2 ans se sont écoulés depuis que la Russie a eu l' opportunité de déployer des systèmes IoT basés sur la technologie NB-IoT. Compteurs qui envoient leurs indicateurs au logement et aux services communaux, ballons micro-météorologiques automatiques loin de la civilisation, agriculture intelligente - tout cela fera bientôt partie de la vie quotidienne.



Il est important que ni le système de l'appareil, ni les données qu'il collecte et transmet ne soient utilisés contre les utilisateurs du système. Si vous êtes intéressé par la façon dont la norme NB-IoT les protège des attaques réseau, alors je vous invite sous cat.

À propos des attaques

Comme déjà mentionné, dans le domaine de la collecte et du traitement de données à l'aide de l'IoT, les attaques visant à lire des données (mise sur écoute d'un canal, obtention d'un accès non autorisé aux données) et leur substitution sont d'un intérêt et d'une préoccupation primordiaux. Pour éviter les écoutes clandestines, le cryptage est utilisé, et contre l'usurpation d'identité, des mécanismes de vérification de la paternité des paquets (authentification) sont utilisés, par exemple, une signature numérique (qui est également une tâche de cryptage), ou la méthode pour les systèmes IoT décrite dans [1] .



Ce n'est un secret pour personne qu'aujourd'hui les ordinateurs et les smartphones ordinaires sont capables d'assurer la force de cryptage d'un crypteur de canal de communication de telle sorte que le casser sur un supercalculateur moderne prendra du temps dépassant la durée de vie de l'univers, mais une telle résistance à la crypto a un prix - le temps de cryptage informatique et la puissance consommée par l'appareil. Un compteur intelligent, une batterie dans laquelle devrait suffire pour 10 ans de fonctionnement continu, et ne fonctionnera pas pendant un mois si chaque jour ne compte que les points d'une courbe elliptique. La vitesse est également un problème: vous n'avez pas besoin de beaucoup de puissance de calcul pour effectuer des opérations simples de prise et d'envoi de lectures, ce qui ne peut être dit sur un cryptage fiable.



Les méthodes standard de protection des informations contre les attaques réseau pour les périphériques de faible puissance ne fonctionnent pas en raison de restrictions non standard sur les opérations autorisées pour ces périphériques. D'autre part, la construction correcte du réseau impose des restrictions à l'attaquant, et en fonction des limitations de la norme, l'algorithme léger le plus approprié est sélectionné ( [2] ).

En bref sur NB-IoT

Parlons du standard NB-IoT: pourquoi est-il nécessaire, ce qu'il décrit et comment ce qu'il décrit fonctionne. Après cela, découvrons quelles restrictions sont imposées au réseau.



NB-IoT est conçu pour desservir des réseaux d'appareils d'enregistrement simples (terminaux ou OU) par des opérateurs cellulaires. Le travail de l'UO est de collecter certaines données et, à des intervalles prédéterminés de la journée, de les transmettre au serveur de traitement, qui disposera de ces données davantage. C'est la technologie de transmission, de la physique au réseau, qui est décrite dans la norme NB-IoT.



Dans NB-IoT, il n'y a pas de connectivité réseau entre le réseau interne des points de terminaison et le réseau externe du serveur de gestionnaire. En d'autres termes, l'opérateur sépare le réseau OS du réseau externe (en fait, d'Internet), et joue le rôle d'intermédiaire entre les deux réseaux.







Tâches de l'opérateur en tant qu'intermédiaire:

• maintenir un canal de communication radio avec chaque OS,
• transférer les flux de données du serveur de traitement vers l'OS et de l'OS vers le serveur,
• fournir l'accès aux flux de lecture et au contrôle au serveur du gestionnaire et uniquement à lui.

Autrement dit, la charge utile passe par trois réseaux distincts: un réseau d'appareils, le réseau d'infrastructure d'un opérateur et Internet. Un attaquant peut espionner ou se substituer lorsque son appareil se trouve dans l'un de ces trois réseaux, la question de la sécurité du flux de données transmis via NB-IoT est donc divisée en trois: sa sécurité dans chacun des réseaux séparément.



Omettre la question de la sécurité des données au sein du réseau de l'opérateur et la laisser sur la conscience de l'opérateur, et considérer les deux autres.

Sécurité des données sur le réseau externe

Mettons-nous dans la peau d'un attaquant. Devant nous se trouvent 2 hôtes communicants: un serveur gestionnaire et une interface d'accès aux données collectées par l'UO fournie par l'opérateur spécialement pour elle. Nous ne sommes pas intéressés par ce qui se cache derrière cette interface - elle fait partie de l'infrastructure du fournisseur.







La communication entre le gestionnaire et l'interface opérateur est la communication habituelle entre deux hôtes sur Internet. Comme mentionné précédemment, ils sont suffisamment puissants pour se doter de canaux de transmission cryptographiquement puissants, de sorte que la question de la sécurité des données d'un système d'exploitation dans un réseau externe est sans intérêt.

Sécurité des données dans le réseau de l'opérateur

Regardons maintenant le réseau interne.



Tout d'abord, le réseau est isolé dans un certain sens: il n'y a pas de chemin réseau vers lui de l'extérieur, il n'y a que la possibilité d'une intervention directe dans sa physique. La connexion physique entre l'OS et l'opérateur est réalisée par un canal radio à l'une des fréquences attribuées. La topologie du réseau est un ensemble de connexions directes entre le système d'exploitation et l'opérateur, et elles sont toutes statiques - préinstallées. Cela signifie qu'un attaquant qui souhaite interagir avec un nœud de ce réseau doit se faire passer pour le nœud opposé, et pour que le nœud réel ne détecte pas le trafic l'imitant. Dans le cas où le trafic est transmis sur l'onde radio, il s'agit en soi d'une tâche non triviale.





De plus, nous crypterons toujours les paquets et nous authentifierons lors de la connexion.

Important!

L'Opérateur n'est pas obligé de fournir un cryptage du trafic sur le réseau OU-Operator. Le chiffrement est possible en tant que service distinct, qui est payé par une organisation déployant un système IoT à l'aide d'un opérateur NB-IoT.

Les amplificateurs opérationnels ne sont pas assez puissants pour utiliser des algorithmes de chiffrement puissants sur le plan cryptographique, et la force des algorithmes légers est nettement inférieure, ce qui, entre autres choses, signifie qu'un attaquant a besoin de relativement peu de paquets à analyser avant de pouvoir déterminer la clé de l'algorithme.



Dans NB-IoT, l'efficacité des algorithmes de chiffrement légers est obtenue par le fait que l'échange de paquets entre l'OS et l'opérateur, simplement par concept, se produit rarement: paquets par jour (plus précisément, sur la «rareté du trafic» nécessaire à l'efficacité, voir [2])) Il s'avère qu'un attaquant n'a tout simplement nulle part où prendre une grande base de paquets pour analyse en peu de temps: tout algorithme de chiffrement dans un réseau à trafic réduit durera plus longtemps que dans une situation similaire dans un réseau à trafic fréquent.

Résultat

NB-IoT est une norme de service totalement fiable. La substitution du trafic dans le réseau interne (debout au milieu) est une entreprise coûteuse en raison de la nécessité de cacher le signal radio des nœuds les uns des autres. De plus, la position centrale ne peut pas être démarrée tant que les clés d'authentification du nœud ne sont pas connues, qui sont suffisamment protégées de manière fiable par un algorithme de chiffrement léger, comme toutes les données transmises du système d'exploitation à l'opérateur.

Les tentatives de lecture ou de "se tenir au milieu" dans le réseau de l'opérateur et dans le réseau externe échoueront également, car les appareils sur ces réseaux ont une puissance de calcul suffisante pour crypter le trafic en toute sécurité. En revanche, si un attaquant veut compromettre les données de l'OS, il visera très probablement via un réseau externe: le trafic qu'il contient est le moins dépendant de l'opérateur et le client en est responsable, qui, n'étant pas une grande entreprise, dépense beaucoup moins d'argent pour la sécurité de son réseau. que l'opérateur. Par conséquent, en comprenant la problématique de la sécurité de vos données, vous devez tout d'abord étudier comment l'organisation qui vous fournit le service directement aborde le problème de sécurité.

Sources et liens:

1. Yuxiang Feng, Wenhao Wang, Yukai Weng, Huanming Zhang, Un système d'authentification résistant aux attaques par rejeu pour l'Internet des objets
2. Saurabh Singh, Pradip Kumar Sharma, Seo Yeon Moon et Jong Hyuk Park: algorithmes de chiffrement légers avancés pour les appareils IoT: enquête, défis et solutions
3. Spécification 3GPP version 13 - Spécification NB-IoT
4. Le premier article du cycle sur la mise en œuvre de NB-IoT de MTS - Je recommande ce cycle comme première étape dans l'étude du NB-IoT