Lektor: Hardwarebegrænsninger er ingen undskyldning for dårlig IoT-sikkerhed

Og Philips Hue bliver opdateret automatisk (default).

Jeg kan se på billedteksten, at de viste lamper er med "moderne sikkerhedsprotokoller". Glimrende. Men da sådanne lamper jo kan holde i den hel del år, er de så også tidssvarende om f.eks. 10 år? Skal man rende rundt og opdatere softwaren hvert år eller sker det automatisk?

Og Philips Hue bliver opdateret automatisk (default). Med jævne mellemrum bliver pærernes fw opdateret. Seneste sikkerhedsopdatering er eksempelvis fra nov. '21. Pærerne fra 1. gen. fik deres seneste sikkerhedsopdatering i oktober, så jeg har en forventning om at Philips fortsætter med at løfte ansvaret.

Det er faktisk et lidt dårligt eksempel. Vi skal ret langt tilbage for at finde hjemmecomputere med kun 32 KB ram, vi snakker ZX Spectrum fra 1982 ikke Pentium fra 1993. Ja frekvensen på 32 MHz er væsentligt mere end de 4 MHz ZX spectrum kørte med, men den begrænsende faktor bliver RAM. Det er ikke umiddelbart muligt at køre OpenSSL på den platform.

Det er ikke umiddelbart muligt at køre OpenSSL på den platform.

En moderne Philips Hue-pære, der med sine 32 Mhz, 32 KB RAM/512 Kb Flash og hele 250 Kbps båndbredde ifølge lektor på ITU Alessandro Bruni kan håndtere moderne sikkerhedsprotokoller.</p>
<p>...</p>
<p>»Vi er i dag i en position, hvor selv en pære er lige så kraftig som Intels Pentium, så hvis vi kan lave secure banking med dén, kan vi også sikre vores elpærer og al vores anden IoT,« lyder det fra lektoren

Det er faktisk et lidt dårligt eksempel. Vi skal ret langt tilbage for at finde hjemmecomputere med kun 32 KB ram, vi snakker ZX Spectrum fra 1982 ikke Pentium fra 1993. Ja frekvensen på 32 MHz er væsentligt mere end de 4 MHz ZX spectrum kørte med, men den begrænsende faktor bliver RAM. Det er ikke umiddelbart muligt at køre OpenSSL på den platform.

Det er naturligvis fuldt ud muligt at lave en sikker implementering alligevel. Man skal bare gide bruge lidt indsats på det. Men det er ikke muligt at lave den sædvanlige SSL løsning baseret på et bibliotek man lige importere i sit projekt.

Jeg medgiver at teksten under billedet af en CPU er rendyrket vrøvl. Vi tager den lige igen:

Første udgave af den legendariske Intel Pentium-chip kom i 1993 og var med sine svimlende 60 MHz og 16 Mb RAM den første kommercielle chip, der for alvor udnyttede muligheden for at køre flere processer på én gang – bl.a. til gavn for sikkerheden. Den kunne håndtere en båndbredde på 56 Kbps og drev i årevis store dele af verdens bankinfrastruktur. Illustration: Version2

Ja, chippen havde ikke 16 MB RAM, den var ikke den første kommercielle chip der udnyttede muligheden for at køre flere processer, den kan håndtere båndbredder mange tusinder gange større end 56 Kbps. Og så var det mainframe og ikke Pentium der drev store dele af verdens bankinfrastruktur.

Det efterlader årstallet og 60 MHz som det eneste sande i teksten :-) De 60 MHz var dog ikke svimlende da 80486 chippen allerede kørte 66 MHz og kort tid efter ramte 100 MHz.

Der hentydes nok til et seriel analogt modem, som i sidste generation (inden verdenen gik digital) kunne sende og modtage ved 56 kbps.

Jeg kan se på billedteksten, at de viste lamper er med "moderne sikkerhedsprotokoller". Glimrende. Men da sådanne lamper jo kan holde i den hel del år, er de så også tidssvarende om f.eks. 10 år? Skal man rende rundt og opdatere softwaren hvert år eller sker det automatisk? Altså jeg ved godt, at insulinpumper og anden medico-teknik er meget mere vigtig, men man kunne jo forestille sig, at gamle lamper, der blev hacket, kunne bruges til at overlæsse et net med støj og andet godt.

Den kunne håndtere en båndbredde på 56 Kbps</p>
<p>Er der nogen der kan forklare hvad der menes med det?

Der hentydes nok til et seriel analogt modem, som i sidste generation (inden verdenen gik digital) kunne sende og modtage ved 56 kbps.

Rent tidsmæssigt er vi omkring år 1998.

Det var dem der gav diverse hyletone fra sig, når de ringede op til leverandøren af Internet, hvedenten udbyderen hed TeleDanmark, Tele2, Uni-C, Cybercity, Get2Net, Scandinavia Online eller noget helt andet, som jeg kan ikke huske så godt længere. :-)

Derefter kom ISDN (digitalt signal) med 64 kbps og ISDN2 med 128 kbps (som var blot 2 ISDN linjer, som var slået sammen).

Til erhverv fandtes der hurtigere forbindelser end ISDN2, men så hut jeg visker var det blot x antal telefonlinjer, som blev slået sammen (bondling).

M.h.t. intern båndbredde i computeren, så kunne computeren godt skubbe data hurtigere en 56 kbps.

Jeg kan godt huske hvilken forskel det gjorde at klone en 50 MB harddisk via null-modem kabel på serielporten til en anden computer vs et parallel kabel, som var koblet på computeren på LPT1.

... samt følelsesen, da jeg som det næste opgraderede til 10Base2 Ethernet. :-)

Følelsen skal tages meget bogstaveligt, hvis man glemte at slukke for ALT udstyr og rørte ved et ikke-termineret T-stik, fordi man skulle koble endnu en computer på linjen. ;-)

Skulle man ikke først lige blive enige om hvad man mener med sikkerhed?

Drejer det sig om at kryptere datapakkerne til en given enhed, så er det ikke nødvendigvis noget der kræver ret mange hestekræfter, al den stund der intet behov er for at skulle kommunikere specielt hurtigt.

Drejer det sig om segmentering og fornuftig planlægning, så kræver det mere tænkearbejde end cpu kraft.

Den kunne håndtere en båndbredde på 56 Kbps

Altså, der er forskel på at lave sikkerhed på et nyt produkt, og på et produkt som er sendt på markedet for flere år siden.

Sikkerhed koster ikke bare penge, det koster også mere CPU og dermed mere strøm. Med mindre der er hardware acceleration som understøtter dagens standarder, og det er der pr. definition ikke i gamle CPU'er.

Så når man køber, skal man se på hvor gamle protokoller der understøttes med den performance der er. Og så gerne ønske sig lidt mere, så de han opgraderes. Men al hardware rammer en sikkerhedsmur før eller siden.

Det er vel korrekt, at medicinsk udstyr skal være mere sikkert, end andre IoT segmenter. Men kommer det ikke altid tilbage til, hvad det koster at implementere sikkerheden ? Hvor meget falder dækningsbidraget, hvis producenten skal skifte HW platform ofte ? Hvad koster det at implementere SW læsninger, som øger sikkerheden ? Jeg prøver ikke at argumentere for, at det ikke kan lade sig gøre, at højne sikkerheden, for det kan det helt sikkert, men hvis producenten skal tage omkostningen, så ender prisen hos forbrugeren. Hånden på hjertet : er vi som forbrugere kritiske nok ? Køber vi kvalitetsprodukter, eller CE (China Engineered) produkter, til havl pris, på BangGood ? Producenter skal selvfølgelig fokusere på gode produkter, og tilstrækkelig sikkerhed og support, men vi skal vel som forbrugere også være parate til, at undersøge produkterne og betale for den ekstra sikkerhed osv ?

En Pentium har 16Mb onboard RAM ? Det havde de P5 og 54C jeg rodede med ikke. De havde nogle få kB cache. RAM var noget der skulle købes ved siden af. Nogle P5 understøttede 64MB, P54C op til 256/512MB.

https://en.wikipedia.org/wiki/Pentium_(original)

De insulinpumper der refereres til er ikke på internettet. De er ikke engang på et netværk. Version2 beskriver selv at det er paring af fjernbetjeninger der er muligt. Er fjernbetjeningen til mit TV blevet IoT?