Атака устройств умного дома

Нельзя отрицать, что Интернет вещей (IoT) стал популярной категорией продуктов, о чем свидетельствует широкий ассортимент предложений IoT на недавней выставке CES — от телевизоров, динамиков и продуктов домашней автоматизации, таких как камеры и термостаты, до холодильников и, поверьте. это или нет, зеркала. Если у вас уже есть смарт-устройство или вы даже думаете о покупке одного (или нескольких), имейте в виду, что каждое из них несет в себе угрозу конфиденциальности и безопасности, считают эксперты отрасли безопасности.

Эта озабоченность была недавно подчеркнута, когда WikiLeaks опубликовала в Интернете документы, в которых утверждалось, что ЦРУ взломало интеллектуальные устройства, включая интеллектуальные телевизоры Samsung . Взлом этих телевизоров подтвердил худшие опасения всех, кто уже нервничал по поводу встроенных микрофонов, используемых для понимания голосовых команд людей. Любой, кто получит контроль над этими телевизорами, очевидно, сможет слышать все, что мы говорим, находясь поблизости.

Со своей стороны, Samsung опубликовала следующее заявление: «Защита конфиденциальности потребителей и безопасность наших устройств является главным приоритетом для Samsung. Мы знаем об этом отчете и срочно изучаем этот вопрос». Компания заявила, что «вредоносное» программное обеспечение, описанное WikiLeaks, было установлено через физически подключенный USB-накопитель, который применялся к прошивке телевизоров, проданных в 2012 и 2013 годах, «большинство из которых уже были исправлены с помощью обновления прошивки». Он добавил, что в Samsung, «мы постоянно отслеживаем любые угрозы безопасности» на своей платформе Smart TV и, «если мы их находим, мы незамедлительно устраняем их». Любой, кто обеспокоен использованием смарт-телевизоров Samsung, может предпринять шаги для повышения безопасности, говорится в сообщении, поясняющем: «Лучшее действие, которое потребители могут предпринять для обеспечения безопасности любого устройства, — это постоянно обновлять свое программное обеспечение и приложения».

Все большее число потребителей экспериментируют с концепцией управления AV-устройствами и устройствами домашней автоматизации через своего рода интеллектуальный концентратор — будь то Samsung SmartThings или Amazon Echo, один из самых продаваемых продуктов прошлого праздничного сезона. Ведь удобно и довольно аккуратно всем управлять с дивана во время просмотра фильма или футбольного матча. В конце концов, почему мы должны вставать и ходить по комнате, чтобы включить или выключить термостат, если нам не нужно еще пива или нам не нужно делать перерыв в ванной?

Независимо от того, используете ли вы такие устройства в системе домашнего кинотеатра или где-либо еще в доме, существует несколько способов защитить себя от угроз конфиденциальности и безопасности.

Опасность, Уилл Робинсон (или как там тебя зовут)! Опасность!
По словам Брайса Боланда, главного технологического директора в Азиатско-Тихоокеанском регионе компании FireEye, занимающейся кибербезопасностью, «потребители должны гораздо больше ценить свою кибербезопасность, чем сегодня», потому что «устройства, которые вы подключаете к домашней сети, потенциально могут раскрыть все устройства и данные в сети преступникам».

«Эти преступники могут использовать этот доступ, чтобы получить доступ к вашему банковскому счету, попытаться вымогать у вас деньги, использовать ваши устройства для проведения атак на другие цели или причинить вред другими способами», — сказал он, добавив: «Потребители должны знать об этих развивающиеся риски, потому что если их нет, ими воспользуются».

Личная кибербезопасность сегодня является «серьезной проблемой», и она «будет становиться все более важной в ближайшие годы», предсказывает он. Большинство из нас, как правило, гораздо больше думают о безопасности своего дома, чем о безопасности наших устройств и информации. Но «взлом домов не очень распространен в большинстве мест, потому что это довольно рискованная деятельность — пойманные воры часто преследуются по закону», — сказал Боланд.

Кибератаки, с другой стороны, «представляют собой довольно низкий риск и часто не преследуются в судебном порядке из-за характера преступления и его международного характера». «Сегодня на рынке просто нет хороших решений», — продолжил он. На корпоративной арене компании, как правило, предпочитают подписываться на предложения по безопасности, которые «помогают устранить пробелы в безопасности и устранить риски», но «мы далеки от широкого распространения эффективных продуктов личной безопасности на рынке сегодня».

Интеллектуальные устройства, которые производители поставляют, «должны быть защищены по умолчанию, из коробки», потому что «если потребителю не нужно ничего делать, чтобы устройство работало, ему не нужно ничего делать, чтобы устройство работало безопасно». », — сказал он, добавив: «Это означает, что производители устройств не должны использовать жестко заданные пароли или пароли по умолчанию».

Далее Боланд сказал, что производители устройств также должны «обеспечить, чтобы поставляемые ими устройства можно было легко обслуживать и обновлять». Производители должны использовать эту возможность для «устранения недавно обнаруженных уязвимостей и новых угроз». К сожалению, сегодня большинство из них используют сторонние библиотеки кода. Это означает, что «даже если их собственный код совершенно безопасен, их клиенты могут быть подвержены уязвимостям, обнаруженным в этих внешних библиотеках», — пояснил он.

Хотя производители устройств «не могут обеспечить идеальную безопасность», они могут «инвестировать в команду, которая гарантирует, что их устройства будут максимально безопасными по умолчанию, и они могут отслеживать и реагировать на текущую безопасность» своего продукта. У каждого производителя должна быть группа людей, управляющих безопасностью своих прошлых, текущих и будущих продуктов на протяжении всего жизненного цикла их продуктов. «Если производители этого не делают, они должны исходить из того, что их продукты рано или поздно будут скомпрометированы злоумышленниками», — сказал Боланд.

У большинства производителей сегодня даже нет «эффективных, преданных своему делу групп безопасности», потому что «экономика не благоприятствует безопасности», поэтому часто это просто «рыночные внешние эффекты, пока не вмешаются регулирующие органы», — сказал он. Он предсказал, что «правительствам потребуется усилить регулирование производителей устройств, прежде чем мы увидим повсеместное улучшение».

А пока, по его словам, потребители могут сделать несколько вещей, чтобы защититься от взломов:
1 Убедитесь, что на ваших устройствах установлена ​​последняя версия микропрограммы.
2 Используйте надежные уникальные пароли на всех своих устройствах и учетных записях, включая Wi-Fi.
3 Отключите доступ к сети на устройствах, где он не нужен. Например, если ваша стереосистема не должна быть подключена к сети, не подключайте ее.
4 Убедитесь, что ваш домашний маршрутизатор произведен надежным поставщиком и на нем установлена ​​актуальная версия программного обеспечения без известных уязвимостей.
5 Используйте отдельную сеть для своих мобильных устройств и компьютеров, а не для своих устройств IoT. Некоторые маршрутизаторы имеют функцию гостевой сети, которую можно использовать для устройств, которым требуется доступ в Интернет, но не требуется доступ к вашей домашней сети.
6 Используйте только устройства известных производителей, выпускающих обновления.
7 Рассмотрите возможность отключения облачной поддержки/учетных записей на устройствах, где они не нужны.
8 Современная домашняя сеть почти так же сложна, как сеть малого бизнеса 10 лет назад. Если вы хотите приложить дополнительные усилия, вы можете установить маршрутизатор для малого бизнеса в своей домашней сети и использовать виртуальные локальные сети (VLAN) для сегментации каждого устройства в свою собственную сеть, а затем управлять тем, что может делать каждое устройство. Это может повысить как производительность, так и безопасность… но требует гораздо более сложной начальной настройки.

Будьте осторожны с этим устройством, Евгений (или кем бы вы ни были)
Шагорика Диксит, старший менеджер Norton Consumer IoT Security в Symantec, согласен с тем, что потребители действительно должны быть обеспокоены вопросами безопасности и конфиденциальности, когда речь идет об устройствах для умного дома. Фактически, в ходе тестов Symantec «обнаружила уязвимости в 50 различных типах подключенных домашних устройств, от интеллектуальных термостатов до интеллектуальных концентраторов», — сказала она.

Она добавила: «Потребители должны одинаково заботиться обо всех подключенных устройствах». Это потому, что хакеры могут получить доступ к смарт-камере, смарт-замку или множеству других устройств. «Хотя некоторые риски могут показаться более пугающими, чем другие, большинство подключенных устройств представляют некоторую форму риска, будь то получение киберпреступником физического доступа к устройству или получение личной информации», — сказала она. Поэтому потребители должны принять «меры предосторожности, чтобы обеспечить надлежащую защиту ВСЕХ подключенных устройств, поэтому Norton предлагает защищать устройства на сетевом уровне», — сказала она нам.

По мере того, как все больше и больше подключенных устройств заполняют наши дома, количество точек входа для киберпреступников, которые могут проникнуть в наши гаджеты и украсть конфиденциальную личную информацию, также увеличивается. По словам Диксита, хакеры научились пользоваться тем фактом, что многие потребители не меняют настройки по умолчанию и пароли на своих устройствах умного дома, а многие подключенные устройства еще не производятся с учетом требований безопасности.

«Не волнуйтесь. Ситуация под контролем».
Представители производителей, с которыми мы связались для этой истории, признали, что существуют потенциальные проблемы с конфиденциальностью и безопасностью с устройствами для умного дома, но они сказали, что потребителям не следует слишком беспокоиться при использовании продуктов их компаний (конечно).

Такие технологии, как Smart ThinQ и Deep ThinQ от LG, в сочетании с разработанным производителем роботом-концентратором, «предоставят потребителям новый уровень удовольствия, удобства и экономии энергии», сказал Джон Тейлор, вице-президент по связям с общественностью LG Electronics USA. «В то же время мы чутко относимся к проблемам конфиденциальности и безопасности», и LG «гордится своим послужным списком в защите личной информации потребителей на арене смарт-ТВ — и это же обязательство распространяется на наши подключенные устройства, как хорошо, — сказал он.

Тейлор сказал нам, что «современные меры безопасности и конфиденциальности данных разработаны с самого начала» с продуктами LG. «Тем не менее, это горячая тема, которая по праву будет привлекать все большее внимание в масштабах всей отрасли, поскольку пространство IoT продолжает развиваться», — сказал он.

Он добавил: «Первоначальным шагом является информирование потребителей о шагах, которые они могут предпринять для защиты своих устройств и домашних сетей». С этой целью, сказал он, LG работает с Ассоциацией потребительских технологий над национальной кампанией общественных услуг, чтобы побудить потребителей использовать надежные пароли и дать рекомендации о других мерах, которые они могут предпринять для повышения безопасности своих сетей и устройств. Тейлор сказал нам, что ему не известно о каких-либо нарушениях безопасности в устройствах умного дома LG.

«Потребители должны знать, но не слишком беспокоиться об очень реальных опасностях, которые существуют там, и наша ответственность как отрасли — заслужить их доверие», — сказал Сол Хедайя, категорийный менеджер Merkury Innovations, производителя новой линейки смарт-устройств Geeni. товары для дома, которые включают в себя ряд умных лампочек, камер и решений для питания.

«Поскольку мы привыкаем к тому, что все вокруг нас подключено к Интернету, наше общество получает большие выгоды, но также и реальные опасности», — признал Хедайя. «Наиболее распространенные проблемы, которые мы наблюдали в сфере умного дома, связаны с атакой злоумышленников на устройства (особенно камеры), которые имеют простой для угадывания пароль по умолчанию или вообще не имеют пароля». Он добавил: «Любое незащищенное устройство в Интернете может быть быстро обнаружено и использовано, и часто оно становится невольным средством для дальнейших атак на других. Поэтому мы очень серьезно относимся к безопасности, включая шифрование данных военного уровня AES, алгоритмы шифрования. во время аутентификации, зашифрованные каналы HTTPS и многое другое».

До сих пор у компании было лишь ограниченное распространение новой линейки Geeni, но «не было зарегистрировано никаких нарушений в устройствах, которые у нас есть», — сказал он.

Другим производителям не так повезло. Диксит из Symantec указал на широко известную атаку распределенного отказа в обслуживании (DDoS), которая произошла в октябре, когда хакеры смогли заразить сеть IoT-устройств и вывести из строя несколько веб-сайтов. Первоначально сообщения об отключениях поступали в основном на восточном побережье США, но пострадали и европейские объекты. Зараженные веб-сайты включали сайты Netflix и Twitter.

Поэтому, как и в фильмах, если производитель устройства говорит вам не беспокоиться, потому что у него ситуация под контролем, отнеситесь к этому как минимум с долей скептицизма. И убедитесь, что вы приняли как можно больше мер предосторожности при настройке любого умного домашнего устройства.