nuSIM auf dem TÜViT-Prüfstand

IoT-Zukunft: Eine entscheidende Voraussetzung für das Internet of Things bildet die umfassende – und im besten Falle auch sichere – Vernetzung unterschiedlicher Geräte, Maschinen und Gegenstände. nuSIM heißt eine neuartige SIM-Lösung, die direkt in die Modem-Chips von IoT-Geräten integriert wird und diese mit der Infrastruktur eines Netzbetreibers verbindet. Von dort aus besteht die Möglichkeit eine gesicherte Verbindung über das Internet aufzubauen, beispielsweise zu einem Applikationsserver. Mit der nuSIM werden eine Vielzahl nicht benötigter Funktionalitäten klassischer SIM-Karten und somit auch Kosten eingespart. Aber wie kann die Sicherheit dieser neuen SIM-Variante gewährleistet werden? TÜViT hat gemeinsam mit der Deutschen Telekom ein IT-Sicherheits-Prüfkonzept erarbeitet, das präzise auf die nuSIM abgestimmt ist.

Bei nuSIM handelt es sich um eine neuartige Form eines Subscriber Identity Module, auch schlicht SIM-Karte genannt, mit dem beispielsweise Mobiltelefone einem Mobilfunknetz zugeordnet und authentifiziert werden. Die spezielle Lösung der nuSIM wurde von der Deutschen Telekom in Zusammenarbeit mit führenden Technologiepartnern für Anwendungen im Internet der Dinge konzipiert. Sie verzichtet – im Gegensatz zu ihrer Vorgängerin eSIM – bewusst auf die Funktionalitäten einer klassischen SIM-Karte, die für viele IoT-Szenarien kaum bis gar nicht benötigt werden.

Ein Beispiel: Wer sein Mobiltelefon einschaltet, muss die SIM-Karte zunächst durch die Eingabe der PIN entsperren. Geschieht dies nicht, verweigert die SIM-Karte ihren Dienst und eine Verbindung ins Netz des Mobilfunkbetreibers kommt nicht zustande. Was beim Telefon oder Tablet einfach erscheint, stellt mobile Sensoren bereits vor eine Herausforderung. Denn diese verfügen meist nicht über einen Touchscreen, ein PIN-Pad oder andere Möglichkeiten der PIN-Eingabe. Aus diesem Grund müssen bei der nuSIM andere Sicherheitsmechanismen greifen.

Als schöner Nebeneffekt des bewussten Verzichts auf selektiv gewählte Funktionalitäten wird die schlanke nuSIM kostengünstiger in ihrer Entwicklung und Produktion. Gleichzeitig kann durch die direkte Integration der SIM-Funktionalitäten in den Modemchipsatz auf eine platzhungrige SIM-Karte verzichtet werden. Der gewonnene Freiraum steht somit für andere Bauteile einer IoT-Lösung zur Verfügung.

Das dahinterstehende Motto „Weniger ist mehr“ darf allerdings nicht in Sachen Sicherheit gelten, PIN-Schutz hin oder her. Denn wie im Falle von traditionellen SIM-Karten müssen auch die von der nuSIM gespeicherten Daten, wie eindeutige Kartennummer und kryptographische Schlüssel, sicher verwaltet und verarbeitet werden. Daher hat die TÜViT gemeinsam mit der Deutschen Telekom ein spezielles Prüf- und Zertifizierungskonzept erarbeitet, mit dem Hersteller von nuSIM-Karten die IT-Sicherheit ihrer Produkte belastbar belegen können.

Bei der Prüfung handelt es sich um eine Komponentenprüfung, bei der die nuSIM-Lösung im Hinblick auf ihre Widerstandsfähigkeit gegenüber verschiedensten Angriffsmethoden getestet wird. Für diese Zwecke wird das TÜViT-eigene Evaluierungsverfahren zur Sicherheitstechnischen Qualifizierung (SQ) herangezogen, das neben einer Prüfung auch eine anschließende Zertifizierung der nuSIM mit dem Trusted Product Security-Zertifikat aus der TÜViT Trusted Zertifikatsfamilie erlaubt.

• Scoping Workshop: In einem vorausgehenden Scoping-Workshop wird zunächst der genaue Zertifizierungsgegenstand abgegrenzt. Da nur der nuSIM-Anteil des Chipsatzes am Ende zertifiziert wird, besteht ein wesentliches Ziel darin, diesen logisch vom Rest zu separieren. Der Vorteil dieser fokussierten Abgrenzung liegt auf der Hand: Selbst, wenn sich andere Teile des Chipsatzes ändern, behält das Zertifikat seine Gültigkeit. Im Gegenzug müssen jedoch auch sämtliche Maßnahmen, die die Sicherheit der durch die nuSIM gespeicherten Daten gewährleisten, innerhalb des Zertifizierungsgegenstands der nuSIM liegen.
  
  
• Design Review Workshop: Innerhalb des Design Review Workshops wird im Rahmen einer Design- und Architekturanalyse die Sicherheit des Produktes im Detail hinterfragt: Welche konkreten Mechanismen nutzt die nuSIM, um die Vertraulichkeit der auf ihr gespeicherten Daten zu garantieren? Und wie sichert sie deren Integrität? Kann ein Angreifer trotz aller Vorkehrungen einen Weg an den vorhandenen Sicherheitsmaßnahmen vorbei finden? Wie teuer, in Zeit und Aufwand, ist es diesen Weg zu beschreiten? Werden bei diesem Schritt Probleme festgestellt, muss die nuSIM nachgebessert werden. Daher empfiehlt es sich im Rahmen einer Voruntersuchung, die bereits während der Implementierungsphase des Produktes durchgeführt wird, die nuSIM auf kritische Stolpersteine hin untersuchen zu lassen.
  
  
• Testen des Produktes: Im Anschluss an die Design-, Architektur-, und Quellcodeanalyse erfolgen intensive Schwachstellenanalysen und Penetrationstests des Produktes. Im Gegensatz zu herkömmlichen SIM-Karten beschränkt sich das praktische Testen der nuSIM auf den abgegrenzten Zertifizierungsgegenstand und die zu prüfenden technischen Sicherheitsanforderungen, welche im Erfolgsfall mit dem TÜViT Trusted Product Security-Zertifikat bestätigt werden. Die für nuSIM-Lösungen geltenden Sicherheitsanforderungen schreiben für diesen Schritt einen Aufwand von 40 Personentagen, also acht Wochen, vor. In der Regel können Prüfaspekte sogar parallel bearbeitet und die Laufzeit für Tests somit auf lediglich vier bis sechs Wochen reduziert werden.
  Um trotz der relativ kurzen Zeit, die für Penetrationstests vorgesehen ist, ein hohes Sicherheitsniveau sicherzustellen, bedient sich das Evaluierungsverfahren des White-Box-Ansatzes. Das heißt, die Prüfer erhalten sämtliche Informationen über den zu prüfenden Zertifizierungsgegenstand bis hin zum Quellcode. Das sichert ihnen gegenüber potentiellen Angreifern automatisch einen Vorsprung. Unter Berücksichtigung dieser Informationen führen sie als Erstes sowohl eine Architektur-, als auch eine Quellcodeprüfung durch. Das Resultat ist ein produktindividueller Testplan, der den vergleichsweise geringen Testzeitraum bestmöglich einteilt.
  
  
• Dokumentationsphase: Alle Teilergebnisse der Evaluierung werden in einem aussagekräftigen Prüfbericht verschriftlicht. Sämtliche Tests werden dabei so protokolliert, dass sie jederzeit von dritter Stelle nachvollziehbar und auch reproduzierbar sind. Sofern alle zuvor definierten technischen Sicherheitsanforderungen durch den Zertifizierungsgegenstand robust umgesetzt sind, erfolgt die Bestätigung dieser im Zuge der anschließenden Ausstellung des TÜViT Zertifikates. Mit dem Zertifikat der TÜViT Trusted Zertifikatsfamilie können Hersteller von nuSIM-Lösungen die IT-Sicherheit ihrer Produkte beispielsweise gegenüber Netzbetreibern belastbar nachweisen.