Iot-problems

Проблеми технологій Інтернету речей (Internet of things, IoT).

Інтернет речей (англ. Internet of Things, IoT) – це мережа, що складається із взаємозв’язаних фізичних об’єктів або пристроїв, які мають вбудовані сенсори, а також програмне забезпечення, що дає змогу здійснювати передавання і обмін даними між фізичним світом і комп’ютерними системами за допомогою використання стандартних протоколів зв’язку. Крім сенсорів, мережа може мати виконавчі пристрої, вбудовані у фізичні об’єкти і пов’язані між собою через дротові й без дротові мережі. Ці взаємопов’язані об’єкти мають можливість зчитування та приведення в дію функції програмування та ідентифікації, а також дають змогу обійтись без участі людини за рахунок використання інтелектуальних інтерфейсів.

Інтернет речей передбачає підключення до глобальної комп’ютерної мережі побутових предметів за допомогою вбудованих модулів зв’язку, завдяки чому вони отримують можливість взаємодіяти один з одним, із зовнішнім середовищем, обмінюватися даними і здійснювати операції без участі людини. Сенсори консолідують дані в режимі реального часу і мають можливість прямої інтеграції і з баз даних і сховищами даних та ERP-системами тощо.

Всі ці впроваджені нововведення додають серйозних проблем, що пов'язані з інформаційною безпекою.

Безпека IoT стала одним з найважливіших аспектів нових технологій. Можливо здасться, що не існує ризику для даних, що передаються і зберігаються такими системами, вони не є вразливими, але реальність така, що IoT пристрої, які не мають належного захисту, піддаються атакам, які вже інфіковані шкідливим кодом для створення ботнету.

Основні уразливості

Порушення конфіденційності традиційних мереж зв'язку (повтори, підслуховування, спотворення інформації і т. д.).

Велику загрозу несе керування пристроїв за допомогою міжмашинної взаємодії. Жодну написану людиною програму не можна вважати стовідсотково точною; для неї пишуться різні патчі для виправлення помилок. Така ж доля чекає датчики в інтернет-пристроях. Із посиленням ролі даних пристроїв в житті людей буде збільшуватися загроза безпеці всіх даних, навіть найнезначніших на перший погляд. Необхідно оцінювати будь-який витік інформації, так як резюмування її складових може представляти небезпеку для життя як фізичних, так і юридичних осіб (найбільших компаній).

У такому разі ще виявляється важливим захищати критично важливу інфраструктуру, таку як мережа електропередачі. Необхідно підготувати базу для несподіваного аварійного випадку, а також вибрати правильне співвідношення для відкритості та вбудованої надмірності.

Одним з найбільш небезпечних напрямків атаки, на які варто звернути увагу, є DDoS-атака. Їх мета представляє з себе захоплення системних ресурсів і утруднення доступу до них інших користувачів. Так 21 жовтня 2016 року в США була здійснена серія DDoS-атак, яка призвела до глобального порушення інтернет-трафіку. Оскільки вона була спрямована на систему доменних імен (DNS), яка отримує інформацію про домени, повсякденні активності, такі як соціальні мережі або онлайн покупки, стали недоступні на деякий час. Основні інформаційні потоки зловмисників були спрямовані на сервери компанії Dyn, яка є головним постачальником DNS-послуг для таких найбільших компаній, як Twitter, Pinterest, Reddit, GitHub, Etsy, Tumblr, Spotify, PayPal і Verizon. Здійснення таких атак стало можливим завдяки підключенню до незахищених цифрових пристроїв: Маршрутизаторів і камер відеоспостереження. Хоч вони і не є потужними комп'ютерами, але здатні генерувати величезні обсяги паразитичної інформації для серверів, особливо при одночасному підключенні.

Сучасна концепція Інтернету речей передбачає комунікацію об’єктів, які використовують технології для взаємодії між собою та з навколишнім середовищем. Частина мережних протоколів адаптовані для використання в IoT і їх можна описати як складову TCP/IP моделі. Тому вразливості цих протоколів можна використовувати і для зламу систем, які використовують Інтернет речей. Зловмисник може атакувати мережне обладнання, що використовується в системі. Серед компонентів розумного дому та охоронних систем значна частина має проблеми з безпекою, які характерні для цілого ряду пристроїв, а не просто для певної серії ненадійного виробника. Розглянемо масові грубі порушення принципів розробки: використання незмінних (hardcoded) та прихованих сервісних облікових записів; застосування однакових або легко передбачуваних паролів та ПІН-кодів; відсутність перевірки прав доступу при звернені до відомої сторінки налаштувань або прямого виклику зображень та відеопотоку IP-камер; некоректна обробка отримуваних даних, що викликає переповнення буферу. Як наслідок, можна отримати виконання довільного коду при отримані попередньо складеного TCP-пакету; примусове переключення серверу на використання старих версій протоколів за запитом клієнтського пристрою; та інші типові помилки, які спрощують конфігурування пристроїв неспеціалістами, що в свою чергу послаблює параметри безпеки в цілому (в тому числі – віддаленого та без належної авторизації). З прикладів використання вразливостей систем IoT можна навести DNS rebinding, DoS/DDoS-атаки, ботнети, концепція Man-in-The-Middle та інші.

Уже сьогодні спеціалісти працюють над усуненням вразливостей в розумних пристроях. Для підвищення якості написання програмного забезпечення для даних пристроїв необхідно підняти питання сертифікації. За умов мінімальної бюрократії та надання користувачам гарантії, що продукт достатньо захищений від хакерських атак, рівень довіри до виробника значно зросте. Питанням сертифікації займаються приватні компанії. Зокрема компанія Online Trust Alliance (OTA) випустила IoT Trust Framework – ряд критеріїв для розробників, постачальників послуг, який направлений на покращення безпеки, конфіденційності та життєвого циклу їх IoT-продуктів

Компанія Verizon запустила програму тестування безпеки та сертифікації IoT-пристроїв. Як стверджують її розробники, вона являється однією з перших в своєму роді, і тестує такі складові як сповіщення/протоколювання, криптографія, аутентифікації, зв’язок, фізична безпека та безпека платформи. Пристрої, що пройшли сертифікацію, будуть відмічені знаком схвалення ICSA Labs та буде вказувати, що вони були протестовані, а знайдені вразливості були усунені. Також пристроїв, що пройшли сертифікацію будуть знаходитись під наглядом і періодично тестуватись протягом їх життєвого циклу для збереження безпеки. Інтернет речей стала однією з перших сфер, в якій використовується блокчейн-технологія. Наприклад, управління аутентифікацією, перевірка роботоспроможності різних сервісів та ін. Ряд компаній, як Cisco, BNY Mellon, Bosch, Foxconn та ряд інших організували консорціум, який буде знаходити рішення з використання блокчейну для збільшення безпеки і покращення взаємодії IoT-продуктів.

Отже, довіра користувачів до інтернету речей залежить від реалізації безпеки в ньому, тому саме питання її забезпечення має бути ключовим для виробників. Позитивним є об’єднання компаній заради створення стандартів та реалізації різних концепцій для підтримки цієї технології та її популяризації.

Джерело

Статистичні дані

У січні 2014 року в журналі Forbes кібержурналіст Джозеф Стейнберг (англ. Joseph Steinberg) опублікував список пов'язаних із Інтернетом приладів, які «шпигують» за нами буквально в наших будинках. До них належать телевізори, кухонна техніка, камери. Дуже ненадійна комп'ютерна система автомобілів, яка контролює гальма, двигун, замки, капот, вентиляцію і приладову панель; ці частини системи найбільш уразливі для зловмисників під час спроби отримання доступу до бортової мережі. Також атака може бути проведена віддалено по Інтернету.

Хакерами була продемонстрована можливість дистанційного керування електрокардіостимуляторами. Пізніше вони навчилися отримувати доступ до інсулінових помп й імплантованих кардіо-дефібриляторам.

Компанія Hewlett Packard провела масштабне дослідження в 2015 році, в якому повідомляється, що 70 % пристроїв IoT мають вразливості своїх паролів, існують проблеми з шифруванням даних та з дозволами для доступу, і 50 % додатків для мобільних пристроїв не обмінюються даними.

Лабораторія Касперського — компанія, що спеціалізується на виробництві програмного забезпечення для захисту інформації, провела випробування на об'єктах, підключених до IoT, і виявила, що відеоняні можуть бути зламані для перехоплення відео та кавомашини, які передають інформацію в незашифрованому вигляді, можуть зберігати пароль мережі Wi-Fi, до якої були приєднані.

Так, на самому початку експлуатації користувачеві обов'язково потрібно замінити фабричний пароль, встановлений за замовчуванням, на свій особистий, оскільки фабричні паролі однакові на всіх пристроях і не відрізняються стійкістю. На жаль, роблять це далеко не всі. Оскільки не всі прилади мають вбудовані засоби ІБ-захисту, власникам також слід подбати про встановлення зовнішнього захисту, призначеної для домашнього використання, з тим щоб інтернет-пристрою не стали відкритими шлюзами в домашню мережу або прямими інструментами заподіяння шкоди. В ході проведеного HP дослідження виявлено, що приблизно в 70% проаналізованих пристроїв не шифрується бездротової трафік. Веб-інтрефейс 60% пристроїв експерти HP порахували небезпечним через небезпечну організацію доступу і високих ризиків міжсайтового скриптинга. У більшості пристроїв передбачені паролі недостатньою стійкості. Приблизно 90% пристроїв збирають ту чи іншу персональну інформацію про власника без його відома. Всього ж фахівці HP нарахували близько 25 різних вразливостей в кожному з досліджених пристроїв (телевізорів, дверних замків, побутових ваг, домашніх охоронних систем, електророзеток ...) і їх мобільних і хмарних компонентах. Висновок експертів HP невтішний: безпечної екосистеми IoT на сьогоднішній день не існує. Особливу небезпеку речі Інтернету таять в собі в контексті поширення цільових атак (APT). Варто тільки зловмисникам проявити інтерес до будь-кого з нас, і наші вірні помічники зі світу IoT перетворюються в зрадників, нарозхрист відкривають доступ в світ своїх власників.

Слабкі місця IoT:

• перехід на IPv6;
• живлення датчиків;
• стандартизація архітектури і протоколів, сертифікація пристроїв.
• інформаційна безпека;
• стандартні облікові записи від виробника, слабка аутентифікація;
• відсутність підтримки з боку виробника для усунення вразливостей
• важко або неможливо оновити ПЗ і ОС;
• використання текстових протоколів і непотрібних відкритих портів;
• використовуючи слабкість одного гаджета, хакеру легко потрапити у всю мережу;
• використання незахищених мобільних технологій;
• використання незахищеною хмарної інфраструктури;
• використання небезпечного ПЗ.