На круглом столе «Вопросы PKI в IoT» в рамках PKI-Форума эксперты обсудили актуальные вопросы: как развивать PKI для IoT, нужны ли новые стандарты, необходимы ли изменения в требованиях регуляторов и в НПА в целом.
Актуальность темы обусловлена тем, что только в России до 2025 года прогнозируется двукратный рост числа IoT/M2M устройств, подключенных к тем или иным облачным и корпоративным системам управления – до 50 млн. Растет необходимость обеспечения этих устройств и инфраструктур эффективными технологиями информационной безопасности.
«Применение PKI в Интернете вещей – тема интересная. Вендоры постепенно отходят от рынка только классического PKI, ищут новые ниши. И мне кажется, что рынок Интернета вещей может стать именно такой перспективной нишей», – заметил в начале дискуссии Дмитрий Гусев, заместитель генерального директора компании «ИнфоТеКС».
«Под Интернетом вещей можно понимать многое. В таких устройствах, как смартфоны, можно применять существующие технологии. Нам же сейчас интереснее говорить о более проблемных устройствах», – начала соруководитель рабочей группы ТК26 «Криптографические механизмы для индустриальных систем», АО «ИнфоТеКС», Ольга Шемякина. Продолжают развиваться протоколы передачи данных с низким энергопотреблением и широким радиусом действия. Этих протоколов достаточно много: LoRa, UNB, XNB, NB-Fi, NB-IoT. Помимо большого разнообразия, их особенности – небольшие объемы передачи данных, большая часть из них не основана на TCP/IP, часть из них чувствительна к задержкам. В то же времени на них распространяются традиционные требования к конфиденциальности, целостности и аутентификации.
Криптографические алгоритмы, таким образом, должны быть быстрыми, с низким энергопотреблением, иметь минимальный набор алгоритмов и небольшое количество добавленных байтов. Протоколы их защиты должны быть независимы от протоколов транспортного и канального уровней. Среди новых разработок были названы CV-сертификаты, сертификаты платежных систем. Спикер отметила, что сегодня в России нет форматов сертификатов ЭП, подходящих для M2M и IoT/IIoT. Также практически нет протоколов защищенного взаимодействия при использовании сертификатов.
Павел Смирнов, директор по развитию компании «КРИПТО-ПРО», поделился реальными сценариями применения IoT для получения телеметрии: это классические датчики, бортовые устройства на транспорте, различные счетчики. Такие решения характеризуются односторонней передачей данных, необходимостью обеспечения целостности, иногда – конфиденциальности.
Проблемы в данной сфере связаны с жизненным циклом датчика (зарубежное производство, ограниченные возможности ТО, невозможность дистанционного обновления ключей) и его возможностями (ограниченные вычислительные ресурсы при потенциально большом объеме собираемой информации). Таким образом эти проблемы могут привести к невозможности применения здесь классических PKI. Предлагается несколько решений этой проблемы: распределенное формирование подписи, схема управления симметричными ключами DUKPT, хэш-код будущего ключа в сертификате. Спикер отметил реальные сценарии применения IoT-систем на транспорте: электронная пломба при перевозке груза, экстренный вызов с автомобиля, страховая телематика с автомобиля.
«В первую очередь нам нужно объединить физический датчик с неким механизмом, который будет его идентифицировать. При этом необходимо «намертво приклеить» идентификатор к объекту идентификации. И здесь мы переходим от математики в физический мир. Не стоит также забывать, что на датчики воздействует множество физических, природных процессов», – начал Владимир Иванов, директор по развитию компании «Актив». Начиная работу с сертификатами, необходимо понимать, что разработанное решение должно охватывать миллиарды субъектов IoT. Например, необходимо построить PKI, способный быстро обслуживать беспрецедентное количество запросов, загружать и поддерживать списки отозванных сертификатов. Ожидается огромная нагрузка на сети передачи данных и онлайн-сервисы. «PKI в принципе применим к Интернету вещей, но в разумных пределах. Например, если в систему включены некие граничные устройства», – резюмировал спикер.
Генеральный директор компании «Аладдин Р.Д.» Сергей Груздев в докладе «Российская элементная база и криптография для обеспечения доверия и безопасности IoT-устройств для объектов КИИ» обратил внимание на то, что требования, которые сегодня прописываются в конкурсной документации (в том числе «продвинутые», с подключением ИБ-компаний), категорически недостаточны для безопасности IoT-устройств и создаваемой инфраструктуры.
Большинство современных IoT-устройств построены на базе микропроцессорной архитектуры ARM. Практически все ARM-процессоры и контроллеры выпускаются с закрытой TrustZone, которая может скрытно и необнаруживаемо выполнять шпионские функции. В то же время процессоры без TrustZone небезопасны и уязвимы. В качестве слагаемых безопасности IoT-устройств названы выбор правильной элементной базы, концепция Secure by Design, использование модуля доверенной загрузки, исполнение только доверенного кода, безопасность кода и возможность безопасного дистанционного обновления прошивки, встроенная Secure OS, изолирование критически важных приложений от «гостевой» ОС, «полицейский режим» для некоторых устройств, однозначная идентификация и взаимная строгая аутентификация IoT-устройств и хоста, защищенный канал передачи команд и данных, защищенное хранилище данных, безопасное дистанционное администрирование, централизованное управление жизненным циклом. Для реализации всех этих задач и нужен PKI. Без доверенной российской элементной базы выполнить все эти условия невозможно.
BIS Journal — главный медиапартнёр PKI-Форума Россия 2021.
