Sicherheit in der IoT oder auch
Ich weiß, wie kalt es in deiner Tiefkühltruhe ist!

Um es gleich vorweg zu sagen, dies ist kein umfassender Blogeintrag zum Thema "Sicherheit in der IoT". Dieser kleine Blog soll auch kein fertiges Sicherheitskonzept liefern, sondern nur für das Thema sensibilisieren.
Warum dann dieser Blog?

Bei so manchem Beitrag im IoT-Umfeld wundere ich mich über die Sorglosigkeit, mit der IoT-Geräte über das Internet zugreifbar gemacht werden. Deswegen möchte ich auf ein paar besonders offensichtliche Aspekte einmal eingehen. Anfangen möchte ich mit einer kleinen, nicht ganz so fiktiven Geschichte:

"Moin Micha, schönes Wochenende gehabt?" "Klar, Melanie und ich waren den ganzen Tag unterwegs und abends waren wir noch beim Italiener." "Hm, dein Italiener war wohl eher eine Tiefkühlpizza und Melanie hab ich gestern bei dir im Wohnzimmer gar nicht gesehen."

Was war passiert? Naja, Micha ist begeisterter Bastler und IoT-Fan. Also hat er sich eine WebCam selbstgebaut und als Überwachungskamera ins Wohnzimmer gestellt. Und die Temperatur seines Tiefkühlschranks lässt er mithilfe eines kleinen Wifi-Modules auch überwachen. Und weil er gerne von unterwegs Zugriff auf die Geräte haben möchte, hat er alles schnell per Router und DynDns ins Internet gestellt. Natürlich ist die Webcam per Passwort gesichert! "admin/admin" reicht doch, oder?

Diese zugegeben etwas übertriebene Geschichte zeigt leider, wie sorglos viele IoT'ler mit ihren Daten umgehen. Aber nicht nur die Maker-Gemeinde ist da etwas blauäugig. Da funken "professionelle" Saugroboter den Wohnungsgrundriss auf offene Server in China, Kontaktdaten inkl. Adresse gleich dabei. Oder Alarmanlagen lassen sich per Internet ein- und ausschalten, gesichert einzig durch einen statischen API-Key. Oder IoT Firmware zur Hausautomatisierung, mit der sich Jedermann ganz einfach auf jedem Smartphone eine Benutzeroberfläche für sein Smarthome zusammen klicken kann.

Die Sensordaten und Ausführungsanweisungen liegen dabei auf Servern irgendwo im Internet. Wie sicher diese Daten sind, weiß keiner.

Aber fangen wir vorne an: 

IoT und WebServer

Zugegeben: Es ist natürlich beeindruckend und verlockend, mit ein paar Zeilen Code kann man auf einem Wifi-Modul einen WebServer betreiben und damit dann z.B. Daten von Sensoren oder Bilder von der angeschlossenen Kamera im Netzwerk zur Verfügung stellen.

Und es ist toll, wenn ich in meinem Heimnetzwerk dann mit dem Handy auf eben diese Webserver zugreifen kann, um mir die Daten anzuschauen. Dagegen ist soweit nichts einzuwenden. Aber, sobald ich diese Daten über das Internet zugreifbar machen möchte, sollte ich mir folgende Fragen stellen:

Wie sicher ist dieser WebServer?

Kann ich den Server gegen unautorisierten Zugriff schützen? Je größer der Schutz sein soll, den ich brauche, umso komplizierter wird die WebServer Konfiguration. (statischer Zugriffsschutz mit ApiKey, Passwortschutz, OAuth2, OpenID...)

Und wie sieht das mit Sicherheit der Übertragung aus? 

Kann der WebServer die Daten verschlüsselt versenden (https, TLS 1.2/1.3, um mal ein bisschen Buzzword Bingo zu betreiben)? Vieles davon benötigt zusätzliche Rechenleistung, manchmal mehr als für die eigentliche Aufgabe. Wifi-Module sind für solche Anwendungen einfach zu schwach.

Und was ist mit DoS Attacken, Einbruchsversuche und WebShell? 

Auch dafür sind die 10€ Wifi-Module nicht gebaut. Sie haben gegen solche Angriffsversuche keine Schutzmechanismen, wenn man diese nicht selber implementiert hat.

Aber wofür sind diese Module denn dann gemacht?

Natürlich geht es bei diesen Modulen um den einfachen und schnellen Zugriff auf die Daten. Diese Module sind aber dazu gedacht, in einem sicheren Umfeld betrieben zu werden. Das heißt, nicht die Wifi-Module stellen die Sicherheit her, sondern andere darauf spezialisierte Komponenten in einem in sich geschlossenen Netzwerk. Im professionellen Umfeld übernehmen diese Funktionen Infrastrukturkomponenten wie Firewalls, Gateways, Proxies, Router, usw...

Und bei mir im privaten Umfeld?

Natürlich brauche ich in meinem privaten Umfeld keine solch komplexe Infrastruktur. Und tatsächlich gibt es einige dieser Komponenten in fast jedem moderneren Heimnetzwerk. Unser Router ist z.B. eine solche Komponente.

Eine Hauptaufgabe des Routers ist es, neben dem Zugriff auf das Internet, eben auch Zugriffe aus dem Internet in das Netzwerk zu kontrollieren. Und genau hier liegt das Problem, welches ich bei vielen IoT Anleitungen entdecke. Nicht die Möglichkeit, per Web Interface einfach auf die IoT Geräte zugreifen zu können, ist das Problem, sondern diesen Zugriff ohne weitere Prüfung, ohne Schutz, im Internet zur Verfügung zu stellen. Es gibt dabei nun mehrere Wege, wie man sein Netzwerk sichert und trotzdem den Zugriff auf die eigenen IoT Geräte ermöglicht.

• Firewall: Eine Firewall dient dazu, den Netzwerkzugriff basierend auf den vorhandenen Daten, wie Absender oder Ziel, zu beschränken. Sie überwacht den durch Sie durchlaufenden Datenverkehr und entscheidet anhand eines Regelwerkes, ob bestimmte Netzwerkpakete durchgelassen werden oder nicht. Somit werden unerlaubte Netzwerkzugriffe unterbunden.

• Proxyserver: Ist ein Dienst, der den Zugriff auf die Geräte kanalisiert und dabei absichert. D.h. der Zugriff vom Internet auf die IoT-Geräte, bzw. von den IoT-Geräten auf das Internet laufen alle über diesen Server. Somit hat man nur einen Punkt im Netzwerk, der den Attacken ausgeliefert ist. Und dort kann man mit geeigneten Maßnahmen den Zugriff sichern.

• API-Gateway: Ein API-Gateway ist so eine Art Proxyserver, das Abfragen aus dem Eingangskanal automatisiert auf verschiedene Geräte verteilt. Z.B. auf Basis einer Zugriffs URL. Dabei können nun unterschiedliche Geräte mit unterschiedlichen Zugriffspfaden in einem virtuellen Baum zusammengefasst werden.

Beispiel: Ich habe 3 Temperatur-Sensor-Module:

• eines für die Tiefkühltruhe. Der Pfad dorthin lautet:
  http://192.168.127.36/sensors/temperatur
  
• eines für die Außentemperatur. Pfad http://192.168.127.37/temp1
• und eines für die Innentemperatur. Pfad: http://192.168.127.38:8080/wohnzimmer/temp

In einem API-Gateway kann ich nun verschiedene Pfade definieren z.B. https://192.168.127.80/temperaturen/aussen

https://192.168.127.80/temperaturen/innen

https://192.168.127.80/temperaturen/kuehlschrank und diesen dann die entsprechenden Pfade auf die Geräte mitteilen.

https://192.168.127.80/temperaturen/aussen = http://192.168.127.37/temp1

https://192.168.127.80/temperaturen/innen = http://192.168.127.38:8080/wohnzimmer/temp

https://192.168.127.80/temperaturen/kuehlschrank = http://192.168.127.36/sensors/temperatur

Der Client benötigt für den Zugriff nur die Pfade des Gateways. Das Gateway sendet die entsprechenden Anfragen dann an die konfigurierten Geräte weiter und gibt die Antwort an den Client zurück. Viele Gateways bieten noch sehr viel mehr für uns nützliche Features. Z.B.

• SSL Verschlüsselung: nicht das angeschlossene Gerät muss SSL beherrschen, sondern die SSL Terminierung liegt beim Gateway.
  
  
• Zugriffssteuerung: viele API Gateways können die Endpunkte per BasicAuth, oder sogar per OAuth oder OpenID, gegen unbefugten Zugriff absichern.
  
  
• Offlineerkennung: Manche Gateways erkennen, wenn ein angeschlossener Dienst nicht aktiv ist und können dann statt der Weiterleitung eine Standardmeldung ausgeben ...Und vieles mehr.

Router: verbindet ein lokales Netzwerk mit dem öffentlichen Internet und verwaltet dabei die Routen zwischen den Netzwerken. Viele Router für Heimnetzwerke können aber sehr viel mehr. Sind quasi eine Mischung aus den o.g. verschiedenen Diensten und je nach Hersteller sind diese Dienste mal mehr mal weniger konfigurierbar.

Das Heimnetzwerk mit solchen Diensten abzusichern, kann, je nachdem wie viele IoT-Geräte man verwalten möchte, eine echte Herausforderung werden. Vor allem die Routenerstellung verlangt viel Übersicht und Wissen. Und natürlich ist man schnell geneigt, für die eine Kamera oder den einen Sensor mal eben eine Ausnahme zu machen.

Gibt es nicht noch einen einfacheren Weg?

Ja, den gibt es. Voraussetzung ist, dass tatsächlich nur ich den Zugriff auf diese Dienste benötige (oder andere Personen, denen ich soweit vertraue, dass ich sie in mein Netzwerk lassen möchte). Bei dieser Lösung stehen die Geräte nicht öffentlich im Internet, sondern ich ermögliche eine gesicherte Verbindung mit dem benötigten Endgerät in das Netzwerk. Das Zauberwort hierfür heißt VPN, Virtual Private Network.

Ein VPN ermöglicht es, dass Rechner, die sich physikalisch in anderen Netzwerken befinden, logisch wie Geräte aus dem gleichen Netzwerk behandelt werden. Der Zugriff erfolgt dabei zwar über öffentliche Pfade, wird aber dann komplett zwischen den beiden beteiligten Komponenten verschlüsselt, sodass kein Angreifer in diese Kommunikation eingreifen kann. Auf beiden Seiten ist eine spezielle VPN-Software aktiv, mit dessen Hilfe die Verbindung hergestellt wird.

Viele von Ihnen kennen VPN bereits aus der Arbeitswelt. Aber auch für den Privatbereich ist das mittlerweile ein gängiges Verfahren und leicht einzurichten. Beispielsweise haben die Router der Firma AVM (Fritz.box) die Möglichkeit einer VPN Verbindung bereits eingebaut (auch andere Router Hersteller haben ein VPN Feature). Die Einrichtung ist, AVM typisch, sehr einfach. Näheres findet man auf den Herstellerseiten.

Z.B. bei AVM: https://avm.de/service/vpn/uebersicht/

Will man Teile seiner Sensoren doch öffentlich zur Verfügung stellen, gibt es andere Wege. Einige IoT Hersteller bieten eigene Hardware an, die den sicheren Zugriff ermöglicht oder zumindest sich besser absichern lassen, z.B. Homematic oder Gigaset. Allerdings mit dem Nachteil, dass die Anbindung dann proprietär ist.

Eine OpenSource Alternative dazu (zumindest, was den Server angeht), noch dazu mit diversen anderen netten Features ist Blynk.io. Benötigt wird dazu jedoch ein Stück eigene Hardware, auf der der Blynk-Server (https://github.com/blynkkk/blynk-server) läuft. Dafür reicht allerdings auch schon ein einfacher aktueller Raspberry Pi.

Ich hoffe, Ihnen hat dieser kleine Blog gefallen! Bis zum nächsten Mal.

Wilfried Klaas