どのようなIoTデバイスが証明書を使用しますか？

Question

私は、PKI証明書がIoTプラットフォームにセキュリティを提供する主な方法であることを読みました。また、証明書の一般的な登録プロトコルは次のとおりです。

（CMPは、LTE eNodeBsを保護するために使用されるものです。）

さて、どのデバイスが証明書を取得するのかが明確ではありませんか？センサーなどが小さすぎて証明書を取得して使用できないと思いますか？では、IoTでセンサーを保護するために何かが使用されていますか？ゲートウェイは証明書を使用できると思いますが、ゲートウェイはおそらくこれらのプロトコルを必要としません-それらは実際にはIOTデバイスではありません。また、ゲートウェイは証明書を何のために使用しますか？それはクラウドサーバーと通信するためですか、それともゲートウェイと通信するためですか？

では、どのようなIoTデバイスがこれらのプロトコルを使用して証明書を登録するのでしょうか。彼らはどのように証明書を使用しますか？認証にのみ使用しますか？または通信を暗号化するためにも？彼らはこれを行うのに十分洗練されていますか？

Steffen Ullrich · Answer

IoTは、自宅のルーター、スマート電球、スマートサーモスタット、スマートロックなど、さまざまなデバイスとユースケースをカバーしています。さらに、センサーやデータ収集システムが至るところに存在する業界では、さらに多くのケースが見られます。

幅広いデバイスを考えると、彼らはいくつかの共通点を持っています：彼らはバグを持っているかもしれないか、機能が欠けているかもしれないファームウェアを持っているため、アップデートを取得する必要があります。また、収集したデータを受信または提供するために、他のシステムと通信する必要があります。

そして、これは証明書（または公開鍵用の他の信頼できるコンテナ）が役立つ場所です：

ほとんどのユースケースでは、デバイスは承認されたファームウェアのみを実行することが不可欠です。つまり、IoTデバイスを破壊したり、ネットワーク内の接続されたマシン、センサー、またはその他のデバイスを攻撃したりするために使用できるファームウェアはありません。証明書を使用したデジタル署名は、通常、このような承認を提供するために使用されます。
転送中のデータを保護するには、通常、暗号化が必要です。これには、クライアントがデータを正しいサーバーに送信することを知っている必要があります。証明書は通常、たとえばTLSなどのプロトコルで、このサーバー認証に使用されます。または、クライアントは直接通信しているサーバーをまったく信頼せず、代わりにデータを暗号化して、最終的な受信者のみがこれらを復号化できるようにします。この場合、クライアントはPGP、S/MIMEなどのプロトコルを使用して、受信者の証明書を持つことで最終的な受信者のデータを暗号化できます。
多くの場合、一部のデータの受信者は、許可されていないデバイスから偽のデータを取得しないようにするために、データを送信/作成しているデバイスを確認する必要があります。繰り返しになりますが、これには証明書が使用されます。TLSなどのプロトコルの相互認証内のクライアント証明書の形式のいずれかです。または、デバイス固有の証明書を使用してデータにデジタル署名する。

または通信を暗号化するためにも？

証明書は公開鍵（非対称）暗号化、つまりRSAまたはECCを使用します。この種の暗号化は、大量のデータの暗号化には適していません。代わりに、これには対称暗号化が使用されます（AESなど）。証明書は暗号化に重要な役割を果たします。たとえば、TLSの鍵交換などで暗号化に使用される対称鍵を保護したり、PGPやS/MIMEなどのプロトコルで受信者の公開鍵を使用して対称鍵を暗号化したりするためです。

センサーなどが小さすぎて証明書を取得して使用できないと思いますか？

証明書の中心部分としての公開キー暗号化は、考えられるほどリソース集約的ではありません。たとえば、スマートカードまたはTPMチップに既に実装されています。つまり、何らかのネットワーク通信を実行するのに十分な能力があるほとんどのIoTデバイスにも実装できる可能性があります。 IoT内の公開鍵暗号の通常の使用例では、デジタル署名の作成または検証、または小さなデータの暗号化のみを必要とするため、通常、操作の速度はそれほど重要ではありません。

Joe M · Answer

証明書はIoTデバイスのセキュリティの重要な部分であり、最も重要ではないと思います。

IoTデバイスのユースケースを思い浮かべますか？接続された電球ですか？次に、アプリが接続して電球を制御するWebサイトは、電球自体（Zigbeeを使用）よりも保護することが重要ですか？それとも、Webアプリが実行されているオープンプラットフォームですか？次に、OWASPトップテンがアプリの強化に使用されていることを確認します。

IoTセキュリティは、デバイス、通信、クラウドのさまざまな分野に分類されます。一方を他方の上に置くことは良い戦略ではありません。

chemicalcrux · Answer

質問は確かに非常に広いです。「どのデバイスがインターネット接続を使用できるのか」と尋ねるようなものです。

最初になぜ証明書が必要なのかを確立する必要があります。

安全な通信

有効な証明書があれば、デバイスはリモートホストのIDを確認できます。通信の暗号化と組み合わせると、だれもあなたのメッセージを改ざんしたり読んだりしないことが合理的に確信できます。

署名の検証

ファームウェアの更新は通常、製造元によって署名されています。デバイスは、署名を検証できる場合にのみ更新を受け入れます。彼らは、製造元によってインストールされた証明書に対して署名をチェックします。

つまり、公開鍵暗号はこれらを安全に保つための基本であるため、大まかに言えば、通信または更新を行うすべてのデバイスが証明書を利用できますです。