De studenten van de opleiding Cyber Security aan de Universiteit Twente gaven ons vak Security Services for the IoT (SSI) vorige week in een online enquête een 8. En daar zijn we blij mee! De opzet van SSI was dat de studenten meer inzicht zouden krijgen in de beveiligingsvraagstukken die het Internet of Things (IoT) opwerpt en het netwerkgedrag van IoT-apparaten vanuit dat perspectief zouden leren analyseren.
De volgende generatie helpen
SIDN voor de collegezaalOnze belangrijkste reden voor het ontwikkelen van Security Services for the IoT (SSI) was dat we de volgende generatie internet engineers wilden helpen om meer grip te krijgen op de beveiligingsrisico's die het Internet of Things (IoT) met zich meebrengt en hen te laten discussiëren over manieren om deze risico's te detecteren en bestrijden. We zien SSI als een langetermijninvestering in de veiligheid en stabiliteit van het internet, omdat het studenten (nu en na hun studie) helpt om veiligere IoT-systemen te ontwerpen. Dit verkleint het risico op door het IoT aangestuurde DDoS-aanvallen, zoals mogelijk werd door het Mirai-botnet.
SSI is een spin-off van het SPIN-project (een onbedoelde woordspeling:-)), dat erop is gericht een open platform voor de beveiliging van thuisnetwerken te ontwikkelen. Zo willen we zowel het internet als eindgebruikers te beschermen tegen onveilige IoT-apparaten, door zo'n apparaat tijdelijk te blokkeren. Het vak maakt deel uit van het 4TU Cyber Security Master’s Programme en is opgezet in samenwerking met Aiko Pras, hoogleraar Internet Security aan de Universiteit Twente en hoofd van de vakgroep Design and Analysis of Communication Systems (DACS).
Practicumopdracht
Een belangrijk onderdeel van SSI was een practicumopdracht waarbij de 18 studenten die het vak volgden, het netwerkgedrag van overal verkrijgbare slimme apparaten, zoals lampen, een stekker, fototoestellen en een smart-tv, in kaart brachten en analyseerden. Hiervoor werden ze opgedeeld in tweetallen en legden ze het netwerkverkeer van de apparaten vast in PCAP-bestanden. Hierbij gebruikten ze tools als Wireshark en onze SPIN-software.
De practicumverslagen van de studenten bevestigen de resultaten van een eerdere studie door de Princeton-universiteit. Hieruit bleek dat veel IoT-apparaten om te kunnen functioneren afhankelijk zijn van clouddiensten en gebruikmaken van het Domain Name System (DNS) om deze diensten te vinden. Dit illustreert dat bij offline interacties in de leefomgeving in toenemende mate wordt vertrouwd op de veiligheid en weerbaarheid van internetconnectiviteit, clouddiensten en het DNS. Onze studenten ontdekten ook dat hun IoT-apparaten uiteenlopende cloud-operators gebruikten, zoals Google en Amazon, maar ook cloud-operators in China en het Verenigd Koninkrijk.
De practicumgroepen beschreven het netwerkgedrag ook in een zogenaamde Manufacturer Usage Description (MUD)-specificatie, een specificatievorm die momenteel binnen de IETF wordt ontwikkeld. Als onderdeel van hun practicumopdracht deden de studenten diverse voorstellen voor uitbreiding van de MUD-specificatie. Bijvoorbeeld de toevoeging van een maximale packet rate voor uitgaande verbindingen (van IoT-apparaat naar internet) en het gebruik van reguliere expressies voor het in één keer wel of niet toestaan van een groep domeinnamen (zoals “*.example.nl” om alle subdomeinen van example.nl wel of niet toe te staan).
We werken binnen de IETF actief mee aan MUD en zijn dan ook van plan om deze suggesties in te brengen bij de werkgroep Operations and Management Area, die zich bezighoudt met de MUD-standaardisering.
Overige deliverables
De studenten moesten verder ieder een mondeling tentamen afleggen over in totaal 10 wetenschappelijke publicaties en IETF-documenten die ze hadden bestudeerd en over een van de publicaties een presentatie geven aan hun medestudenten. Op basis van hun tentamen, presentatie en practicumverslag beoordeelden we in hoeverre de studenten de leerdoelen van SSI, zoals inzicht in IoT-concepten en -applicaties, beveiligingsrisico's en technische oplossingen, hadden behaald. Alle studenten hebben het vak gehaald, met als laagste cijfer een 6 en als hoogste een 9.
Studentenevaluatie
Vlak voor het vak afliep, hebben we een korte online enquête opgesteld, waarin we de SSI-studenten om hun feedback vroegen. Het responspercentage was 78 procent (veertien van de achttien, waarvoor dank!) en het gemiddelde waarderingscijfer een 8, wat we opvatten als een groot compliment waarmee we heel blij zijn.
Uit de vragen in de enquête bleek onder meer dat we de leerdoelen van SSI hadden gerealiseerd (met een gemiddelde score van 4,1 uit 5), dat de inhoud interessant was (4,5) en de practicumopdracht nuttig en voldoende uitdagend (met een gemiddelde score van respectievelijk 4,3 en 4,0). De studenten waren verder zeer te spreken over zowel het extra college over DNS-transacties door Marco Davids (4,5) als het inleidende college met bijbehorende tutorial over DDoS-aanvallen door Jair Santanna (4,1).
De meningen over het nut van de presentaties door medestudenten liepen uiteen (een gemiddelde score van 3,9) en over de aanvankelijke verwachting van de studenten ten aanzien van SSI (3,8), dus we gaan kijken of we deze aspecten van het vak volgend jaar kunnen verbeteren.
SSI 2019
In het 4e kwartiel van 2019 zijn we er weer met SSI. We bedanken al onze studenten van 2018 voor hun enthousiasme en feedback.
Nog een fijne zomer!
