IoT-udvikling er som en Formel 1-racer uden sikkerhedsudstyr

• Af:
  
• John Nyberg

Der kommer i øjeblikket flere og flere krav til IoT-sikkerhed. Det betyder, at man bliver nødt til at komme i gang med at gøre IoT-sikkerhed til en konkurrenceparameter. Et godt sted at starte er at se på, hvor den største risiko er.

Man kan sammenligne IoT-sikkerhed – eller Cyber Security – med det nødvendige sikkerhedsudstyr i en Formel 1-racer. De ekstra stærke sikkerhedsseler og styrtbøjlen er med til at gøre, at man kan køre endnu hurtigere, påpeger Gert Læssøe Mikkelsen, der er leder af Alexandra Instituttets Security Lab. 

Det samme gør sig gældende med digitaliseringen af fysiske produkter. Det betyder, at virksomheder, der kobler produkter til nettet, er nødt til at foretage et skift og tage IoT-sikkerhed alvorligt. De kan ikke bare sige, at “det er ikke noget for os”. Fordi ellers gør konkurrenterne det bare.

"Lige nu ser vi et skift i kraft af, at vi får billigere hardware og billigere kommunikation. Det er blevet meget nemmere at have enheder, der kommunikerer. Det åbner op for Rapid Development, hvor man kan købe noget standard hardware og koble et standard operativsystem på, og så er man ellers i gang. Det giver konkurrencefordele for nogle virksomheder, der kan koble tjenester på deres produkter. Men er sikkerheden ikke på plads, så åbner de nye muligheder desværre også op for et mareridt af hackede enheder. Vi skulle gerne have en udvikling uden det mareridt," forklarer Gert Læssøe Mikkelsen.

Et lyskryds i København, der ikke virkede sidste år, fordi det skulle opdateres, er et godt eksempel på, at den fysiske verden bliver digital. Et andet eksempel er Mirai-angrebet, som peakede i 2016. Her blev hundredvis af kendte hjemmesider utilgængelige for millioner af brugere. Angrebet blev udløst af 200.000 til 300.000 inficerede IoT-enheder, som alle på samme tid begyndte at sende forespørgsler til de her tjenester, som så ikke kunne følge med.

Det var første gang, at man så et Denial-of-Service-angreb i så massiv skala. Det kom hovedsageligt fra routere, IP-kameraer og videooptagere, som er interessante, fordi de sidder på et ret godt forbundet internet og god strømforsyning. Begge dele var medvirkende til, at angrebet lykkedes, også fordi det er billig konsum-elektronik uden særlig meget sikkerhed:

"Angrebet var ikke særlig sofistikeret. Dem, der havde lavet angrebet, havde taget 68 kombinationer af brugernavne og kodeord. Et af dem var 123456! Det er jo lidt trist, fordi det gør, at IoT til tider får det her image med at være fuldstændig usikkert," forklarer Gert Læssøe Mikkelsen.

Netop dårlige passwords topper den top ti-liste, som OWASP har lavet over problemer med IoT-produkter.

Gert Læssøe Mikkelsen råder virksomheder til først og fremmest at fokusere på, hvor der er størst risiko. Engelske IoT Security Foundation har lavet en guide til risikoanalyse for IoT-produkter https://www.iotsecurityfoundation.org, som man bør kigge på.

"Det er en lettilgængelig guide og tjekliste, som giver mulighed for at se, hvilket niveau af sikkerhed, der er nødvendigt. Sandsynligheden er selvfølgelig større, hvis kompetencerne og motivationen er større. Men hvis systemets styrke er stor, er der selvfølgelig mindre risiko for, at der sker noget," siger han, og tilføjer:

"Den risikobaserede tilgang kan være en god måde at få snakket om de her impacts på tværs af organisationen. For det er vigtigt huske, at det ikke kun er en teknisk disciplin, som en eller anden ingeniør kan håndtere, uden at han eller hun har ledelsens opbakning".

Der er aktuelt mulighed for at få adgang til opdateret viden ved at deltage i et gratis virksomhedsforløb sammen med ti andre virksomheder. Projektet er en del af CIDI - Cybersecure IoT in Danish Industry, der er finansieret af Industriens Fond, og som har til formål at klæde virksomheder på til at være i forreste række, når det gælder digital produktsikkerhed. Parterne bag CIDI er Alexandra Instituttet, FORCE Technology, DTU Compute, IT-Universitetet og Industriens Fond.