כיצד לאבטח תכני IoT תעשייתי על-פי תקני אבטחה ISA/IEC

התקנים תעשייתיים מחוברים במהירות לאינטרנט-של-דברים (IoT‏) כדי לשפר יעילות, בטיחות וניטור מרחוק. עם זאת, בשל ערכם הגבוה, התקני IoT תעשייתי (IIoT‏) הם מטרה ‏ראשית עבור האקרים. לכן, מתכנני התקנים תעשייתיים חייבים לממש בזהירות את פתרונות האבטחה שלהם תוך שימוש בתקנים תעשייתיים. התקנים תעשייתיים חייבים גם לשדרג באופן קבוע את פתרונות האבטחה שלהם עם הטכנולוגיה העדכנית ביותר כדי להגן על נכסי הנתונים של‏ ההתקנים שלהם מבלי להתפשר על בטיחות ועלויות פיתוח.

מאמר זה ידון בתקני אבטחה תעשייתיים ומתודולוגיות כמו IEC 62443 ו-SESIP. אחר כך, המאמר יבחן כיצד מתכנני IIoT‏ יכולים לעמוד במפרטים אלה על ידי מינוף גישת האבטחה התעשייתית של NXP Semiconductors, על ידי שימוש במיקרו-בקרי EdgeLock Assurance ושבבי Secure Element.

מהו IEC 62443?

IEC 62443 היא סדרת‏ תקנים שפותחה על ידי ועדת ה-ISA99 ואושרה על ידי ה-International Electrotechnical Commission‏ (IEC‏). היא מספקת מסגרת אבטחה גמישה המסייעת למפתחים להקטין פגיעות אבטחה באוטומציה תעשייתית ומערכות בקרה. ה-IEC 62443 מחולקת לארבעה חלקים המכסים רכיבים, מערכות, מדיניות ונהלים ומפרטים כלליים (איור 1‏).

איור 1‏: התקני IIoT‏ יכולים להשתמש בתקני IEC 62443, שמגדירים מסגרת‏ גמישה עבור הקטנת פגיעות אבטחה. (מקור תמונה: IEC‏)

בעוד כל חלקי ה-IEC 62443 יהיו מועילים למפתחים של התקני IIoT‏, שני החלקים המגדירים את הדרישות של פיתוח מוצר ואת דרישות האבטחה עבור רכיבים הם:

• IEC 62443-4-1: דרישות מחזור-חיים של פיתוח אבטחת מוצר
• IEC 62443-4-2: אבטחה עבור אוטומציה תעשייתית ומערכות בקרה: דרישות אבטחה טכנית עבור רכיבי IACS

ה-IEC 62443-4-1 מספק למפתחים את דרישות התהליך עבור פיתוח מוצר מאובטח ומגדיר מחזור-חיים פיתוח מוצר מאובטח.‏ מחזור החיים כולל הגדרת דרישות אבטחה, תכנון מאובטח, מימוש, אימות ותיקוף מאובטחים, ניהול פגומים, ניהול תיקוני תוכנה וסוף-חיי מוצר.

ה-IEC 62443-4-2 מספק את דרישות האבטחה הטכנית עבור רכיבים המרכיבים התקן, כגון רכיבי רשת, רכיבי מארח ויישומי תוכנה. התקן מציין יכולות אבטחה המאפשרים לרכיב להקטין איומים עבור רמת אבטחה נתונה, ללא ‏הסיוע של אמצעי-נגד מפצים.

מהו SESIP?

SESIP‏ הוא תקן הערכת אבטחה עבור מתודולוגיית פלטפורמה IoT. הוא מספק גישה נפוצה וממוטבת‏ עבור הערכת האבטחה של מוצרים מקושרים העומדים באתגרי התאימות הספציפית, האבטחה, הפרטיות ואפשרות המדרוג של המערכת האקולוגית IoT‏ המתפתחת.

המאפיינים העיקריים של SESIP הם שהוא:

• מספק מתודולוגיה של הערכת אבטחה גמישה ויעילה מוקדשת לטיפול במורכבות של המערכת האקולוגית IoT‏
• דוחף עקביות על ידי אספקת מתודולוגיה נפוצה ומוכרת שניתן לאמצה לרוחב תוכניות הסמכה
• מפחית מורכבות, עלויות וזמן יציאה לשוק עבור בעלי עניין IoT‏ על ידי הצעת‏ מתודולוגיה הניתנת למיפוי למתודולוגיות הערכה אחרות ותואמת עם תקנים ותקנות
• מסייע בהסמכת התקן על ידי הרכבה של חלקים מוסמכים ושימוש חוזר של הסמכה לרוחב הערכות שונות
• מיסד דרך עקבית וגמישה‏ עבור מפתחי IoT‏ להדגים את יכולת האבטחה של מוצרי ה-IoT‏ שלהם וספקי השירות לבחור במוצר התואם את צרכי האבטחה שלהם

EdgeLock Assurance: גישה‏ הוליסטית לאבטחה

כדי לעזור למפתחי IIoT‏ לעמוד בצרכי האבטחה של ההתקן שלהם, NXP‏ יצרה גישה‏ הוליסטית לאבטחה, הידועה כ-EdgeLock Assurance. גישת EdgeLock Assurance מיושמת לקווי מוצרים של NXP‏ המתוכננים לעמוד בתקני אבטחה תעשייה כמו IEC 62443-4-1. גישת האבטחה המודגשת באיור 2‏ משלבת תהליכים מוכחים והערכות תיקוף כדי לעזור למתכננים ומפתחים לעמוד בדרישות האבטחה שלהם, מקונספט של מוצר עד השקתו.

איור 2: גישת EdgeLock Assurance מיושמת לקווי מוצרים של NXP‏ המתוכננים לעמוד בתקני אבטחה תעשייה ומפשטת את מחזור החיים של פיתוח אבטחה. (מקור תמונה: NXP)

גישת EdgeLock Assurance מתוכננת לסייע להבטיח שהתקנים הם חסינים להתקפות, מקיימים אבטחה-תוך-תכנון באמצעות סקירות והערכות, תואמים עם תקני תעשייה וניתנים להסמכה על פי קריטריון EAL3 או גבוה יותר, או SESIP L2 או גבוה יותר. נוסף לכך, מספר מיקרו-בקרים ופתרונות שבב Secure Element מבית NXP‏ יכולים לעזור למתכננים תעשייתיים לפשט את פתרונות האבטחה שלהם ולהבטיח שהם עומדים בגישה הוליסטית זו לאבטחה.

מיקרו-בקרי EdgeLock Assurance עבור ה-IIoT‏

מספר משפחות שונות של חלקי NXP‏ נמצאות כעת בתוכנית ה-EdgeLock Assurance. חלקים אלה כוללים את ה-LPC5500 ואת ה-i.MX RT1170.

משפחת ה-LPC5500 משתמשת במעבד ה-Arm® Cortex®-M33‏ הרץ בתדר של עד 100 מגה-הרץ (MHz‏). נוסף לכך, החלקים ממנפים מאפייני אבטחה מבוססי-חומרה Cortex-M33 כמו TrustZone כדי לספק בידוד חומרה עבור תוכנה מהימנה, כמו גם יחידות הגנת זיכרון (MPUs) ומעבד-נוסף CASPER Crypto כדי לאפשר האצת חומרה עבור אלגוריתמים קריפטוגרפיים אסימטריים ספציפיים. משפחת ה-LPC5500 גם תומכת ב-SRAM physical unclonable functions‏ (PUFs) עבור אספקת Root-of-Trust. מאפיינים נוספים של ה-LPC5500 מוצגים באיור 3.

איור 3‏: ה-LPC5500 ממנפת‏ Arm Cortex-M33 עם TrustZone כדי לאפשר תוכנה מאובטחת וביצוע יישום, כמו גם שיפורי אבטחה שונים. (מקור תמונה: NXP)

ה-i.MX RT1170‏ ‏הוא מיקרו-בקר Crossover‏ הדוחף את גבולות יכולות העיבוד של מיקרו-בקר. הוא מורכב משתי ליבות מיקרו-בקר; אחת Arm Cortex-M7 ‏1 גיגה-הרץ (GHz) ו-‎400 MHz Arm Cortex-M4. נוסף לכך, ה-RT1170 כולל יכולות אבטחה מתקדמות כגון אתחול (Boot‏) מאובטח, הצפנה ביצועים-עיליים, מנוע הצפנה בקו ופענוח AES תוך-כדי-פעולה (on-the-fly). ניתן לראות את היכולות הכלליות של ה-RT1170 באיור 4‏.

איור 4: ה-i.MX RT1170 ממנף ליבות Arm Cortex-M7 ו-Cortex-M4 ביצועים-עיליים ויכולות אבטחה מתקדמות כדי לאפשר פתרונות מאובטחים עבור התקני IIoT‏. (מקור תמונה: NXP)

כדי לסייע בהתנעת‏ פרויקט, NXP‏ מספקת למפתחים מספר לוחות פיתוח שונים כדי לבחון את החלקים עם הביצועים-העיליים על מנת לקבוע את התאמתם ליישום שלהם. לדוגמה, לערכת ההערכה MIMXRT1170-EVK יש‏ לוח עם‏ מגוון רחב של זיכרונות, חיישנים ורכיבי קישוריות משובצים כדי לאפשר למפתחים לבנות במהירות אב-טיפוס להתקנים התעשייתיים שלהם. מפתחים יכולים אחר כך למנף את חבילת התוכנה MCUXpresso וכלים של NXP כדי לחקור את יכולות ופתרונות האבטחה הבאים עם סדרה זו של מיקרו-בקרים.

שבבי Secure Element‏ NXP

בנוסף לשימוש במיקרו-בקר EdgeLock Assurance, מתכנני IIoT‏ יכולים גם לרצות לשקול את השימוש בשבב Secure Element כמו ה-SE050. שבב Secure Element הוא Root-of-Trust ברמת IC מוכן-לשימוש הנותן למערכת‏ IIoT‏ יכולות edge-to-cloud ישר-מן-הקופסה.

ה-SE050 מאפשר לספק ולאחסן באופן מאובטח הרשאות ולבצע פעולות הצפנה עבור תקשורת אבטחה-קריטית ופונקציות בקרה כגון קישור מאובטח לעננים ציבוריים/פרטיים, אימות התקן-להתקן והגנה על נתוני חיישן רגישים. נוסף לכך, ה-SE050 בא עם ‏מערכת הפעלה Java Card וישומון (applet) ממוטב עבור מקרים של שימוש באבטחת IoT‏.

יישום דוגמה ניתן לראות להלן באיור 5‏. בדוגמה, חיישן‏ מאובטח מחובר ל-SE050 דרך‏ ממשק I²C‏ מאובטח. ה-MCU/MPU המארח מתקשר עם ה-SE050 דרך‏ ממשק I²C‏ מטרה. ניתן לכונן ולקרוא את ישומון ה-SE050 IoT‏ דרך קורא התקן NFC כדי לספק אספקה להתקן. ה-SE050 מפריד ומגן על נתוני מפעיל (Actuator) החיישן.

איור 5: שבב ה-Secure Element‏ SE050 מאפשר לספק ולאחסן באופן מאובטח הרשאות ולבצע פעולות הצפנה עבור תקשורת אבטחה-קריטית ובקרה. (מקור תמונה: NXP)

טיפים וטריקים עבור יישומי IIoT

אבטחת התקן‏ IIoT‏ איננה‏ טריוויאלית. האיומים בפניהם עומד התקן כיום הם קרוב לוודאי שונים מאוד מהאיומים בפניהם יעמוד מחר. אבטחה של תכן יכולה להיות גוזלת זמן אם מפתחים אינם זהירים. להלן מספר "טיפים וטריקים" שמפתחים צריכים לזכור, שיכולים לעזור להם למטב במהירות את יישום ה-IoT עבור אבטחה:

• תשתמש בתכנון שלך במיקרו-בקרים ורכיבים שפותחו לעמוד בתקני IEC 62443 ו-SESIP.
• עבור התקני IoT יעילים-אנרגטית‏, חפש להשתמש בליבת מיקרו-בקר יחידה הממנפת TrustZone, כמו משפחת ה-LPC5500.
• עבור התקני IoT‏ הדורשים מחשוב ביצועים-עיליים, חקור שימוש ‏במיקרו-בקר Crossover‏ כמו ה-i.MX RT1170.
• מנף שבבי Secure Element כהתקן אבטחת‏ עזר כדי לפשט אספקה ותקשורת ענן מאובטחת.
• עשה ניסוים עם אפשרויות ופתרונות אבטחה שונים תוך שימוש בלוח פיתוח. לוחות פיתוח רבים כוללים שבבי Secure Element מחוברים למיקרו-בקרים, שיכולים להשתמש בהם כדי להתמודד מוקדם עם פתרון האבטחה שלך.

מסקנה

התקני IIoT‏ מביאים יכולות ומאפיינים חדשים ליישומים תעשייתיים המשפרים יעילות, בטיחות וניטור מרחוק. עם זאת, האיום הגדול ביותר על מערכות אלו בא מפגיעות אבטחה שהאקרים ינסו לנצל. כמתואר, תקנים חדשים, הסמכות ומתודולוגיות כמו IEC 62443 ו-SESI, ממומשים על מיקרו-בקרי EdgeLock Assurance ושבבי Secure Element המסופקים על ידי NXP‏, יכולים לעזור להגן על תכני IIoT‏.