Wenn man vom „Internet der Dinge“ spricht, denkt man oft an ein Gerät, das über eine „integrierte“ Internetverbindung verfügt. Um eine derartige Möglichkeit zu integrieren, sind oft Monate oder Jahre an Entwicklungsarbeit nötig. Zudem gilt dies nur für Geräte, die noch nicht auf dem Markt sind. Wie setzen Unternehmen das Internet der Dinge in Milliarden von Geräten ein, die bereits genutzt werden, ohne das Sicherheitsrisiko stark zu erhöhen? Im Azure Sphere-Team nennen wir derartige Szenarios Brownfieldbereitstellungen.  Josh Nash, unser Principal Product Planner, ist heute unser Gastblogger. Er geht auf Brownfield im Zusammenhang mit IoT ein und beschreibt, wie Sie mit Azure Sphere Geräte sicher vernetzen können, die bereits im Einsatz sind.

Viel Spaß beim Lesen!

– Ed Nightingale

Als Product Planner habe ich Tausende Stunden in Meetings mit Partnern und Kunden verbracht, um zu verstehen, wie wir diesen vermitteln können, dass unser Produkt nicht nur sicher, sondern auch nützlich und praxistauglich ist. Dabei liegt unser Augenmerk oft zunächst auf neuen Geräten, bei denen Azure Sphere bereits umfassend in die Produktplattform integriert ist. Das sind sogenannte Greenfieldszenarios. Diese Szenarios haben großen Erfolg, da das Nutzenversprechen von Azure Sphere allgemein Anklang findet, und die Implementierung ist relativ unkompliziert, da ein Entwurf bis zum Schluss flexibel angepasst werden kann. Originalgerätehersteller können sich auf die Implementierung von Azure Sphere in der internen Struktur eines Geräts konzentrieren, um die gewünschte Leistung und Funktionalität zu erreichen. Geräte, die bereits im Einsatz und nicht miteinander vernetzt sind, können im Rahmen eines Brownfieldszenarios nutzbringend in ein weitreichendes Gerätenetz eingebunden werden. In diesem Blogbeitrag werden Herausforderungen derartiger Brownfieldszenarios beschrieben, und Sie erfahren, wie Sie diese mit Azure Sphere bewältigen können.

Das Problem

Wenn Sie Ihre Unternehmensgeräte miteinander vernetzen, kann dies zu deutlich besseren Ergebnissen führen, da so bestimmte Szenarios und innovative Geschäftsmodelle für Ihr Unternehmen ermöglicht werden, z. B. Preventive Maintenance, Just-In-Time-Berichtserstellung und sogar rollenbasierter Zugriff auf Geräte und Daten. Unternehmen haben jedoch oft Milliarden an Geräten auf der ganzen Welt, die in Betrieb genommen wurden, bevor die Konnektivität für Nicht-IT-Geräte möglich war oder die absichtlich nicht vernetzt wurden, da sie als zu unternehmenskritisch angesehen wurden, um mit dem Internet verbunden werden zu können.

Das Einbinden solcher unvernetzten Geräte hat zwar positive Auswirkungen und bietet neue Möglichkeiten für das Unternehmen, doch gibt es in jedem Fall auch Risiken, die mit der Vernetzung dieser Geräte einhergehen. Egal, ob die Geräte zu einem Zeitpunkt in Betrieb genommen wurden, zu dem eine Konnektivität noch nicht möglich war, oder ob sie als zu unternehmenskritisch angesehen wurden, das Ergebnis ist das gleiche: Das Sicherheitsmodell dieser Geräte ist ihre „Nichtvernetztheit“, die sogenannte Airgap-Sicherheit.  Weil jedoch immer bessere Funktionen entwickelt werden, um Fragen der Optimierung und der Ressourcennutzung mithilfe der Cloud zu lösen, kommt der Vernetzung ein immer höherer Stellenwert zu. Das bedeutet natürlich nicht, dass das Risiko der Vernetzung von Airgapgeräten geringer geworden wäre. Deshalb benötigen Unternehmen Ausgleichsmechanismen, die Risiken senken, indem ein neues Sicherheitsmodell im System implementiert wird. Je wichtiger die Vernetzung wird, desto wichtiger ist es auch, dass Unternehmen über entsprechende Mechanismen verfügen, um Geräte sicher zu vernetzen, die bereits in Betrieb sind.

Sichern vorhandener Geräte mit einem Wächtermodul

Azure Sphere wurde letztes Jahr bei der RSA angekündigt. Mit diesem Dienst sollen Geräte sicher und basierend auf Mikrocontrollern vernetzt werden können. Mit Azure Sphere können Unternehmen das Internet der Dinge ohne Bedenken einsetzen, da wir mit diesem Dienst die Basis für eine sichere Ausführung von Geräten in jeder Umgebung schaffen. Azure Sphere bietet Gerätesicherheit durch eine Kombination aus Hardware, Betriebssystemsoftware und Clouddiensten, die genau auf das Schützen von IoT-Anwendungen ausgerichtet sind. Dies entspricht den im Whitepaper The Seven Properties of Highly Secure Devices (Sieben Eigenschaften gut gesicherter Geräte) beschriebenen Aspekten. Azure Sphere erfüllt alle diese Eigenschaften und legt so die Messlatte für Hersteller und Unternehmen höher, was das ermöglichen sicherer Konnektivität in neuen Geräten anbelangt. Doch Azure Sphere kann noch mehr.

Der Dienst kann zudem sichere Konnektivität für Geräte gewährleisten, die bereits in Betrieb genommen wurden. Azure Sphere verwendet vorhandene Ports auf einem nicht vernetzten Gerät und kann so als eine Art „Wächtermodul“ integriert werden, das mit vorhandenen Geräten verknüpft werden kann, um eine sichere Verbindung zu gewährleisten. Dadurch wird die Gerätekonnektivität ermöglicht und Risiken werden gesenkt. Ausschlaggebend bei der Sicherheit in derartigen Szenarios ist die Tatsache, dass Azure Sphere, und nicht das Gerät selbst, mit der Cloud kommuniziert. Durch Isolierung des jeweiligen Geräts vom Netzwerk kann das auf Azure Sphere basierende Wächtermodul Geräte vor Angriffen schützen, dafür sorgen, dass Daten nur zwischen vertrauenswürdigen Cloud- und Gerätekommunikationspartnern ausgetauscht werden, und Sicherheit und Integrität der Software auf Modul und Gerät gewährleisten.

Da sich Azure Sphere in einem Wächtermodul befindet, können Unternehmen gesicherte Vorgänge zwischen Geräten und der Cloud durchführen. Aus Sicht der Geräteintegrität und Sicherheit kann ein Gerät den Azure Sphere-Sicherheitsdienst für die zertifikatbasierte Authentifizierung, das Melden von Fehlern und Over-the-Air-Softwareupdates verwenden. Wenn ein Wächtermodul die Authentifizierung erfolgreich durchläuft, erhält es ein Zertifikat, dass vom Azure Sphere-Sicherheitsdienst signiert wurde, mit dem das Gerät seine Echtheit bei der Kommunikation mit Clouddiensten nachweisen kann. Eine Kommunikation zwischen dem Wächtermodul und der Cloud kann z. B. eine Datenübertragung ausgehend vom Gerät sein, um Ereignisse auszulösen oder eine fundierte Entscheidungsfindung zu ermöglichen. Die Cloud kann aber z. B. auch Meldungen an das Gerät senden, um dort Aktivitäten auszulösen.

Anwendungen, die in Azure Sphere ausgeführt werden, können in beide Richtungen verwendet werden, um zu überprüfen, ob Meldungen ordnungsgemäß formatiert sind, bevor sie an das Brownfieldgerät oder die Cloud gesendet werden. Azure Sphere stellt dabei sicher, dass das Wächtermodul nur mit vertrauenswürdigen Endpunkten kommunizieren kann. Der Azure Sphere-Sicherheitsdienst kann auch als Verteilungspunkt für Softwareupdates verwendet werden. Dies betrifft nicht nur das Azure Sphere-Betriebssystem und die Gerätesoftware des Wächtermodulherstellers, sondern auch Updates für nachgeschaltete, vormals nicht vernetzte Geräte. In dieser Situation kann das Unternehmen Kosten für zusätzlichen Aufwand zum Aktualisieren von Software auf ihren Geräten vermeiden. Diese Brownfieldgeräte können dank des Azure Sphere-Wächtermoduls von vielen Vorteilen profitieren, die auch bei einem Gerät vorhanden sind, auf dem Azure Sphere von vorneherein integriert ist.

Mit einem Azure Sphere-fähigen Gerät können Unternehmenskunden Ihre vorhandenen Geräte ohne Bedenken mit der Cloud vernetzen und so Szenarios wie Preventive Maintenance, die Optimierung der Auslastung und sogar die rollenbasierte Zugriffssteuerung möglich machen. Unser Partner Avnet hat bereits Wächtermodule entwickelt, die Azure Sphere verwenden, und es sollen weitere folgen. Wenn Sie unterschiedliche Geräte in der Cloud miteinander verbinden, sind die Möglichkeiten nahezu unbegrenzt.

Sie können uns kontaktieren, wenn Sie mehr darüber erfahren möchte, wie Azure Sphere für Ihr Unternehmen eingesetzt werden kann.