Han pasado 2 años desde que Rusia tuvo la oportunidad de implementar sistemas IoT basados ​​en la tecnología NB-IoT. Contadores que envían sus indicadores a la vivienda y los servicios comunales, microglobos automáticos meteorológicos lejos de la civilización, agricultura inteligente : todo esto pronto se convertirá en parte de la vida cotidiana.



Es importante que ni el sistema del dispositivo, ni los datos que recopila y transmite, se utilicen contra los usuarios del sistema. Si está interesado en cómo el estándar NB-IoT los protege de los ataques de red, lo invito a cat.

Sobre los ataques

Como ya se mencionó, en el campo de la recopilación y el procesamiento de datos utilizando IoT, los ataques dirigidos a leer datos (escuchas telefónicas en un canal, obtener acceso no autorizado a los datos) y su sustitución son de interés y preocupación primordiales. Para evitar escuchas clandestinas, se utiliza cifrado, y de suplantación de identidad, se utilizan mecanismos de verificación de autoría de paquetes (autenticación), por ejemplo, una firma digital (que también es una tarea de cifrado), o el método para sistemas IoT descrito en [1] .



No es ningún secreto que hoy en día las computadoras y los teléfonos inteligentes ordinarios son capaces de garantizar la fuerza de encriptación de un encriptador de canal de comunicación, de modo que romperlo en una supercomputadora moderna llevará un tiempo que excederá la vida útil del universo, pero tal resistencia criptográfica tiene un precio: el tiempo de encriptación computacional y la energía consumida por el dispositivo. Un medidor inteligente, una batería en la que debería durar 10 años de funcionamiento continuo, y no funcionará durante un mes si todos los días solo cuentan los puntos de una curva elíptica. La velocidad también es un problema: para realizar operaciones simples para tomar y enviar lecturas, no se necesita mucha potencia informática, lo que no se puede decir de un cifrado confiable.



Los métodos estándar para proteger la información de los ataques a la red para dispositivos de baja potencia no funcionan debido a restricciones no estándar en las operaciones permitidas para estos dispositivos. Por otro lado, la correcta construcción de la red impone restricciones al atacante y, dependiendo de las limitaciones del estándar, se selecciona el algoritmo ligero más adecuado ( [2] ).

Brevemente sobre NB-IoT

Hablemos del estándar NB-IoT: por qué es necesario, qué describe y cómo funciona lo que describe. Después de eso, averigüemos qué restricciones se imponen en la red.



NB-IoT está diseñado para servir a redes de dispositivos de grabación simples (dispositivos terminales u OU) por parte de operadores celulares. El trabajo de la unidad organizativa es recopilar algunos datos y transmitirlos al servidor de procesamiento a intervalos predeterminados del día, que eliminará estos datos aún más. Es la tecnología de transmisión, desde la física a la red, que se describe en el estándar NB-IoT.



En NB-IoT, no hay conectividad de red entre la red interna de puntos finales y la red externa del servidor de procesamiento. En otras palabras, el operador separa la red del SO de la red externa (de hecho, de Internet) y actúa como intermediario entre las dos redes.







Tareas del operador como intermediario:

• mantener un canal de radio de comunicación con cada sistema operativo,
• transferir flujos de datos desde el servidor de procesamiento al sistema operativo y desde el sistema operativo al servidor,
• proporcionar acceso a los flujos de lectura y control al servidor del controlador y solo a él.

Es decir, la carga útil pasa a través de tres redes separadas: una red de dispositivos, la red de infraestructura de un operador e Internet. Un atacante puede espiar o sustituir cuando su dispositivo está en una de estas tres redes, por lo que la cuestión de la seguridad del flujo de datos transmitidos a través de NB-IoT se divide en tres: su seguridad en cada una de las redes por separado.



Omitir el tema de la seguridad de los datos dentro de la red del operador y dejarlo en la conciencia del operador, y considerar los otros dos.

Seguridad de los datos en la red externa

Pongámonos en la piel de un atacante. Ante nosotros tenemos 2 hosts comunicantes: un servidor controlador y una interfaz para acceder a los datos recopilados por la OU proporcionada por el operador especialmente para ello. No nos interesa lo que hay detrás de esta interfaz, es parte de la infraestructura del proveedor.







La comunicación entre el controlador y la interfaz del operador es la comunicación habitual entre dos hosts en Internet. Como se mencionó anteriormente, son lo suficientemente poderosos como para proporcionarse canales de transmisión criptográficamente fuertes, por lo que el tema de la seguridad de los datos de un sistema operativo en una red externa no tiene interés.

Seguridad de los datos en la red del operador

Veamos ahora la red interna.



En primer lugar, la red está aislada en cierto sentido: no hay una ruta de red hacia ella desde el exterior, solo existe la posibilidad de una intervención directa en su física. La comunicación física entre el sistema operativo y el operador se realiza mediante un canal de radio en una de las frecuencias asignadas. La topología de red es un conjunto de conexiones directas entre el sistema operativo y el operador, y todas ellas son estáticas, preinstaladas. Esto significa que un atacante que quiera interactuar con un nodo de esta red debe hacerse pasar por el nodo opuesto, y para que el nodo real no detecte tráfico imitándolo. En el caso de que el tráfico se transmita por ondas de radio, esto en sí mismo no es una tarea trivial.





Además, seguiremos cifrando paquetes y autenticando al conectarnos.

¡Importante!

El operador no está obligado a proporcionar cifrado del tráfico en la red OU-Operador. El cifrado es posible como un servicio separado, pagado por una organización que implementa un sistema IoT utilizando un operador NB-IoT.

Los amplificadores operacionales no son lo suficientemente potentes para usar algoritmos de cifrado fuertes criptográficamente pesados, y la fuerza de los algoritmos livianos es notablemente menor, lo que, entre otras cosas, significa que un atacante necesita relativamente pocos paquetes para analizar antes de poder descubrir la clave del algoritmo.



En NB-IoT, la efectividad de los algoritmos de cifrado livianos se logra por el hecho de que el intercambio de paquetes entre el sistema operativo y el operador, simplemente por concepto, ocurre raramente: unidades de paquetes por día (más precisamente, sobre la "escasez de tráfico" necesaria para la eficiencia, ver [2]) Resulta que un atacante simplemente no tiene a dónde llevar una gran base de paquetes para analizar en poco tiempo: cualquier algoritmo de cifrado en una red con tráfico escaso durará más que en una situación similar en una red con tráfico frecuente.

Salir

NB-IoT es un estándar de servicio completamente confiable. La sustitución del tráfico en la red interna (en el medio) es una empresa costosa debido a la necesidad de ocultar la señal de radio de los nodos entre sí. Además, no se puede comenzar a permanecer en el medio hasta que se conozcan las claves de autenticación de nodo, que están protegidas de manera suficientemente confiable por un algoritmo de cifrado ligero, como todos los datos transmitidos desde el sistema operativo al operador.

Los intentos de leer o "estar en el medio" en la red del operador y en la red externa también fallarán, ya que los dispositivos en estas redes tienen suficiente potencia informática para cifrar el tráfico de forma segura. Por otro lado, si un atacante quiere comprometer los datos del SO, lo más probable es que apunte a través de una red externa: el tráfico en ella es el que menos depende del operador y el cliente es el responsable de él, quien, al no ser una gran empresa, gasta mucho menos dinero en la seguridad de su red. que el operador. Por lo tanto, al comprender el tema de la seguridad de sus datos, primero debe estudiar cómo la organización que le brinda el servicio directamente aborda el problema de seguridad.

Fuentes y enlaces:

1. Yuxiang Feng, Wenhao Wang, Yukai Weng, Huanming Zhang, un esquema de autenticación resistente a ataques de repetición para Internet de las cosas
2. Saurabh Singh, Pradip Kumar Sharma, Seo Yeon Moon y Jong Hyuk Park: algoritmos avanzados de cifrado ligero para dispositivos IoT: encuesta, desafíos y soluciones
3. Especificación 3GPP Release 13 - Especificación NB-IoT
4. El primer artículo del ciclo sobre la implementación de NB-IoT de MTS : recomiendo este ciclo como el primer paso para estudiar NB-IoT