Keamanan memberdayakan potensi IoT yang sebenarnya
Hanya beberapa tahun yang lalu, produsen Internet of Things (IoT) terutama berfokus pada perangkat keras, bukan perangkat lunak. Hari ini, kata Richard Hayton, CISO, Trustonic , Peralatan IoT telah berubah secara drastis, dengan perangkat lunak yang menonjol dan berkembang dalam hal aplikasi terkait konsumen.
Saat ini, istilah "IoT" terutama digunakan untuk aplikasi yang berfokus pada konsumen:ini termasuk kendaraan yang terhubung, teknologi yang dapat dikenakan dan kesehatan yang terhubung, di antara aplikasi lainnya. Menurut Statista , angka perkiraan menunjukkan bahwa pasar IoT untuk solusi pengguna akhir akan tumbuh menjadi sekitar US$1,6 triliun (€1,31 triliun) pada tahun 2025.
Namun, solusi pengguna akhir bukan satu-satunya pasar untuk Internet of Things. Aplikasi organisasi dan industri perangkat IoT juga meningkat, terutama di sektor manufaktur dan perawatan kesehatan.
Keamanan dan IoT
Seiring berkembangnya aplikasi IoT, ada kebutuhan yang meningkat untuk menggunakan kembali platform perangkat keras dan perangkat lunak. Penggunaan kembali perangkat lunak, meskipun mungkin memiliki aspek positif, meningkatkan dampak keamanan dari setiap kerentanan yang dapat dieksploitasi. Pustaka atau subsistem yang dirancang untuk satu kasus penggunaan, dapat digunakan kembali dalam aplikasi yang tidak diketahui oleh pembuat aslinya.
Industri ini belajar dengan cepat dan "boot aman" dan "pembaruan perangkat lunak aman" mulai menjadi lebih umum. Sementara teknik ini penting, mereka bukan obat mujarab. Terutama saat perangkat menyimpan atau mengaktifkan informasi bernilai tinggi bagi penyerang, seperti data pribadi yang sensitif, atau mengakses kredensial ke data yang disimpan di tempat lain.
Boot aman dan pembaruan keamanan memberikan pertahanan tingkat pertama, tetapi dari sudut pandang keamanan, yang terbaik adalah mengasumsikan bahwa pertahanan ini terkadang akan dilanggar. Jika ini adalah satu-satunya pertahanan, lalu setelah dilanggar, semua data pada perangkat akan hilang, dan penyerang bebas menyalahgunakan perangkat untuk menyerang di tempat lain.
Memperkenalkan lingkungan eksekusi tepercaya
Pendekatan keamanan yang lebih luas adalah dengan menyediakan beberapa zona atau lingkungan untuk perangkat lunak pada perangkat untuk mengisolasi dan melindunginya dari serangan, dan untuk mengurangi dampak serangan yang berhasil. Beberapa lingkungan yang menyimpan atau memanipulasi data sensitif akan dirancang khusus dengan keamanan sebagai tujuan utama.
Teknologi yang disediakan oleh chipset modern, seperti Arm TrustZone, dapat menyediakan zona terisolasi yang dilindungi oleh perangkat keras CPU dan boot aman, dan itu tetap aman, bahkan jika bagian lain dari perangkat terganggu. Lingkungan Eksekusi Tepercaya yang dibangun menggunakan teknologi ini dirancang dengan pendekatan "pertahanan mendalam", berfokus pada kode yang ditandatangani secara kriptografis, dan API yang disertifikasi oleh badan independen terhadap serangan. Perangkat lunak yang berjalan di lingkungan seperti itu juga dapat membuktikan legitimasinya ke server cloud eksternal, sehingga jauh lebih sulit bagi penyerang untuk menumbangkan ekosistem IoT yang lebih luas.
Bagi seorang individu, serangan siber melalui perangkat mereka dapat menghancurkan, mencuri data pribadi, dan berpotensi memungkinkan pencurian identitas atau aktivitas kriminal yang lebih luas seperti menyalahgunakan kredensial pembayaran yang disimpan di perangkat IoT, atau menggunakan perangkat yang dilanggar untuk menyerang perangkat lain di jaringan rumah. .
Untuk produsen perangkat, dan untuk industri secara keseluruhan, serangan dapat memiliki dampak yang lebih besar. Sekali kepercayaan konsumen terhadap suatu merek hilang, sangat sulit untuk mendapatkan kembali, dan konsumen akan dengan cepat mengabaikan merek, atau seluruh segmen produk jika pertukaran risiko/manfaat tampaknya tidak masuk akal. Pernyataan ini bahkan lebih benar untuk pasar yang diatur, seperti IoT medis atau komersial, di mana regulator cepat bertindak jika ditemukan kekurangan produk.
Jalan ke depan
Di masa lalu, keamanan bukanlah keputusan membeli. Itu berubah. Regulator di seluruh dunia memerlukan beberapa kebersihan dasar untuk IoT Konsumen seperti boot aman dan penghapusan kata sandi default. Ini adalah awal yang baik, tetapi tidak diragukan lagi hanya langkah pertama dan, seperti yang dibahas di atas, hanya satu bagian dari strategi keamanan. Industri dapat mengharapkan regulasi di masa depan, tetapi sebenarnya yang dibutuhkan adalah perpindahan dari keamanan sebagai kotak centang ke keamanan sebagai fitur integral dari produk.
Penulisnya adalah Richard Hayton, CISO, Trustonic.
