Forskningsinstitutet Rise arbetar bland annat med datorsäkerhet, speciellt inom IoT. Sensorer är ofta små enheter med begränsningar i form av till exempel batteritid och datakraft, och därför vill man hålla nere både det som slukar batteri och beräkningar, vilket är till exempel kommunikation och säkerhet. Det är bland annat därför man inte kan använda den sorts säkerhet som används på internet utan det måste vara mycket mer anpassad lösning.

– Sensorer är små prylar som inte är kapabla till avancerade säkerhetsberäkningar, berättade Thomas Carnehult i en ntervju i slutet av 2019. Vi vill göra det säkert ändå. Därför ansökte och fick Rise stöd av Vinnovas program kring datorsäkerhet och projektet syftade till att använda en av de nyaste standarderna för IoT-säkerhet.

– Vi fick höra talas om Future by Lunds SOM-projekt och insåg att det skulle passa perfekt för oss att använda. På så vis slipper vi bygga upp en egen infrastruktur, sa Thomas Carnehult.

Även SOM-projektledare Anders Trana och Johan Lindén på Mobile Heights såg fördelar med att koppla på ett säkerhetsprojekt. När sedan även Vinnova gav grönt ljus var det bara att köra igång.

I projektet samlades sensorvärden i elskåp i centrala Lund via en box som U-blox levererade. Elskåpen kommunicerar med varandra via Bluetooth Mesh och värdena samlades sedan och skickades via NB-IoT. Till sist hamnade datan på Sensatives plattform Yggio. Sensordatan passerade många steg på vägen.

Projektet startade med en hotanalys på den existerande infrastrukturen i SOM. Fokus lades på att se vilka protokoll som används, vad man ville skydda och hur det skulle transporteras.

– Sensative och U-blox har säkerhet i sin hårdvara i var sin ände. Även i kommunikationen mellan varje nod är det säkerhet. Det är i noderna som passeras på vägen vi är osäkra på om säkerheten kan bibehållas. Det kan uppstå brister framförallt varje gång man byter protokoll, menade Thomas Carnehult.

Thomas förklarade med en allegori så att alla kan förstå:

– Tänk att du ska göra en resa med bil, tåg, tunnelbana och taxi. I varje transportslag är du rätt säker – i bilen har du säkerhetsbälte, tåget är säkert osv. Men när du byter transportslag kan du ju till exempel bli påkörd. Tänk om du då kunde kapsla in dig i frigolit och göra hela resan i samma frigolit. Då är du som objekt skyddad hela vägen. Precis så gör vi med sensordatan. Vi gör också så att skyddet låses i början av resan och låses upp på slutet. Men biljetten går hela tiden att läsa så att man kommer fram till rätt ställe.

Hela projektet kördes i labb parallellt med SOM-projektet och flyttades sedan över till SOM-setupen.

– Det som är lite raffinerat med detta är att vårt arbete egentligen bara behövs när man packar datan och när man packat upp den igen, sa Thomas Carnehult. Det är payloaden, lasten, som krypteras. De andra enheterna ser inte det.

I projektet använde man en ny standard som löste säkerheten hela vägen. Standarden för IoT-säkerhet hette RFC8613. Standarden blev ett exempel på en möjlig säkerhetslösning för andra IoT Sverige-projekt.

Rise arbetar också tillsammans med till exempel Ericsson i standardiseringsorganisationen IETF för att olika aktörer inom IoT ska arbeta med samma säkra standard så att man inte behöver byta säkerhetslösning på datans väg. Det är meningen att prylarna enkelt ska kunna prata med varandra utan att vara från samma leverantör.

Innebär projektet att den som skickar värden kan vara helt säker på att ingen kommer åt dem?

– Jag skulle säga att värdena är väldigt säkra. Säkerhet är alltid en katt- och råttalek och där man hela tiden försöker göra systemen så säkra som möjligt.

Många är oroade för säkerheten inom IoT. Är det befogat att vara orolig?

– Jag tycker inte att det finns fog för oro men det finns fog för att göra det bättre hela tiden. Det gäller bland annat att olika legala frågor ska hänga med de tekniska lösningarna. Visst finns det saker som kopplas upp med bristande säkerhet men orolig håller jag inte med om att man ska vara. Det mesta funkar ändå. Det är lätt att bli orolig om man inte har tillräckligt med fakta. Det pågår mycket forskning och arbete hur man ska hantera allt data som genereras. Frågorna handlar om hur man skyddar data men också om vem som äger datan och vem som kan dela med sig och hur man i så fall gör det, avslutade Thomas Carnehult.

‍

Vad blev resultatet?

Projektet ledde till en lösning som kan kryptera sensordata från startpunkt till slutpunkt. Lösningen fungerar för vissa protokoll – som till exempel BLE, Z-way och NB-IoT men inte för tekniker som LoRa och Sigfox. ”En teknik som man bör använda i framtiden”, säger projektpartnern Johan Lindén på Mobile Heights, men också styrelsemedlem i Svenska noden för cybersäkerhet.

Projektet tog fram en demonstrator för IoT-säkerhet ämnat för offentliga miljöer och använde ett av delprojekt från SOM(Smarta Offentliga Miljöer)-projektet. Man använde de senaste landvinningarna och standarder inom IoT-säkerhet genom att demonstrera dagens labblösningar i verklig miljö.  

Projektet implementerade helt nya IETF standarder (RFC 8613on Object Security for Constrained RESTful Environments (OSCORE)) end-to-end från sensorer till back-end och vidare till dataanvändare.

Nyttan av detta projekt var att framförallt höja säkerheten i Sensatives Yggio och u-blox BLE IoT plattformar och tjänsterna som samverkar i SOM projektet. Vi använde framförallt de nya IoT-säkerhetsstandarderna från IETF där Sverige har varit med och utvecklat.  u-blox ambition är att använda sig av OSCORE i framtida IoT-moduler baserade på Wi-Fi, Bluetooth och/eller mobilkommunikation, alla med låg effekt. Detta är ett viktigt utvecklingssteg för Sensatives IoT-plattform Yggio, och vi kommer att ta med denna lösning i andra kritiska användningsfall och IoT-tillämpningar.  

‍

‍

Hur tas projektet vidare?

Byggblocken finns och kan tas vidare efter projektets slut. Vem som ska driva ett sådant projekt undersöks i skrivande stund.

‍

Fakta IoT-säkerhet i offentlig miljö

Projekttid: 2018-11-01 - 2019-12-31

Projektledare: Thomas Carnehult, RISE

Projektpartners: RISE, Sensative, u-Blox, Mobile Heights, Ericsson, Kraftringen

Totalbudget: 2,7 miljoner kronor

Finansiär: Vinnova

‍Följdprojekt: Undersökte IoT-säkerhet med exempelfrån Smarta Offentliga Miljöer II.

 Klassificering i Future by Lunds ramverk

Skikt: 3

Zon: Grön (B)

Vad menar vi med Zon och Skikt?

Future by Lund arbetar med ett ramverk för att skapa förståelse och ge underlag för strategiska beslut kring utvecklingen av innovationsekosystemet där partnerskapet tillsammans ska kunna överblicka ekosystemet och föra strategiska dialoger om framtida utveckling. Att arbeta med zoner är ett sätt att visa vilken sorts innovationsaktivitet och utvecklingsfas det är, medan skikt är ett sätt att visa mängd av aktiviteter och partnerengagemang, där man kan följa såddinvesteringar, projektfinansiering och resan vidare till följd av ett projekt.

Blå, grön och gul zon

För att förklara möjligheterna i det organisatoriska mellanrummet mellan kommun, näringsliv och universitetet används en modell med en blå, en grön och en gul zon.

I den blå zonen bestämmer organisationen allt själv och har kontroll och mandat. Här styr man själv och det finns en struktur för hur man bedriver sin verksamhet. Utanför finns den gröna zonen, som befinner sig i mellanrummet mellan organisationer. Där behövs samverkan och dialog med delade mandat. Organisationer förhandlar och skapar överenskommelser om vem som gör vad, vad som kan göras tillsammans och hur det ska gå till. Här finns till exempel ofta städer och byggbolag som samarbetar för att bygga nya områden eller konkreta projekt med gemensamt satta mål och delade uppgifter och resurser. Går man vidare ut i den gula zonen är mandatet ganska oklart och organisationer delar på utmaningar och möjligheter. Vem som äger vad och vem som ska göra vad är inte klart, vilket ger större risker. Det är nödvändigt att samskapa. I den här zonen behöver man stimulera, facilitera, testa och omvärldsbevaka för att skapa kunskap och förståelse. Organisationerna delar riskerna kring det okända och oformulerade. Deltagarnas engagemang och närvaro driver möjligheterna. Många i Future by Lunds nätverk arbetar just med saker som ligger i de gröna och gula zonerna i områden som man delar med andra. Aktiviteter som utförts i gröna eller gula zonen kan med tiden bli affärsmöjligheter och hamnar då i den blå zon där organisationerna tar hem resultat, använder dem, bygger affärer och skalar.

Följdeffekter genom skiktmodellen

För att påvisa vilken betydelse innovationsaktiviteter får för ett system av aktörer arbetar Future by Lunds följeforskare Emily Wise med ”skiktmodellen” – som är ett rapporteringssätt som används i Vinnovas Vinnväxt program och fångar dynamik och de ”ripple effects” (följdeffekter) som initiativen bidrar till.

Första skiktet är det stöd (eller den basfinansiering) som kommer direkt till innovationsplattformen.

Andra skiktet består av projektfinansiering till projekt som Future by Lund antingen leder eller medverkar i.

Tredje skiktet är projektfinansiering som går till partners i projekt där Future by Lund inte medverkar i. Detta kallas spinoffprojekt eller följdprojekt.

Fjärde skiktet är de kvalitativa händelserna i systemet som är tecken på att förändring sker i riktning mot den hållbara staden. Det kan vara nya företag, nya produkter, en ökning av antalet anställda, nya investeringsströmmar, ny infrastruktur och en ökning av uppmärksamhet.

‍

‍