2 Jahre sind vergangen, seit Russland die Möglichkeit erhalten hat, IoT-Systeme auf Basis der NB-IoT-Technologie einzusetzen. Zähler, die ihre Indikatoren an den Wohnungsbau und die kommunalen Dienste senden, automatische Mikrowetterballons fernab der Zivilisation, intelligente Landwirtschaft - all dies wird bald Teil des Alltags.



Es ist wichtig, dass weder das Gerätesystem noch die von ihm gesammelten und übertragenen Daten gegen die Benutzer des Systems verwendet werden. Wenn Sie daran interessiert sind, wie der NB-IoT-Standard sie vor Netzwerkangriffen schützt, lade ich Sie unter cat ein.

Über Angriffe

Wie bereits erwähnt, sind im Bereich der Datenerfassung und -verarbeitung mithilfe des IoT Angriffe auf das Lesen von Daten (Abhören eines Kanals, unbefugter Zugriff auf Daten) und deren Ersetzung von primärem Interesse und Anliegen. Um ein Abhören zu verhindern, wird eine Verschlüsselung verwendet, und gegen Spoofing werden Mechanismen zur Überprüfung der Paketautorenschaft (Authentifizierung) verwendet, beispielsweise eine digitale Signatur (die auch eine Verschlüsselungsaufgabe darstellt) oder die in [1] beschriebene Methode für IoT-Systeme .



Es ist kein Geheimnis, dass gewöhnliche Computer und Smartphones heutzutage in der Lage sind, die Verschlüsselungsstärke des Kommunikationskanal-Verschlüsselers so sicherzustellen, dass das Aufbrechen auf einem modernen Supercomputer die Lebensdauer des Universums übersteigt, aber ein solcher Kryptowiderstand hat seinen Preis - die rechnerische Verschlüsselungszeit und die vom Gerät verbrauchte Energie. Ein intelligentes Messgerät, eine Batterie, die für 10 Jahre Dauerbetrieb ausreichen sollte und einen Monat lang nicht funktioniert, wenn jeder Tag nur die Punkte einer elliptischen Kurve zählt. Geschwindigkeit ist auch ein Problem: Sie benötigen nicht viel Rechenleistung, um einfache Vorgänge zum Aufnehmen und Senden von Messwerten auszuführen, was nicht über eine zuverlässige Verschlüsselung gesagt werden kann.



Standardmethoden zum Schutz von Informationen vor Netzwerkangriffen für Geräte mit geringem Stromverbrauch funktionieren nicht, da die für diese Geräte zulässigen Vorgänge nicht standardmäßig eingeschränkt sind. Andererseits führt der korrekte Aufbau des Netzwerks zu Einschränkungen für den Angreifer, und abhängig von den Einschränkungen des Standards wird der am besten geeignete Lightweight-Algorithmus ausgewählt ( [2] ).

Kurz über NB-IoT

Lassen Sie uns über den NB-IoT-Standard sprechen: Warum wird er benötigt, was beschreibt er und wie funktioniert er? Lassen Sie uns danach herausfinden, welche Einschränkungen dem Netzwerk auferlegt werden.



NB-IoT wurde entwickelt, um Netzwerke einfacher Aufzeichnungsgeräte (Terminal Devices oder OUs) von Mobilfunkbetreibern zu bedienen. Die Arbeit der Organisationseinheit besteht darin, einige Daten zu sammeln und sie in festgelegten Intervallen des Tages an den Verarbeitungsserver zu übertragen, wodurch diese Daten weiter entsorgt werden. Es ist die Übertragungstechnologie von der Physik zum Netzwerk, die im NB-IoT-Standard beschrieben wird.



In NB-IoT besteht keine Netzwerkverbindung zwischen dem internen Netzwerk von Endpunkten und dem externen Netzwerk des Verarbeitungsservers. Mit anderen Worten, der Betreiber trennt das Betriebssystemnetzwerk vom externen Netzwerk (tatsächlich vom Internet) und fungiert als Vermittler zwischen den beiden Netzwerken.







Aufgaben des Betreibers als Vermittler:

• einen Funkkanal für die Kommunikation mit jedem Betriebssystem unterhalten,
• Datenströme vom Verarbeitungsserver zum Betriebssystem und vom Betriebssystem zum Server übertragen,
• Ermöglichen Sie dem Handler-Server und nur diesem den Zugriff auf Lesestreams und die Steuerung.

Das heißt, die Nutzlast durchläuft drei separate Netzwerke: ein Gerätenetzwerk, das Infrastrukturnetzwerk eines Betreibers und das Internet. Ein Angreifer kann abhören oder ersetzen, wenn sich sein Gerät in einem dieser drei Netzwerke befindet. Daher ist die Frage nach der Sicherheit des über NB-IoT übertragenen Datenstroms in drei Bereiche unterteilt: seine Sicherheit in jedem der Netzwerke separat.



Lassen Sie das Problem der Datensicherheit innerhalb des Netzes des Betreibers weg und überlassen Sie es dem Gewissen des Betreibers, und betrachten Sie die beiden anderen.

Datensicherheit im externen Netzwerk

Versetzen wir uns in die Lage eines Angreifers. Vor uns liegen zwei kommunizierende Hosts: ein Handler-Server und eine Schnittstelle für den Zugriff auf die von der Organisationseinheit gesammelten Daten, die der Betreiber speziell für ihn bereitgestellt hat. Wir sind nicht daran interessiert, was sich hinter dieser Schnittstelle verbirgt - sie ist Teil der Infrastruktur des Anbieters.







Die Kommunikation zwischen dem Handler und der Bedienerschnittstelle ist die übliche Kommunikation zwischen zwei Hosts im Internet. Wie bereits erwähnt, sind sie leistungsstark genug, um sich mit kryptografisch starken Übertragungskanälen zu versorgen, sodass das Problem der Datensicherheit von einem Betriebssystem in einem externen Netzwerk nicht von Interesse ist.

Datensicherheit im Netz des Betreibers

Schauen wir uns nun das interne Netzwerk an.



Erstens ist das Netzwerk in gewissem Sinne isoliert: Es gibt keinen Netzwerkpfad von außen, es gibt nur die Möglichkeit eines direkten Eingriffs in seine Physik. Die physische Verbindung zwischen dem Betriebssystem und dem Bediener wird von einem Funkkanal auf einer der zugewiesenen Frequenzen ausgeführt. Die Netzwerktopologie besteht aus einer Reihe direkter Verbindungen zwischen dem Betriebssystem und dem Bediener, die alle statisch sind - vorinstalliert. Dies bedeutet, dass ein Angreifer, der mit einem Knoten in diesem Netzwerk interagieren möchte, sich als der gegenüberliegende Knoten ausgeben muss, damit der reale Knoten keinen Datenverkehr erkennt, der ihn imitiert. Wenn Datenverkehr über die Funkwelle übertragen wird, ist dies an sich keine triviale Aufgabe.





Darüber hinaus verschlüsseln wir weiterhin Pakete und authentifizieren uns bei der Verbindung.

Wichtig!

Der Betreiber ist nicht verpflichtet, den Datenverkehr im OU-Betreibernetzwerk zu verschlüsseln. Die Verschlüsselung ist als separater Dienst möglich, der von einer Organisation bezahlt wird, die ein IoT-System mithilfe eines NB-IoT-Operators bereitstellt.

Operationsverstärker sind nicht leistungsfähig genug, um schwere kryptografisch starke Verschlüsselungsalgorithmen zu verwenden, und die Stärke leichter Algorithmen ist spürbar geringer, was unter anderem bedeutet, dass ein Angreifer relativ wenige Pakete zur Analyse benötigt, bevor er den Algorithmusschlüssel herausfinden kann.



In NB-IoT wird die Effektivität von Lightweight-Verschlüsselungsalgorithmen dadurch erreicht, dass der Austausch von Paketen zwischen dem Betriebssystem und dem Betreiber einfach konzeptionell selten vorkommt: Einheiten von Paketen pro Tag (genauer gesagt über die für die Effizienz notwendige "Verkehrsknappheit" finden sich in [2]).) Es stellt sich heraus, dass ein Angreifer in kurzer Zeit einfach nirgendwo eine große Basis von Paketen zur Analyse nehmen kann: Jeder Verschlüsselungsalgorithmus in einem Netzwerk mit wenig Verkehr hält länger als in einer ähnlichen Situation in einem Netzwerk mit häufigem Verkehr.

Ergebnis

NB-IoT ist ein absolut zuverlässiger Servicestandard. Das Ersetzen des Verkehrs im internen Netzwerk (in der Mitte stehend) ist ein teures Unterfangen, da das Funksignal der Knoten voreinander verborgen werden muss. Darüber hinaus kann das Stehen in der Mitte erst gestartet werden, wenn die Knotenauthentifizierungsschlüssel bekannt sind, die wie alle vom Betriebssystem an den Bediener übertragenen Daten durch einen einfachen Verschlüsselungsalgorithmus ausreichend zuverlässig geschützt sind.

Versuche, im Netzwerk des Betreibers und im externen Netzwerk zu lesen oder "in der Mitte zu stehen", schlagen ebenfalls fehl, da die Geräte in diesen Netzwerken über genügend Rechenleistung verfügen, um den Datenverkehr sicher zu verschlüsseln. Wenn ein Angreifer andererseits die Daten des Betriebssystems kompromittieren möchte, wird er höchstwahrscheinlich über ein externes Netzwerk zielen: Der Datenverkehr ist am wenigsten vom Betreiber abhängig, und der Kunde ist dafür verantwortlich, der als großes Unternehmen viel weniger Geld für die Sicherheit seines Netzwerks ausgibt als Betreiber. Um das Problem der Sicherheit Ihrer Daten zu verstehen, müssen Sie zunächst untersuchen, wie die Organisation, die den Dienst direkt für Sie bereitstellt, das Sicherheitsproblem angeht.

Quellen und Links:

1. Yuxiang Feng, Wenhao Wang, Yukai Weng und Huanming Zhang
2. Saurabh Singh, Pradip Kumar Sharma, Seo Yeon Moon und Jong Hyuk Park: Fortschrittliche, leichte Verschlüsselungsalgorithmen für IoT-Geräte: Umfragen, Herausforderungen und Lösungen
3. 3GPP Release 13-Spezifikation - NB-IoT-Spezifikation
4. Der erste Artikel aus dem Zyklus über die Implementierung von NB-IoT von MTS - Ich empfehle diesen Zyklus als ersten Schritt beim Studium von NB-IoT