Security Level Critical (SLC), correspondant aux niveaux de sécurité 2, 3 et 4 définis dans la CEI 62443 3–3. Le niveau de base protège contre les «violations intentionnelles à l'aide de moyens simples avec de faibles ressources». Un niveau amélioré protège notre système contre «des moyens sophistiqués avec des ressources modérées». Le niveau critique renforce la protection des «moyens sophistiqués avec des ressources étendues». Selon l'application et les circonstances, vous devez protéger votre point de terminaison avec le niveau de sécurité approprié.

Sur la base de ces niveaux de sécurité, IIC propose trois architectures différentes qui devraient être basées sur des normes ouvertes et devraient être interopérables entre des points de terminaison multi-fournisseurs et multi-plateformes pour être considérés comme sûrs.

Architectures proposées par IIC

Approfondissons chacun de ces composants, décrivez-les plus en détail et découvrez comment Barbara Software Platform se conforme aux directives IIC.

Racine de confiance:

Root of Trust (RoT) constitue la base de la sécurité de chaque point de terminaison et fournit des fonctionnalités telles que l'identité du point de terminaison et l'attestation de l'identité et de l'intégrité du logiciel et du matériel. Comme vous pouvez l'imaginer, le point final sera aussi solide que la racine de confiance, donc une implémentation sécurisée de la racine de confiance est obligatoire.

Plus précisément, IIC affirme que pour des niveaux de sécurité améliorés et critiques, Root of Trust doit être implémenté en fonction du matériel. Pour se conformer aux recommandations IIC, nous pouvons avoir besoin d'une puce de sécurité matérielle spécifique (ou similaire) avec une résistance à la falsification.

En ce qui concerne Root of Trust, Barbara Software Platform rassemble toutes les fonctionnalités de sécurité pour renforcer Root of Trust. Notre pile logicielle utilise une infrastructure à clé publique (infrastructure à clé publique basée sur des normes de cryptographie à clé publique) et fournit les crochets correspondants pour permettre des intégrations faciles avec les modules de plate-forme de confiance du choix du client.

Identité du point de terminaison:

L'identité du point de terminaison est un composant de base permettant de tirer le meilleur parti des fonctionnalités de sécurité. Selon les recommandations de l'IIC, le support PKI (Public Key Infrastructure) est obligatoire pour couvrir les niveaux de base, améliorés et critiques. Il est également recommandé de mettre en œuvre un protocole de gestion de certificat standard ouvert pour l'émission et la gestion des certificats à partir d'une autorité de certification interne ou externe (autorité de certification).

Comme indiqué précédemment, Barbara Software Platform inclut sa propre PKI basée sur PKCS (Freeipa, www.freeipa.org/). FreeIPA est une solution intégrée d'identité et d'authentification qui fournit des informations d'authentification, d'autorisation et de compte centralisées. Comme demandé par IIC, FreeIPA est construit sur des composants Open Source bien connus et des protocoles standard.

Démarrage sécurisé:

Un système fiable de démarrage sécurisé protégeant cryptographiquement la mise sous tension des terminaux est à nouveau une exigence pour les niveaux de base, améliorés et critiques. Selon les meilleures pratiques IIC, cela peut être implémenté des hachages cryptographiques basés sur PKCS (Public Key Cryptography Standards). En faisant cela, nous pouvons être sûrs qu'un logiciel sans les clés appropriées serait capable de démarrer l'appareil. Barbara Software Platform peut être portée sur des cartes matérielles prenant en charge un démarrage sécurisé dans un effort raisonnable.

Services cryptographiques et communications sécurisées:

L'utilisation de la cryptographie pendant le transport de données (en mouvement), pour le stockage de données (au repos) et les applications (en cours d'utilisation) est une exigence claire pour les trois niveaux de sécurité susmentionnés (de base, amélioré, critique). Les fonctionnalités nécessaires pour fournir une telle protection sont:

  • Algorithmes cryptographiques basés sur des standards validés par le NIST / FIPS.
  • Suites de chiffrement asymétriques et symétriques, fonctions de hachage et nombre aléatoire. générateurs suffisamment puissants et basés sur PKCS (Public Key Cryptography Standards)
  • Capacité de mise à jour sur le terrain des algorithmes cryptographiques pour pouvoir couvrir les vulnérabilités possibles.
  • Contrôle basé sur des règles d'utilisation des applications de fonctions cryptographiques, en évitant l'utilisation d'une cryptographie non sécurisée.
  • Interopérabilité des clés de chiffrement et des certificats entre les systèmes multifournisseurs.

La plate-forme logicielle Barbara met en œuvre plusieurs fonctionnalités qui garantissent la qualité des services cryptographiques. Il utilise LUKS par défaut, qui est la norme pour le chiffrement du disque dur LINUX. LUKS est ouvert, il est donc facilement auditable et il est basé sur PKCS comme recommandé.

Côté transport de données, Barbara OS contient les bibliothèques requises pour communiquer à l'aide de protocoles d'application standard IoT via un transport chiffré (TLS et DTLS).

De plus, une pile de communications sécurisée de bout en bout est requise pour les trois niveaux définis. Cette pile de communications devrait inclure la prise en charge de l'authentification, de la connectivité protégée, du pare-feu de point final et de l'inclusion de protocoles de transport sécurisés (TLS, DTLS, SSH…). Toutes ces fonctionnalités sont incluses dans la plate-forme logicielle Barbara, de sorte que TOUTES les communications Barbara sont authentifiées et cryptées.

Configuration et gestion des terminaux

Et un système évolutif pour mettre à jour le système d'exploitation, les applications et / ou la configuration de l'appareil est nécessaire pour se conformer aux niveaux améliorés et critiques, en tenant compte du fait qu'il peut être nécessaire d'effectuer de telles mises à jour sur plus d'un million de points de terminaison en même temps. Bien entendu, toutes ces opérations doivent être effectuées dans un environnement sécurisé, y compris la validation basée sur un certificat entre l'entité desservant la mise à jour et le point final qui la reçoit.

À cet égard, la plate-forme logicielle Barbara comprend le panneau Barbara. Barbara Panel est la solution côté serveur pour gérer tous les points de terminaison d'un déploiement IoT. Il fournit une console simple et centralisée pour la gestion des mises à jour OTA (Over The Air), la surveillance des appareils et la gestion de la configuration. Toutes ces fonctionnalités sont offertes dans un environnement de sécurité de premier ordre.

Contrôle continu

La surveillance en temps réel du point de terminaison est une exigence pour le niveau de sécurité critique, selon IIC. Cela permettrait à l'utilisateur de contrôler et d'empêcher les modifications non autorisées de la configuration et d'avoir un contrôle au niveau de l'application pour détecter et empêcher les activités non autorisées comme l'utilisation de chiffrements non sécurisés pouvant compromettre le système.

Barbara Panel comprend un système d'alerte qui permettrait à l'utilisateur de recevoir des alertes de sécurité prédéfinies et de définir ses propres alertes et de les envoyer aux points de terminaison.

Tableau de bord des politiques et des activités

Pour être conforme au niveau critique, il est nécessaire de pouvoir gérer les points de terminaison à distance. L'administrateur système doit être en mesure de pousser et d'exécuter des politiques de manière à garantir la distribution correcte des politiques sur le réseau, agissant ainsi comme un cadre de sécurité efficace.

Barbara Panel permet aux gestionnaires de déploiement de surveiller les activités des points de terminaison et de définir et de pousser les politiques de sécurité en fonction des informations acquises. Par exemple, de nouvelles stratégies peuvent déployer de nouvelles règles dans le pare-feu susmentionné lorsque des modèles de communication suspects sont détectés.

Informations système et gestion des événements

Liée à l'ancien paragraphe, la capacité de capturer les journaux des événements et de définir et distribuer des politiques basées sur les informations des journaux est également une exigence pour le niveau critique. Il est recommandé que ces opérations de gestion soient effectuées à l'aide de modèles de données ou de formats extensibles comme l'API REST ou JSON.

Le système d'enregistrement Barbara Software Platform fournit aux administrateurs système de grandes quantités d'informations qui seraient utilisées pour la génération de politiques de sécurité.

Conclusion

Barbara IoT fait un énorme effort pour construire un produit sécurisé. Un produit utilisable dans les scénarios les plus exigeants en termes de sécurité industrielle. Comme IIC, nous pensons que ce type d'initiatives peut aider l'ensemble de l'écosystème de l'industrie en favorisant la confiance et en responsabilisant tous les acteurs de l'écosystème.

Les références:

  • http://www.iiconsortium.org/
  • Meilleures pratiques IIC Endpoint Security; IIC: WHT: IN17: V1.0: PB: 20180312 Steve Hanna, Srinivas Kumar, Dean Weber.
  • https://github.com/guardianproject/luks/wiki
  • Ce que les utilisateurs devraient savoir sur le Full Disk Encryption basé sur LUKS, Simone Bossi et Andrea Visconti; Laboratoire de cryptographie et de codage (CLUB), Département d'informatique, Universitá degli Studi di Milano http://www.club.di.unimi.it/

Cet article a été initialement publié sur barbaraiot.com le 6 juin 2018. Si vous l'aimez et souhaitez recevoir un contenu similaire, abonnez-vous à notre newsletter