Un PKI per l'IoT è davvero una buona idea?

18

Sto leggendo un po 'sulla sicurezza dei dispositivi IoT e ho trovato molti articoli che descrivono come un PKI sarebbe un miglioramento per l'infrastruttura attuale. Tuttavia, non sono convinto che la creazione di un PKI possa migliorare la sicurezza per la maggior parte dei casi di utilizzo dell'IoT. Mi stavo chiedendo se stavo vedendo qualcosa di sbagliato. Per fare un esempio:

Comprendo in che modo i dispositivi IoT utilizzati nei sistemi di controllo industriale trarrebbero vantaggio da una PKI, poiché di solito comunicano senza l'interferenza degli utenti e pertanto non possono utilizzare metodi tradizionali per l'autenticazione come password, dati biometrici e token.

Per i casi di utilizzo più basilari come fotocamere, forni a microonde o frigoriferi collegati a Internet, non vedo il valore aggiunto di una PKI. Sto trascurando qualcosa o PKI non migliora la sicurezza di questi dispositivi?

Modifica: alcuni esempi:

posta KojoUzochi 22.01.2018 - 11:11
fonte

1 risposta

48

Diamo un'occhiata al tuo frigo. Perché è connesso a Internet? Potrebbe inviare dati di manutenzione al produttore, connettersi ai negozi per ordinare il cibo per voi o dirvi il suo contenuto ("frigorifero, quante uova ho?").

Se classificare questi dati non hanno alcun impatto se influenzati negativamente, allora sì, un'infrastruttura enorme come PKI avrebbe scarso valore (il rischio è basso).

Ma non è così basso. Immagina un hacker che accede al tuo frigorifero per aumentare la temperatura e rovinare l'intero contenuto? Che dire di un hacker che accede al frigorifero e ordina tonnellate di cibo sul tuo account? Che cosa succede se il tipo di cibo che immagazzini indica certe informazioni sensibili su di te (solo cibi kosher o solo carne halal, improvvisamente non più alcol (incinta?), O un grosso ordine di succo di mirtillo che viene costantemente consumato (infezione del tratto urinario ?)). Che dire delle statistiche su quanto spesso viene aperta la porta (i proprietari sono lontani?) Valutare le informazioni in questo modo indica un livello di rischio abbastanza diverso.

PKI (correttamente implementato) può proteggere i dati di controllo (chi può ordinare, chi può accedere, chi può modificare le impostazioni) e può proteggere le informazioni a riposo e le informazioni in transito.

Immagina un processo di crittografia simile a WhatsApp o segnale in cui solo i certificati del produttore o l'app del telefono possono accedere alle funzioni di controllo o persino a determinati dati. Ecco dove PKI può essere utile.

    
risposta data 22.01.2018 - 12:37
fonte

Leggi altre domande sui tag