Op weg naar een internet van veilige dingen

Met miljarden, en in de nabije toekomst mogelijk biljoenen aan verbonden apparaten, vormt het internet der dingen een groeiende bedreiging voor de beveiliging en privacy. Door meer dan veertig partners uit de academische wereld, de industrie, de overheid en het maatschappelijk middenveld samen te brengen, legt het Intersect-project de basis voor een internet van veilige dingen. Op 14 en 15 oktober organiseert het consortium zijn eerste jaarlijkse conferentie.

Nieke Roos

Het internet of things blijkt een van de zwakste plekken in onze infrastructuur te zijn. Met miljarden, en in de nabije toekomst mogelijk biljoenen apparaten, nemen de beveiligingsrisico’s enorm toe. Hoewel dit alomtegenwoordige netwerk van iot-apparaten toezicht zal houden op ons leven en onze economie, is het vanuit veiligheidsperspectief volkomen onbeheersbaar zijn. Om het risico te vergroten, worden iot-systemen vaak bedacht en ontwikkeld op plaatsen waar we geen controle over hebben. En tenzij we onze digitale soevereiniteit willen opgeven door alleen te vertrouwen op buitenlandse oplossingen voor onze nationale cyberbeveiliging, moeten we een manier vinden om ze te beveiligen.

‘We bevinden ons op een keerpunt in de geschiedenis en als we nu geen actie ondernemen, lopen we het risico overspoeld te worden door technologie die onze cyberbeveiliging en veiligheid fundamenteel en onomkeerbaar zal ondermijnen. Dit is niet zomaar een kwestie van datadiefstal – het gaat om producten die kunnen worden misbruikt om kritieke infrastructuren aan te vallen en zelfs te destabiliseren’, zegt Harold Weffers, coördinator van de publiek-private samenwerking Intersect. ‘Het project Intersect, uitgevoerd in het kader van de Nationale Wetenschapsagenda, heeft de ambitie om een ​​maatschappelijke transitie te starten naar een internet van veilige dingen. In de komende acht jaar willen we concrete stappen ondernemen om nieuwe benaderingen te bieden om iot-apparaten veiliger te maken.’

Zombies

‘Het beveiligen van het internet der dingen is niet hetzelfde als het beveiligen van reguliere it’, benadrukt Sandro Etalle. Etalle is de groepsleider Security aan de Technische Universiteit Eindhoven en de wetenschappelijk coördinator van Intersect. ‘We hebben een aantal methoden en tools om it te beveiligen, althans tot op zekere hoogte, maar die kosten te veel tijd en geld om van duizenden computers naar miljarden op te schalen. Als ze al schaalbaar zijn, kunnen we eenvoudigweg geen inbraakdetectiesysteem op een heel klein iot-apparaat plaatsen. We hebben nieuwe manieren nodig om deze apparaten te ontwerpen. Met Intersect willen we daarvoor de basis leggen.’

Etalle geeft een voorbeeld, waarbij hij zich richt op controleerbaarheid – volgens hem ‘een van de belangrijkste aspecten van beveiliging’. ‘De meeste systemen om ons heen zijn simpelweg niet controleerbaar. Neem een ​​smartphone. Hoewel die is ontwikkeld met het oog op beveiliging, is het niet ontwikkeld met het idee dat iemand het moet kunnen controleren. Ze zetten er een muur omheen, waardoor het moeilijk is om binnen te komen, maar ook bijna onmogelijk om te zien of het apparaat gehackt is. Generaliseren, een van de redenen waarom we systemen niet kunnen beveiligen, is dat we ze niet kunnen controleren. En een van de redenen waarom we ze vreemd genoeg niet kunnen controleren, is dat beveiligingsspecialisten ze zo niet-controleerbaar mogelijk hebben gemaakt. Nu is een smartphone krachtig genoeg om uitgebreide zelfbeschermingsmethoden te implementeren, maar wanneer we overgaan op iot, betreden we een wereld waarin we deze muren niet meer kunnen bouwen, waar apparaten meestal niet geschikt zijn om hoogwaardige verdediging te implementeren en waar het aantal systemen dat beveiliging vereist zo hoog is dat we onze traditionele beveiligingstoolbox niet kunnen toepassen. Met Intersect streven we ernaar om goede ontwerpprincipes vast te leggen voor monitorbare systemen, zodat we niet tientallen apparaten kunnen monitoren, maar tienduizenden.’

Apparaatbeheer is een andere belangrijke kwestie. ‘Het is al moeilijk genoeg om dat te doen voor een paar honderd computers, stel je voor dat je de firmware van een paar miljoen moet updaten’, illustreert Etalle. ‘Stel je dan voor dat je er een paar duizend verliest. We zullen steeds meer van deze zogenaamde zombie-apparaten zien, ook van leveranciers die failliet zijn gegaan. Omdat ze een grote kans hebben op een ​​verouderd besturingssysteem te draaien of bekende bugs bevatten, zijn ze ideale doelen voor aanvallers. Intersect streeft ernaar om vanaf het begin manieren te bieden om beheerfunctionaliteit op te nemen.’

Evenzo pleit Etalle voor ‘governance by design‘. ‘Naast beveiliging, veiligheid en privacy, moet je ook rekening houden met de naleving van de wet’, legt hij uit. ‘Beleid en regelgeving veranderen. De enige manier om daarmee om te gaan, is door apparaten zo te ontwerpen dat governance geen bijzaak is, maar is ingebouwd. We willen de tools bieden om deze uitdagingen op te lossen.’

Call to action

In minder dan een jaar heeft Intersect al zijn vruchten afgeworpen. ‘Een grote prestatie is dat we iedereen aan het praten hebben gekregen’, merkt TUE-professor Etalle op. ‘Vanuit de Nederlandse wetenschap hebben we naast mijn eigen universiteit ook Amsterdam voor de aanvallen, Delft voor de governance, Nijmegen voor het ontwerp en de ontwikkeling, Tilburg voor de wet- en regelgeving en Twente voor de verdediging aan ons verbonden. Daarnaast hebben we meerdere kennisinstituten en hogescholen aan boord. De deelname van belangrijke bedrijven zorgt voor een solide landing in de industrie. Dit geeft ons de kruisbestuiving die we nodig hebben om dit enorme probleem aan te pakken.’

‘Het is een goed vertrekpunt voor het leggen van de wetenschappelijke basis, aangevuld met brede steun van industriële partners die de ambitie hebben om daarbovenop platformen en andere oplossingen te bouwen’, vult Weffers aan. ‘Het zal hoogstwaarschijnlijk langer duren dan de looptijd van acht jaar van dit project, maar uiteindelijk zullen onze gezamenlijke inspanningen resulteren in een groot aantal technologieën en ondersteunende systemen om het internet van veilige dingen mogelijk te maken.’

In de nabije toekomst, op 14 en 15 oktober, organiseert het consortium zijn eerste jaarlijkse conferentie over cybersecurity voor het iot. Tijdens deze virtuele bijeenkomst, gratis toegankelijk voor geregistreerde deelnemers, gaan ze in op de problemen, mogelijke (richtingen voor) oplossingen en de daarbij behorende r&d en innovatie uitgevoerd in de context van het project. Etalle: ‘Het programma zal ingaan op de technische aspecten, maar ook op de uitdagingen voor de samenleving als geheel, dus het zal niet alleen interessant zijn voor techneuten, voor degenen die iot-apparaten ontwikkelen, maar ook voor degenen die graag willen leren wat de toekomst zal brengen. – goed of slecht.’

‘Het is een call to action‘, besluit Weffers. ‘Dit is het moment om bewustwording voor het probleem te creëren, mensen te informeren en ze daarnaar te laten handelen. Het Intersect-project is ook bedoeld als kiem voor een duurzamer virtueel onderzoeksinstituut. We willen dat andere geïnteresseerde partijen, nog niet in het consortium, zich bij ons aansluiten zodat we onze footprint kunnen vergroten en de opname en opschaling van de projectresultaten kunnen bevorderen. Voor deze partijen, of ze nu uit de academische wereld, de industrie, de overheid of het maatschappelijk middenveld komen, is de conferentie een etalage van het ‘nieuwste en beste’ op het gebied van iot-beveiliging en een ideale gelegenheid om met ons in contact te komen.’