Об избыточности блокчейна для приложений безопасности промышленного Интернета вещей

Об избыточности блокчейна для приложений безопасности промышленного Интернета вещей

Выпуск 6(6680) от 21 марта 2019 г.
РУБРИКА: БЛОКЧЕЙН

Одна из наиболее широко обсуждаемых и перспективных технологий современности – ​блокчейн – ​находит применение также и в сфере безопасности промышленного Интернета вещей. Между тем данная технология может оказаться излишне мощной для этой задачи. До тех пор пока она не достигнет достаточной зрелости, исследователи рекомендуют придерживаться «корней доверия» (Roots of Trust, RoT), безопасной загрузки и связанных с этим решений.

Технология блокчейн начинает проникать во многие области программного обеспечения безопасности, предназначенного для промышленного Интернета вещей. Однако владельцам проектов промышленного Интернета вещей, производителям микросхем и комплектного оборудования (OEM) следует придерживаться вариантов низкоуровневой, ориентированной на устройства и данные безопасности самого промышленного Интернета вещей. Прикладывать усилия по продвижению блокчейна в качестве опции безопасности, а также инструмента аудита пока слишком рано – ​по крайней мере до появления эффективных шаблонов блокчейна для Интернета вещей.

Согласно данным опроса, проведенного поставщиком услуг цифровой безопасности Gemalto в 2018 г., только около 6% владельцев проектов в сфере промышленного Интернета вещей решили встроить системы безопасности, специфичные для промышленного Интернета вещей, в свои первоначальные проекты развертывания, в то время как 44% заявили, что это будет слишком дорого. Ежегодный опрос Gemalto, проведенный в начале 2019 г., показал, что в настоящее время только 48% владельцев проектов Интернета вещей могут контролировать свои устройства достаточно хорошо, чтобы точно знать, была ли нарушена безопасность.

Программные пакеты, способные заполнить имеющиеся пробелы, пока немногочисленны и дороги в обслуживании. Во многом это связано с тем, что для защиты устройств, предназначенных для промышленных функций, требуется больше устройств памяти, хранения или возможностей обновления, чем имеется у типичных устройств Интернета вещей, в том числе промышленного, в настоящее время. Как показали результаты исследования консорциума Industrial Internet, проведенного в 2018 г., это затрудняет применение ПО для защиты в сетях с аппаратным обеспечением промышленного Интернета вещей.

Тем не менее серьезность проблемы обеспечения безопасности признана повсеместно. Анализ рынков, проведенный BCC Research в 2018 г., показал, что расходы на безопасность для Интернета вещей (включая промышленный) будут увеличиваться на 25,1% в год – ​с 1,7 млрд долл. в 2018 г. до 5,2 млрд к 2023-му. Согласно другому исследованию, проведенному Juniper Research, к 2023 г. рост составит 300%, а объем расходов превысит 6 млрд долл.

С 2017 г. группа компаний, в том числе Cisco, Bosch, Gemalto, IBM и другие, продвигают блокчейн как способ создания защищенного от взлома источника для всего – ​от микросхем до целых устройств. При создании проверяемой истории, в которой каждое новое событие или изменение в статусе должно верифицироваться 51% членов группы, использующих конкретный реестр, должна быть обеспечена возможность отследить любой компонент от точки продажи до первоначального производителя, чтобы проверить, не был ли он подделан.

По данным исследований корпорации IBM, блокчейн также можно использовать для отслеживания и проверки данных датчиков, предотвращения дублирования или вставки вредоносных данных и обеспечения постоянной проверки подлинности отдельных устройств, что способствует использованию блокчейна как в технических, так и в финансовых функциях.

Результаты опроса, проведенного компанией Gemalto, показали, что использование блокчейна для защиты активов Интернета вещей (включая промышленный) выросло до 19% по сравнению с 9% в 2017 г. Около 23% респондентов считают, блокчейн идеальным решением для защиты активов Интернета вещей (включая промышленный). Некоторые возможные варианты использования технологии блокчейн с целью обеспечения безопасности Интернета вещей приводятся на рисунке.



Источник: Juniper Networks

Варианты использования технологии блокчейн для обеспечения безопасности Интернета вещей


Переход к подобной системе защиты требует всестороннего изучения вопроса и точного определения необходимого уровня безопасности. Публичный блокчейн отлично подходит для таких сфер, как фондовая биржа – ​за счет большого количества участников, более 50% которых должны дать согласие на сотрудничество, осуществить обман становится очень трудно. Напротив, обеспечение безопасности устройств промышленного Интернета вещей, даже в цепочке поставок, может осуществляться гораздо меньшей группой, при этом не будет полной гарантии того, что нигде не закралась ошибка. К тому же до сих пор не решен ряд неотложных задач, в частности реализации «корня доверия» и управления ключами.

Между тем многие исследователи считают блокчейн излишне мощной и дорогой технологией для данного применения. По мнению специалистов Tensilica (подразделение корпорации Cadence), использование блокчейна для отслеживания текущего местоположения и состояния устройства Интернета вещей нельзя назвать перспективным применением данной технологии. Общедоступные реестры – ​это средство безопасной записи информации распределенным способом. Если нет настоятельной необходимости записывать местоположение и состояние устройства именно таким образом, то использование блокчейна – ​слишком дорогостоящий способ. Иными словами, приложения Интернета вещей, как правило, не нуждаются в таком уровне проверки подлинности [1].

Альтернативу составляет «корень доверия» (RoT) – ​это набор функций в доверенном вычислительном модуле, которому всегда доверяет операционная система (ОС) компьютера. RoT служит отдельным вычислительным механизмом, управляющим криптографическим процессором доверенной вычислительной платформы на ПК или мобильном устройстве, в которое он встроен.

RoT обеспечивает функциональные возможности надежных вычислительных функций, включая:

шифрование диска «на ходу»;

обнаружение и сообщение о несанкционированных изменениях в операционной системе или программах;

обнаружение руткитов;

изоляцию памяти для предотвращения неправильного чтения или записи программ в память другой программы;

аппаратную поддержку управления цифровыми правами (DRM).

Критики утверждают, что благодаря уровню контроля, предоставляемого RoT и доверенным вычислениям, они могут быть использованы для недопущения установки в компьютер конкурирующего ПО или для отказа в управлении данными, защищенными авторским правом, либо другими пользовательскими данными. Кроме того, хотя аппаратные средства затрудняют дистанционный обход механизмов безопасности, их можно преодолеть путем физической модификации [2].


ОГРАНИЧЕНИЯ БЛОКЧЕЙНОВ

По мнению специалистов IBM Resilient, даже самые надежные общедоступные блокчейны зачастую менее эффективны, чем решения, которые они заменяют. Но что еще более важно, они не делают процесс более безопасным, устраняя необходимость в доверии.

Блокчейн снижает степень доверия к людям и требует, чтобы мы доверяли исключительно компьютерам, сетям и приложениям, которые могут быть единственными точками отказа. В отличие от этого, правовая система, управляемая человеком, имеет много потенциальных точек отказа и восстановления. Одно может дополнять другое, благодаря чему эффективность процесса возрастает. Однако нет никаких оснований предполагать, что простое переключение доверия на машины, независимо от контекста или качества исполнения, улучшит ситуацию.

Согласно отчету Boston Consulting Group за 2018 г., методы проверки общедоступных реестров могут применяться ко многим аспектам идентификации и цепочки поставок сетей Интернета вещей (включая промышленный). Однако только 25% заявок, рассмотренных Boston Consulting Group, завершили этап проверки концепции и оказались потенциально способными решать такие проблемы, как фальсифицированные или плагиатные одобрения, выявленные в случаях криптовалюты, отсутствие стандартов, проблемы с производительностью и неопределенность в области регулирования. Все это вызывает сомнения в полезности блокчейна в данной области, поскольку способ управления базовой безопасностью и аутентификацией находится на ранней стадии зрелости как в рамках промышленного Интернета вещей, так и блокчейна.

Масштаб излишних издержек, необходимых для проверки блокчейнами данных о местоположении или состоянии для тысяч устройств, неутешителен. Намного проще идентифицировать оборудование с помощью открытого или закрытого ключа, особенно если закрытый ключ защищен числом, заданным физически не клонируемой функцией (PUF). С помощью аппаратной реализации PUF делает почти невозможной подделку идентификатора (за исключением лабораторных атак), в то время как программное обеспечение никогда не бывает на 100% безопасным. Практически невозможно доказать, что сложная программная система не имеет брешей в системе защиты.

Таким образом, наиболее логичным решением в сложившейся ситуации можно считать использование подхода «корень доверия», безопасной загрузки и связанных с этим решений – ​по крайней мере до тех пор, пока не появятся эффективные шаблоны блокчейна для Интернета вещей [1].

 

1. Kevin Fogarty. Blockchain May Be Overkill for Most IIOT Security. Semiconductor Engineering, February 13, 2019: https://semiengineering.com/blockchain-may-be-overkill-for-most-iiot-security/ 

2. Definition Roots of Trust (RoT). WhatIs.com: https://whatis.techtarget.com/definition/Roots-of-Trust-RoT