Als we het hebben over het Internet of Things (IoT-ecosystemen), hebben we het over een enorm netwerk van verschillende gadgets en apparaten die met elkaar chatten. Stel je voor dat je slimme koelkast een bericht naar je smartphone stuurt om je te vertellen dat je geen melk meer hebt, of dat je slimme thermostaat de kamertemperatuur aanpast op basis van je voorkeuren. Klinkt futuristisch, toch?
Maar hier zit het addertje onder het gras: deze apparaten, hoe geavanceerd ze ook mogen klinken, zijn niet zo krachtig of vindingrijk als de computers die we dagelijks gebruiken. Het zijn net kleine boodschappers met beperkte energie, altijd onderweg.
Waarom IoT-apparaten anders zijn dan uw gewone computer
- Beperkte middelen: In tegenstelling tot de grote, krachtige servers of computers die we gewend zijn, hebben IoT-apparaten vaak maar een klein beetje geheugen en verwerkingskracht.
- Verschillende communicatiekanalen: In plaats van de veiligere kanalen die onze computers gebruiken, communiceren IoT-apparaten vaak via minder veilige draadloze kanalen, zoals ZigBee of LoRa. Zie het als het kiezen van een dun fietsslot in plaats van een stevig slot.
- Unieke taal en functies: Elk IoT-apparaat is een uniek individu. Ze hebben hun functies en communiceren op hun manier. Het is alsof er veel mensen uit verschillende landen zijn, die allemaal hun taal spreken en proberen een gesprek te voeren. Dit maakt het moeilijk om een uniform beveiligingsprotocol voor hen te bedenken.
Waarom is dit een probleem?
Vanwege deze unieke uitdagingen kunnen IoT-apparaten een gemakkelijk doelwit zijn voor cyberaanvallen. Het lijkt een beetje op een stad. Hoe groter de stad, hoe groter de kans dat er iets misgaat. En net als in een grote stad met veel verschillende soorten mensen, moeten IoT-apparaten van verschillende bedrijven manieren vinden om met elkaar te praten. Soms is hiervoor een tussenpersoon, een vertrouwde derde partij, nodig om hen te helpen elkaar te begrijpen.
Bovendien zijn deze apparaten, omdat ze een beperkt vermogen hebben, niet zo goed uitgerust om zich te verdedigen tegen geavanceerde cyberdreigingen. Het is alsof je iemand met een katapult stuurt om een modern leger af te weren.
Het doorbreken van de kwetsbaarheden
IoT-kwetsbaarheden kunnen in twee hoofdcategorieën worden opgesplitst
- IoT-specifieke kwetsbaarheden: Kwesties als aanvallen op het leeglopen van de batterij, uitdagingen met standaardisatie of vertrouwensproblemen horen hier thuis. Beschouw ze als problemen waar alleen deze apparaten mee te maken hebben.
- Veelvoorkomende kwetsbaarheden: Dit zijn problemen die zijn geërfd van de grotere internetwereld. De typische problemen waarmee de meeste online apparaten worden geconfronteerd.
Beveiligingsbedreigingen in IoT begrijpen
Wanneer je in de wereld van cyberbeveiliging duikt, vooral op het gebied van IoT (Internet of Things), is het gebruikelijk om te horen over de CIA-triade. Dit verwijst niet naar een geheim bureau, maar staat in plaats daarvan voor vertrouwelijkheid, integriteit en beschikbaarheid. Dit zijn drie principes die ten grondslag liggen aan het grootste deel van cyberbeveiliging.
De eerste, vertrouwelijkheid, gaat over het garanderen dat uw privégegevens precies dat blijven: privé. Zie het als een dagboek dat je onder je bed bewaart. Alleen jij (en misschien een paar vertrouwde mensen) zouden de sleutel moeten hebben. In de digitale wereld vertaalt dit zich in persoonlijke informatie, foto's of zelfs een chat die u met een vriend voert via een smartapparaat.
Integriteit daarentegen betekent ervoor zorgen dat wat u in dat dagboek schrijft, blijft zoals u het achterliet. Het betekent dat uw gegevens, of het nu een bericht, een video of een document betreft, niet zonder uw medeweten door iemand anders worden gewijzigd.
Ten slotte is er beschikbaarheid. Dit principe is vergelijkbaar met het altijd bij de hand hebben van uw dagboek wanneer u uw gedachten wilt opschrijven. In de digitale wereld kan dit betekenen dat u indien nodig een website moet openen of uw smart home-instellingen uit de cloud moet ophalen.
Laten we, met deze principes in gedachten, dieper ingaan op de bedreigingen waarmee IoT wordt geconfronteerd. Als het om IoT gaat, zijn onze alledaagse apparaten, zoals koelkasten, thermostaten en zelfs auto's, met elkaar verbonden. En hoewel deze interconnectiviteit gemak met zich meebrengt, brengt het ook unieke kwetsbaarheden met zich mee.
Een veel voorkomende dreiging is de Denial of Service (DoS)-aanval. Stel je voor: je bent bij een concert en je probeert door een deur te komen, maar een groep grappenmakers blijft de weg blokkeren en laat niemand door. Dit is wat een DoS met netwerken doet. Het overweldigt ze met valse verzoeken, zodat echte gebruikers zoals jij en ik niet binnen kunnen komen. Een dreigendere versie is de Distributed DoS (DDoS), waarbij niet slechts één groep de deur blokkeert, maar meerdere groepen meerdere deuren tegelijkertijd blokkeren. .
Een andere stiekeme dreiging is de Man-in-the-Middle-aanval (MiTM). Het is vergelijkbaar met iemand die in het geheim naar uw telefoongesprek luistert en zich soms zelfs voordoet als de persoon met wie u denkt te praten. In de digitale ruimte geven deze aanvallers in het geheim de communicatie tussen twee partijen door en kunnen deze zelfs wijzigen.
Dan hebben we malware, het digitale equivalent van een verkoudheidsvirus, maar vaak met schadelijkere bedoelingen. Dit is software die is gemaakt om onze apparaten te infiltreren en soms te beschadigen. Naarmate onze wereld gevuld raakt met steeds meer slimme apparaten, groeit het risico op malware-infecties.
Maar hier is het zilveren randje: hoe talrijk deze bedreigingen ook klinken, experts over de hele wereld werken onvermoeibaar om ze te bestrijden. Ze gebruiken geavanceerde technieken, zoals kunstmatige intelligentie, om deze aanvallen te detecteren en tegen te gaan. Ze verfijnen ook de manier waarop onze apparaten communiceren, zodat ze elkaar echt kunnen herkennen en vertrouwen. Dus hoewel het digitale tijdperk zijn uitdagingen kent, navigeren we ze niet geblinddoekt.
Privacy
Naast de bovengenoemde veiligheidsbedreigingen worden IoT-apparaten en de gegevens die ze verwerken geconfronteerd met risico's die verband houden met de privacy, waaronder het opsnuiven van gegevens, het ontmaskeren van anonieme gegevens (de-anonimisering) en het trekken van conclusies op basis van die gegevens (inferentieaanvallen). Deze aanvallen zijn primair gericht op de vertrouwelijkheid van gegevens, ongeacht of deze worden opgeslagen of verzonden. In dit gedeelte worden deze privacybedreigingen gedetailleerd onderzocht.
MiTM in privacycontext
Er wordt gesuggereerd dat MiTM-aanvallen in twee categorieën kunnen worden verdeeld: actieve MiTM-aanvallen (AMA) en passieve MiTM-aanvallen (PMA). Passieve MiTM-aanvallen omvatten het discreet monitoren van de gegevensuitwisseling tussen apparaten. Deze aanvallen mogen niet met de gegevens knoeien, maar kunnen wel de privacy in gevaar brengen. Denk aan iemand die in het geheim een apparaat kan monitoren; ze zouden dit gedurende een langere periode kunnen doen voordat ze een aanval lanceren. Gezien de prevalentie van camera's in IoT-apparaten, variërend van speelgoed tot smartphones en wearables, zijn de potentiële gevolgen van passieve aanvallen, zoals afluisteren of data snuiven, aanzienlijk. Omgekeerd spelen actieve MiTM-aanvallen een directere rol, waarbij de verkregen gegevens worden gebruikt om op bedrieglijke wijze met een gebruiker in contact te komen of zonder toestemming toegang te krijgen tot gebruikersprofielen.
Gegevensprivacy en de zorgen ervan
Net als bij het MiTM-framework kunnen bedreigingen voor de gegevensprivacy ook worden onderverdeeld in Active Data Privacy Attacks (ADPA) en Passive Data Privacy Attacks (PDPA). Bezorgdheid over gegevensprivacy heeft betrekking op zaken als datalekken, ongeoorloofde gegevenswijzigingen (manipulatie van gegevens), identiteitsdiefstal en het proces van het ontmaskeren van ogenschijnlijk anonieme gegevens (heridentificatie). Concreet draaien heridentificatieaanvallen, ook wel inferentieaanvallen genoemd, om methoden als de-anonimisering, het lokaliseren van locaties en het verzamelen van gegevens uit verschillende bronnen. Het kerndoel van dergelijke aanvallen is het verzamelen van gegevens van verschillende plaatsen om de identiteit van een individu te achterhalen. Deze samengevoegde gegevens kunnen vervolgens worden gebruikt om zich voor te doen als de beoogde persoon. Aanvallen die gegevens rechtstreeks wijzigen, zoals het knoeien met gegevens, vallen onder de ADPA-categorie, terwijl aanvallen die verband houden met heridentificatie of gegevenslekken als PDPA worden beschouwd.
Blockchain als mogelijke oplossing
Blockchain, gewoonlijk afgekort als BC, is een veerkrachtig netwerk dat wordt gekenmerkt door zijn transparantie, fouttolerantie en het vermogen om te worden geverifieerd en gecontroleerd. Vaak beschreven met termen als gedecentraliseerd, peer-to-peer (P2P), transparant, vertrouwensloos en onveranderlijk, onderscheidt blockchain zich als een betrouwbaar alternatief in vergelijking met traditionele gecentraliseerde client-server-modellen. Een opvallend kenmerk binnen de blockchain is het ‘smart contract’, een zelfuitvoerend contract waarbij de overeenkomstvoorwaarden of voorwaarden in code worden geschreven. Het inherente ontwerp van de blockchain garandeert de integriteit en authenticiteit van de gegevens en biedt een sterke verdediging tegen het knoeien met gegevens in IoT-apparaten.
Inspanningen ter versterking van de veiligheid
Er zijn verschillende op blockchain gebaseerde strategieën voorgesteld voor diverse sectoren, zoals toeleveringsketens, identiteits- en toegangsbeheer, en in het bijzonder IoT. Sommige bestaande modellen houden zich echter niet aan de tijdsbeperkingen en zijn niet geoptimaliseerd voor IoT-apparaten met beperkte middelen. Integendeel, bepaalde onderzoeken hebben zich vooral gericht op het verbeteren van de responstijd van IoT-apparaten, waarbij veiligheids- en privacyoverwegingen worden verwaarloosd. Een onderzoek door Machado en collega's introduceerde een blockchain-architectuur die in drie segmenten was verdeeld: IoT, Fog en Cloud. Deze structuur legde de nadruk op het opbouwen van vertrouwen tussen IoT-apparaten met behulp van protocollen die zijn gebaseerd op bewijsmethoden, wat leidde tot gegevensintegriteit en beveiligingsmaatregelen zoals sleutelbeheer. Deze onderzoeken gingen echter niet rechtstreeks in op de zorgen over de privacy van gebruikers.
Een ander onderzoek onderzocht het concept van ‘DroneChain’, dat zich richtte op gegevensintegriteit voor drones door gegevens te beveiligen met een openbare blockchain. Hoewel deze methode voor een robuust en verantwoordelijk systeem zorgde, werd er gebruik gemaakt van proof-of-work (PoW), wat misschien niet ideaal is voor realtime IoT-toepassingen, vooral voor drones. Bovendien ontbrak het model aan functies om de herkomst van de gegevens en de algehele veiligheid voor gebruikers te garanderen.
Blockchain als schild voor IoT-apparaten
Naarmate de technologie zich verder ontwikkelt, neemt de gevoeligheid van systemen voor aanvallen, zoals Denial-of-Service (DoS)-aanvallen, toe. Met de opkomst van betaalbare IoT-apparaten kunnen aanvallers meerdere apparaten besturen om formidabele cyberaanvallen uit te voeren. Softwaregedefinieerde netwerken (SDN), hoewel revolutionair, kunnen worden aangetast door malware, waardoor deze kwetsbaar worden voor verschillende aanvallen. Sommige onderzoekers pleiten voor het gebruik van blockchain om IoT-apparaten tegen deze bedreigingen te beschermen, daarbij verwijzend naar het gedecentraliseerde en fraudebestendige karakter ervan. Toch is het opmerkelijk dat veel van deze oplossingen theoretisch blijven en geen praktische implementatie hebben.
Verdere studies zijn gericht op het aanpakken van de beveiligingsproblemen in verschillende sectoren met behulp van blockchain. Om mogelijke manipulatie in een smart-grid-systeem tegen te gaan, stelde een onderzoek bijvoorbeeld het gebruik van cryptografische gegevensoverdracht voor in combinatie met blockchain. Een ander onderzoek pleitte voor een proof of delivery-systeem met behulp van blockchain, waardoor het logistieke proces werd gestroomlijnd. Dit systeem bleek veerkrachtig tegen veelvoorkomende aanvallen zoals MiTM en DoS, maar vertoonde tekortkomingen op het gebied van gebruikersidentiteit en gegevensprivacybeheer.
Gedistribueerde cloudarchitectuur
Naast het aanpakken van bekende beveiligingsuitdagingen zoals data-integriteit, MiTM en DoS, hebben verschillende onderzoeksinspanningen veelzijdige oplossingen onderzocht. Een onderzoekspaper van Sharma en zijn team introduceerde bijvoorbeeld een kosteneffectieve, veilige en altijd beschikbare blockchain-techniek voor gedistribueerde cloudarchitectuur, waarbij de nadruk lag op beveiliging en verminderde transmissievertragingen. Er waren echter toezichtsgebieden, waaronder gegevensprivacy en sleutelbeheer.
Een terugkerend thema in deze onderzoeken is het wijdverbreide gebruik van PoW als consensusmechanisme, dat vanwege het energie-intensieve karakter ervan misschien niet het meest efficiënt is voor realtime IoT-toepassingen. Bovendien werd bij een aanzienlijk aantal van deze oplossingen essentiële aspecten zoals de anonimiteit van de gebruiker en de uitgebreide gegevensintegriteit over het hoofd gezien.
Uitdagingen bij het implementeren van Blockchain in IoT
Vertraging en efficiëntie
Hoewel blockchain-technologie (BC) al meer dan tien jaar bestaat, zijn de echte voordelen ervan pas recentelijk benut. Er zijn talloze initiatieven gaande om BC te integreren op gebieden als logistiek, voedsel, slimme netwerken, VANET, 5G, gezondheidszorg en crowd sensing. Niettemin pakken de gangbare oplossingen de inherente vertraging van BC niet aan en zijn ze niet geschikt voor IoT-apparaten met beperkte middelen. Het overheersende consensusmechanisme in BC is Proof-of-Work (PoW). PoW is, ondanks het wijdverbreide gebruik ervan, relatief traag (verwerking van slechts zeven transacties per seconde, in tegenstelling tot Visa's gemiddelde van tweeduizend per seconde) en is energie-intensief.
Berekening, gegevensverwerking en opslag
Het runnen van een BC vergt aanzienlijke rekenkracht, energie en geheugen, vooral wanneer deze over een uitgebreid peer-netwerk wordt verspreid. Zoals benadrukt door Song et al., bedroeg de omvang van het Bitcoin-grootboek in mei 2018 meer dan 196 GB. Dergelijke beperkingen roepen zorgen op over de schaalbaarheid en transactiesnelheid van IoT-apparaten. Een mogelijke oplossing zou kunnen zijn om hun computertaken te delegeren aan gecentraliseerde clouds of semi-gedecentraliseerde mistservers, maar dit introduceert extra netwerkvertragingen.
Uniformiteit en standaardisatie
Zoals alle opkomende technologieën is de standaardisatie van BC een uitdaging die mogelijk aanpassingen van de wetgeving vereist. Cyberbeveiliging blijft een enorme uitdaging, en het is overdreven optimistisch om in de nabije toekomst één enkele standaard te verwachten die alle risico's van cyberdreigingen tegen IoT-apparaten kan beperken. Een beveiligingsstandaard kan echter garanderen dat apparaten voldoen aan bepaalde acceptabele beveiligings- en privacybenchmarks. Elk IoT-apparaat moet een reeks essentiële beveiligings- en privacyfuncties bevatten.
Beveiligingsbekommernissen
Hoewel BC wordt gekenmerkt door zijn onveranderlijkheid, vertrouwensvrij, gedecentraliseerd en bestand tegen manipulatie, is de beveiliging van een op blockchain gebaseerde opzet slechts zo robuust als het toegangspunt. In systemen die op openbare BC zijn gebouwd, heeft iedereen toegang tot de gegevens en kan deze nauwkeurig bekijken. Hoewel private blockchains hier een oplossing voor kunnen zijn, introduceren ze nieuwe uitdagingen zoals de afhankelijkheid van een vertrouwde tussenpersoon, centralisatie en wetgevingskwesties rond toegangscontrole. Fundamenteel moeten blockchain-gefaciliteerde IoT-oplossingen voldoen aan beveiligings- en privacycriteria. Deze omvatten onder meer het garanderen dat de gegevensopslag aansluit bij de behoeften op het gebied van vertrouwelijkheid en integriteit; zorgen voor veilige gegevensoverdracht; het faciliteren van transparant, veilig en verantwoordelijk delen van gegevens; het handhaven van authenticiteit en onbetwistbaarheid; het garanderen van een platform dat selectieve openbaarmaking van gegevens mogelijk maakt; en altijd expliciete toestemming voor het delen verkrijgen van deelnemende entiteiten.
Conclusie
Blockchain, een technologie met een enorm potentieel en belofte, wordt aangekondigd als een transformatief instrument voor verschillende sectoren, waaronder het uitgestrekte en steeds evoluerende landschap van het Internet of Things (IoT). Door zijn gedecentraliseerde karakter kan blockchain zorgen voor verbeterde veiligheid, transparantie en traceerbaarheid – eigenschappen die zeer begeerd worden bij IoT-implementaties. Maar zoals bij elke technologische fusie is de combinatie van blockchain met IoT niet zonder uitdagingen. Van problemen met betrekking tot snelheid, rekenkracht en opslag tot de dringende behoefte aan standaardisatie en het aanpakken van kwetsbaarheden: er zijn meerdere facetten die aandacht vereisen. Het is essentieel voor belanghebbenden in zowel de blockchain- als het IoT-ecosysteem om deze uitdagingen gezamenlijk en innovatief aan te pakken om het synergetische potentieel van deze unie volledig te benutten.
Bron: https://www.cryptopolitan.com/blockchain-can-build-trust-in-iot-ecosystems/