Sie sind hier: Home » Fachbeiträge » Grundlagen

IoT-Gateway überbrückt Kommunikationslücke

Was ist ein IoT-Gateway und wie lässt er sich am besten absichern?
Ein IoT-Gateway überbrückt die Kommunikationslücke zwischen IoT-Geräten, Sensoren, Ausrüstung, Systemen und der Cloud

Von Nisarg Desai, GlobalSign

Stellen Sie sich die betrieblichen Abläufe eines modernen Logistik-Unternehmens vor. Alle Fahrzeuge der Flotte werden über IoT-Geräte nachverfolgt. Sie haben ein Lager mit Lagerbestandsverfolgung und maschinenbetriebene Produktionslinien, die die Produkte erzeugen, die verpackt und zu Läden in der ganzen Welt transportiert werden. An der Produktionslinie messen IoT-Geräte und Sensoren die Leistung der Produktion und Maschinen. Sie haben IoT-Geräte und Sensoren, die den Lagerbestand messen und die Produktionslinie informieren, wie schnell sie aufgrund dieser Daten produzieren soll. Sie haben sogar IoT-Geräte, die Signale an die Fahrer senden, um ihnen mitzuteilen, wenn sie etwas abholen müssen. Und sie signalisieren das nur den LKWs, die dem Lager gerade am nächsten sind.

In diesem Szenario passiert eine Menge, das mit bloßem Auge nicht sichtbar ist - Geräte, die mit unterschiedlichen Protokollen über verschiedene Netzwerke wie WLAN, Ethernet, Z-Wave oder ZigBee miteinander kommunizieren. Geräte und Sensoren, die mit der Cloud kommunizieren und sogar die Cloud, die mit entscheidenden Systemen kommuniziert. Das alles wirkt schon einigermaßen erdrückend. IoT-Gateways lösen eine Reihe von Problemen, die dieses veraltete Modell mit sich bringt.

Was ist ein IoT-Gateway?
Ein IoT-Gateway überbrückt die Kommunikationslücke zwischen IoT-Geräten, Sensoren, Ausrüstung, Systemen und der Cloud. Durch die systematische Verbindung von Feld und Cloud, bieten IoT-Gateways lokale Verarbeitungs- und Speicherlösungen sowie die Möglichkeit, die Geräte im Feld durch Dateninput von Sensoren autonom zu steuern.

Ein Edge Gateway sitzt am Übergang von Edge-Systemen zwischen dem externen Internet und dem lokalen Intranet, das von den anderen Geräten im betreffenden Ökosystem verwendet wird. Es ist also der zentrale Zugriffspunkt für Netzwerkverbindungen, sowohl innerhalb als auch außerhalb des Geräte-Ökosystems.

Wie funktioniert ein IoT-Gateway?
Da Fähigkeiten und Bedürfnisse der Geräte gleichermaßen steigen, ist es oft nicht möglich, sie direkt mit Systemen kommunizieren zu lassen. Einige Sensoren und Controller unterstützen energieintensive Protokolle wie WLAN oder Bluetooth nicht. Einige Geräte aggregieren wertvolle Rohdaten in überwältigenden Mengen und alle verbinden sich mit einer Vielzahl von öffentlichen und privaten Netzwerken.

Ein IoT-Gateway hat verschiedene wichtige Funktionen: über die Übersetzung von Protokollen bis hin zur Verschlüsselung sowie dem Verarbeiten, Verwalten und Filtern von Daten. In einem IoT-Ökosystem sitzt ein Gateway zwischen Geräten und Sensoren, um mit der Cloud zu kommunizieren.

Warum einen IoT-Gateway verwenden?

Die Lücke zwischen OT und IT überbrücken
IoT-Gateways helfen, die Lücke zwischen Betrieb und IT-Infrastruktur innerhalb eines Unternehmens zu überbrücken. Sie schaffen das durch die Optimierung der Systemleistung mithilfe der Betriebsdaten, die sie im Feld oder an der Netzwerkgrenze sammeln und in Echtzeit verarbeiten.

IoT-Gateways bringen den OT- und IT-Silos eine Reihe von Verbesserungen:

• >> Hohe Skalierbarkeit – Sie können intelligente Daten aus dem Rechenzentrum oder der Cloud ins Feld oder zur Netzwerkgrenze schieben.
• >> Kosten senken – Seit ein Gateway das alles für sie erledigt, brauchen Endpunktgeräte weniger Rechenleistung, Speicher oder Storage.
• >> Schnellere Produktion – Beschleunigt die Produktionslinie und senkt die Durchlaufzeit.
• >> Telekommunikationskosten senken – Weniger M2M-Kommunikation bedeutet ein kleineres Netzwerk und weniger (WAN)-Verkehr.
• >> Risiken mindern – Gateways sind in der Lage Geräte und Sensoren zu isolieren, die nicht funktionieren. Uns zwar bevor sie innerhalb der Produktionslinie größere Probleme verursachen.

Eine Sicherheitsebene mehr
Mit einer wachsenden Anzahl von Geräten und Sensoren nimmt auch der Informationsaustausch zu, der über eine Kombination von öffentlichen und privaten Netzwerken stattfindet. Der Informationsaustausch zwischen den 'Dingen', dem Gateway und der Cloud muss folglich sicher sein, um Datenmanipulation oder uneingeschränkten Zugang zu verhindern.

Das geschieht in der Regel durch eine PKI-Infrastruktur, wobei jedes 'Ding', das kommuniziert, eine Identität erhält. Das heißt, ein kryptografisches Schlüsselpaar (oder digitales Zertifikat), mit dem die Kommunikation verschlüsselt werden kann. Ohne einen IoT-Gateway kann das allerdings recht aufwendig sein.

Angenommen, Sie verfügen über ein Tool, das alle Gerätezertifikate verwaltet, muss der Gateway Ihnen dabei helfen, Geräte einzuarbeiten (Installation von Zertifikaten und Bereitstellung der Identität). Weitere Einzelheiten zu diesem Thema finden Sie am Schluss dieses Textes.

Echtzeit-Updates im Feld
Sie bemerken beispielsweise eine Schwachstelle in Ihren Geräten, oder Sie stellen fest, dass einer der Sensoren Ihnen mitteilt, dass das Lager zu heiß ist. Ohne ein Gateway-Gerät müssten Sie manuelle Korrekturen vornehmen, da die Rechenleistung von Geräten und Sensoren zu gering ist, um diese Aufgabe selbst zu erledigen. Mit einem Gateway werden die Daten dorthin gesendet. Der Gateway ist so konfiguriert, dass er Firmware-Updates an alle Geräte sendet (d. h. hier intelligente Belüftungsklappen), wenn die Daten anzeigen, dass das Lager zu heiß ist.

Worauf Sie bei Herstellern von IoT-Gateways achten müssen
Da Sie nun wissen, was ein IoT-Gateway ist, spricht einiges dafür ihn im eigenen IoT Ökosystem einzusetzen. Wenn Sie es geschafft haben, die richtigen Leute im Unternehmen von den Vorteilen eines IoT-Gateways zu überzeugen ist der nächste Schritt der tatsächliche Kauf. Es gibt ein paar Dinge, die Sie vor dem Kauf eines IoT-Gateway-Geräts beachten sollten. Diese sind auch auf Prokarmas Blog übersichtlich aufgelistet.

Netzwerksicherheit
Der kommunizierende Kanal sollte mit starker Sicherheit und Verschlüsselung der Übertragung der IoT-Nutzlast ausgestattet sein.

Ausfallzeit
Es sollte einen Plan geben, wenn die Verbindungsgeschwindigkeit im Netzwerk eher niedrig ist oder nach der Datenmenge abgerechnet wird, die vom Gateway zur Cloud fließt. Prokarma rät zur Verwendung von Protokollen wie CoAP, MQTT oder UDP über TCP.

Verbindungsprobleme
Was passiert, wenn Sie keine Internetverbindung haben? Sie können nie sicher sein, dass der Betriebsablauf reibungslos ist. Die Software im Gateway sollte Risiken dieser Art minimieren indem sie verbindungsfrei läuft. Sie sollte zusätzlich Daten-Caching und Queuing von Daten nutzen, falls eine Verbindung für einen längeren Zeitraum ausfällt.

Remote-Updates
Ihr IoT-Gateway wird unweigerlich kabellose (OTA) Updates benötigen und daher braucht es ein Betriebssystem (OS) (wie Linux u. a.), das sie entsprechend unterstützt.

Stromversorgung
Ein Gateway-Gerät muss unvorhersehbare Einschaltzyklen überleben, wie z.B. Überlasten oder Stromausfälle. Es sollte in diesen Zuständen zumindest noch eine minimale Funktionalität bereitstellen und noch mit der Cloud kommunizieren, sodass es sich selbst wiederherstellen kann.

So sichern Sie ein IoT-Gateway
Es gibt drei wichtige Kernprinzipien der Sicherheit - Vertraulichkeit, Integrität und Authentifizierung. Sie müssen sicherstellen, dass die gesamte Kommunikation zwischen dem Gateway und den Geräten jeden der drei Grundsätze erfüllt, während die Kommunikation in den internen und externen Netzwerken stattfindet.

Es ist erwähnenswert, dass ein Gateway aus zwei Gründen oftmals als erstes angegriffen wird:
1. >> Der Gateway hat eine höhere Rechenleistung, die er verwendet, um (rechen)intensivere Anwendungen auszuführen. Mehr Leistung bedeutet bessere Software. Aber bessere Software bedeutet potenzielle mehr Schwachstellen, die ein Hacker ausnutzen kann.
2. >> Aufgrund der Position als Edge-Gerät zwischen Internet und Intranet, ist der Gateway der Eintrittspunkt für sämtliche Angriffsvektoren (sowie die erste Verteidigungslinie innerhalb eines Systems).

Um einen IoT-Gateway abzusichern empfehlen wir drei wichtige Schritte zu beherzigen:

>> Schritt 1: Identität für das Gateway-Gerät
Der erste Schritt ist, dem Gateway-Gerät eine Identität zu geben (durch ein digitales X.509-Zertifikat). Alle externen Objekte, die sich mit dem Gateway verbinden, können jetzt die Identität des Gateways verifizieren, was HTTPs- oder NTLS- Protokolle erlaubt. An Geräte oder Sensoren im Feld erteilte Befehle kommen nun von einem vertrauenswürdigen Gerät.

>> Schritt 2: Aktivieren Sie 'starke' Identität für das Gateway-Gerät
Da ein Gateway-Gerät anfällig für physische Manipulationen ist, können private Schlüssel extrahiert und geklont werden. Das macht ein Gateway-Gerät anfällig für Spoofing- oder sogar Man-in-the-Middle (MITM)-Angriffe.

Um das zu verhindern, sollte man zusätzliche Sicherheitsmaßnahmen ergreifen, wie zum Beispiel die Einbettung eines Trusted Platform Module (TPM) mit einer PUF (Physical Unclonable Funktion) im Gateway. So sind die privaten Schlüssel aller digitalen Zertifikate sicher gespeichert und es ist gewährleistet, dass sie den Gateway nie verlassen.

>> Schritt 3: Verwenden Sie den Gateway, um dem Ökosystem eine Identität zu geben
Da jetzt im Gateway-Gerät eine starke Identität aktiviert ist sollte man sie für die Geräte und Sensoren im Feld auch haben. Da sich einige davon wahrscheinlich nicht mit dem Internet verbinden können, ist die Bereitstellung von Identität über einen Certificate Management Service (Zertifikatmanagementdienst) ohne Gateway schwierig.

Stattdessen kann man den Gateway als vertrauenswürdigen Sicherheitsmechanismus verwenden, um alles abzusichern, das mit dem Gateway im Intranet verbunden ist. Der Gateway fungiert als Proxy zwischen der Plattform (CA-Dienste) und den Geräten im Feld. Wie beim Gerät selbst, passiert das selbstverständlich über die Standard-PKI-Infrastruktur, das heißt mit einem X.509-Zertifikat über eine private Hierarchie.

Jetzt sind Gateway und Geräte abgesichert und damit die gesamte Kommunikation im Intranet. Sicherheit, Vertraulichkeit und Authentifizierung sichern das IoT-Ökosystem Ende-zu-Ende mit einer PKI-Infrastruktur.

Das IoT boomt und eh wir uns versehen, werden wir IoT-Ökosysteme in praktisch jedem Unternehmen haben. Jetzt ist der Zeitpunkt, um über Sicherheit versus Bequemlichkeit nachzudenken. Weitere Informationen zu GlobalSigns Public Key Infrastructure und Identity und Access Management Lösungen. (GlobalSign: ra)

eingetragen: 26.09.16
Home & Newsletterlauf: 18.10.16

GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Grundlagen

Zertifikat ist allerdings nicht gleich Zertifikat
Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.
Datensicherheit und -kontrolle mit CASBs
Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.
KI: Neue Spielregeln für IT-Sicherheit
Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.
DDoS-Angriffe nehmen weiter Fahrt auf
DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.
Fluch und Segen des Darkwebs
Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.

Nachweis der Identität eines Online-Benutzers Reality Check: Was ist ihr RTO?