Treig maskinvare og lite strøm gjør sikkerhet vanskelig i tingenes internett

KUNNSKAP FRA KRISITANIA: Cybersikkerhet 

“If the Internet of Things is the gold rush,  
then its security landscape is the Wild West.”  
 Mike Nelson VP, IoT Security i DigiCert 

Man skulle tro at datasikkerhet er et fagområde vi for lenge siden har temmet, og har god kontroll over. Internett kom tross alt for godt over 20 år siden, og selv om brytekampen med hackere på ingen måte er over, er adekvat sikkerhet allikevel oppnåelig i daglig drift.  

Men fremmarsjen av tingenes internett (IoT), hvor alle mulige duppedingser, fra kjøkkenapparater, ringeklokker og lyspærer skal kobles på internett, innebærer at tradisjonelle systemer for å sikre nettverk og data ikke kan benyttes. Det betyr at dingsene våre i dag mangler tilstrekkelig beskyttelse mot angrep. 

Umulig å spille FIFA på kalkulator 

Grunnen er at maskinvaren i disse dingsene, eller smarte enhetene, ikke er kraftig nok til å kjøre de tradisjonelle sikkerhetssystemene brukt innenfor IT, slik som antivirusprogram og brannmurer. Å forvente at disse enhetene skal kunne kjøre disse systemene, blir som å forvente at du skal kunne spille FIFA på kalkulatoren din. Det lar seg simpelt hen ikke gjøre. 

I ENViSEC-prosjektet (Artificial Intelligence-enabled Cybersecurity for Future Smart Environments) på Høyskolen Kristiania jobber vi med å finne en fullgod løsning på problemet ved å utvikle en integrert programvare med utgangspunkt i kunstig intelligens som kan overvåke et IoT-nettverk innenfra. Tanken er å oppnå noe lignende det brannvegg - og antivirusprogram - gjør innenfor IT. 

Overvåker nettverket i sanntid 

Programvare basert på kunstig intelligens kalles en modell. I ENViSEC ønsker vi å utvikle en modell som kan overvåke et IoT-nettverk innenfra, i sanntid, for å avdekke cyberangrep. Mer om hvordan vi tar i bruk kunstig intelligens kommer i en fremtidig artikkel her i Kunnskap Kristiania, men som en innføring kan man si at trening av slike modeller krever stor datakraft, og gjøres på en supercomputer utenfor selve smartenheten.  

Treningen produserer såkalte vekter for modellen. Ved hjelp av disse vektene kan modellen klassifisere det den er satt til å analysere. I vårt tilfelle er det dataene i meldingene som sendes i nettverket som analyseres. Målet er å finne ut om nettverket er under angrep.  

Når modellen er ferdig trent kan hele, eller deler av modellen, med vekter, tas i bruk på de forskjellige enhetene i IoT-nettverket ut ifra smartenhetens kapasitet og behov. På den måten kan alle enhetene bidra til å analysere trafikken, for å beskytte seg mot trusler utenfra. 

Tilpasset hver enkelt smartenhet 

Slik blir systemet skreddersydd. For eksempel vil en lyspære ha langt større tilgang på strøm enn en pulsklokke, som går på batteri. Den vil også ha en langt enklere oppgave enn klokken.  

Lyspæren skal kun styre lyset. Til sammenligning skal klokken spore deg på GPS samtidig som den måler pulsen din, og holder oversikt over tiden. Derfor kan lyspæren avse mer prosessorkraft og strøm til å kjøre sikkerhetssystemet, og derav få større deler av modellen implementert. Ideen er at enhetene ved hjelp av modellen skal kunne avdekke cyberangrep, slå alarm ved angrep, og kanskje til og med stoppe dem. 

Enormt potensial 

Sikkerhetssystemet som vi utvikler er knyttet til det som på engelsk omtales som Smart Environments, eller smarte miljøer på norsk. Smarte miljøer innebærer i korte drag at teknologi kobler tingene rundt oss til den digitale verden.  

Dette gir oss nyttig informasjon om omgivelsene. Dessuten kan andre maskiner ta avgjørelser som direkte påvirker omgivelsene rundt oss - uten menneskelig inngripen – for å optimalisere utbyttet. For eksempel kan et klimaanlegg varme opp, eller kjøle ned stuen din, basert temperaturen i rommet, og om noen befinner seg hjemme. Slik unngår du unyttig bruk av anlegget når ingen er hjemme. 

Målet er å øke livskvaliteten vår, utnytte naturressurser bedre, minimere negativ innvirkning på klima og mye mer. Trolig har vi bare sett toppen av isfjellet til dette potensialet. 

Dagens løsninger fungerer ikke 

Helt siden internett ble allemannseie sent på 90-tallet, har hackere funnet nye måter å angripe, og IT-sikkerhetspersonell stadig nye måter å forsvare IT-systemene. Over tid har det kommet til lag på lag med sikkerhetsmekanismer, i takt med at maskinvaren har blitt stadig kraftigere.  

Krypteringsstandardene som benyttes er velprøvd gjennom teoretiske studier innen akademia, samt praktisk gjennom testing og bruk i markedet. Samtidig skanner tradisjonell IT-antivirusprogram alle filer på PC-en for trusler, og brannmur for å luke ut skadelige filer eller stoppe kontakt med kjente, skumle IP-adresser. Det er også en hel industri som jobber med å lukke sikkerhetshull, for å forsvare oss mot cyberangrep.  

Men alle disse løsningene finnes altså ikke innenfor tingenes internett.  

Mangler bevissthet og kompetanse 

Noe av grunnen er at fleste IoT-dingsene er produsert og levert av leverandører som ikke har samme røtter innen informasjonssikring, sammenlignet med IT-sektoren. De har simpelt hen ikke hatt behov for dette tidligere. For eksempel har ikke hvitevareindustrien måttet tenke på å sikre data fra brødristere og vaskemaskiner tidligere. Nå som de skal kobles opp på nett er derfor ikke strukturen til stede.  

De samme leverandørene har ingen ansatte satt til å finne sikkerhetshull og oppdatere programvaren i disse produktene, slik som hos de store tech-gigantene som for eksempel Google, Amazon og Apple. I disse selskapene er tankegangen rundt slike problemstillinger forankret i bedriftskulturen. Denne kulturen er ikke til stede i bedriftene som leverer IoT-dingser, som sjeldent blir tilstrekkelig sikret før de sendes ut på markedet og kobles opp på nett. 

Åpen kildekode 

Innenfor forskningsmiljøer og industri jobbes det iherdig med å tilpasse og modifisere maksinvare for å sikre IoT-nettverk. Men for å beskytte nettverkene og dataen i tingenes internett må det mer til enn dette. Det trengs i tillegg lettvektige sikkerhetssystemer i form av programvare.  

ENViSEC-prosjektet tar sikte på å utvikle en slik programvare i åpen kildekode, ment for å kjøre på allerede eksisterende maskinvare plattformer.  Formålet er å beskytte svært utsatte IoT-nettverk fra cyberangrep. I denne nisjen har angriperne et stort forsprang, da smartenhetene kobles på nett uten evne til å sikre seg mot de enkleste angrep. Men David har slått Goliat før, og vi i ENViSEC-prosjektet skal hjelpe ham på vei for å gjøre det igjen. 

Om prosjektet 

• Prosjektet heter ENViSEC: Artificial Intelligence-enabled Cybersecurity for Future Smart Environments 
• ENViSEC er finansiert av EUs åttende rammeprogram for forskning og innovasjon, Horisont 2020 
• Prosjektet inngår i NGI POINTER, som er et program i Horisont 2020 som skal utvikle neste generasjons internett 
• ENViSEC ledes av førsteamanuensis Andrii Shalaginov ved Institutt for teknologi, Avdeling for økonomi, innovasjon og teknologi på Høyskolen Kristiania 
• Prosjektet utføres ved forskningsgruppen Mobile Technology Lab 

Referanser:  

Shalaginov, A., & Grønli, T. M. (2021, December). Securing Smart Future: Cyber Threats and Intelligent Means to Respond. In 2021 IEEE International Conference on Big Data (Big Data) (pp. 2560-2564). IEEE. 

Shalaginov, A., & Azad, M. A. (2021). Securing resource-constrained iot nodes: Towards intelligent microcontroller-based attack detection in distributed smart applications. Future Internet, 13(11), 272. 

Shalaginov, A., Semeniuta, O., & Alazab, M. (2019, December). MEML: Resource-aware MQTT-based machine learning for network attacks detection on IoT edge devices. In Proceedings of the 12th IEEE/ACM International Conference on Utility and Cloud Computing Companion (pp. 123-128 

Juric, R., Lyth, A. and Larson, D. (2022). Group Key Management in Wireless Sensor Networks: Introducing Context for Managing the Re-keying Process. [online] scholarspace.manoa.hawaii.edu. Available at: http://hdl.handle.net/10125/80234 [Accessed 21 Feb. 2022]. 

Tekst: Programutvikler Andreas Lyth, Avdeling for økonomi, innovasjon og teknologi ved Høyskolen Kristiania 

Vi vil gjerne høre fra deg!     
  
Send dine spørsmål og kommentarer til denne artikkelen på E-post til kunnskap@kristiania.no.