Вибір архітектури Remote Attestation для IoT

Визначення вимог до Remote Attestation у критичній інфраструктурі

У критичній інфраструктурі (КІ) компрометація IoT-пристроїв може призвести до катастрофічних наслідків, включаючи збої промислових процесів, простої, загрози безпеці та значні фінансові збитки. Наприклад, інцидент з Jeep у 2015 році, пов'язаний із вразливостями програмного забезпечення автомобіля, призвів до відкликання 1,4 мільйона машин та завдав шкоди репутації бренду. Вразливі IoT-пристрої можуть стати точкою входу для зловмисників, дозволяючи їм отримати несанкціонований доступ до мереж, викрасти конфіденційні дані або порушити роботу критичних систем та фізичної інфраструктури.

Для таких систем ключовими є показники Recovery Point Objective (RPO) та Recovery Time Objective (RTO). Для місійно-критичних систем (Tier 1) часто встановлюються вимоги RPO від «майже нульового» до кількох хвилин, а RTO – від кількох хвилин до менше ніж однієї години. У фінансовому секторі для критичних транзакційних систем RPO може становити менше 1 хвилини, а RTO – 15 хвилин. Системи охорони здоров'я, що підтримують догляд за пацієнтами, часто вимагають RTO менше 4 годин, а електронні медичні записи – RPO, що вимірюється хвилинами.

Водночас, IoT-пристрої в КІ часто мають обмежені обчислювальні ресурси, низьке енергоспоживання та можуть працювати на застарілому програмному забезпеченні, що ускладнює впровадження складних механізмів безпеки. Remote attestation, хоча й є ефективним інструментом, може створювати додаткову затримку та обчислювальне навантаження. Тому вибір архітектури повинен враховувати ці обмеження, забезпечуючи високий рівень довіри без надмірного впливу на продуктивність та вартість.

Апаратні архітектури Remote Attestation (TPM/TEE): переваги та обмеження

Апаратні архітектури remote attestation, що базуються на Trusted Platform Module (TPM) або Trusted Execution Environment (TEE), пропонують найвищий рівень довіри та стійкості до атак. TPM, зокрема TPM 2.0, є апаратним модулем, який забезпечує апаратний корінь довіри (hardware root of trust), безпечно зберігає криптографічні ключі та записує вимірювання процесу завантаження (boot process) у Регістри Конфігурації Платформи (PCRs). Це дозволяє криптографічно перевіряти стан пристрою під час завантаження. Trusted Computing Group (TCG) активно розробляє стандарти для attestation, включаючи специфікації DICE (Device Identifier Composition Engine), які надають керівництво для встановлення довіри в системах з TPM та без нього.

TEE, такі як ARM TrustZone, створюють ізольоване безпечне середовище для виконання програм та зберігання конфіденційних даних, використовуючи можливості процесора для ізоляції. Це дозволяє виконувати чутливі операції в захищеному просторі, ізольованому від основної операційної системи.

Переваги апаратних рішень полягають у їхній високій стійкості до програмних атак, оскільки вони забезпечують фізичну стійкість до несанкціонованого доступу (tamper-resistance) або виявлення втручання (tamper-evidence). Однак, TPM 2.0 може вносити затримку від 1 до 10 мс на операцію, що може бути неприйнятним для деяких низькопотужних IoT-пристроїв. Крім того, впровадження апаратних модулів збільшує вартість компонентів (Bill of Materials, BOM) та складність розробки. Незважаючи на це, інвестиції в безпечне апаратне забезпечення на ранніх етапах розробки часто окупаються в довгостроковій перспективі.

Програмні архітектури Remote Attestation: гнучкість та ризики

Програмні архітектури remote attestation покладаються виключно на програмні механізми для генерації та перевірки доказів цілісності системи. Цей підхід не вимагає спеціалізованого апаратного забезпечення, що робить його більш доступним для середовищ, де апаратні оновлення непрактичні або економічно недоцільні. Процес attestation зазвичай включає виконання заздалегідь визначених перевірок, збір системних вимірювань та застосування криптографічних методів для захисту цілісності результатів.

Основна перевага програмних рішень – їхня гнучкість та нижча вартість впровадження. Вони можуть бути застосовані до широкого спектру існуючих IoT-пристроїв, включаючи ті, що не мають вбудованих апаратних коренів довіри. Однак, програмні методи, як правило, менш надійні, ніж апаратні. Зловмисники з достатніми привілеями можуть обійти або маніпулювати програмним забезпеченням, відповідальним за генерацію доказів. Вони вразливі до атак, таких як side-channel атаки, rollback атаки, а також атаки на пам'ять даних, які часто виходять за рамки їхнього охоплення.

Вплив на продуктивність також є важливим фактором. Програмні методи можуть страждати від високої затримки. Наприклад, протоколи на основі контрольних сум пам'яті, такі як SWATT, можуть вносити значні накладні витрати на виконання через перенаправлення пам'яті, що впливає на загальний час відгуку. Незважаючи на це, деякі розробки прагнуть до енергоефективних програмних рішень на стандартному обладнанні.

Гібридні архітектури Remote Attestation: компроміс між безпекою та вартістю

Гібридні архітектури remote attestation поєднують елементи апаратних та програмних рішень, прагнучи досягти оптимального балансу між безпекою, продуктивністю та вартістю. У таких підходах апаратні корені довіри використовуються для захисту найбільш критичних частин процесу attestation, таких як зберігання ключів та початкові вимірювання, тоді як програмні компоненти обробляють додаткові перевірки або забезпечення політик. Це дозволяє використовувати мінімальний апаратний відбиток у поєднанні з програмним забезпеченням на пристроях для забезпечення необхідних гарантій.

Ефективність гібридних рішень полягає у здатності пом'якшувати ризики, притаманні суто програмним підходам, водночас уникаючи надмірної вартості та складності повністю апаратних систем. Вони можуть забезпечувати рівень безпеки, порівнянний з апаратними методами, пропонуючи при цьому гнучкість програмних рішень, зокрема, можливість роботи без постійного доступу до секретних ключів під час обчислення відповіді.

Прикладом гібридного підходу є протоколи, що використовують апаратний моніторинг для гарантування коректного виконання процесу attestation, підписуючи фінальну відповідь ключем лише тоді, коли обчислення є достовірним. Такі рішення можуть підтримувати переривання (interrupts) та виявляти атаки типу Time-of-Check-Time-of-Use (TOCTOU), що є значним покращенням порівняно з багатьма програмними та деякими апаратними методами. Гібридні архітектури також можуть бути масштабованими, наприклад, PUF-покращені протоколи паралельного attestation, які розподіляють пам'ять між вузлами рою IoT-пристроїв для швидкої верифікації з вбудованою апаратною безпекою.

Критерії вибору архітектури Remote Attestation для критичної інфраструктури

Вибір оптимальної архітектури remote attestation для IoT-пристроїв у критичній інфраструктурі вимагає ретельного аналізу за кількома ключовими критеріями:

• Рівень довіри (Trustworthiness): Наскільки архітектура стійка до атак та наскільки високий рівень впевненості вона надає щодо цілісності пристрою. Стандарти, такі як NIST SP 800-193, надають рекомендації щодо стійкості прошивки платформи та механізмів захисту, виявлення та відновлення після атак.
• Вплив на продуктивність пристрою: Обчислювальні ресурси та енергоспоживання IoT-пристроїв часто обмежені. Необхідно оцінити затримку (latency), пропускну здатність (throughput) та споживання енергії, які вносить механізм attestation.
• Вплив на продуктивність мережі: Обсяг трафіку, що генерується процесом attestation, може впливати на мережеві ресурси, особливо в масштабних розгортаннях IoT.
• Складність впровадження та підтримки: Наскільки легко інтегрувати архітектуру в існуючі системи, розробляти та підтримувати її протягом життєвого циклу пристрою.
• Вартість (BOM + розробка + експлуатація): Загальна вартість володіння (TCO), включаючи початкові витрати на апаратне забезпечення, розробку програмного забезпечення та поточні операційні витрати. Хоча апаратні рішення можуть мати вищу початкову вартість, вони часто є економічнішими в довгостроковій перспективі з точки зору експлуатаційних витрат.
• Гнучкість та масштабованість: Здатність архітектури адаптуватися до різних типів пристроїв, сценаріїв використання та масштабуватися для великих розгортань.
• Стійкість до відомих атак: Оцінка здатності архітектури протистояти поширеним загрозам, таким як підробка прошивки, атаки на пам'ять, DoS-атаки та фізичне втручання.

Ці критерії повинні бути інтегровані в процес прийняття рішень, щоб забезпечити, що обрана архітектура remote attestation не тільки відповідає вимогам безпеки, але й є практичною та економічно життєздатною для критичної інфраструктури.

Механізм вибору архітектури Remote Attestation

Ми в AZIOT розуміємо, що для керівників відділів кібербезпеки та архітекторів IoT-рішень у критичній інфраструктурі вибір правильної архітектури remote attestation є стратегічним рішенням, що безпосередньо впливає на стійкість та безпеку всієї системи. Наш досвід у проєктуванні та впровадженні комплексних рішень для промислового IoT дозволяє нам надавати експертну підтримку у виборі та інтеграції оптимальних механізмів attestation, що відповідають найвищим стандартам безпеки та продуктивності.

Оптимальний вибір архітектури remote attestation для IoT-пристроїв у критичній інфраструктурі – це не просто технічне, а стратегічне рішення. Воно вимагає глибокого розуміння компромісів між рівнем довіри, продуктивністю, вартістю та складністю впровадження. Ретельний аналіз цих факторів та застосування гібридних підходів дозволить створити стійку та безпечну архітектуру, здатну захистити критичні системи від постійно зростаючих кіберзагроз.

Дізнайтеся більше про інтеграцію та автоматизацію IoT-рішень на Intecracy solutions та inbase.com.ua solutions.