Die technische Antwort auf ist diese Sicherheit unzerbrechlich? ist "nein". Der Hauptgrund ist, dass biometrische Attribute keine Geheimnisse sind. Einige lassen sich leicht duplizieren, z. B. Fingerabdrücke oder Bilder von Gesichtern . Einige sind schwerer zu fälschen, wie Iris . Sobald ein biometrisches Attribut erfasst wurde, kann es wiedergegeben werden. Und biometrische Attribute sind festgelegt. Wenn das Attribut eines Benutzers jemals kopiert wird, können Sie dem Benutzer offensichtlich nicht sagen, dass "wir einen Verstoß hatten, ändern Sie Ihre Iris".
Es ist höchst unwahrscheinlich, dass ein durchschnittlicher Dieb alle biometrischen Sensoren gleichzeitig fälschen kann. Für einen engagierten, hoch entwickelten Angreifer wäre es jedoch nicht unmöglich, eine solche Leistung zu vollbringen.
Zusätzlich zum Sensor-Spoofing kann es möglich sein, einen Wiederholungsangriff unter Verwendung der von den Sensoren ausgegebenen Daten durchzuführen. Dies wäre jedoch implementierungsabhängig, und man würde erwarten, dass ein Unternehmen die Sicherheit seiner Geräte gegen diese Art von Angriff entwickelt.
Hier bietet der IoT-Ansatz möglicherweise eine schlechtere Sicherheit als eine integrierte Lösung. Wenn die Sensoren nicht miteinander in Beziehung stehen, kann ein Angreifer jeweils ein Gerät kompromittieren, ohne Verdacht zu erregen. Der Angreifer kann mit einem gefälschten Gummibärchen-Fingerabdruck üben, bis er diesen perfektioniert hat. Dann verwendet er diesen gefälschten Fingerabdruck, während er mit einem Foto übt, um den Bildsensor zu täuschen. Ein integrierter Sensor könnte so aufgebaut sein, dass alle Attribute gleichzeitig vorhanden sein müssen. Der IoT-Ansatz könnte schrittweise implementiert werden, wobei Schwachstellen durch die Lücken zwischen den Systemen entstehen.
Praktisch klingt dieser Ansatz immer noch sehr sicher und wäre eine bessere Sicherheit als ein einfacher Passcode oder eine einzelne biometrische Messung.
Erstens scheint es in dem Zitat um die Sicherung mobiler Geräte gegangen zu sein, nicht um "ein IoT-Netzwerk verschiedener Sensoren", aber einige Lehren können vielleicht noch gezogen werden.
Anders als bei einem mobilen Gerät bedeutet ein "IoT-Netzwerk" von Sensoren in der Regel, dass sie sich nicht alle am selben Ort befinden, sodass von einem Benutzer wahrscheinlich nicht erwartet werden kann, dass er sich für alle auf einmal qualifiziert. Dies bedeutet, dass ein System hinsichtlich der Authentizität des Benutzers sehr vorläufig sein muss - in der Tat:
Aber wie kritisch und gemeinsam mit dem Fall mobiler Geräte sichert ein solches Schema nur die Vordertür . Es bietet keinen Schutz gegen mindestens drei andere Arten von Sicherheitslücken.
Viele Exploits gegen moderne Systeme stammen nicht von einem böswilligen Benutzer, sondern von böswilligen Daten, die über ein Netzwerk, einen USB-Stick oder ähnliches übermittelt werden, entweder in Form von unerwünschtem Datenverkehr oder unerwünschten Nutzdaten, die sich auf Dinge konzentrieren, die der Benutzer wünscht. In der Regel nutzen solche Daten einen Sicherheitsfehler im Design aus - entweder eine unsichere optionale Funktion, die nicht vorhanden sein sollte (Windows-Autorun-Dateien) oder einen klassischen Fehler bei der Fehlerdaten-für-Code-Funktion wie einen Pufferüberlauf.
Sowohl IoT-Systeme als auch Mobiltelefone sind in der Regel stark in Netzwerkserver integriert, wobei letztere häufig einen hohen Grad an Zugriff auf dieselben Daten oder die Funktionen erhalten, die die Sicherheit des Mobilsystems zu schützen versucht. Ohne End-to-End-Verschlüsselungs- und Authentifizierungstoken , die der Serverinfrastruktur nicht bekannt sind , kann ein erfolgreicher Angriff oder Missbrauch der Serverinfrastruktur häufig das meiste bewirken, was die Sicherheitsumgehung des Geräts umgehen kann.
IoT-Systeme, wahrscheinlich sogar mehr als mobile Geräte, sind möglicherweise sehr anfällig für physische Angriffe. Telefone versuchen möglicherweise, die zum Verschlüsseln der Benutzerdaten verwendeten Schlüssel gegen einen sofortigen Zugriff mit einem JTAG-Debugger zu sichern. Was ein IoT-System lokal enthält, sind jedoch häufig weniger Daten als vielmehr die Möglichkeit, verschiedene Aufgaben auszuführen . Für einen lokalen Angreifer ist es eigentlich kein bisschen wichtig, wie sicher der Computerteil eines IoT-Geräts ist, wenn er einfach die Abdeckung abnehmen und das Ausgangsrelais mit einem Clipkabel aktivieren kann - oder die Kabel abschneiden kann den Aktuator und berühren sie ihre eigene Batterie. Oder ein Angreifer kann an der Stelle der Sensoren des IoT-Geräts (Kerze unter dem Wärmesensor, feuchter Schwamm auf der Feuchtigkeit usw.) falsche Bedingungen schaffen und dazu führen, dass es sich aufbaut oder auf fehlerhafte Messwerte reagiert.
quelle