Zapojte a zapomeňte: hrozba, kterou představuje nestrukturovaný internet věcí

Na pochod „inteligentní“ technologie došlo k tomu, že každé představitelné zařízení v našich domácnostech a kancelářích bylo „vyvinuto“ s nějakou formou připojení. I když to pro některé nabízí další funkce, říká Ken Munro, Partneři pro testování pera, pro ostatní tato inteligentní vylepšení překračují požadavky.

Koneckonců, proč pračku připojit bezdrátově, pokud rádi ovládáte ručně? To nevyhnutelně znamená, že zařízení internetu věcí (IoT) jsou nakupována a používána bez připojení, což představuje skutečný problém.

Zařízení IoT, která ještě nejsou efektivně nakonfigurována, fungují jako otevřené nešifrované bezdrátové přístupové body, což je činí zranitelnými. Jedná se o problém, který, jak se zdá, unikl pozornosti výrobců a regulačních orgánů. Navzdory zveřejnění mnoha příruček s doporučeními se žádný z nich touto otázkou nezabývá, včetně našeho vlastního Kodexu bezpečnosti spotřebitele IoT.

Útočné vektory

Připojení k nenakonfigurovanému zařízení IoT je triviální. Pomocí geolokačního webu, jako je wigle.net, může útočník určit SSID zařízení. Zařízení lze snadno identifikovat, například kotle používají SSID: iketttle, horké vany: BWGSPa, Google Chromecast: Chromecast, klimatizace LG: LGE_AC a Ekologická voda Inteligentní změkčovače vody: H2O-6c. Jediné, co musí udělat, je stáhnout si aplikaci, přejít na jiné místo, připojit se k bezdrátovému hotspotu a hotovo.

Pomocí geolokačního webu může útočník určit SSID zařízení.

U zařízení využívajících připojení Bluetooth je dokonce vyšší riziko než u zařízení využívajících Wi-Fi. Důvodem je, že taková zařízení obecně nemají proces autentizace nebo autorizace mobilního zařízení, ke kterému jsou připojena, což umožňuje připojení komukoli v dosahu.

Po zachycení lze tato zařízení zneužít mnoha způsoby. Lze je například použít k vytvoření backdooru v síti. Viděli jsme to i v obchodním prostředí, kde se nenakonfigurovaný videorekordér nainstalovaný technikem AV (a tedy ne na radaru bezpečnostního oddělení) připojuje k podnikové kabelové a bezdrátové síti.

Mějte také na paměti, že mnoho z těchto zařízení bude oslabovat v dodavatelském řetězci a bude se zasekávat ve skladu, dokud nebudou odeslány, což obvykle znamená, že chtějí svůj software po instalaci aktualizovat. Zastaralý a nestrukturovaný software je využitelný a je primárním cílem neoprávněného firmwaru.

Jakmile je nepoctivý firmware nainstalován, může být použit k výměně zařízení, například ke zjištění, zda je potenciálně použit k odposlechu. Neaktualizovat zařízení je také problémem pro další dlouhodobá zařízení IoT, od inteligentních žárovek po potenciálně lepící termostaty. na místě Je to dlouhá doba a uživatel se nemůže obtěžovat s aktualizací.

Ken Munro

Vyřešit problém

Existuje několik návrhových řešení, která mohou vyřešit problém nestrukturovaného IoT. Jednou z možností je fyzicky nainstalovat tlačítko na zařízení, které by měl uživatel použít k ověření pro bezdrátové připojení nebo párování Bluetooth.

Tím je zajištěno, že zařízení lze provést pouze ručně pro připojení k aplikaci na uživatelském zařízení v těsné blízkosti. Bez toho, aby byl klíč během přenosu zachycen, to značně snižuje riziko kompromisu, ale jen málo zařízení má fyzický kontrolní mechanismus, jako je tento, protože zabezpečení je v nejlepším případě často dodatečným nápadem.

Cenově efektivnějším řešením by bylo přinutit všechna zařízení IoT ve výchozím nastavení vypnout vysokofrekvenční rádia. To se může zdát neintuitivní vůči tématu IoT, ale myslím si, že musíme ovládat naši technologii a ne naopak.

Inteligentní dodání produktu neznamená, že ho uživatel bude používat, jak bylo zamýšleno. Spotřebitelé by měli mít možnost zvolit si, jak chtějí zařízení používat. V opačném případě riskujeme, že naše inteligentní domy budou vystaveny lokálním útokům přes Wi-Fi.

Spisovatel Ken Munro, partner, partneři pro testování pera.