Drahtlose Kommunikation Leitfaden für ein sicheres, funkbasierendes Edge-IoT

Anbieter zum Thema

Bürklin GmbH & Co. KG

MES Electronic Connect GmbH & Co. KG

ISH Ingenieursozietät GmbH

Vorgefertigte und zertifizierte Funkmodule sind an der Edge die bevorzugte Hardware, nicht zuletzt wegen der Herausforderungen, Funkgeräte von Grund auf neu zu entwickeln und zu zertifizieren.

Am Rand von IoT-Implementierungen erfolgt die anfängliche IoT-Anbindung meist über Mobilfunk oder Nahbereich-Funkverbindungen wie WLAN/Wi-Fi, Bluetooth oder Zigbee. Vorgefertigte Funkmodule haben nicht nur den Vorteil, zertifiziert zu sein, sie verkürzen auch die Time to Market.

Ein einzelnes Funkmodul kann jetzt über mehrere Frequenzbänder hinweg arbeiten und mehrere Protokolle gleichzeitig ausführen. Auch die in den Modulen verwendeten oder extern an sie angeschlossenen Antennen folgen zunehmend diesem Trend.

Bildergalerie

Die Sicherheit von IoT-Geräten ist ein wachsendes Problem, insbesondere bei kritischen medizinischen und industriellen Anwendungen. Die Art und Weise, wie Sicherheit in Funkmodule implementiert wird, hat erhebliche Auswirkungen auf die Systemsicherheit. Dieser Beitrag untersucht das Problem und liefert ein Beispiel für bewährte Verfahren.

Grundlagen von WLAN-Modulen

Ein WLAN-/Funkmodul umfasst einen Funk-Transceiver für 2,4- oder 5-GHz-Bänder (oft beides) und einen Mikrocontroller zum Ausführen von Firmware, um Daten zu empfangen, zu senden und Protokolle auszuführen. Hinzu kommt eine interne Antenne oder ein Anschluss für eine externe Antenne. SPI-, I²C-, USB- oder UART-Schnittstellen verbinden das Embedded-Board mit dem Funkmodul (Bild 1).

Protokoll-Stacks für WLAN-Module

Um eine Verbindung zu einem Netzwerk herzustellen, müssen WLAN-Module mehrere Protokolle ausführen, wie im IEEE-802.11-Standard definiert. Nach dem Verbindungsaufbau müssen sie auch die erforderlichen Machine-to-Machine-/M2M-Protokolle ausführen. Ein typischer Satz von Protokoll-Stacks und Funktionen für die Verbindung zu einem Cloud-Server kann TLS, TCP/IP, HTTP/S, FTP, MQTT, Zertifikatsverwaltung (Sicherheit) und die Verwendung kryptografischer Schlüssel (Sicherheit) umfassen.

WLAN-Module sind in Bezug auf Verarbeitungsleistung, Energieverbrauch und Kosten ressourcenbeschränkt. Daher können einige der Netzwerkprotokolle auf den Host-Anwendungsprozessor verlagert werden, meist mithilfe von AT-Befehlen über eine UART-Schnittstelle. Da die Funktion der Module immer komplexer wird, gilt dies auch für die AT-Befehle.

Wo Protokoll-Stacks gespeichert werden sollten

Der Speicherort jedes Protokoll-Stacks und jeder Sicherheitsfunktion ist ein wichtiger Sicherheitsaspekt. Bei älteren IoT-Geräten werden die Protokolle TCP/IP und HTTP in der Regel auf dem WLAN-Modul ausgeführt, wobei HTTP-Befehle, Kundenanwendungen und Sicherheitszertifikate vom Anwendungsprozessor verarbeitet werden.

Als das HTTPS-Protokoll das HTTP-Protokoll ablöste, um die Verschlüsselung von über das Internet gesendeten Daten sicherzustellen, wurde der HTTPS-Protokoll-Stack oft in WLAN-Module integriert, aber die HTTPS-Befehle kamen vom Anwendungsprozessor. HTTPS wird durch das TLS-Protokoll gesichert, das den Einsatz von Kryptografie erfordert.

Kryptografische Schlüssel werden in der Regel im lokalen sicheren Speicher des Anwendungsprozessors gespeichert. Alternativ kann ein mit dem Anwendungsprozessor verbundenes sicheres Element (SE; Secure Element) den Speichermechanismus bereitstellen (Bild 2).

Der große Schwachpunkt dieses Ansatzes ist, dass Sicherheitsdaten wie kryptografische Schlüssel über die UART/SPI-Verbindung unverschlüsselt übertragen werden. Sie sind daher ungeschützt. Ist das Funkmodul mit einem IoT-Gerät verbunden, z. B. einem Sensor, vergrößert sich das Problem. Zusätzlich zu den kryptografischen Schlüsseln müssen auch Stammzertifikate, URLs und APIs für die Softwareplattform gespeichert werden, die zur sicheren Verwaltung solcher Geräte verwendet wird.

WLAN-Moduldesign für schnellere Verwaltung von IoT-Geräten

Die Embedded-Firmware des Anwendungsprozessors und die Anforderung, Sicherheitsnachweise wie digitale Zertifikate und kryptografische Schlüssel zu verwalten, stellen eine große Herausforderung dar. Wenn das WLAN-Modul jedoch über ausreichende Ressourcen verfügt, um die für eine sichere Anbindung erforderlichen Elemente zu speichern, lässt sich die Verbindung von Embedded-Systemen mit Cloud-Anwendungen und -Diensten erheblich beschleunigen. Dies gilt gerade dann, wenn das Modul mit einer cloudbasierten Gerätesicherheitsplattform gekoppelt ist. Die ideale Aufteilung der Funktionen ist in Bild 3 dargestellt.

Bei der Konfiguration in Bild 3 muss der Anwendungsprozessor keine Sicherheitsfunktionen übernehmen, da diese alle innerhalb des Funkmoduls verwaltet werden. Dies macht die Firmware des Anwendungsprozessors weniger komplex, und es sind nur minimale Kenntnisse über die Komplexität der Cloud-Anbindung erforderlich.

Best-Practice-Beispiel für schnellere und sichere IoT-Anbindung

Um Entwicklern von Embedded-Systemen zu helfen, die Geräteentwicklung zu beschleunigen und effektive Sicherheit zu gewährleisten, die den aktuellen und geplanten gesetzlichen Standards (z. B. CRA) entspricht, hat der deutsche Hersteller von Funkmodulen, Würth Elektronik, zusammen mit dem britischen Sicherheitsunternehmen Crypto Quantique, ein Highend-WLAN-Modul namens Cordelia-I entwickelt. Es arbeitet zusammen mit der Software-Sicherheitsplattform QuarkLink von Crypto Quantique. Diese Kombination optimiert, automatisiert und beschleunigt die sichere Funkverbindung von einem Embedded-System zu Cloud-Diensten und -Anwendungen.

Cordelia-I verfügt über eine zertifizierte Funkeinheit und benötigt nur einen minimalen Satz von UART-Befehlen, damit ein Anwendungsprozessor eine Verbindung zu einem beliebigen Cloud-Dienst herstellen kann (Bild 4). Alle kryptografischen Schlüssel werden sicher im Modul generiert oder gespeichert. Auf sie kann von außen nicht zugegriffen werden, und Signierschlüssel sowie Zertifikate werden von QuarkLink während der Registrierung und Einbindung in die Cloud-Dienste verwaltet. Mit einer kleinen Anzahl von Befehlen über den UART kann ein Anwendungsprozessor schnell Nachrichten an einen IoT-Broker übertragen. Damit verringert sich der Aufwand für die Firmware-Entwicklung erheblich.

Sicherheit für Tausende von IoT-Geräten

Aus den Rückmeldungen der Kunden von Crypto Quantique geht hervor, dass das Einbinden von Sicherheit 25 bis 30 Prozent der gesamten Entwicklungszeit für Embedded-IoT-Systeme in Anspruch nimmt. Durch die Integration und Automatisierung von Sicherheitsfunktionen, vom sicheren Booten über die Schlüsselgenerierung bis hin zur lebenslangen Zertifikatsverwaltung, hat sich gezeigt, dass die QuarkLink-Plattform diesen Zeit- und Arbeitsaufwand um bis zu 90 Prozent reduziert. Tausende von IoT-Geräten können in wenigen Minuten sicher mit lokalen oder cloudbasierten Servern verbunden werden. Der Zugriff auf die Plattform erfolgt über eine einfache grafische Benutzeroberfläche, sodass Benutzer nur wenig Sicherheitskenntnisse benötigen. (mk)

* Chris Jones ist Director of Applications bei Crypto Quantique.

(ID:50280327)