Anbieter zum Thema

Aerohive Networks

ET System electronic GmbH

Treston Deutschland GmbH

dataTec AG

So lässt sich verhindern, dass über die Zugangsschlüssel einfacher Dinge Geräte gehackt und kontrolliert werden können, die persönliche Daten enthalten. Im Umkehrschluss heißt das auch: Sollte ein Unbefugter es schaffen, eine LED-Glühbirne zu hacken und bei gleichen Schlüsseln anschließend die komplette Haustechnik kontrollieren, dann muss nicht nur der Schlüssel für die Beleuchtungstechnik geändert werden, sondern auch für die Unterhaltungselektronik, Haushaltsgeräte, Rollo- oder Garagentortechnik.

Die Funktionalität der Geräte lässt sich einschränken, indem man ihnen private vorab verteilte Schlüssel – sogenannte Private Pre-Shared Keys, kurz PPSK – zuweist, die jeweils unterschiedliche Rechte beinhalten. Ähnlich wie bei 802.1x-basierter Autorisierung, aber ohne die dafür nötigen Zertifikate, lassen sich Gerätegruppen unterscheiden und danach Zugriffsrechte sowie Netzwerkrichtlinien individuell konfigurieren.

Ein Schlüsselsatz kann etwa für den Gast- oder BYOD-Zugang (Bring your own device) genutzt werden, ein anderer hingegen für das Gebäudemanagement. Dabei stellen strikt kontrollierte L2-L7 Firewall-Richtlinien sicher, dass nur die Systeme selbst, nicht jedoch andere Nutzer/Geräte, die sich im Netzwerk eingeloggt haben, Änderungen an der Haustechnik vornehmen dürfen.

Für den Fall des Beleuchtungssystem bedeutet dies, dass ein Unbefugter eine Lampe zwar möglicherweise knacken kann, danach aber dank des PPSK nicht weit kommt, da die Zugriffsrechte auf eine Aktion beschränkt sind. Außerdem kann der gehackte individuelle Schlüssel identifiziert und anschließend unschädlich gemacht werden, während die anderen Schlüssel weiter funktionieren.

Die PPSK implementieren und konfigurieren

Beim Rollout der PPSK gibt es diverse Möglichkeiten. Administratoren können sie per Zugriff auf das zentrale Management-System generieren, oder Mitarbeiter erstellen sie auf der Basis einer Gruppenberechtigung.

Natürlich sind einige Vorkehrungen nötig, um Maschinen- oder Benutzerzertifikate für das EAP-TLS-Standardprotokoll auf IoT-Geräte ausrollen zu können. PPSK und die damit verbundene individuelle Zuteilung von Rechten für Firewalling, QoS, VLAN, usw. bieten aber ein großes Einsatzspektrum und eignen sich für diesen Zweck sehr gut. Jeder Geräte- und Benutzertyp erhält einen einmaligen und spezifischen Netzwerkschlüssel und damit eingeschränkte Zugriffsrechte.

Dadurch können alle möglichen IoT-Geräte einfach an das bestehende WLAN-Netzwerk angeschlossen werden, ohne zusätzliche Module installieren zu müssen. Tausende von privaten vorab verteilten Schlüsseln mit individuellen Verbindungsprofilen lassen sich auf diese Weise vergeben. Eine fremdgesteuerte Lampe kann unter diesen Voraussetzungen nicht zu einem Sicherheitsrisiko für die Beleuchtungsanlage werden, da ihr Netzwerkschlüssel dies nicht zulässt. Selbst bei einem erfolgreichen Hackerangriff bliebe der Schaden begrenzt.

Die PPSK bilden also eine undurchdringbare Mauer, da sie Geräten oder Benutzergruppen nur begrenzte Zugriffsrechte einräumen und von Administratoren eingeschränkt oder ganz widerrufen werden können. Ferner werden die Regelsätze direkt am Zugang des Netzes angewandt und gelangen dadurch nicht bis zum zentralen Controller. Damit wird zusätzlich zur erhöhten Sicherheit des Netzes auch die Netzinfrastruktur entlastet.

Maßgeschneiderte Zugriffsrechte können Unternehmen also helfen, ihre Daten vor Hackangriffen zu schützen, denn Unbefugte können, wenn überhaupt, nur einen kleinen Teil des Netzwerks erschließen.

* David Simon ist Systems Engineer bei Aerohive Networks.

(ID:43237794)