CYSEMA sorgt für Cybersicherheit in der Industie 4.0

digital worx realisiert gemeinsam mit 3 Partnern eine Best-Practice Lösung für Cybersicherheit im Maschinenbau.

Gemeinsam mit dem spanischen Partner OdinS realisiert digital worx eine sicheres Retrofitting-Lösung für Kallfass Verpackungsmaschinen im Rahmen der EU Initiative IoT4Industries.

Die Lösung umfasst ein Netzwerk aus externer Sensorik (Retrofitting), einer Anbindung an ein Cloud-Daten-Dasboard sowie eine Absicherung auf Basis der asvin Cybersicherheitsservices für Industrie 4.0.

screenshot-i40.kallfass.com-2020.02.13-09_29_33

Abb. 1: Online Dashboard zeigt den Status einer Verpackungsmaschine

IMG_1315 Abb. 2: Retrofitting-Sensorik an einer Verpackungsmaschine

Standards für Cybersicherheit in der EU werden konkret

IMG_1926

EU Cybersecurity Act beschäftigt sich mit der Zertifizierung von IoT-Geräten.

Bereits am 27. Juni 2019 traf sich der Cybersecurity Act in Brüssel um die Pläne einheitlicher Standards für Cybersicherheit in Europa zu konkretisieren.
Experten für CyberSecurity beschäftigen sich derzeit mit der Umsetzung einer Zertifizierung für IoT Produkte.

Zielsetzung ist gemeinsam mit der Europäischen Kommission und den Mitgliedstaaten Standards Zertifizierungsvorgaben und Standards der IKT Sicherheit (Informations-und Kommunikationstechnik zu vereinheitlichen.
Ein wichtiger und notwendiger Schritt !

Mirko Ross hat zu diesem Thema einen Artikel auf Heise.de veröffentlicht.
Mehr dazu : https://www.heise.de

Cyberangriffe auf IOT-Geräte um 300% gestiegen

Die Beschleunigung der Cyberangriffe auf IoT Geräte ist beispiellos.
F-Secure Sicherheitsforscher schlagen Alarm.
Im ersten Halbjahr 2019 gab es bereits über 2,9 Milliarden Angriffe.
Das ist eine Verdreifachung von Cyber Attacken auf HoneyPots.

cybersecurity-week-banner-1

Mit der Zunahme der weltweit eingesetzten IoT Geräte steigt natürlich auch die Angriffsfläche.

Aber in erster Linie bieten die Geräte keinen oder nur mangelhaften Schutz vor Cyberangriffen.
Unzureichende Sicherheitsstandarts und massive Sicherheitslücken machen die Geräte anfällig für Cyberattacken.
Nicht nur Drucker, VOIP Telefone oder andere IoT Geräte sind davon betroffen, auch Medizin -und Kontrollgeräte sind gefährdet.
Die Verantwortlichen für die Cyberangriffen kommen vor allem aus China und Russland.

F-Secure räumte zwar ein, dass die Honey Pots verbessert wurden, aber es besteht kein Zweifel das die Cyberangriffe zunehmen.
Bots, Skripte und Malware werden für Angriffe im großen Maßstab entwickelt.
So können die Angriffe nicht nur über den angeschlossenen Computer kommen, sondern auch von einer mit Malware infizierte Smartwatch oder der IoT Zahnbürste.

Das große Problem : IoT Geräte gehen in den Verkauf und sind somit für das Unternehmen nicht mehr verfügbar.
IoT Geräte unterliegen nicht den gleichen Sicherheitstandarts wie eventuell andere Vermögenswerte im Unternehmen.

Verbindliche Sicherheitsstandarts fehlen noch immer.
Um IoT Geräte vor Ransomware und Kryptoming zu schützen benötigen sie regelmäßige Sicherheitsupdates.

Leider ist das immer noch nicht die Regel und Unternehmen sind nicht verpflichtet Ihre Produkte entsprechend auszurüsten.
Hier wird es höchste Zeit zu Handeln !

asvin.io unterstützt Hersteller vernetzte Geräte über Updates und Patches sicher zu betreiben.

Lesen Sie auch :
https://www.forbes.com

 

DIN Spezifikation für IOT Geräte

Am 06.05.2019 veröffentlichte Das deutsche Institut für Normung (DIN) erstmals eine Spezifikation zur Informationssicherheit von IoT Geräten.
Diese Spezifikation enthält IT Sicherheitsanforderungen und Empfehlungen zur Nutzung von privaten IoT Geräte.
Ein wichtiger Schritt um endlich einen Mindestsicherheitstandart für Smart Home Produkte einzuführen.
Den die Sicherheitslücken in den internetfähigen IoT Geräte sind enorm.
Cyper Kriminalität nimmt immer weiter zu und die Smart home Geräte haben dem kaum etwas entgegen zu setzen.
Mindestsicherheitsstandarts sind daher unabdingbar um den Verbraucher vor Hacking zu schützen.

Das Bundesamt für Sicherheit in der informationstechnik (BSI) begrüßt die Einführung der Spezifikation. Eine Grundlage zur Ausgestaltung des IT Sicherheitskennzeichens der Bundesregierung im Rahmen des IT-Sicherheitsgesetzes 2.0. ist damit geschaffen.
Auch an der Überlegung einer europäischen Normung wird, laut BSI Präsident Arne Schönbohm, gearbeitet.

Sichere Up Dates, verpflichtende Authentisierung vor Zugriffen über IP Schnittstellen, Verbot der Nutzung von Standartpasswörtern im Netzwerkbetrieb, verpflichtende Nutzung kryptographischer Verfahren nach Stand der Technik sind die wichtigsten Punkte die die DIN SPEC 27072 fordert.
Für den Gebrauchtszeitraum des IoT Geräts bedeutet das für die Hersteller, die Geräte durch up dates zu schützen.

Konkrete Anhaltspunkte für die Umsetzung von Security-by-Design und Security-by-Default sind in dem Dokument festgelegt und sollen bei der Konzeption und Entwicklung der IoT Produkte eingehalten werden.
Auslieferung, Inbetriebnahme, Individualisierung und Außerbetriebnahme sind dabei zu berücksichtigen.

Hersteller und Entwickler von Smart Home Produkten können die Spezifikation als Grundlage für Evaluierungs-und Zertifizierungsverfahren verwenden.
Produktzertifizeriungen zur DIN SPEC 27072 sind von der BSI bereits in Planung.

Weitere Informationen zur DIN SPEC 27072 erhalten Sie hier :
www.din.de

Mitassist Assistent – Effektive Unterstützung bei der Therapie psychischer Erkrankungen.

Die Stuttgarter Nachrichten berichten über unser Projekt Mitassist in Zusammenarbeit mit der Uni Göttingen.

Hier geht es zum Link : https://www.stuttgarter-nachrichten.de

mitassist

 

In Zusammenarbeit mit Chefarzt Knut Schnell der Universitätsklinik Göttingen entwickelte digital worx den Mitassist Assistent.
Ziel des Mitassist Assistent ist es Patienten mit psychischen Erkrankungen im Alltag zu unterstützen und Ärzten wichtige Informationen zur Therapieentscheidung zu liefern.

Mitassist ist eine Manschette, ausgestattet mit Sensoren, die am Unterarm getragen wird.
Kontinuierlich messen die Sensoren Stress-und Stoffwechselparameter, Bewegungsmuster, Schlafprofil und Muskelspannung und können so wichtige Hinweise liefern auf die Verfassung der Patienten.
Verhaltensänderungen werden dem Patienten über ein intuitives Feedbacksystem mitgeteilt und bietet dem Patienten Lösungsvorschläge, die vor ab mit dem Therapeuten abgestimmt wurden.

Insgesamt sieben Projektpartner ermöglichen die Umsetzung des Mitassist Assistent.
Mit dabei Telepaxx Medical Archiving Gesselschaft. Über deren Server werden die sensiblen Daten vollverschlüsselt um die Datensicherheit zu gewährleisten.

 

Internet of Outdated Things Will Payback

Internet of Things

Industry is failing in securing connected products on mid- and long-term support. Furthermore, we see the influence of lobbying trying to lower the barriers and liabilities to provide security for connected products. There is no doubt, if vendors do no care on future support for the connected products they build, they will trap themselves and their customer in uncertain future cybersecurity risks.

Risks that not only affecting the user of a single unsecure product. As everything will be connected this risk are multiply towards risks for our infrastructure, society and freedom.

Paradigm shift in product lifecycles

The average lifecycle of a car in Germany is 19 years. Machines in for industrial production are often build for lifetimes with 25 years and more. Residential Homes are built for a lifespan of 70 -100 years. This is manageable in maintenance, as long the product was not connected. Keeping the products secure was limited to take care on physical parts by replacing timeworn elements as long the replacement is economical feasible. The mindset of all stakeholders – starting from industry towards costumer is shaped by this experience.

But the connected era has changed everything. The product lifecycles of digital products have accelerated. The first iPhone was sold in 2007. Can you imagine using a Nokia 3310 mobile Phone instead you Smartphone today? 2018 we are used on the comfort of our iPhone X or Samsung Galaxy 9. Also, we are used that our Smartphones will be changed every two years on the next new model. We are getting continuous update support for iOS and Android which provides rather stable protection from cybersecurity risks. But there are no more software updates for the Symbian Operating System of a year 2000 Nokia 3310. Well, even Nokia as Vendor does not exist anymore.

Smart Things are only smart on short term lifecycles

The struggle is starting, when we turn our “classical” products into “smart” products without challenging the product lifecycle paradigm shift. Let me explain this on two examples.

First autonomous driving:
there is this brilliant vision of autonomous car fleets with in a full digital user experience. Cars are optimizing mobility in intelligent swarms and providing their users digital service platforms. To keep such systems safe and secure needs permanent service and support. Keeping apps up to date and providing patches in case of vulnerabilities in its operating systems. This service and support with software updates is necessary for quality of service. Without such autonomous mobility is not possibility.

But providing continuous services is not possible in the current business model of selling cars, where car ownership is leading into product lifecycles of 19 years. It’s impossible to keep the digital hardware components and software up to date on such a product lifespan. Outdated hard and software components, certification schemes and drain of knowledge will bring vendors support to economic limits.

If you want to step into autonomous smart vehicle area you have to change an entire business model from car ownership to mobility on demand. In the mobility of demand the connected vehicles are owned and managed by fleet operators. The vehicle lifecycle is the maximum 5 years of long term operating system software support. In this 5 years the vehicle usage is optimized by the mobility operator equal the 19 years “owned” car model.
But currently the automotive industry is trapped in the old 19 years business model. And that’s where they start to doom us all. Turning current cars models into “smart” connected vehicles will create a Tsunami of out of software maintenance cars in the next 5 years. Cars with old hard- and software. Their owner will become potential targets for cybercriminals or cyber weapons. Owning a connected car is a bad idea, if you desire to hold it longer than 5 years. Selling such products to consumers is a ticking time bomb.

Second example the smart home:
turning buildings into energy optimized and assisted living areas. No doubt, smart homes have a high potential for example in supporting elderly or handicapped people. By assisted living they can life in their familiar household instead being replant on stationary care. Expending self-determined living will have an enormous positive effect on individuals and the overall economy. But domiciles are also high sensitive areas towards privacy. This status is a human right and protected by our constitution. Defending this extraordinary status from cyberattacks on privacy and security is a must. In the age of smart homes this basic human right is tied to the support of smart products during their lifetime. Only a continues updated smart home system is a secure and safe habitat.
But at this point the industry and policymakers are failing. In Germany, the liability for physical building construction elements is usually 4 years but only 2 years for the electronic devices installed inside a building. There is no perception, that an unsecure electronic device can harm habitants as badly than a bungling roof.

Keep in mind, houses are built for 70-100 years and ownership of houses is an envisaged model. There must be an answer, how we keep smart homes up to date in future, otherwise we are running into real trouble for habitants and for our critical infrastructures in smart cities. Smart homes will become primary targets for cybercriminals and cyber weapons. To face this challenge, we need common efforts of politics and industry to create incentives on keeping the hard- and software of smart buildings up to date during their lifetime.

We need to stop stepping into smart connected future with our mindset from analog age. This is a challenge for consumers, industry and politics.

You like to listen my talks on cybersecurity in Internet of Things? Visit my next sessions at:

11.12.2018 in Frankfurt


Wenn der Teddybär im Kinderzimmer spioniert

Hacker : Gefahrim Kinderzimmer

ARD schockte Millionen Zuschauer mit sprechenden Puppen Tatort Kinderzimmer: Die Gefahr für die Kleinen ist bereits sehr real Stuttgart

Millionen Fernsehzuschauer waren am Sonntagabend geschockt: Ist es wirklich möglich, Kinder über internetfähiges Spielzeug zu manipulieren und ohne das Wissen der Eltern ihr Vertrauen zu erschleichen? Der ‚Tatort‘-Krimi aus München wirkte an manchen Stellen überzeichnet – im Kern wies er allerdings auf eine reale und bereits existente Bedrohung hin.

Mirko Ross, beratender Experte für Sicherheit im Internet der Dinge der European Union Agency for Network and Information Security (ENISA), appelliert daher in der Vorweihnachtszeit an alle Eltern, Großeltern, Onkeln und Tanten: “Augen auf beim Kauf von intelligenten und vernetzten Spielzeug-Geschenken!” Im ‚Tatort‘ gelang es einer Gruppe, per manipulierbarem Spielzeug das Vertrauen der Kinder und somit letztlich die Kontrolle über ihr Verhalten zu gewinnen. Eine harmlos aussehende Puppe konnte über Bluetooth angesteuert werden, die Täter führten in Echtzeit mit dem Kind Unterhaltungen – und konnten so das Kind manipulieren.

Tatsächlich keine Fiktion und natürlich geht die Gefahr im Kinderzimmer nicht nur von manipulierbaren Puppen aus, so Mirko Ross: „Intelligente Spielsachen und Unterhaltungsgeräte für Kinder integrieren zunehmend Technologien, die ihre Verhaltensweisen auf der Grundlage von Benutzerinteraktionen lernen und anpassen“.

Der Experte ist Gründungsgesellschafter und CEO der digital worx GmbH, einer mobilen Software Developing Company mit Sitz in Stuttgart, und seit 2017 beratender Experte der ENISA. Ross weiter: „Derartige Spielsachen enthalten beispielweise Sensoren, Mikrofone, Kameras, Datenspeicherkomponenten und andere Multimedia-Funktionen – einschließlich Spracherkennung, Bluetooth-Connection und GPS-Optionen. Diese Merkmale können die Privatsphäre und die Sicherheit der Kinder gefährden“.

Jedes internetfähige Spielzeug bietet grundsätzlich ein Einfallstor für Hacker, betont der Stuttgarter. Im Auge behalten sollten Eltern daher die Internet- und Geräteverbindungs-Sicherheitsmaß-nahmen eines Spielzeugs. Ob Authentifizierung, wenn ein Gerät mit Bluetooth verwendet wird oder Verschlüsselung bei der Übermittlung von Daten vom Spielzeug zum Wi-Fi-Zugangspunkt und zum Server – überall lauern potenzielle Gefahren.

Mirko Ross: „Einige Geräte fragen auch nach Geburtstagen oder Informationen über die Vorlieben eines Kindes. Hier ist große Vorsicht geboten.“ Reale Fälle und erste Verbote „Inzwischen ist es glücklicher Weise so, dass Gefahren, die Kindern aus dem World Wide Web drohen, öffentlich wahrgenommen werden. Insofern hat der ‚Tatort‘ am ersten Advent tatsächlich etwas zur Aufklärung beigetragen“, so Ross.

Staatliche Organisationen wie das FBI in den Vereinigten Staaten von Amerika oder die deutsche Bundesnetzagentur hatten sich bereits 2017 mit drastischen Warnhinweisen an die Öffentlichkeit gewandt. Und sogar mit Verboten reagiert: Kinderuhren, die über eine SIM-Karte und eine eingeschränkte Telefoniefunktion verfügen, die über eine App eingerichtet und gesteuert werden, fallen unter ein solches Verbot. Was als „Babyphone“- oder „Monitorfunktion“ relativ harmlos daherkommt, ist nach Definition der Bundesnetzagentur eine „unerlaubte Sendeanlage“. Der App-Besitzer konnte damit nämlich bestimmen, dass die Uhr und dessen Umgebung eine beliebige Telefonnummer anruft. So hätten unbemerkt die Gespräche des Uhrenträgers und dessen Umfeld abgehört werden können. In Deutschland ist dies inzwischen verboten.

Kinderpuppe als potenzieller Spion

Mirko Ross: „Letztlich basiert der ‚Tatort‘ übrigens auf einem realen Fall aus den USA“. Damit sich die Jüngsten mit ‚My Friend Cayla‘ unterhalten konnten, wurde die Puppe über Bluetooth mit einem Smartphone verbunden. Ein verstecktes Mikrofon nahm die Fragen der Kinder auf, eine App wandelte diese in Text um. Dann wurde eine Antwort im Internet gesucht – und die Puppe antwortete über einen Lautsprecher. Genau in dieser Bluetooth-Verbindung lag allerdings auch das Problem. Jedes bluetoothfähige Gerät in Reichweite von etwa zehn Metern hätte eine Verbindung zur Puppe aufbauen und Lautsprecher und Mikrofon nutzen können. Sicherungen waren seitens des Herstellers nicht vorgesehen. Exakt derselbe Fall, mit dem die Münchner Kommissare in der ARD zu kämpfen hatten. Ergebnis: Herstellung und Verkauf der Puppe sind im realen Leben verboten. Der größte bislang bekannte Zwischenfall, der Kinderspielzeug betraf, war nach Angaben von Ross der des Hongkong-basierten VTech, der die Daten von 6,4 Millionen Kindern ausspähte. Aus den Kinder-Profilen wurden Namen, Geschlecht und Geburtsdatum ausgelesen. Noch befremdlicher wirkt ein Beispiel aus den USA: Dort war ein Teddy-Bär mit Internet-Schnittstelle durch einen Datendiebstahl betroffen. Hacker drangen in den Server des Anbieters CloudPets ein, stahlen über 800.000 Kundendaten und hatten so Einblick in persönliche Sprachnachrichten zwischen Eltern und Kindern.

Mirko Ross bei den Frankfurter IT-Tagen

Mirko Ross, international anerkannter Experte für Cybersicherheit, wird kommende Woche eine Session bei den Frankfurter IT-Tagen leiten. Von 10. bis 13. Dezember steht die hessische Metropole ganz im Zeichen der IT-Sicherheit, wenn sich die Top-Spezialisten der Branche im Kongresshaus Kap Europa an der Frankfurter Messe treffen. Am Dienstag, 11. Dezember, 12:30 Uhr, berichtet Ross über „die schlimmsten Fehler des IoT und was Produkt-Entwickler daraus lernen können“.

Europäische IT-Experten des Projekts IoT Crawler tagten in Stuttgart

2small_iotcrawler-meeting-group-picture-stuttgart

Auf Einladung der digital worx, einem von zehn internationalen Partnern, trafen sich jetzt IT-Spezialisten aus ganz Europa im Wizeman Areal. Das Projekt „IoTCrawler“ arbeitet im Auftrag der Europäischen Union an einer Suchmaschine für das Internet der Dinge.

Nach getaner Arbeit hatten die Gastgeber noch eine Überraschung für die Teilnehmer parat: Zum Ausklang ging es auf den Cannstatter Wasen, wo die Projektteilnehmer Stuttgart bei Bier und Göckele von einer ganz anderen Seite kennenlernten.

Mit dem IoT Crawler wollen die beteiligten Länder und Institutionen eine Lösung schaffen, die die Interaktion und Integration über verschiedene Systeme und Plattformen hinweg ermöglicht. Zusätzlich zu der Suchmaschine sollen verschiedene benutzerfreundliche Prototypen in den Bereichen Industrie 4.0, Social IoT, Smart City und Smart Energy entwickelt und aufgebaut werden. Das von der EU geförderte und finanzierte Projekt ist mit einem Budget von fünf Millionen Euro ausgestattet, die zunächst angesetzte Projekt- und Entwicklungszeit beträgt drei Jahre. Die Stuttgarter digital worx GmbH ist einer von zehn Partnern aus fünf Nationen, die im EU-Projekt an einem „Google für das IoT“ forscht.

Nach ihrem Meeting im Wizemann Areal tauschten die IT-Experten ihre Arbeitsplätze dann gegen die Bänke im Festzelt. Bei Musik, Bier und Göckele auf dem Cannstatter Wasen herrschte prächtige Stimmung.

Mirko Ross, Geschäftsführer der digital worx GmbH und Gastgeber des Projekttreffens: „Für viele unserer Kollegen aus Spanien, Dänemark, Österreich und Großbritannien war der Wasen eine ganz neue Erfahrung. Ich denke wir haben neben der professionellen Organisation unseres turnusmäßigen Meetings auch eindrucksvoll gezeigt, was deutsche und Stuttgarter Gastfreundschaft bedeutet“.

1 2 3 57