NCS3 - Komponenter på avstånd. Säkerhetsbeaktanden för direkt adresserbara trådlöst nätverks-anslutna komponenter i industriella informations- och styrsystem

Antalet enheter i industriella informations- och styrsystem som ges direkt anslutningsmöjlighet till publika nätverk har ökat explosionsartat de senaste tre åren. Mellan år 2018 och 2020 förväntas en nära fördubbling av antalet enheter till cirka 7,5 miljarder stycken. Utmärkande för dessa enheter är ett fokus på tillförlitlighet snarare än IT-säkerhet, samt begränsade resurser gällande bland annat beräkningskapacitet, minne och batteritid. Kryptografiska algoritmer är en viktig del i säker kommunikation och används för både kryptering och autentisering av kommunikationen, men adderar också till enhetens arbetsbörda. Det innebär i sin tur att enheten många gånger saknar tillräckligt med resurser för att hantera dessa algoritmer. Funktionalitet för direkt nätverksuppkoppling hos enheter med begränsade resurser kan därför få säkerhetsmässiga konsekvenser eftersom beräkningskapaciteten endast räcker till för att utföra enhetens normala arbetsuppgifter. Även mer generella aspekter kring säkerhetsrisker i samband med direkt trådlös nätverksanslutning av resursbegränsade enheter är viktiga att belysa. Det blir exempelvis allt vanligare att de kommunikationskretsar som används för att ge anslutningsmöjlighet även innehåller funktionalitet för flera andra kommunikationsprotokoll. Dessa tilläggsprotokoll utgör då potentiella vägar in för en angripare, särskilt i de fall då systemägaren inte känner till att sådan funktionaliteten finns. Denna rapport beskriver säkerhetsaspekter som bör beaktas för direkt trådlöst nätverksanslutna system innehållande enheter med begränsade resurser. Baserat på de säkerhetsaspekter som beskrivs samt hot och risker som existerar för dessa system, diskuteras ett antal rekommendationer för att erhålla effektiv ITsäkerhet för dessa typer av enheter. Studiens informationsinsamling baseras på en litteraturgenomgång av vedertagna standarder, olika relevanta tekniker för kommunikation, angreppstyper, hot och risker samt skydd mot dessa. Denna informationsinsamling utgör grunden för de rekommendationer och slutsatser som rapporten beskriver. Rapporten innehåller även en ordlista med relevanta IT-säkerhetsbegrepp för direkt trådlöst nätverksanslutna system och resursbegränsade enheter.