พระราชบัญญัติการปรับปรุงความปลอดภัยทางไซเบอร์ของ IoT ที่สำคัญของปี 2020 เป็นการประกาศศักราชใหม่ของมาตรฐานการรักษาความปลอดภัย Internet of Things (IoT) สำหรับรัฐบาลและอุตสาหกรรม เรียนรู้เกี่ยวกับกฎหมายใหม่นี้และวิธีที่ SSL.com สามารถช่วยให้ผู้ผลิต IoT ปฏิบัติตามมาตรฐานใหม่และแนวทางปฏิบัติที่ดีที่สุดตามที่ปรากฏ
บทนำ
ยากที่จะหาข้อตกลงสากลเกี่ยวกับปัญหาใด ๆ ในทุกวันนี้แต่ทั้งสองสภาของรัฐสภาสหรัฐอเมริกามีมติเป็นเอกฉันท์ HR1668/S.734ที่ พระราชบัญญัติการปรับปรุงความปลอดภัยทางไซเบอร์ของ IoT ปี 2020ก่อนที่จะมีการลงนามในกฎหมายในวันที่ 4 ธันวาคม 2020 ข้อความง่ายๆของการเรียกเก็บเงินแสดงให้เห็นถึงการสนับสนุนในวงกว้างสำหรับการพัฒนาและการใช้งานมาตรฐานความปลอดภัย Internet of Things (IoT) สำหรับรัฐบาลกลาง จากสรุปการเรียกเก็บเงินของบ้าน:
การเรียกเก็บเงินนี้กำหนดให้สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) และสำนักงานการจัดการและงบประมาณ (OMB) ดำเนินการตามขั้นตอนที่ระบุเพื่อเพิ่มความปลอดภัยทางไซเบอร์สำหรับอุปกรณ์ Internet of Things (IoT) IoT คือส่วนขยายของการเชื่อมต่ออินเทอร์เน็ตไปยังอุปกรณ์ทางกายภาพและสิ่งของในชีวิตประจำวัน
โดยเฉพาะการเรียกเก็บเงินกำหนดให้ NIST พัฒนาและเผยแพร่มาตรฐานและแนวทางปฏิบัติสำหรับรัฐบาลกลางเกี่ยวกับการใช้งานและการจัดการที่เหมาะสมโดยหน่วยงานของอุปกรณ์ IoT ที่เป็นเจ้าของหรือควบคุมโดยหน่วยงานและเชื่อมต่อกับระบบข้อมูลที่หน่วยงานเป็นเจ้าของหรือควบคุมรวมถึงความปลอดภัยของข้อมูลขั้นต่ำ ข้อกำหนดสำหรับการจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่เกี่ยวข้องกับอุปกรณ์ดังกล่าว
ภายใต้พระราชบัญญัติการปรับปรุงความปลอดภัยทางไซเบอร์ของ Iot มาตรฐานของ NIST จะได้รับการทบทวนและแก้ไขทุกๆห้าปี สำนักงานบริหารและงบประมาณของสหรัฐอเมริกา (OMB) จะ“ พัฒนาและดูแลการดำเนินการตามนโยบายหลักการมาตรฐานหรือแนวทางปฏิบัติตามความจำเป็นเพื่อแก้ไขช่องโหว่ด้านความปลอดภัยของระบบข้อมูล” สิ่งสำคัญที่สุดสำหรับผู้ผลิต IoT หน่วยงานจะ“ ถูกห้ามไม่ให้จัดหาจัดหาหรือใช้อุปกรณ์ IoT หากหน่วยงานกำหนดในระหว่างการทบทวนสัญญาว่าการใช้อุปกรณ์ดังกล่าวขัดขวางการปฏิบัติตามมาตรฐานและแนวทางปฏิบัติ” ยกเว้น“ ในกรณีที่จำเป็นสำหรับ ความมั่นคงของชาติเพื่อวัตถุประสงค์ในการวิจัยหรือในกรณีที่อุปกรณ์ดังกล่าวได้รับการรักษาความปลอดภัยโดยใช้วิธีการอื่นที่มีประสิทธิภาพ”
เนื้อเรื่องของพระราชบัญญัติการปรับปรุงความปลอดภัยของ IoT เป็นไปตามการนำของรัฐที่เพิ่งผ่านกฎหมายที่มุ่งปกป้องความเป็นส่วนตัวและความปลอดภัยของ IoT รวมถึง แคลิฟอร์เนีย และ ออริกอน.
แม้ว่ากฎหมายจะกำหนดเป้าหมายไปที่การควบคุมอุปกรณ์ที่จัดหาโดยรัฐบาลกลาง แต่ผู้สนับสนุนด้านความปลอดภัยก็หวังว่าจะนำไปสู่การกำหนดมาตรฐานความปลอดภัย IoT และแนวทางปฏิบัติที่ดีที่สุดสำหรับภาคเอกชนด้วยเช่นกัน ใน โพสต์บล็อก จาก พันธมิตร ioXTซึ่งเป็นกลุ่มอุตสาหกรรมที่ส่งเสริมมาตรฐานความปลอดภัยของ IoT CTO Brad Ree กล่าวว่า“ แม้ว่าจะเป็นเรื่องเฉพาะของรัฐบาลสหรัฐฯ แต่เรามั่นใจว่าจะทำหน้าที่เป็นตัวเร่งปฏิกิริยาที่แจ้งให้ผู้ให้บริการเครือข่ายระบบนิเวศของผู้บริโภคและผู้ค้าปลีกปฏิบัติตามการรับรองความปลอดภัยของอุปกรณ์ ก้าวไปข้างหน้า”
ความปลอดภัย IoT (ใน)
พระราชบัญญัติการปรับปรุงความปลอดภัยทางไซเบอร์ IoT ฉบับใหม่พร้อมกับกฎหมายของรัฐอื่น ๆ และการริเริ่มในอุตสาหกรรมเป็นการตอบสนองต่อพื้นผิวการโจมตีขนาดใหญ่ที่เสนอโดย พันล้านอย่างแท้จริง ของอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตตั้งแต่จอภาพหัวใจไปจนถึงรถ SUV เมื่อเราคิดถึงการใช้อุปกรณ์ "อัจฉริยะ" ที่ไม่ปลอดภัยในทางที่ผิดเรื่องราวที่น่าสนใจเกี่ยวกับผู้ถูกบุกรุก กล้องรักษาความปลอดภัย or ล็อคสมาร์ท อาจนำความเสี่ยงจากการบุกรุกความเป็นส่วนตัวและอาชญากรรมในทรัพย์สินมาพิจารณาก่อน อย่างไรก็ตามบอทเน็ตขนาดใหญ่สามารถทำสิ่งต่างๆเช่น การโจมตีแบบปฏิเสธการให้บริการครั้งใหญ่ ยังเป็นอันตรายที่แท้จริงและในปัจจุบัน นักวิจัยด้านความปลอดภัย Elie Bursztein อธิบาย Mirai botnet ปี 2016:
เมื่อถึงจุดสูงสุดในเดือนกันยายน 2016 Mirai ได้หยุดให้บริการที่มีชื่อเสียงหลายอย่างชั่วคราวเช่น OVH, Dyn และ Krebs on Security ผ่านการโจมตี Denial of service (DDoS) แบบกระจายจำนวนมาก OVH รายงานว่าการโจมตีเหล่านี้เกิน 1Tbps ซึ่งมากที่สุดในบันทึกสาธารณะ
สิ่งที่น่าทึ่งเกี่ยวกับการโจมตีที่ทำลายสถิติเหล่านี้คือการโจมตีผ่านอุปกรณ์ Internet-of-Things (IoT) ขนาดเล็กที่ไม่มีอันตรายเช่นเราเตอร์ในบ้านจอภาพคุณภาพอากาศและกล้องวงจรปิดส่วนบุคคล เมื่อถึงจุดสูงสุด Mirai เป็นทาสของอุปกรณ์ IoT ที่มีช่องโหว่กว่า 600,000 เครื่องตามการวัดของเรา
...
ในการบุกรุกอุปกรณ์ MIRAI เวอร์ชันเริ่มต้นจะอาศัยเฉพาะชุดค่าผสมการเข้าสู่ระบบ / รหัสผ่านเริ่มต้นที่รู้จักกันดี 64 ชุดที่อุปกรณ์ IoT ใช้กันทั่วไป แม้ว่าการโจมตีนี้จะใช้เทคโนโลยีขั้นต่ำมาก แต่ก็พิสูจน์แล้วว่ามีประสิทธิภาพอย่างมากและนำไปสู่การประนีประนอมกับอุปกรณ์กว่า 600,000 เครื่อง
ลองนึกภาพอุปกรณ์ดังกล่าวนับล้านที่จัดส่งพร้อมข้อมูลรับรองเริ่มต้นที่คาดเดาได้ง่ายซึ่งผู้ใช้และผู้ดูแลระบบมักจะไม่เปลี่ยนแปลง คุณสามารถมองเห็นศักยภาพในความสำเร็จของแนวทางการบังคับแบบดุร้ายแบบ“ เทคโนโลยีต่ำ” ได้อย่างง่ายดายและนั่นเป็นเหตุผลหนึ่งที่ทำให้รัฐบาลกลางให้ความสนใจในการรักษาความปลอดภัย IoT ที่หละหลวม (น่าสนใจ - และน่าจะหลีกเลี่ยงการดึงดูดความสนใจบอท Mirai คือ รหัสเพื่อหลีกเลี่ยง ที่อยู่ IP ของกระทรวงกลาโหมและบริการไปรษณีย์ของสหรัฐฯและ Internet Assigned Numbers Authority (IANA) เมื่อทำการสแกน)
แน่นอนว่าจะไม่จัดส่งอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตด้วย admin และ password เนื่องจากข้อมูลประจำตัวของผู้ดูแลระบบจะเป็นการเริ่มต้นที่ดี และดังที่เราจะเห็นด้านล่างการรับรองความถูกต้องด้วย ใบรับรองไคลเอ็นต์ เป็นทางเลือกที่ปลอดภัยสำหรับรหัสผ่าน อ่านต่อเพื่อค้นหาสิ่งนี้และวิธีอื่น ๆ ที่ SSL.com สามารถช่วยให้ผู้ผลิต IoT ปรับปรุงความปลอดภัยของอุปกรณ์และปฏิบัติตามมาตรฐานการปกครองและอุตสาหกรรม
SSL.com สามารถช่วยได้อย่างไร
ข้อความที่เป็นเอกฉันท์ของ Internet of Things Cybersecurity Act ปี 2020 บวกกับความคาดหวังที่อุตสาหกรรมจะปฏิบัติตามนั้นบ่งชี้ว่าเส้นทางต่อไปของผู้ผลิต IoT จะรวมถึงการปฏิบัติตามมาตรฐานและกฎระเบียบด้านความปลอดภัยที่เข้มงวดขึ้น ใบรับรองดิจิทัล และ เป็นเจ้าภาพ PKI จาก SSL.com เป็นช่องทางที่ดีเยี่ยมสำหรับผู้ผลิตในการรักษาความปลอดภัยอุปกรณ์ IoT ใบรับรองดิจิทัลและ โครงสร้างพื้นฐานกุญแจสาธารณะ (PKI) ถือเป็นหนึ่งในรากฐานสำคัญของความปลอดภัยอินเทอร์เน็ตและ IoT สมัยใหม่ และจะยิ่งมีความจำเป็นมากขึ้นเมื่อมีการร่างมาตรฐานใหม่ภายใต้กฎหมาย
ใบรับรองดิจิทัล
ใบรับรองดิจิทัลเป็นไฟล์พิเศษที่ผูกคู่คีย์การเข้ารหัสกับเอนทิตีเช่นเว็บไซต์บุคคลองค์กรและอุปกรณ์ ผู้ออกใบรับรอง (CA) เช่น SSL.com ตรวจสอบข้อมูลประจำตัวเหล่านี้ก่อนออกใบรับรอง การใช้ใบรับรองดิจิทัลที่รู้จักกันอย่างแพร่หลายอยู่ในไฟล์ SSL /TLS และ HTTPS โปรโตคอลที่ใช้เพื่อรักษาความปลอดภัยเว็บไซต์ แต่ยังมีกรณีการใช้งานอื่น ๆ อีกมากมายรวมถึง การลงรหัส และ การลงนามเอกสาร. ใบรับรองดิจิทัลให้:
- การยืนยันตัวตนโดยทำหน้าที่เป็นข้อมูลรับรองที่สามารถตรวจสอบได้โดยเข้ารหัสเพื่อตรวจสอบความถูกต้องของข้อมูลประจำตัวของหน่วยงานที่ออกให้
- การเข้ารหัสลับสำหรับการสื่อสารที่ปลอดภัยผ่านเครือข่ายที่ไม่ปลอดภัยเช่นอินเทอร์เน็ต
-
ความสมบูรณ์ ของเอกสารที่ลงนามด้วยใบรับรองเพื่อไม่ให้บุคคลที่สามเปลี่ยนแปลงในระหว่างการขนส่ง
ในแง่ของความปลอดภัยของ IoT หมายความว่า:
- อุปกรณ์แต่ละชิ้นสามารถระบุข้อมูลประจำตัวและใบรับรองไคลเอ็นต์ที่ไม่ซ้ำกันระหว่างการผลิตเพื่อให้ใช้งานได้ ซึ่งกันและกัน TLS เพื่อตรวจสอบความถูกต้องอย่างปลอดภัยกับเซิร์ฟเวอร์ของ บริษัท
- การสื่อสารระหว่างคอมพิวเตอร์ของผู้ใช้และอุปกรณ์หรือระหว่างอุปกรณ์กับเซิร์ฟเวอร์ของ บริษัท จะได้รับการเข้ารหัสและมั่นใจในความสมบูรณ์ของการสื่อสารเหล่านี้
- ใบรับรองไคลเอ็นต์ที่ติดตั้งบนคอมพิวเตอร์ส่วนบุคคลหรืออุปกรณ์พกพาสามารถใช้เป็นไฟล์ ปัจจัยการพิสูจน์ตัวตน เมื่อลงชื่อเข้าใช้อุปกรณ์นอกเหนือจาก (หรือแทนที่จะเป็น) ชื่อผู้ใช้และรหัสผ่าน
- สามารถกำหนดค่าอุปกรณ์ให้เชื่อถือเฉพาะการอัปเดตซอฟต์แวร์ที่ลงนามด้วย ใบรับรองการลงนามรหัส การระบุผู้เผยแพร่
และเนื่องจากใบรับรองดิจิทัลและ PKI ได้รับการกำหนดมาตรฐานความปลอดภัยโปรโตคอลมาตรฐานอุตสาหกรรมเช่น ACME, SCEP และ EST สามารถใช้สำหรับการลงทะเบียนและการจัดการใบรับรองอุปกรณ์
เป็นเจ้าภาพ PKI
เทคโนโลยีและขั้นตอนที่ดูแลโดย CA สำหรับการผูกข้อมูลประจำตัวกับคีย์การเข้ารหัสและการออกใบรับรองดิจิทัลเรียกว่า Public Key Infrastructure (หรือ PKI). องค์กรใด ๆ สามารถดำเนินการได้เอง PKI และ CA สำหรับความเชื่อถือภายใน แต่มีเพียง CA ที่เชื่อถือได้แบบสาธารณะเช่น SSL.com เท่านั้นที่สามารถให้ใบรับรองที่เบราว์เซอร์และระบบปฏิบัติการปัจจุบันทั้งหมดเชื่อถือได้โดยอัตโนมัติ
เพื่อรักษาระดับความไว้วางใจที่เป็นสากลนี้ SSL.com ทำงานอย่างต่อเนื่องเพื่อให้สอดคล้องกับมาตรฐานอุตสาหกรรมและกฎระเบียบของรัฐบาลทั่วโลก กระบวนการและสิ่งอำนวยความสะดวกของเราอยู่ภายใต้การควบคุมอย่างเข้มงวดทุกปี การตรวจสอบ WebTrust ที่จำเป็นเพื่อให้ใบรับรองของเราเชื่อถือได้ในระดับสากล การตรวจสอบอุตสาหกรรมเหล่านี้ยังช่วยให้มั่นใจได้ว่าเรายังคงปฏิบัติตามมาตรฐานแห่งชาติ PKI มาตรฐานและแนวปฏิบัติของ รัฐบาล ทั่วโลก. เรามุ่งมั่นที่จะรักษาการปฏิบัติตามข้อกำหนดใหม่ ๆ PKI มาตรฐานและกฎระเบียบต่อไป - ในฐานะ CA เชิงพาณิชย์ที่เชื่อถือได้ต่อสาธารณะธุรกิจของเราขึ้นอยู่กับมัน
ผู้ผลิต IoT สามารถใช้ประโยชน์จากโครงสร้างพื้นฐานและความเชี่ยวชาญของ SSL.com ผ่าน องค์กรที่โฮสต์ PKIให้การเข้าถึงใบรับรองที่เชื่อถือได้ต่อสาธารณะและไม่จำเป็นต้องลงทุนในอุปกรณ์เพิ่มเติมและเจ้าหน้าที่ผู้เชี่ยวชาญ การออกใบรับรองและการจัดการวงจรชีวิตสามารถทำได้ผ่านโปรโตคอลมาตรฐานเช่น ACME, SCEP และ EST หรือ RESTful ของ SSL.com SWS API. เชื่อถือได้โดยส่วนตัว PKI มีให้บริการจาก SSL.com และอาจเป็นที่ต้องการสำหรับบางแอปพลิเคชัน กรุณาอ่าน ส่วนตัวเทียบกับสาธารณะ PKI: การสร้างแผนที่มีประสิทธิภาพ สำหรับข้อมูลเพิ่มเติมเกี่ยวกับเรื่องนี้
ด้วยการร่วมมือกับ SSL.com สำหรับ IoT PKI ด้วยความไว้วางใจส่วนตัวหรือสาธารณะคุณสามารถมั่นใจได้ว่าระบบและกระบวนการที่คุณใช้ในการออกและบำรุงรักษาใบรับรองบนอุปกรณ์ของคุณจะยังคงเป็นไปตามกฎระเบียบที่ออกโดย NIST ภายใต้พระราชบัญญัติการปรับปรุงความปลอดภัยทางไซเบอร์ของ IoT
เรียนรู้เพิ่มเติม
ต้องการเรียนรู้เพิ่มเติมว่า SSL.com สามารถช่วยเหลือผู้ผลิต IoT ได้อย่างไร ตรวจสอบแหล่งข้อมูล SSL.com เหล่านี้สำหรับข้อมูลเพิ่มเติมหรือส่งแบบฟอร์มด้านล่างเพื่อติดต่อสมาชิกทีมขายขององค์กรของ SSL.com:
- โซลูชัน Internet of Things (IoT)
- การรักษาความปลอดภัยอินเทอร์เน็ตของสรรพสิ่ง (IoT) ด้วย SSL /TLS
- SSL /TLS ระบบอัตโนมัติสำหรับ IoT พร้อม ACME
- SSL /TLS ระบบอัตโนมัติสำหรับ Internet of Things (IoT)
- การพิสูจน์ตัวตนผู้ใช้และอุปกรณ์ IoT ด้วย Mutual TLS
