Gibt es einen Vorteil bei der Verschlüsselung von Sensordaten, die nicht privat sind?

Einige Websites, wie dieser Artikel zur End-to-End-Verschlüsselung für das Internet der Dinge , empfehlen, den gesamten Datenverkehr, der über das Internet der Dinge (IoT) gesendet wird, zu verschlüsseln.

Unternehmen, Regierungsbehörden und andere Organisationen sollten eine Strategie zum Schutz vor Verstößen gegen das Internet der Dinge (IoT) verfolgen.

Ich kann verstehen, dass vertrauliche Daten verschlüsselt werden müssen, z. B. die Befehle zum Sperren / Entsperren eines Smart-Lock-Geräts. Muss jedoch wirklich alles verschlüsselt werden , z. B. der Sensor, der den aktuellen Thermostatwert meldet?

Ist es einfach so, dass "alles verschlüsseln" die Leute davon abhält, Daten zu verschlüsseln, die wirklich verschlüsselt werden sollten, oder ist es ein echter Vorteil, Kryptographie zu verwenden, trotz der zusätzlichen Leistung, Zeit und Kosten?

Auf jeden Fall, weil:

1. Ein sicheres Gerät und Kanal bedeutet, dass Sie den Daten vertrauen können . Ja, die tatsächliche Temperatur ist nicht sehr privat, aber ein Angreifer kann falsche Temperaturen angeben und eine unerwünschte Reaktion auslösen (z. B. unnötiges Einschalten der Heizung). Auf diese Weise funktionierte stuxnet, indem die Geschwindigkeit der Zentrifugen falsch angegeben wurde und das Steuerungssystem sie schneller laufen ließ, bis sie kaputt gingen. Beachten Sie, dass ein sicherer Kanal nicht nur verschlüsselt, sondern auch authentifiziert und durch Integrität geschützt ist . Integrität ist hier wichtig.
   Durch die Verschlüsselung allein können Sie den Daten nicht vertrauen: Ein Angreifer kann verschlüsselte Daten ändern, auch wenn er nicht genau weiß, was er ändert. Selbst bei der Authentifizierung allein können Sie den Daten nicht uneingeschränkt vertrauen, da authentische Daten wiedergegeben werden können. Sie benötigen ein Protokoll, das die Datenintegrität gewährleistet.
2. Es ist schwierig, den Unterschied zwischen einem fehlerhaften und einem kompromittierten Gerät zu erkennen. Das Erkennen und Reparieren von Fehlern ist schwierig und kostenintensiv. Es lohnt sich also, Geräte nicht reparieren zu müssen (oder das gesamte System zu debuggen).
3. In einem breiteren Ökosystem möchten Sie einige Geräte nicht verschlüsseln und andere nicht, da dies die Kosten, die Wartung und die Verwaltung von Geräten erhöht. Wenn Sie nicht mit Sicherheit sagen können, dass in ein paar Jahren keine privaten Daten auf dem System (nicht nur auf dem Gerät) übertragen werden, ist es möglicherweise sicherer, sie jetzt zu konstruieren.
4. Ihre Definition von privaten Daten ist möglicherweise falsch. Wenn Sie sie nicht mit Prüfern und Aufsichtsexperten in den Regionen, in denen Sie tätig sind, abklären, gehen Sie davon aus, dass die Daten privat sind. GPS-Koordinaten und sogar IP-Adressen können von einigen rechtlichen Rahmenbedingungen als persönlich identifizierbar angesehen werden.

Sensorberichte zu einem aktuellen Thermostatwert fühlen sich für mich sehr privat an. Ein Einbrecher könnte die Daten verwenden, um herauszufinden, wann eine Person zu Hause ist. Nachdem das Haus ausgeraubt wurde, könnte der Eigentümer entscheiden, dass es eine gute Idee ist, den Hersteller des Thermostats zu verklagen, der seine Privatsphäre verletzt und so den Einbruch ermöglicht.

Ist dies das rechtliche Risiko, das ein Hersteller des Thermostats für seine Produkte wünscht? Wollen Sie vor einem Gericht argumentieren, dass es für Ihr Unternehmen völlig in Ordnung ist, Einbrechern die Informationen zu geben, die sie benötigen, um in die Wohnungen Ihrer Kunden einzudringen?

Ja, es ist von Vorteil, alle Kommunikationen zu verschlüsseln. Du würdest nicht posten und fragen, ob es einen Vorteil gibt, dein Haus zu verschließen, oder?

Es geht nicht darum, ob, sondern um welchen Vorteil.

Einer der größten Sicherheitsexperten, Bruce Schneier , der übrigens ein großartiges Blog hat, wird Ihnen sagen, dass Sie die Dinge nicht völlig sicher machen können. Was Sie tun können, ist, sie so sicher zu machen, dass die Kosten für das Knacken höher sind als der Nutzen, den sie daraus ziehen.

Wenn es finanziell gesehen 100 US-Dollar kostet, irgendwo einzudringen und 5 US-Dollar zu verdienen, wird der potenzielle Eindringling davon abgehalten, obwohl es möglich ist, einzudringen.

In rohen sozialer Hinsicht, wenn ich einen sichtbaren Alarm, Überwachungskameras, Bewegungsaktivierung Fluter und eine Meute, ein entschlossener Einbrecher konnte noch brechen in meinem Haus. Aber wenn Ihr Nachbarhaus gleich aussieht und keine derartigen Reinigungsmittel hat ...

Sie können eine Menge seiner Gedanken über das Internet der Dinge lesen, indem Sie nach Goggling suchen Bruce Schneier iot, einschließlich

• Sicherheitsökonomie des Internets der Dinge
• Regulierung des Internets der Dinge
• Reale Sicherheit und das Internet der Dinge
• Wir müssen das Internet vor dem Internet der Dinge retten
• Eine große IoT-Katastrophe kann jederzeit eintreten

Zufällige Bruce Schneier Tatsache # 81

Bruce Schneier brachte Chuck Norris bei, wie man durch Null teilt, während sie in einem Aufzug still standen.

Es ist immer eine Wahl des Designers / Entwicklers. Die Verwendung von Verschlüsselung und anderen Sicherheitsmaßnahmen wird heutzutage jedoch zu einer Notwendigkeit.

Beispielsweise kann ein Sensor, der den aktuellen Thermostatwert meldet , von einem Eindringling gesteuert werden, um Ihnen falsche Signale zu senden. (Sie können eine Strategie haben , um dich auszurauben, wer weiß?)

Möglicherweise haben Sie gehört, dass Sie keine Systeme erstellen können, die nicht erreichbar sind . Sie machen nur Systeme, die schwerer zu durchbrechen sind!

Egal welche Schritte Sie unternommen haben, sie können sie trotzdem brechen. Warum also zusätzliche Schritte unternehmen, um die Sicherheit zu gewährleisten?

Neben anderen Antworten können die Daten, wenn sie im Klartext gesendet werden, geändert werden.

Abgesehen von den genannten Problemen kann das Fälschen von Daten dazu führen, dass (z. B. durch das Liegen des Thermometers mitten im heißen Sommer beim Erhitzen der Wärme Brandgefahr besteht), dass das IoT-Gerät und alle darauf zugreifenden Daten (z Beispiel: Ihr Notebook überprüft möglicherweise die Temperatur, aber die HTML-Seite mit der Temperatur wird möglicherweise während des Transports durch einen Computervirus ersetzt, der Ihr internes Netzwerk infiziert, oder JSON-Daten werden möglicherweise so geändert, dass sie in Anwendungen eingebrochen werden, die fehlerhafte Daten usw. lesen.

Nicht, dass die Implementierung von Sicherheit ohne Risiken ist, insbesondere in der IoT-Welt. Sicherheit ist schwierig, und die Implementierung erhöht normalerweise die Codebasis und damit die Anzahl der Fehler (und damit die möglichen Angriffsmethoden / Exploit-Möglichkeiten) erheblich. IoTs erhalten selten Firmware-Upgrades. Wenn also ein IoT-Gerät ohne automatische Aktualisierung ein Problem aufweist, ist es fast garantiert, dass Botnets mit zusätzlichen Zombie-Computern ausgestattet werden.

Und ja, das automatische Upgrade selbst ist nicht ohne Probleme - von Datenschutzproblemen bis hin zu der Möglichkeit, dass Übeltäter die Kontrolle darüber übernehmen, wenn es nicht ordnungsgemäß implementiert wird. Das Risiko sollte jedoch geringer sein als die Hoffnung, dass Ihre erste Firmware keine Sicherheitslücken aufweist, die es Angreifern ermöglichen, ihre Zombie-Ränge zu erhöhen.