Já se passaram 2 anos desde que a Rússia teve a oportunidade de implantar sistemas IoT baseados na tecnologia NB-IoT. Contadores que enviam seus indicadores para habitação e serviços comunitários, balões meteorológicos automáticos longe da civilização, agricultura inteligente - tudo isso logo se tornará parte da vida cotidiana.



É importante que nem o sistema do dispositivo, nem os dados que ele coleta e transmite sejam usados ​​contra os usuários do sistema. Se você estiver interessado em como o padrão NB-IoT os protege de ataques de rede, convido você em cat.

Sobre ataques

Conforme já referido, no domínio da recolha e processamento de dados através da IoT, os ataques que visam a leitura de dados (escuta de um canal, obtenção de acesso não autorizado a dados) e a sua substituição são de interesse e preocupação primordiais. Para evitar espionagem, criptografia é usada, e de spoofing, mecanismos de verificação de autoria de pacote (autenticação) são usados, por exemplo, uma assinatura digital (que também é uma tarefa de criptografia), ou o método para sistemas IoT descrito em [1] .



Não é nenhum segredo que hoje computadores e smartphones comuns são capazes de garantir a força da criptografia de um criptografador de canal de comunicação de forma que quebrá-lo em um supercomputador moderno levará tempo excedendo a vida útil do universo, mas essa resistência à criptografia tem um preço - o tempo de criptografia computacional e a energia consumida pelo dispositivo. Um medidor inteligente, uma bateria na qual deve ser suficiente para 10 anos de operação contínua, e não funcionará por um mês se todos os dias contar apenas os pontos de uma curva elíptica. A velocidade também é um problema: para realizar operações simples de fazer e enviar leituras, não é necessário muito poder de computação, o que não se pode dizer sobre criptografia confiável.



Os métodos padrão de proteção de informações contra ataques à rede para dispositivos de baixo consumo de energia não funcionam devido a restrições não padronizadas nas operações permitidas para esses dispositivos. Por outro lado, a construção correta da rede impõe restrições ao atacante e, dependendo das limitações do padrão, o algoritmo leve mais adequado é selecionado ( [2] ).

Resumidamente sobre NB-IoT

Vamos falar sobre o padrão NB-IoT: por que é necessário, o que descreve e como funciona o que descreve. Depois disso, vamos descobrir quais restrições são impostas à rede.



O NB-IoT é projetado para servir redes de dispositivos de gravação simples (Dispositivos de Terminal ou OUs) por operadoras de celular. O trabalho da OU é coletar alguns dados e, em intervalos pré-determinados do dia, transmiti-los para o servidor de processamento, que irá dispor esses dados posteriormente. É a tecnologia de transmissão, da física para a rede, que está descrita na norma NB-IoT.



No NB-IoT, não há conectividade de rede entre a rede interna de endpoints e a rede externa do servidor de processamento. Em outras palavras, a operadora separa a rede do SO da rede externa (na verdade, da Internet) e atua como intermediária entre as duas redes.







Tarefas do operador como intermediário:

• manter um canal de comunicação de rádio com cada sistema operacional,
• transferir fluxos de dados do servidor de processamento para o sistema operacional e do sistema operacional para o servidor,
• fornecer acesso para leitura de fluxos e controle para o servidor manipulador e apenas para ele.

Ou seja, a carga útil passa por três redes separadas: uma rede de dispositivos, uma rede de infraestrutura da operadora e a Internet. Um invasor pode espionar ou substituir quando seu dispositivo está em uma dessas três redes, então a questão da segurança do fluxo de dados transmitidos via NB-IoT é dividida em três: sua segurança em cada uma das redes separadamente.



Omitir a questão da segurança dos dados dentro da rede da operadora e deixar isso na consciência da operadora, e considerar as outras duas.

Segurança de dados na rede externa

Vamos nos colocar na pele de um atacante. Diante de nós estão 2 hosts em comunicação: um servidor manipulador e uma interface de acesso aos dados coletados pela UO fornecida pela operadora especialmente para ela. Não estamos interessados ​​no que está por trás dessa interface - ela faz parte da infraestrutura do provedor.







A comunicação entre o manipulador e a interface de operação é a comunicação usual entre dois hosts na Internet. Como mencionado anteriormente, eles são poderosos o suficiente para fornecer canais de transmissão criptograficamente fortes; portanto, a questão da segurança de dados de um sistema operacional em uma rede externa não é de interesse.

Segurança de dados na rede da operadora

Vejamos agora a rede interna.



Em primeiro lugar, a rede está isolada em um certo sentido: não há caminho de rede para ela de fora, há apenas a possibilidade de intervenção direta em sua física. A conexão física entre o SO e a operadora é realizada por um canal de rádio em uma das frequências alocadas. A topologia de rede é um conjunto de conexões diretas entre o SO e a operadora, e todas elas são estáticas - pré-instaladas. Isso significa que um invasor que deseja interagir com um nó desta rede deve representar o nó oposto, e para que o nó real não detecte o tráfego que o imita. No caso em que o tráfego é transmitido por ondas de rádio, isso em si não é uma tarefa trivial.





Além disso, ainda criptografaremos pacotes e autenticaremos ao conectar.

Importante!

O Operador não é obrigado a fornecer criptografia de tráfego na rede OU-Operator. A criptografia é possível como um serviço separado, que é pago por uma organização que implanta um sistema IoT usando um operador NB-IoT.

Os op-amps não são poderosos o suficiente para usar algoritmos de criptografia criptograficamente fortes e a força de algoritmos leves é visivelmente menor, o que, entre outras coisas, significa que um invasor precisa de relativamente poucos pacotes para analisar antes de descobrir a chave do algoritmo.



No NB-IoT, a eficácia dos algoritmos de criptografia leves é alcançada pelo fato de que a troca de pacotes entre o SO e a operadora, simplesmente por conceito, ocorre raramente: unidades de pacotes por dia (mais precisamente, sobre a "escassez de tráfego" necessária para a eficiência pode ser encontrada em [2]) Acontece que um invasor simplesmente não tem para onde levar uma grande base de pacotes para análise em um curto espaço de tempo: qualquer algoritmo de criptografia em uma rede com baixo tráfego durará mais do que em uma situação semelhante em uma rede com tráfego frequente.

Resultado

NB-IoT é um padrão de serviço totalmente confiável. A substituição do tráfego na rede interna (ficar no meio) é uma tarefa cara devido à necessidade de ocultar o sinal de rádio dos nós uns dos outros. Além disso, ficar no meio não pode ser iniciado até que as chaves de autenticação do nó sejam conhecidas, que são suficientemente protegidas por um algoritmo de criptografia leve, como todos os dados transmitidos do sistema operacional para o operador.

As tentativas de ler ou "ficar no meio" na rede da operadora e na rede externa também falharão, uma vez que os dispositivos nessas redes têm capacidade de computação suficiente para criptografar o tráfego com segurança. Por outro lado, se um invasor quiser comprometer os dados do SO, provavelmente irá mirar por meio de uma rede externa: o tráfego nela é o menos dependente da operadora e o cliente é responsável por ele, que, por não ser uma grande empresa, gasta muito menos dinheiro com a segurança de sua rede do que o operador. Portanto, entendendo a questão da segurança de seus dados, você deve primeiro estudar como a organização que fornece o serviço diretamente a você aborda o problema de segurança.

Fontes e links:

1. Yuxiang Feng, Wenhao Wang, Yukai Weng, Huanming Zhang, A Replay-Attack Authentant Authentication Scheme for the Internet of Things
2. Saurabh Singh, Pradip Kumar Sharma, Seo Yeon Moon e Jong Hyuk Park: Algoritmos de criptografia leves e avançados para dispositivos IoT: pesquisa, desafios e soluções
3. Especificação 3GPP versão 13 - Especificação NB-IoT
4. O primeiro artigo do ciclo sobre a implementação de NB-IoT do MTS - Eu recomendo este ciclo como o primeiro passo no estudo de NB-IoT