15.09.2021

"PKI в принципе применим к Интернету вещей, но в разумных пределах"

<p>Интернет-портал ib-bank.ru, сентябрь, 2021<br>
Экспертный комментарий Сергея Груздева, генерального директора компании "Аладдин Р.Д."</p>

На круглом столе "Вопросы PKI в IoT" в рамках PKI-Форума эксперты обсудили актуальные вопросы: как развивать PKI для IoT, нужны ли новые стандарты, необходимы ли изменения в требованиях регуляторов и в НПА в целом.

Актуальность темы обусловлена тем, что только в России до 2025 года прогнозируется двукратный рост числа IoT/M2M устройств, подключённых к тем или иным облачным и корпоративным системам управления – до 50 млн. Растёт необходимость обеспечения этих устройств и инфраструктур эффективными технологиями информационной безопасности.

"Применение PKI в Интернете вещей – тема интересная. Вендоры постепенно отходят от рынка только классического PKI, ищут новые ниши. И мне кажется, что рынок Интернета вещей может стать именно такой перспективной нишей", – заметил в начале дискуссии Дмитрий Гусев, заместитель генерального директора компании "ИнфоТеКС".

"Под Интернетом вещей можно понимать многое. В таких устройствах, как смартфоны, можно применять существующие технологии. Нам же сейчас интереснее говорить о более проблемных устройствах", – начала соруководитель рабочей группы ТК26 "Криптографические механизмы для индустриальных систем", АО "ИнфоТеКС", Ольга Шемякина. Продолжают развиваться протоколы передачи данных с низким энергопотреблением и широким радиусом действия. Этих протоколов достаточно много: LoRa, UNB, XNB, NB-Fi, NB-IoT. Помимо большого разнообразия, их особенности – небольшие объёмы передачи данных, большая часть из них не основана на TCP/IP, часть из них чувствительна к задержкам. В то же время на них распространяются традиционные требования к конфиденциальности, целостности и аутентификации.

Криптографические алгоритмы, таким образом, должны быть быстрыми, с низким энергопотреблением, иметь минимальный набор алгоритмов и небольшое количество добавленных байтов. Протоколы их защиты должны быть независимы от протоколов транспортного и канального уровней. Среди новых разработок были названы CV-сертификаты, сертификаты платёжных систем. Спикер отметила, что сегодня в России нет форматов сертификатов ЭП, подходящих для M2M и IoT/IIoT. Также практически нет протоколов защищённого взаимодействия при использовании сертификатов.

Павел Смирнов, директор по развитию компании "КРИПТО-ПРО", поделился реальными сценариями применения IoT для получения телеметрии: это классические датчики, бортовые устройства на транспорте, различные счётчики. Такие решения характеризуются односторонней передачей данных, необходимостью обеспечения целостности, иногда – конфиденциальности.

Проблемы в данной сфере связаны с жизненным циклом датчика (зарубежное производство, ограниченные возможности ТО, невозможность дистанционного обновления ключей) и его возможностями (ограниченные вычислительные ресурсы при потенциально большом объёме собираемой информации). Таким образом эти проблемы могут привести к невозможности применения здесь классических PKI. Предлагается несколько решений этой проблемы: распределенное формирование подписи, схема управления симметричными ключами DUKPT, хэш-код будущего ключа в сертификате. Спикер отметил реальные сценарии применения IoT-систем на транспорте: электронная пломба при перевозке груза, экстренный вызов с автомобиля, страховая телематика с автомобиля.

"В первую очередь нам нужно объединить физический датчик с неким механизмом, который будет его идентифицировать. При этом необходимо "намертво приклеить" идентификатор к объекту идентификации. И здесь мы переходим от математики в физический мир. Не стоит также забывать, что на датчики воздействует множество физических, природных процессов", – начал Владимир Иванов, директор по развитию компании "Актив". Начиная работу с сертификатами, необходимо понимать, что разработанное решение должно охватывать миллиарды субъектов IoT. Например, необходимо построить PKI, способный быстро обслуживать беспрецедентное количество запросов, загружать и поддерживать списки отозванных сертификатов. Ожидается огромная нагрузка на сети передачи данных и онлайн-сервисы. "PKI в принципе применим к Интернету вещей, но в разумных пределах. Например, если в систему включены некие граничные устройства", – резюмировал спикер.

Генеральный директор компании "Аладдин Р.Д." Сергей Груздев в докладе "Российская элементная база и криптография для обеспечения доверия и безопасности IoT-устройств для объектов КИИ" обратил внимание на то, что требования, которые сегодня прописываются в конкурсной документации (в том числе "продвинутые", с подключением ИБ-компаний), категорически недостаточны для безопасности IoT-устройств и создаваемой инфраструктуры.

Большинство современных IoT-устройств построены на базе микропроцессорной архитектуры ARM. Практически все ARM-процессоры и контроллеры выпускаются с закрытой TrustZone, которая может скрытно и необнаруживаемо выполнять шпионские функции. В то же время процессоры без TrustZone небезопасны и уязвимы. В качестве слагаемых безопасности IoT-устройств названы выбор правильной элементной базы, концепция Secure by Design, использование модуля доверенной загрузки, исполнение только доверенного кода, безопасность кода и возможность безопасного дистанционного обновления прошивки, встроенная Secure OS, изолирование критически важных приложений от "гостевой" ОС, "полицейский режим" для некоторых устройств, однозначная идентификация и взаимная строгая аутентификация IoT-устройств и хоста, защищённый канал передачи команд и данных, защищённое хранилище данных, безопасное дистанционное администрирование, централизованное управление жизненным циклом. Для реализации всех этих задач и нужен PKI. Без доверенной российской элементной базы выполнить все эти условия невозможно.

Электронная версия