Iot-sicherheit: weniger ist mehr – die neue erkenntnis von peter gutmann
Die Flut an vernetzten Geräten in unseren Wohnungen und Büros steigt unaufhaltsam. Smart TVs, Überwachungskameras, Smartphones – die Liste ist endlos. Doch mit dem Komfort geht ein steigendes Risiko einher: Je mehr Geräte online sind, desto größer wird die Angriffsfläche für Cyberkriminelle. Ein überraschend simpler Ansatz zur Verbesserung der Sicherheit kommt nun von Sicherheitsexperte Peter Gutmann.
Die komplexität als einfallstor
Die gängige Strategie, Sicherheit durch immer komplexere Software zu gewährleisten, könnte kontraproduktiv sein. Gutmann argumentiert, dass gerade diese Komplexität die größte Schwachstelle darstellt. Je mehr Code, je mehr Funktionen, desto mehr potenzielle Fehlerquellen und Angriffsvektoren entstehen. Das ist, als würde man ein Haus mit immer mehr Schlössern und Fenstern bauen, ohne die Fundamente zu stabilisieren.
Die Diskussion wurde durch Daniel Stenberg, den Entwickler von cURL, angestoßen, der die Prozesse der CVE-Verwaltung kritisierte. Gutmann schlägt nun vor, dass nicht jedes Gerät ein vollwertiges Betriebssystem benötigt. Er verweist auf die Absurdität, wenn ein einfacher Deckenventilator mit Linux läuft, während ein minimaler RTOS (Real-Time Operating System) oder sogar eine einfache Ereignisschleife im „Bare Metal“ die gleiche Aufgabe bewältigen könnte. Das ist wie ein Formel-1-Wagen, der zum Bäcker um den Block fährt.
Elon Musk, bekannt für seine Visionen im Bereich Künstliche Intelligenz, sieht ebenfalls eine Beschleunigung in diesem Bereich: „Es scheint, als würden alle Wege zur Beschleunigung der KI führen… man kann sich darüber beklagen oder mitmachen.“ Diese Aussage unterstreicht die Notwendigkeit, sich mit den technologischen Veränderungen auseinanderzusetzen und nach effizienten Lösungen zu suchen.
Rtos als sicherheitsgarant
Ein RTOS, speziell für zeitkritische Anwendungen konzipiert, bietet eine deutlich reduzierte Angriffsfläche im Vergleich zu einem Betriebssystem wie Linux, macOS oder Windows. Canonical, ein führender Anbieter von Ubuntu, betont, dass RTOS deterministische Reaktionszeiten und eine schlankere Struktur bieten. Das bedeutet weniger Code, weniger potenzielle Schwachstellen.
Gutmann plädiert für eine „Sicherheit durch Design“-Mentalität im IoT-Bereich. Geräte sollten ohne unnötige Interpreter, Netzwerkdienste, Remote-Shells oder ungenutzte Module entwickelt werden. Denn jede zusätzliche Komponente stellt eine potenzielle Hintertür für Angreifer dar. Seine Aussage, dass „man nicht ein Shell in etwas legen kann, weil es keine gibt, wahrscheinlich der größte Sicherheitserfolg ist, den man erzielen kann“, fasst seine Haltung treffend zusammen.
Für Szenarien, in denen ein Kernel niemals aktualisiert werden muss, rät Gutmann zu noch einfacheren Lösungen, wie beispielsweise einem formal verifizierten Kernel oder einem extrem schlanken RTOS. Die zunehmende Verbreitung von IoT-Geräten, die grundlegende Aufgaben erfüllen, aber auf komplexen Plattformen laufen, birgt erhebliche Risiken, insbesondere wenn Hersteller keine Updates mehr bereitstellen.
Die Erkenntnisse von Peter Gutmann sind keine Kritik an Linux an sich, sondern eine Aufforderung, die richtige Technologie für den jeweiligen Anwendungsfall zu wählen. Eine pragmatische Herangehensweise, die auf Einfachheit und Sicherheit setzt, ist angesichts der wachsenden Bedrohungen im Cyberspace unerlässlich. Die Zukunft der IoT-Sicherheit liegt nicht in immer komplexeren Systemen, sondern in der klugen Reduktion von Risiken.