Το Διαδίκτυο των πραγμάτων κατέχει ένα τεράστιο ποσό υπόσχεσης. Κάθε συσκευή αλληλεπιδρούμε με δίκτυο σε ορισμένες δυνατότητες, φέρνοντας φτηνή έξυπνη οικιακή τεχνολογία σε όλους. Αυτή είναι μόνο μία από τις δυνατότητες. Λοιπόν, δυστυχώς, όσο πιο συναρπαστικό είναι και ο κόσμος που συνδέεται πλήρως με το δίκτυο, το Διαδίκτυο των πραγμάτων είναι σταθερά και θλιβερά ανασφαλές.
Μια ομάδα ερευνητών της ασφάλειας του Πανεπιστημίου του Πρίνστον υποστηρίζουν ότι το Διαδίκτυο των πραγμάτων είναι τόσο θλιβερά ανασφαλές ώστε ακόμη και η κρυπτογραφημένη κίνηση στο δίκτυο να είναι εύκολα αναγνωρίσιμη. Πώς λειτουργεί η κρυπτογράφηση και είναι πραγματικά ασφαλής; Πώς λειτουργεί η κρυπτογράφηση και είναι πραγματικά ασφαλής; Διαβάστε περισσότερα .
Υπάρχει κάποια ουσία στην αξίωσή τους, ή μήπως είναι ένα άλλο "τυποποιημένο" κομμάτι του IoT; Ας ΡΙΞΟΥΜΕ μια ΜΑΤΙΑ.
Ψημένο μέσα
Το πρόβλημα είναι ότι μεμονωμένες συσκευές έχουν μεμονωμένα προφίλ ασφαλείας. Και ορισμένες ρυθμίσεις ασφαλείας μπαίνουν στη συσκευή. Αυτό σημαίνει ότι οι τελικοί χρήστες δεν μπορούν να αλλάξουν τις ρυθμίσεις ασφαλείας.
Ρυθμίσεις που είναι ίδιες για χιλιάδες προϊόντα που ταιριάζουν.
Μπορείτε να δείτε το τεράστιο ζήτημα ασφαλείας αυτό είναι γιατί το Διαδίκτυο των πραγμάτων είναι ο μεγαλύτερος εφιάλτης ασφάλειας Γιατί το Διαδίκτυο των πραγμάτων είναι ο μεγαλύτερος εφιάλτης ασφαλείας Μια μέρα, φτάνετε στο σπίτι από τη δουλειά για να ανακαλύψετε ότι το σύστημα ασφάλειας οικιακού σας δικτύου έχει παραβιαστεί . Πώς θα μπορούσε να συμβεί αυτό; Με το Διαδίκτυο των πραγμάτων (IoT), θα μπορούσατε να μάθετε τον σκληρό τρόπο. Διαβάστε περισσότερα .
Σε συνδυασμό με μια γενική παρεξήγηση (ή είναι απλή άγνοια;) σχετικά με το πόσο εύκολο είναι να ταιριάζει μια συσκευή IoT για κακές δραστηριότητες και υπάρχει ένα πραγματικό, παγκόσμιο ζήτημα στο χέρι.
Για παράδειγμα, ένας ερευνητής ασφάλειας, όταν μίλησε με τον Brian Krebs, αναμεταδίδει ότι είχαν δει μάρτυρες ασυμβίβαστου δρομολογητή διαδικτύου που χρησιμοποιούνταν ως πληρεξούσιοι SOCKS, διαφημίζοντας ανοιχτά. Υπολόγισαν ότι θα ήταν εύκολο να χρησιμοποιηθούν κάμερες μέσω διαδικτύου και άλλες συσκευές IoT για τις ίδιες και μυριάδες άλλους σκοπούς.
Και είχαν δίκιο.
Το τέλος του 2016 είδε μια μαζική επίθεση DDoS. "Μαζική", λέτε; Ναι: 650 Gbps (περίπου 81 GB / s). Οι ερευνητές ασφαλείας από την Imperva που έβλεπαν την επίθεση σημείωσαν μέσω της ανάλυσης ωφέλιμου φορτίου ότι η πλειοψηφία της εξουσίας προέρχεται από συμβιβασμένες συσκευές IoT. Μεταγλωττισμένο "Leet" μετά από μια συμβολοσειρά χαρακτήρων στο ωφέλιμο φορτίο Αυτό είναι πώς οι εγκαταστάτες λογισμικού εργάζονται σε Windows, MacOS και Linux Αυτό είναι πώς οι εγκαταστάτες λογισμικού λειτουργούν σε Windows, MacOS και Linux Τα σύγχρονα λειτουργικά συστήματα σας παρέχουν εύκολες μεθόδους για να δημιουργήσετε νέες εφαρμογές . Αλλά τι συμβαίνει όταν τρέχετε το πρόγραμμα εγκατάστασης ή εκδίδετε αυτήν την εντολή; Διαβάστε περισσότερα, είναι το πρώτο botnet του IoT που ανταγωνίζεται τον Mirai (το τεράστιο botnet που στόχευσε τον φημισμένο ερευνητή ασφάλειας και δημοσιογράφο, Brian Krebs).
IoT Sniffing
Το ερευνητικό έγγραφο του Princeton, με τίτλο Έξυπνο σπίτι, δεν είναι Κάστρο [PDF], διερευνά την ιδέα ότι "οι παθητικοί παρατηρητές δικτύου, όπως οι πάροχοι υπηρεσιών διαδικτύου, θα μπορούσαν να αναλύσουν την κίνηση του δικτύου IoT για να συναγάγουν ευαίσθητες λεπτομέρειες σχετικά με τους χρήστες." Ερευνητές Noah Apthorpe, Dillon Ο Reisman και ο Nick Feamster εξετάζουν μια «οθόνη αφύπνισης Sense» 6 έξυπνες συσκευές για να σας βοηθήσουν να κοιμηθείτε καλύτερα 6 έξυπνα gadgets για να σας βοηθήσουν να κοιμηθείτε καλύτερα Μην πάρτε έναν καλό ύπνο ποτέ δεν είναι ένας καλός τρόπος για να ξεκινήσετε μια μέρα. Ευτυχώς, υπάρχουν πολλά gadgets στο σπίτι που μπορούν να σας βοηθήσουν να πάρετε έναν υπέροχο ύπνο. Διαβάστε περισσότερα, μια κάμερα ασφαλείας Nest Cam Indoor, ένας διακόπτης WeMo και ένα Echo Amazon. "
Το συμπέρασμά τους; Τα δακτυλικά αποτυπώματα της κυκλοφορίας από κάθε μια από τις συσκευές είναι αναγνωρίσιμα, ακόμη και όταν κρυπτογραφούνται.
- Το Nest Cam - Observer μπορεί να συμπεράνει όταν ένας χρήστης παρακολουθεί ενεργά μια τροφή ή όταν μια κάμερα ανιχνεύει κίνηση στο οπτικό της πεδίο.
- Αίσθηση - Ο παρατηρητής μπορεί να συνάγει μοτίβα ύπνου χρηστών.
- Ο WeMo - παρατηρητής μπορεί να εντοπίσει πότε μια φυσική συσκευή σε μια έξυπνη οικία είναι ενεργοποιημένη ή απενεργοποιημένη.
- Echo - Ο παρατηρητής μπορεί να εντοπίσει πότε ένας χρήστης αλληλεπιδρά με έναν ευφυή προσωπικό βοηθό.
Αποκτήστε πρόσβαση στα πακέτα
Το χαρτί Princeton αναλαμβάνει πακέτα (δεδομένα) εισπνοής εισβολέα απευθείας από έναν ISP. Η ανάλυσή τους προέρχεται άμεσα από πακέτα μεταδεδομένων: κεφαλίδες πακέτων IP, κεφαλίδες πακέτων TCP και ποσοστά αποστολής / λήψης. Ανεξάρτητα από το σημείο παρακολούθησης, αν μπορείτε να αποκτήσετε πρόσβαση σε πακέτα σε μετάβαση, μπορείτε να επιχειρήσετε να ερμηνεύσετε δεδομένα.
Οι ερευνητές χρησιμοποίησαν μια στρατηγική τριών βημάτων για να εντοπίσουν τις συσκευές IoT που συνδέονται με το αυτοσχέδιο δίκτυο τους:
- Διαχωρίστε την κυκλοφορία σε ροές πακέτων.
- Ροές ετικετών ανά τύπο συσκευής.
- Εξετάστε τα ποσοστά επισκεψιμότητας.
Αυτή η στρατηγική αποκάλυψε ότι ακόμα και αν μια συσκευή επικοινωνεί με πολλαπλές υπηρεσίες, ένας δυνητικός εισβολέας "τυπικά χρειάζεται να εντοπίσει μόνο μια ροή που κωδικοποιεί την κατάσταση της συσκευής". Για παράδειγμα, ο παρακάτω πίνακας επεξηγεί τα ερωτήματα DNS που σχετίζονται με κάθε ροή χαρτογραφημένα σε μια συγκεκριμένη συσκευή .
Τα αποτελέσματα της έρευνας βασίζονται σε αρκετές παραδοχές, συγκεκριμένα σε συγκεκριμένες συσκευές. Τα δεδομένα για την οθόνη παρακολούθησης ύπνου Sense προϋποθέτουν ότι οι χρήστες "σταματούν να χρησιμοποιούν τις συσκευές τους αμέσως πριν από τον ύπνο, ότι όλοι στο σπίτι κοιμούνται ταυτόχρονα και δεν μοιράζονται τις συσκευές τους και ότι οι χρήστες δεν αφήνουν τις άλλες συσκευές τους να εκτελούν -επενδυτικές εργασίες ή ενημερώσεις ενώ κοιμούνται. "
Κρυπτογράφηση και Συμπεράσματα
Η ΒΙΙ εκτιμά ότι μέχρι το 2020 θα υπάρχουν 24 δισεκατομμύρια συσκευές IoT σε απευθείας σύνδεση. Η λίστα με τα Vulnerabilites Top IoT Ασφάλειας Εφαρμογών Web (OWASP) είναι η εξής:
- Ασφαλής διεπαφή ιστού.
- Ανεπαρκής έλεγχος ταυτότητας / εξουσιοδότηση.
- Ασφαλείς υπηρεσίες δικτύου.
- Έλλειψη κρυπτογράφησης των μεταφορών.
- Προστασία προσωπικών δεδομένων.
- Ασφαλής διασύνδεση cloud.
- Ασφαλής κινητή διασύνδεση.
- Ανεπαρκής ρύθμιση της ασφάλειας.
- Ασφαλές λογισμικό / υλικολογισμικό.
- Κακή φυσική ασφάλεια.
Το OWASP εξέδωσε τον κατάλογο αυτό το 2014 - και από τότε δεν έχει ενημερωθεί, επειδή οι ευπάθειες παραμένουν οι ίδιες . Και, όπως αναφέρουν οι ερευνητές του Πρίνστον, είναι εκπληκτικό το πόσο εύκολο θα ήταν ένας παθητικός παρατηρητής δικτύου να συμπεράνει την κρυπτογραφημένη έξυπνη κυκλοφορία στο σπίτι. Μην πιστεύετε στους 5 αυτούς μύθους για την κρυπτογράφηση! Μην πιστεύετε αυτούς τους 5 μύθους σχετικά με την κρυπτογράφηση! Η κρυπτογράφηση ακούγεται περίπλοκη, αλλά είναι πολύ πιο απλή από ό, τι νομίζουν οι περισσότεροι. Παρόλα αυτά, μπορεί να αισθανθείτε λίγο πολύ στο σκοτάδι για να χρησιμοποιήσετε την κρυπτογράφηση, οπότε αφήστε μερικούς μύθους κρυπτογράφησης! Διαβάστε περισσότερα .
Η πρόκληση είναι η ανάπτυξη ολοκληρωμένων λύσεων IoT VPN ή ακόμη και η πείρα των κατασκευαστών συσκευών IoT ότι η ασφάλεια είναι χρήσιμη (σε αντίθεση με την αναγκαιότητα).
Ένα σημαντικό βήμα θα ήταν η διάκριση μεταξύ των τύπων συσκευών. Ορισμένες συσκευές IoT είναι εγγενώς πιο ευαίσθητες στην προστασία της ιδιωτικής ζωής, όπως μια ολοκληρωμένη ιατρική συσκευή έναντι μιας Echo Amazon. Η ανάλυση χρησιμοποίησε μόνο ρυθμούς αποστολής / λήψης κρυπτογραφημένης κίνησης για να προσδιορίσει τη συμπεριφορά του χρήστη - δεν απαιτείται βαθιά επιθεώρηση πακέτων. Και ενώ πρόσθετα ολοκληρωμένα χαρακτηριστικά ασφαλείας μπορεί να επηρεάσουν αρνητικά την απόδοση των συσκευών IoT, η ευθύνη έγκειται στους κατασκευαστές να παρέχουν κάποια ασφάλεια ασφαλείας στους τελικούς χρήστες.
Οι συσκευές IoT είναι ολοένα και πιο διαδεδομένες. Οι απαντήσεις για ερωτήσεις σχετικά με την προστασία της ιδιωτικής ζωής δεν είναι άμεσα διαθέσιμες, και τέτοιες έρευνες δείχνουν τέλεια αυτές τις ανησυχίες.
Καλωσόρισες τις έξυπνες οικιακές συσκευές και τις συσκευές IoT στη ζωή σας; Έχετε ανησυχίες για το ιδιωτικό σας απόρρητο όταν έχετε δει αυτή την έρευνα; Τι ασφάλεια νομίζετε ότι οι κατασκευαστές πρέπει να υποχρεωθούν να εγκαταστήσουν σε κάθε συσκευή; Ας γνωρίσουμε τις σκέψεις σας παρακάτω!