Atak inteligentnych urządzeń domowych

Nie można zaprzeczyć, że Internet rzeczy (IoT) stał się popularną kategorią produktów, o czym świadczy szeroki asortyment ofert IoT na ostatnich targach CES – od telewizorów, głośników i produktów automatyki domowej, takich jak kamery i termostaty, po lodówki i, uwierz czy nie, lustra. Jeśli posiadasz już urządzenie inteligentne lub nawet myślisz o zakupie jednego (lub wielu), pamiętaj, że według ekspertów z branży bezpieczeństwa każde z nich niesie ze sobą zagrożenia prywatności i bezpieczeństwa.

Obawy te zostały ostatnio podkreślone, gdy WikiLeaks opublikowało dokumenty online, w których twierdzi, że CIA zhakowała inteligentne urządzenia, w tym inteligentne telewizory Samsung . Hakowanie tych telewizorów potwierdziło najgorsze obawy każdego, kto i tak denerwował się wbudowanymi mikrofonami używanymi do rozumienia poleceń głosowych. Każdy, kto przejmie kontrolę nad tymi telewizorami, najwyraźniej słyszy wszystko, co mówimy, będąc w pobliżu.

Ze swojej strony Samsung wydał oświadczenie: „Ochrona prywatności konsumentów i bezpieczeństwa naszych urządzeń jest dla Samsunga najwyższym priorytetem. Jesteśmy świadomi tego raportu i pilnie zajmujemy się tą sprawą". Firma poinformowała, że ​​„złośliwe” oprogramowanie opisane przez WikiLeaks zostało zainstalowane za pośrednictwem fizycznie podłączonego dysku USB, który dotyczył oprogramowania sprzętowego telewizorów sprzedawanych w 2012 i 2013 roku, „z których większość została już załatana poprzez aktualizację oprogramowania”. Dodał, że w Samsungu, „nieustannie monitorujemy wszelkie zagrożenia bezpieczeństwa” na swojej platformie Smart TV i „jeśli je znajdziemy, niezwłocznie je rozwiązujemy”. Każdy, kto ma obawy związane z korzystaniem z inteligentnych telewizorów Samsung, może podjąć kroki w celu zwiększenia bezpieczeństwa, powiedział, wyjaśniając: „Najlepszym działaniem, jakie konsumenci mogą podjąć, aby zapewnić bezpieczeństwo dowolnego urządzenia, jest ciągłe aktualizowanie oprogramowania i aplikacji”.

Coraz większa liczba konsumentów eksperymentuje z koncepcją kontrolowania urządzeń AV i automatyki domowej za pomocą pewnego rodzaju inteligentnego koncentratora – czy to SmartThings firmy Samsung, czy też Amazon Echo, jednego z najlepiej sprzedających się produktów w minionym okresie świątecznym. W końcu wygodnie jest sterować wszystkim z kanapy podczas oglądania filmu lub meczu piłki nożnej. W końcu, po co właściwie wstawać i chodzić przez pokój, żeby podkręcić lub obniżyć termostat, kiedy nie potrzebujemy kolejnego piwa lub musimy zrobić sobie przerwę w łazience?

Niezależnie od tego, czy używasz takich urządzeń w swoim systemie kina domowego, czy w innym miejscu w domu, istnieje kilka sposobów ochrony przed zagrożeniami prywatności i bezpieczeństwa.

Niebezpieczeństwo, Will Robinson (czy jak masz na imię)! Zagrożenie!
Według Bryce’a Bolanda, dyrektora ds. technologii na region Azji i Pacyfiku w firmie FireEye zajmującej się bezpieczeństwem cybernetycznym, „konsumenci muszą przywiązywać znacznie większą wagę do swojego bezpieczeństwa cybernetycznego niż obecnie”, ponieważ „urządzenia, które umieszczasz w sieci domowej, mogą potencjalnie ujawnić wszystkie urządzenia i dane w sieci przestępcom”.

„Ci przestępcy mogą wykorzystać ten dostęp, aby dostać się do twojego konta bankowego, próbować wyłudzić cię, wykorzystać twoje urządzenia do przeprowadzania ataków na inne cele lub wyrządzić krzywdę w inny sposób” – powiedział, dodając: „Konsumenci muszą być tego świadomi. ewoluujące ryzyko, ponieważ jeśli nie, zostanie wykorzystany”.

Cyberbezpieczeństwo osobiste jest dziś „poważnym problemem”, który „będzie ważniejszy w nadchodzących latach” – przepowiedział. Większość z nas myśli znacznie więcej o bezpieczeństwie naszych domów niż o bezpieczeństwie naszych urządzeń i informacji. Ale „włamywanie się do domów nie jest zbyt częste w większości miejsc, ponieważ jest to działalność stosunkowo wysokiego ryzyka – złodzieje, którzy zostali złapani, są często ścigani” – powiedział Boland.

Z drugiej strony ataki cybernetyczne są „dość niskie ryzyko i często nie są ścigane ze względu na charakter przestępstwa i jego międzynarodowy charakter”. Po prostu nie ma „wspaniałych rozwiązań na dzisiejszym rynku” – wyjaśnił. Na arenie korporacyjnej firmy wolą subskrybować oferty zabezpieczeń, które „pomagają wypełnić lukę w zabezpieczeniach i wyeliminować zagrożenia”, ale „Daleko nam jest do powszechnego przyjęcia na dzisiejszym rynku skutecznych produktów ochrony osobistej”.

Inteligentne urządzenia dostarczane przez producentów „powinny być domyślnie zabezpieczone po wyjęciu z pudełka”, ponieważ „jeśli konsument nie musi nic robić, aby urządzenie działało, nie powinien nic robić, aby urządzenie działało bezpiecznie “, powiedział, dodając: „Oznacza to, że producenci urządzeń nie powinni używać haseł zakodowanych na stałe lub domyślnych”.

Boland dodał, że producenci urządzeń powinni również „zapewnić, że wysyłane przez nich urządzenia mogą być łatwo konserwowane i aktualizowane”. Producenci muszą wykorzystać tę funkcję, aby „naprawić nowo wykryte luki w zabezpieczeniach i nowe zagrożenia”. Niestety większość z nich korzysta dziś z zewnętrznych bibliotek kodu. Oznacza to, że „nawet jeśli ich własny kod jest całkowicie bezpieczny, ich klienci mogą być narażeni na luki wykryte w tych zewnętrznych bibliotekach” – wyjaśnił.

Chociaż producenci urządzeń „nie są w stanie zapewnić doskonałego bezpieczeństwa”, mogą „zainwestować w zespół, który zapewnia, że ​​ich urządzenia są domyślnie tak bezpieczne, jak to tylko możliwe, a także mogą monitorować i reagować na bieżące zabezpieczenia” swojego produktu. Każdy producent musi mieć zespół ludzi zarządzających bezpieczeństwem swoich przeszłych, obecnych i przyszłych produktów przez cały cykl życia swoich produktów. „Jeśli producenci tego nie robią, powinni zakładać, że ich produkty zostaną skompromitowane przez atakujących raczej wcześniej niż później” – powiedział Boland.

Większość dzisiejszych producentów nie ma nawet „skutecznych, dedykowanych zespołów ds. bezpieczeństwa”, ponieważ „ekonomiczne warunki nie sprzyjają bezpieczeństwu”, więc często jest to tylko „rynkowy efekt zewnętrzny, dopóki organy regulacyjne się nie zaangażują” – powiedział. Przewidział, że „rządy będą musiały zaostrzyć regulacje dotyczące producentów urządzeń, zanim zobaczymy powszechną poprawę”.

W międzyczasie, powiedział, jest kilka rzeczy, które konsumenci mogą zrobić, aby chronić się przed naruszeniami:
1 Upewnij się, że na Twoich urządzeniach działa najnowsze oprogramowanie sprzętowe.
2 Używaj silnych, unikalnych haseł na wszystkich urządzeniach i kontach, w tym w sieci Wi-Fi.
3 Wyłącz dostęp do sieci na urządzeniach, na których nie jest potrzebny. Na przykład, jeśli zestaw stereo nie musi być w trybie online, nie podłączaj go.
4 Upewnij się, że router domowy pochodzi od renomowanego dostawcy i działa w aktualnej wersji oprogramowania bez znanych luk w zabezpieczeniach.
5 Używaj oddzielnej sieci dla urządzeń mobilnych i komputerów niż dla urządzeń IoT. Niektóre routery mają funkcję sieci gościa, której można używać w przypadku urządzeń, które potrzebują dostępu do Internetu, ale nie potrzebują dostępu do sieci domowej.
6 Używaj wyłącznie urządzeń renomowanych producentów, którzy wydają aktualizacje.
7 Rozważ wyłączenie obsługi/kont w chmurze na urządzeniach, na których nie jest to potrzebne.
8 Dzisiejsza sieć domowa jest prawie tak złożona jak sieć małych firm sprzed 10 lat. Jeśli chcesz wykonać dodatkowy wysiłek, możesz zainstalować router dla małej firmy w sieci domowej i użyć wirtualnych sieci LAN (VLAN), aby podzielić każde urządzenie na własną sieć, a następnie kontrolować, co może zrobić każde urządzenie. Może to poprawić zarówno wydajność, jak i bezpieczeństwo… ale wiąże się ze znacznie bardziej skomplikowaną konfiguracją początkową.

Uważaj na to urządzenie, Eugene (albo kimkolwiek jesteś)
Shagorika Dixit, starszy menedżer Norton Consumer IoT Security w firmie Symantec, zgodził się, że konsumenci rzeczywiście powinni być zaniepokojeni kwestiami bezpieczeństwa i prywatności, jeśli chodzi o inteligentne urządzenia domowe. W rzeczywistości w testach Symantec „wykrył luki w 50 różnych typach podłączonych urządzeń domowych, od inteligentnych termostatów po inteligentne koncentratory” – powiedziała.

Dodała: „Konsumenci powinni być jednakowo zaniepokojeni wszystkimi podłączonymi urządzeniami”. Dzieje się tak, ponieważ hakerzy mogą uzyskać dostęp do inteligentnej kamery, inteligentnej blokady lub wielu innych urządzeń. „Chociaż niektóre zagrożenia mogą wydawać się bardziej przerażające niż inne, większość podłączonych urządzeń stanowi pewną formę ryzyka, niezależnie od tego, czy cyberprzestępca uzyskuje fizyczny dostęp do urządzenia, czy przeszukuje dane osobowe” – powiedziała. Konsumenci powinni zatem podjąć „środki ostrożności, aby zapewnić odpowiednią ochronę WSZYSTKICH podłączonych urządzeń, dlatego Norton sugeruje ochronę urządzeń na poziomie sieci” – powiedziała nam.

Ponieważ coraz więcej podłączonych urządzeń wypełnia nasze domy, rośnie również liczba punktów wejścia dla cyberprzestępców, którzy infiltrują nasze gadżety i kradną poufne dane osobowe. Hakerzy nauczyli się wykorzystywać fakt, że wielu konsumentów nie zmienia domyślnych ustawień i haseł na swoich inteligentnych urządzeniach domowych, a wiele podłączonych urządzeń nie jest jeszcze produkowanych z myślą o bezpieczeństwie, powiedział Dixit.

„Nie martw się. Sytuacja jest pod kontrolą”.
Przedstawiciele producentów, z którymi skontaktowaliśmy się w sprawie tej historii, przyznali, że istnieją potencjalne problemy z prywatnością i bezpieczeństwem w przypadku inteligentnych urządzeń domowych, ale powiedzieli, że konsumenci nie powinni się zbytnio martwić podczas korzystania z produktów swoich firm (oczywiście).

Technologie takie jak Smart ThinQ i Deep ThinQ firmy LG, w połączeniu z Hub Robotem producenta, „zapewnią konsumentom nowy poziom przyjemności, wygody i oszczędności energii”, powiedział John Taylor, wiceprezes do spraw publicznych w LG Electronics USA. „Jednocześnie jesteśmy wrażliwi na kwestie prywatności/bezpieczeństwa”, a firma LG „jest dumna ze swoich osiągnięć w zakresie ochrony danych osobowych konsumentów na arenie smart TV – i to samo zaangażowanie przenosi się na nasze urządzenia podłączone do sieci, ponieważ dobrze – powiedział.

Taylor powiedział nam, że „najnowocześniejsze środki bezpieczeństwa danych i prywatności są projektowane od samego początku” w produktach LG. „To powiedziawszy, jest to gorący temat, który słusznie będzie przyciągał coraz większą uwagę w całej branży, ponieważ przestrzeń IoT nadal ewoluuje” – powiedział.

Dodał: „Pierwszym krokiem jest edukowanie konsumentów o krokach, jakie mogą podjąć, aby zabezpieczyć swoje urządzenia i sieci domowe”. W tym celu, powiedział, LG współpracuje ze Stowarzyszeniem Technologii Konsumenckich nad ogólnokrajową kampanią usług publicznych, mającą na celu zachęcenie konsumentów do używania silnych haseł i doradzania w zakresie innych środków, które mogą podjąć w celu zwiększenia bezpieczeństwa w ich sieciach i urządzeniach. Taylor powiedział nam, że nie był świadomy żadnych naruszeń bezpieczeństwa inteligentnych urządzeń domowych LG.

„Konsumenci powinni być świadomi, ale nie przejmować się bardzo realnymi zagrożeniami, które istnieją, a naszym obowiązkiem jako branży jest zdobycie ich zaufania” – powiedział Sol Hedaya, kierownik kategorii w Merkury Innovations, producent nowej linii smartów Geeni. produkty domowe, które obejmują szereg inteligentnych żarówek, kamer i rozwiązań zasilających.

„Kiedy przyzwyczajamy się do tego, że wszystko wokół nas jest połączone z Internetem, nasze społeczeństwo niesie ze sobą duże korzyści, ale także realne zagrożenia” – przyznał Hedaya. „Najczęstsze problemy, jakie zaobserwowaliśmy w przestrzeni inteligentnego domu, dotyczą intruzów atakujących urządzenia (w szczególności kamery), które mają łatwe do odgadnięcia hasło domyślne lub w ogóle nie mają hasła”. Dodał: „Każde niechronione urządzenie w Internecie może szybko zostać wykryte i wykorzystane, a często staje się nieświadomym narzędziem do dalszych ataków na innych. W związku z tym bardzo poważnie traktujemy bezpieczeństwo, w tym szyfrowanie danych AES klasy wojskowej, algorytmy szyfrowania podczas uwierzytelniania, kanały szyfrowane HTTPS i nie tylko."

Do tej pory firma miała tylko ograniczoną dystrybucję nowej linii Geeni, ale „nie zgłoszono żadnych naruszeń w urządzeniach, które tam mamy”, powiedział.

Inni producenci nie mieli tyle szczęścia. Firma Dixit firmy Symantec wskazała na szeroko opisywany atak typu Distributed Denial of Service (DDoS), który miał miejsce w październiku, w którym hakerzy byli w stanie zainfekować sieć urządzeń IoT w celu usunięcia kilku stron internetowych. Awarie były początkowo zgłaszane głównie na wschodnim wybrzeżu Stanów Zjednoczonych, ale dotyczyły również witryn europejskich. Zainfekowane strony internetowe to między innymi serwisy Netflix i Twitter.

Dlatego, podobnie jak w filmach, jeśli producent urządzenia mówi, żebyś się nie martwił, bo ma sytuację pod kontrolą, bierz to z przynajmniej przymrużeniem oka. I upewnij się, że podczas konfigurowania dowolnego inteligentnego urządzenia domowego podjęto jak najwięcej środków ostrożności.