Skip to content

Drucksache: Entwickler Magazin 2.2015 - Machine-to-Machine-Kommunikation aus der Sicherheitsperspektive

Im Entwickler Magazin 2.15 ist ein Artikel über die Sicherheit der Machine-to-Machine-Kommunikation erschienen. Untersucht werden die Schutzmaßnahmen der beiden Protokolle MQTT und CoAP.

Nachtrag 5. Mai 2016:
Der Artikel ist jetzt auch online auf entwickler.de verfügbar!
Ende des Nachtrags

Seit der Veröffentlichung der von Edward Snowden geleakten NSA-Daten wissen wir ja, dass die NSA und wahrscheinlich auch alle anderen Geheimdienste jede Kommunikation überwachen, die sie in die in diesem Fall virtuellen Finger bekommen. Dabei dürfte es den Schnüfflern ziemlich egal sein, wer da kommuniziert: Menschen mit Menschen, Menschen mit Maschinen, oder auch Maschinen mit Maschinen. Erst mal wird alles gespeichert, was man kriegen kann - vielleicht kann man es ja mal gebrauchen. Und auch die Cyberkriminellen haben schon des öfteren bewiesen, dass sie ungeschützte Verbindungen zu ihrem Vorteil nutzen, wenn sie die Möglichkeit dazu haben. Da hilft nur eins: Der Schutz jeder Kommunikation, insbesondere natürlich vor dem Ausspähen.

Protokolle für die M2M-Kommunikation müssen vor allem eins sein: Leichtgewichte. Und das verträgt sich nicht gut mit dem Einsatz kryptografischer Verfahren. Dementsprechend enthalten die Protokolle auch keine entsprechenden Funktionen, sondern nutzen zur Absicherung der Kommunikation externe Protokolle wie TLS/DTLS oder VPNs oder überlassen sie der Anwendung.

Und meist wird eine Verschlüsselung oder die Berechnung eines MAC durch die Anwendung die effektivere Lösung sein. Denn Protokolle wie TLS/DTLS oder IPsec sind alles andere als leichte Kost, weder was ihren Ressourcenbedarf auf Client oder Server noch was den Umfang der ausgetauschten Daten betrifft.

Clients wie zum Beispiel einen Temperatursensor, der doch eigentlich nur die Temperatur messen und an einen Server senden muss, damit zu belasten, dürfte den schnell überlasten. Aber sofern überhaupt die Notwendigkeit besteht, die Daten eines einfachen Sensors verschlüsselt und/oder integritätsgeschützt zu übertragen, kann das ja auch von der Anwendung selbst übernommen werden. Dabei können die nötigen Krypto-Verfahren gezielt für den jeweiligen Zweck ausgewählt und entsprechend sorgfältig implementiert werden, so dass sie Gerät und Netz deutlich weniger belasten als die allgemeinen Protokolle.

Von daher gilt: Die Kommunikationsprotokolle tun, was sie tun sollen - die Kommunikation abwickeln. Für den Schutz der übertragenen Daten müssen die Nutzer selbst sorgen. So, wie es auch bei den meisten anderen Kommunikationsprotokollen üblich ist.

Und hier noch die Links und Literaturverweise aus dem Artikel:

Carsten Eilers

Trackbacks

Keine Trackbacks