Bij machines en apparaten die deel uitmaken van het internet of things (IoT) is cybersecurity de gedeelde verantwoordelijkheid van de elektronica- en softwareleverancier, de machine-/apparatenbouwer en de eindgebruiker. Dat is de visie van Protonic, ontwikkelaar en producent van elektronica en bijbehorende software voor intelligente machines en apparaten in uiteenlopende markten. De laatste jaren is het belang van cybersecurity gegroeid, zegt David Jander, hardware/software designer bij Protonic in Zwaag. Er komen steeds meer machines en apparaten online. Zodra ze met de cloud kunnen communiceren, zeker als dat 24/7 gebeurt, staan ze bloot aan het risico van hacken. Omdat Protonic voor veel klanten de complete softwareontwikkeling verzorgt, neemt het bedrijf ook de verantwoordelijkheid voor de cyberbeveiliging. In eerste instantie vooral softwarematig, door de datastromen tussen machinebesturing, IoT-device en cloud te encrypten. Dat is niet altijd afdoende, want een hacker kan een man-in-the-middle-aanval uitvoeren, waarbij hij zich voordoet als het andere einde van de communicatie en zo de verstuurde gegevens onderschept. ‘Voor bescherming hiertegen zijn SSL-certificaten (secure sockets layer, red.) nodig. Daar maken wij uiteraard gebruik van.’
Verder kan het gevaar bestaan dat een kwaadwillende fysiek toegang krijgt. ‘Dan is er weinig dat kan voorkomen dat je wordt gehackt’, zegt Jander. Al is er een techniek die zorgt dat de hacker door hem gemodificeerde software niet kan laten draaien. ‘Dat is de verified boot, die alleen software die cryptografisch is ondertekend (door de rechtmatige gebruiker of leverancier, red.) laat uitvoeren. Zou de hacker bijvoorbeeld een software-update onderscheppen en modificeren, dan wordt die software niet uitgevoerd.’ Dat is belangrijk, want die software-updates zijn juist nodig om fouten te herstellen en bescherming te bieden tegen nieuwe bedreigingen. ‘Bug free programmeren bestaat namelijk niet.’
Lastig is dat regelmatig updaten wel, heeft Jander ervaren. ‘Machinefabrikanten zijn op dit punt heel traditioneel: als iets goed werkt moet je er niet aankomen, ook niet voor een update.’ Wat het werk voor Protonic verder bemoeilijkt, is dat het meestal niet in contact komt met eindgebruikers. ‘Wij moeten bedenken hoe zij onze besturingselektronica gebruiken en bij welke scenario’s de veiligheid in het geding kan komen. Maar wij weten dus niet welke problemen zij ervaren. Indirecte terugkoppeling – via onze klanten, de machinebouwers – is soms lastig.’
Want wij hebben klanten die vooral bezorgd zijn over hacken door hun eigen klanten, de eindgebruikers. Hun machine of apparaat kan bijvoorbeeld extra functionaliteit bieden die tegen betaling in de software is te activeren.
Is een striktere beveiliging nodig, dan kan Protonic ook hardwareoplossingen inzetten. Dat gebeurt door elke machine te voorzien van een unieke, praktisch niet kopieerbare fysieke sleutel, die alleen door beveiligde software kan worden gelezen. Met behulp van deze sleutel is het mogelijk het systeem verder te beveiligen, zodat het ook moeilijker wordt om door het hacken van een enkel apparaat meteen controle te krijgen over alle soortgelijke apparaten. Nog verder gaat de beveiliging met een geheugenchip die een unieke sleutel haalt uit zijn eigen unieke eigenschappen, een soort vingerafdruk, ook wel PUF (physical unclonable function) geheten. ‘Daar hebben wij nog geen klanten voor’, meldt Jander. ‘Wel voor die fysieke sleutel. Want wij hebben klanten die vooral bezorgd zijn over hacken door hun eigen klanten, de eindgebruikers. Hun machine of apparaat kan bijvoorbeeld extra functionaliteit bieden die tegen betaling in de software is te activeren. Als de klant die software kan hacken, krijgt hij die extra’s gratis.’ Zo blijft cybersecurity een fascinerend onderwerp. ‘Gelukkig hebben we nog niet te maken gehad met een grote inbreuk op de veiligheid bij klanten of een DDoS-aanval via onze apparaten. Maar we moeten altijd voorbereid zijn.’
