Wygasające certyfikaty główne zagrażają IoT w przedsiębiorstwie

Tak wiele przedmiotów codziennego użytku w krajach rozwiniętych jest obecnie podłączonych do Internetu, często w niewytłumaczalny sposób. Dodaje kolejną warstwę potencjalnej awarii technologicznej, która w przypadku urządzeń osobistych może być zabawną irytacją: oślepia to nie chce się otworzyć, kuchenki mikrofalowe nie dostosowuj się do zmian czasu, lodówki, że potrzebujesz aktualizacji oprogramowania sprzętowego.

Ale w przedsiębiorstwie awaria urządzeń Internetu rzeczy nie jest żartem na Twitterze. Fabryczne linie montażowe zatrzymują się. Monitory tętna w szpitalach przełączają się w tryb offline. Inteligentne tablice w szkołach podstawowych gasną.

Awarie urządzeń inteligentnych stanowią coraz większe ryzyko w świecie przedsiębiorstw i nie tylko z powodu często omawiane obawy dotyczące bezpieczeństwa. Dzieje się tak dlatego, że niektóre z certyfikatów głównych tych urządzeń — niezbędnych do bezpiecznego łączenia się z Internetem — wygasają.

„Urządzenia muszą wiedzieć, czemu ufać, dlatego certyfikat główny jest wbudowany w urządzenie jako narzędzie uwierzytelniające” – wyjaśnia Scott Helme, badacz bezpieczeństwa, który napisano obszernie na temat problemu wygaśnięcia certyfikatu głównego. „Gdy urządzenie już działa, próbuje wywołać „dom” — interfejs API lub serwer producenta — i sprawdza certyfikat główny, aby stwierdzić: „Tak, łączę się z tym właściwym, bezpiecznym urządzeniem”. Zasadniczo [certyfikat główny jest] kotwicą zaufania, ramą odniesienia dla urządzenia, dzięki któremu wie, z czym się rozmawia”.

W praktyce to uwierzytelnianie przypomina sieć lub łańcuch. Urzędy certyfikacji (CA) wydają wszelkiego rodzaju certyfikaty cyfrowe, a podmioty „rozmawiają” ze sobą, czasami na wielu poziomach. Jednak pierwszym i najważniejszym ogniwem tego łańcucha jest zawsze certyfikat główny. Bez tego żaden z powyższych poziomów nie umożliwiłby połączeń. Jeśli więc certyfikat główny przestanie działać, urządzenie nie będzie mogło uwierzytelnić połączenia i nie połączy się z Internetem.

Oto problem: koncepcja zaszyfrowanej sieci pojawiła się około 2000 roku — a certyfikaty główne są zwykle ważne przez około 20 do 25 lat. Zatem w 2022 r. znajdziemy się w środku okresu wygaśnięcia.

W ciągu ostatnich dwóch dekad urzędy certyfikacji wydały wiele nowych certyfikatów głównych, oczywiście na długo przed wygaśnięciem. Działa to dobrze w świecie urządzeń osobistych, gdzie większość ludzi często zmienia telefony na nowe i klika, aby zaktualizować swoje laptopy, aby mieć nowsze certyfikaty. Jednak w przedsiębiorstwie aktualizacja urządzenia może być znacznie trudniejsza lub nawet niemożliwa, a w sektorach takich jak produkcja maszyny mogą nadal znajdować się w fabryce 20–25 lat później.

Bez połączenia z Internetem „te urządzenia nie są nic warte” – mówi Kevin Bocek, wiceprezes ds. strategii bezpieczeństwa i analizy zagrożeń w firmie Venafi, dostawcy usług zarządzania tożsamością maszyn. „W zasadzie stają się cegłami [kiedy wygasają ich certyfikaty główne]: nie mogą już ufać chmurze, nie mogą przyjmować poleceń, nie mogą wysyłać danych, nie mogą pobierać aktualizacji oprogramowania. To realne ryzyko, szczególnie jeśli jesteś producentem lub operatorem.”

Strzał ostrzegawczy

Ryzyko nie jest teoretyczne. 30 września certyfikat główny wydany przez ogromny urząd certyfikacji Zakodujmy wygasło — i kilka usług w Internecie uległo awarii. Wygaśnięcie certyfikatu nie było zaskoczeniem, ponieważ Let's Encrypt od dawna ostrzegał swoich klientów, aby dokonali aktualizacji do nowego certyfikatu.

Mimo to Helme napisał w blogu 10 dni przed wygaśnięciem: „Założę się, że tego dnia kilka rzeczy prawdopodobnie się zepsuje”. On miał rację. Niektóre usługi Cisco, Google, Palo Alto, QuickBooks, Fortinet, Auth0 i wielu innych firm zawiodły.

„A najdziwniejsze w tym wszystkim” – Helme mówi Dark Reading – „jest to, że miejsca korzystające z Let's Encrypt są z definicji bardzo nowoczesne — nie można po prostu wejść na ich stronę internetową, zapłacić 10 dolarów i ręcznie pobrać certyfikat. Musi to zrobić maszyna lub za pośrednictwem interfejsu API. Ci użytkownicy byli zaawansowani, a i tak był to naprawdę duży problem. Co więc się stanie, gdy zobaczymy [wygaśnięcia] w przypadku starszych urzędów certyfikacji, które mają dużych klientów korporacyjnych? Z pewnością efekt domina będzie większy.”

Ścieżka naprzód

Jednak przy pewnych zmianach ten efekt domina nie musi wystąpić, mówi Bocek z Venafi, który postrzega wyzwanie jako wyzwanie związane z wiedzą i strukturą dowodzenia, dlatego widzi rozwiązania zarówno w świadomości, jak i wczesnej współpracy.

„Jestem bardzo podekscytowany, gdy widzę, jak dyrektorzy ds. bezpieczeństwa i ich zespoły angażują się na poziomie producenta i programisty” – mówi Bocek. „Pytanie nie brzmi tylko: «Czy możemy opracować coś, co będzie bezpieczne?» ale „Czy możemy go nadal obsługiwać?” Często istnieje wspólna odpowiedzialność za obsługę tych niezwykle wartościowych podłączonych urządzeń, dlatego musimy jasno określić, jak sobie z tym poradzimy jako firma”.

Podobne rozmowy toczą się w sektorze infrastruktury, mówi Marty Edwards, zastępca CTO ds. technologii operacyjnych i IoT w Tenable. Z wykształcenia jest inżynierem przemysłowym, który współpracował z przedsiębiorstwami użyteczności publicznej i Departamentem Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych.

„Szczerze mówiąc, w przestrzeni przemysłowej z zakładami użyteczności publicznej i fabrykami niepokojące jest każde zdarzenie prowadzące do przerwy w produkcji lub strat” – mówi Edwards. „Dlatego w tych specjalistycznych kręgach inżynierowie i programiści z pewnością przyglądają się skutkom [wygasających certyfikatów głównych] i sposobom ich naprawienia”.

Choć Edwards podkreśla, że ​​„optymistycznie” podchodzi do tych rozmów i nacisków na uwzględnienie kwestii cyberbezpieczeństwa w procesie udzielania zamówień, uważa, że ​​potrzebny jest również większy nadzór regulacyjny.

„Coś w rodzaju podstawowego standardu opieki, który być może zawiera opis sposobu utrzymania integralności systemu certyfikatów” – mówi Edwards. „Toczyły się dyskusje między różnymi grupami normalizacyjnymi a rządami na przykład na temat identyfikowalności urządzeń o znaczeniu krytycznym”.

Jeśli chodzi o Helme, bardzo chciałby, aby komputery korporacyjne były ustawione na aktualizacje w sposób realistyczny i niezbyt uciążliwy dla użytkownika lub producenta — na przykład wydawanie nowego certyfikatu i pobieranie aktualizacji co pięć lat. Zauważa jednak, że producenci nie będą do tego zachęcani, chyba że klienci korporacyjni będą tego wymagać.

„Ogólnie rzecz biorąc, uważam, że jest to coś, co branża musi naprawić” – zgadza się Edwards. „Dobra wiadomość jest taka, że ​​większość tych wyzwań niekoniecznie ma charakter technologiczny. Chodzi raczej o wiedzę, jak to wszystko działa oraz o wdrożenie odpowiednich ludzi i procedur”.