Neuer IRTF-Entwurf kartiert Vertrauensanker und werkseitig installierte Schlüssel für intelligentere Gerätesicherheit

Ein neuer Entwurf der Internet Research Task Force (IRTF) zielt darauf ab, Geräteherstellern und Sicherheitsexperten eine klarere Sprache zu geben, um zu diskutieren, wie Vertrauen in die Geräte, die wir täglich nutzen, aufgebaut wird. Das Dokument, das sich in seiner 14. Fassung befindet, stammt von Michael Richardson und trägt den Titel 'A Taxonomy of operational security considerations for manufacturer-installed keys and Trust Anchors'. Es gehört zur 'thing to thing' (t2trg) Forschungsgruppe der IRTF, die sich darauf konzentriert, wie Geräte direkt miteinander kommunizieren. Als IRTF-Entwurf ist es ausdrücklich keine offizielle Position der Internet Engineering Task Force (IETF) oder der IRTF; der Text stellt fest, dass es keinen formalen Status im IETF-Standardisierungsprozess hat. Das ist für die IRTF normal, ein Ort, an dem spekulative, zukunftsorientierte Ideen untersucht werden, bevor sie zu Protokollstandards werden.

Der Entwurf ist eine Taxonomie, das heißt, er sortiert und benennt Konzepte. Richardson kategorisiert das, was er als Sicherheits-Bootstrapping-Raum bezeichnet. Bootstrapping bedeutet hier den anfänglichen Prozess des Ladens der ersten vertrauenswürdigen Software und Schlüssel in ein Gerät beim Start. Viele Internet-der-Dinge-Geräte (IoT) wie Smart-Kameras, lokale Dateiserver oder TV-Steuerboxen sind auf einen zentralen Manager angewiesen, der vom Hersteller betrieben und über eine Website erreichbar ist. Dieses Design zwingt das Gerät, alles, was es misst, überwacht oder steuert, an die Cloud zu senden, außerhalb des lokalen Heim- oder Büronetzwerks. Wenn Geräte stattdessen so konzipiert wären, dass sie ihre Sicherheit beim ersten Einschalten lokal bootstrappen, würde das das Vertrauen in ihre Konfiguration und ihren Betrieb verbessern. Lokales Bootstrapping ermöglicht die Verwendung kryptografischer Kontrollen, ohne auf die Koordination Dritter angewiesen zu sein.

Im Mittelpunkt dieses Modells steht der Vertrauensanker (Trust Anchor, TA). Ein Vertrauensanker ist die einzelne Information, der standardmäßig vertraut wird, und er wird verwendet, um alle anderen Behauptungen über sichere Kommunikation und Gerätezustand zu verifizieren. Richardsons Entwurf betont, dass die wichtigste Frage ist, woher Ihr Vertrauensanker kommt: Wer kontrolliert ihn, wie kam er auf das Gerät und wie können Sie ihn verwalten. Das Dokument überprüft auch verwandte Konzepte, darunter vertrauenswürdige Zonen, vertrauenswürdige Hilfsprozessoren, vertrauenswürdige Schlüsselspeicher und Kaltstart-Trusted-Execution-Umgebungen. Jedes davon beeinflusst, wie ein Gerät ab Werk ein Gefühl von Vertrauen ableiten kann.

Eine überraschend große Anzahl von Geräten enthält jetzt eine sichere Subzone im Haupt-CPU-Chip. Diese Subzonen werden mit Very-Large-Scale-Integration-Techniken (VLSI) hergestellt, arbeiten getrennt vom Hauptprozessor und begrenzen oft die Exposition der empfindlichsten Geräteschlüssel. Android-Telefone, Apple-Geräte und Laptops vieler Hersteller enthalten jetzt solche sicheren Einheiten, die die Schlüsselinformationen in der sicheren Zone vor allen außer staatlichen Eindringlingen schützen können. Einige VLSI-Designs entladen sogar Elektrizität, wenn jemand versucht, den Chip zu untersuchen, und zerstören die Schlüssel, bevor sie gelesen werden können. Diese Schutzmaßnahmen entsprechen den US-amerikanischen Federal Information Processing Standards (FIPS), gegen die FIPS-zertifizierte Hardware-Sicherheitsmodule (HSMs) entwickelt und getestet werden.

Diese Arbeit ist nicht nur für einzelne Geräte wichtig, weil dieselben Vertrauensanker-Konzepte das globale Domain Name System (DNS) untermauern. Die Internet Assigned Numbers Authority (IANA) ist auf FIPS-zertifizierte HSMs angewiesen, um den Vertrauensanker des globalen DNS zu betreiben, was den DNSSEC-Betrieb weltweit ermöglicht. DNSSEC fügt eine Authentifizierungsebene zu DNS hinzu und stellt sicher, dass die Antwort, die Sie für eine Website-Adresse erhalten, die echte ist und nicht eine, die von einem Angreifer eingefügt wurde. Für Leser, die Websites betreiben oder Netzwerke verwalten, bietet der Entwurf eine nützliche Möglichkeit, sichere Geräte und sicheres Protokoll-Denken zu verstehen, mit Verweisen auf IETF-Dokumente zu Sicherheits- und Funktionsstandards. Die Wahl eines verschlüsselten DNS-Dienstes wie AEU DNS, der Ihre DNS-Abfragen vor Abfangen schützt, ist ein praktischer Schritt, der dem im Entwurf beschriebenen Vertrauensmodell entspricht; für den stärksten Schutz kombinieren Sie ihn mit einem Resolver, der DNSSEC-Validierung durchführt.