Allt vi vet om Vita husets IoT-säkerhetsmärkningsinsatser

Idag utfärdade Vita huset ett uttalande som i huvudsak sa att det hade ett stort möte med stora namn i onsdags och att det kommer att finnas en slags säkerhetsetikett för smarta enheter baserad på det under våren 2023. Här är mycket mer om vad hände och vad som kunde komma av det.

Uppkallad efter Eisenhower-administrationens strävan att ompröva strategin för det kalla kriget, var en av rekommendationerna på högsta nivå från US Cyber ​​​​Solarium Commission i sin rapport från mars 2020 att ”skapa en nationell myndighet för certifiering och märkning av cybersäkerhet.” -vinstdrivande icke-statlig organisation”kommer att bli märkningsmyndighet i minst fem år, märka produkter baserat på konsensus från handelsdepartementen och inrikessäkerhet, och ”experter från den federala regeringen, akademin, icke-statliga organisationer.” den privata sektorn”.

Och det är ungefär vem som dök upp, enligt Vita huset. Amazon, Comcast, Google, Intel, LG, Samsung, Sony och andra individer har dykt upp. Det gjorde Connectivity Standards Alliance, konsortiet bakom Matter, tillsammans med American National Standards Institute (ANSI), Consumer Reports, Consumer Technology Association, CTIA och lobbygrupperna National Retail Federation. Lägg till det nästan alla säkerhetsrelevanta statliga myndigheter så har du en panel som rekommenderas av Solarium Commission.

Detaljer om själva etiketten, som den fortfarande finns idag, och vad den skulle utvärdera eller mäta, fanns inte tillgängliga, men det fanns tips. CyberScoop citerade en tjänsteman från Vita huset som sa att enhetsklassificeringar kan baseras på ”fixerade sårbarheter, mängd information som samlats in om konsumenter, om data är krypterad och kompatibilitet med andra produkter.”

När det gäller hur etiketten kan se ut finns det minst en mall. Forskare från Carnegie Mellon University, en av de inbjudna parterna till toppmötet, har redan skapat en skyddande ”näringsmärkning”. Baserat på recensioner från över 22 grupper har märket fungerat bra bland användare, säger universitetet. Det tillhandahåller flera lager av informationsutlämnande baserat på vanliga IoT-smärta punkter: standardlösenord, säkerhetsuppdateringar, offlinefunktioner och liknande.

Du kan till och med skapa din egen självpåtagna säkerhetsetikett eller bara sparka den som jag gjorde.

Vita huset berättade på torsdagen för reportrar att de försökte ”förenkla saker” med en kod som kan skannas av telefoner för att avslöja säkerhets- och integritetsinformation.

Vilka produkter kommer att få etiketter? Vita huset berättade för reportrar på onsdagen att det kommer att börja med frivillig märkning under våren 2023, med fokus på ”särskilt sårbara internetanslutna enheter som routrar” och hemkameror.

Vita husets pressmeddelande noterar att de vill att dessa ansträngningar ska ”skapa en globalt erkänd etikett.” Tidigare denna månad rapporterade CyberScoop att arbetsgruppen arbetade med Europeiska unionen för att ”harmonisera standarder.” Framför allt, biträdande nationell säkerhetsrådgivare för Cyber Säkerhet och nya teknologier Ann Neuberger deltog i Singapore International Cyber ​​​​Week , där hon beskrev hur USA ser ut för Singapore som ”en global ledare inom Internet of Things”, som rapporterats av The Register .

Singapore Cybersecurity Labeling Scheme rankar nästan alla internetanslutna konsumentenheter i en fyrstjärnig skala. Systemet är erkänt av Finland och hittills av Tyskland . På en konferens i veckan meddelades att systemet snart kan dyka upp på medicintekniska produkter. Man kan slå vad om att vilket system som än utvecklas i USA kommer att vilja uppnå viss ömsesidighet med Singapores system, även om det bara är på samma nivå.

Finns det en aspekt av materia i denna beteckning? Nästan säkert, med tanke på närvaron av CSA vid Vita husets toppmöte. Matter-certifiering kräver redan att enheter använder AES-kryptering när de kommunicerar över nätverk, kan ta emot uppdateringar direkt, vara kodsignerade och ha en säker enklav för att lagra nycklar och certifikat som kommer att verifieras i blockchain-reskontran. Vissa eller alla av dessa aspekter (med undantag för blockchain-biten) kommer sannolikt att beaktas på säkerhetsetiketter.

Även om den första versionen av denna säkerhetsetikett nästan säkert kommer att vara ett äventyrat, politiskt acceptabelt försök, kommer saker och ting sannolikt att bli bättre än det system vi har nu: individuell sökning efter smarta hemmärken och tillverkare på Internet, med de sista fraserna ”överträdelse ”och ”sårbarhet”.