Sicherheit bei IoT. DOAG 2015 Andreas Chatziantoniou - Foxglove-IT BV

Transkript

1 Sicherheit bei IoT DOAG 2015 Andreas Chatziantoniou - Foxglove-IT BV

2 Bio Andreas Chatziantoniou Freelance Oracle Fusion Middleware Consultant 17 Jahre Oracle Erfahrung/27 Jahre IT (Unix/C) Oracle ACE

3 Agenda Werbung Einleitung Bedrohungen Wichtig für Entwickler, Architekten, Betreiber Oracle Software

4 Werbung

5 Einleitung Hier eine Übersicht der Oracle Reference Architecture for IoT Fällt jemandem etwas auf?

6 Oracle IoT Reference Architecture

7 Sicherheit bei IoT Wie auf der letzten Slide zu sehen war ist Sicherheit nicht als primäres Ziel erkannt Welche Bedrohungen gibt es? Was muss ich als Entwickler, Architekt und Betreiber solcher Infrastrukturen wissen? Welche Oracle Produkte unterstützen diese Zielsetzung? Bis zu welcher Stelle in der Architektur reicht die Verantwortung der verschiedenen Akteure?

8 Welche Bedrohungen gibt es? IoT Device wird angegriffen Bsp.: Sicherheitskamera Angreifer kann sehen was der Überwacher sehen kann Manipulation der Bilder Lösung: Zertifikate bei den IoT Devices Kommunikation wird angegriffen Manipulation der Daten Lösung Daten verschlüsseln

9 Welche Bedrohungen gibt es? Falsche Daten einspeisen Bsp.: Smartmeters Lösung: Tamper-Resistant/Responsive Security Module Zertifikate

10 Weitere Bedrohungen Schnelle Entwicklung der IoT Devices Viel mehr Daten Fast Data Real-time Responsiveness Security

11 Wichtig für Entwickler Start mit Open Web Application Security Project (OWASP) Internet of Things Top Ten Management von IoT benutzt meistens Web Interfaces Entwicklung dieser Interfaces muss Security Best Practices erfüllen

12 Wichtig für Entwickler IoT Entwicklung muss in privaten Netzwerken genau so abgesichert werden wie bei Internetanwendungen Firewalls können nur bedingt für Sicherheit sorgen

13 Wichtig für Entwickler Inputdaten immer überprüfen Sichere Protokolle benutzen Die meisten Hacks sind immer noch Injection of code through the URL

14 Wichtig für Entwickler SOAP Komplex und umständlich Definiert Vertrag und Nachrichtenformate Standard Security eingebaut XML und Binary REST Einfach in der Benutzung Nachrichtenformat frei definierbar Security ist schwierig JSON, Text, XML, Binary

15 Wichtig für Entwickler Kommunikation immer verschlüsseln Cookies verschlüsseln, falls dies nicht schon durch SSL geschieht Fehlerbehandlung abschirmen keine Hinweise geben wie z.b. falsches Password Alle Entwickler müssen ausgebildet werden um sicher zu entwickeln

16 Wichtig für Architekten Security muss in IoT Anwendungen von Anfang an dabei sein Grund hierfür ist die disconnected nature der Geräte Wichtig für Security ist die Möglichkeit für Updates (natürlich auch gesichert)

17 Wichtig für Architekten Spezifische Umgebungsrisiken erkennen Ist bei autonomous devices anders als bei passive devices Plan für Sicherheitsprobleme erstellen Was bedeuten Sicherheitsprobleme für den Rest der Enterprise-IT?

18 Wichtig für Architekten Sicherheitsprobleme an der Peripherie machen sich ggf. Unternehmensbreit bemerkbar Security Breach

19 Wichtig für Architekten Segmentierung von Netzwerken Containment von Sicherheitsproblemen Mehr Sicherheit

20 Wichtig für Architekten Notwendigkeit vom Speichern sensitiver Daten im IoT Device überdenken Kunden deutlich machen welche Daten im IoT Device sind Security notification Funktion anbieten IoT Devices haben oft kein Interface zur Kommunikation mit Benutzern

21 Wichtig für Betreiber Testen vor dem Go-Live Code Review White-Hat Hacking Black-Hat Hacking Security Monitoring

22 Was brauchen wir (Architekten, Entwickler, Betreiber)? Strong Authentication Device fingerprinting Device Blacklist

23 IoT Security Architecture IoT Device IoT Interfaces IDM Features IoT App Firewall - DMZ Authorization Authentication Profile OAM Directory Svc Fingerprinting & Tracking Device Registration Lost&Stolen Self-Service

24 Oracle Software Viele IoT Themen können mit herkömmlicher Oracle Software behandelt werden

25 IoT mit Oracle Software IoT Device Java Embedded Oracle Event Processing Embedded Oracle Database Mobile Server ADF Mobile

26 IoT mit Oracle Software Transport Oracle API Gateway Oracle Event Processing (Fast data) WebSockets Oracle Service Bus

27 IoT mit Oracle Software Interface WebLogic Server Oracle IDM Oracle GoldenGate Oracle Data Integrator Enterprise-IT Wie bisher

28 Bis wohin reicht meine Verantwortung? Wer kontrolliert das IoT Device? Intelligente Kühlschränke Milch ist alle Kunde klagt Industriele Automatisierung Produktion fällt aus

29 IoT ist Teil der Enterprise-IT Um jeden Fall die Viele-Billige-IoT- Systeme-mit-diversen-Architekturen verhindern Erst allgemeine Enterprise-IT Richtlinien erstellen dann entwickeln

30 A! Q? Disclaimer: Alle Bilder sind aus dem Internet geliehen ich bringe sie auch wieder zurück!