Відмінності між версіями «Iot-problems»

Матеріал з Wiki Welard
Перейти до навігації Перейти до пошуку
 
(Не показано 12 проміжних версій цього користувача)
Рядок 2: Рядок 2:
  
  
−
Інтернет речей (англ. Internet of Things, IoT) знаходиться лише на початку свого шляху, але вже розвивається з величезною швидкістю, і всі впроваджені нововведення додають серйозних проблем, що пов'язані з '''інформаційною безпекою'''.  
+
Інтернет речей (англ. Internet of Things, IoT) – це мережа, що складається із взаємозв’язаних фізичних об’єктів або пристроїв, які мають вбудовані сенсори, а також програмне забезпечення, що дає змогу здійснювати передавання і обмін даними між фізичним світом і комп’ютерними системами за допомогою використання стандартних протоколів зв’язку. Крім сенсорів, мережа може мати виконавчі пристрої, вбудовані у фізичні об’єкти і пов’язані між собою через дротові й без дротові мережі. Ці взаємопов’язані об’єкти мають можливість зчитування та приведення в дію функції програмування та ідентифікації, а також дають змогу обійтись без участі людини за рахунок використання інтелектуальних інтерфейсів.
  
  
−
Інтернет речей передбачає підключення до глобальної комп’ютерної мережі побутових предметів за допомогою вбудованих модулів зв’язку, завдяки чому вони отримують можливість взаємодіяти один з одним, із зовнішнім середовищем, обмінюватися даними і здійснювати операції без участі людини. Сенсори консолідують дані в режимі реального часу і мають можливість прямої інтеграції і з баз даних і сховищами даних та ERP-системами тощо.
+
Інтернет речей передбачає підключення до глобальної комп’ютерної мережі побутових предметів за допомогою вбудованих модулів зв’язку, завдяки чому вони отримують можливість взаємодіяти один з одним, із зовнішнім середовищем, обмінюватися даними і здійснювати операції без участі людини. Сенсори консолідують дані в режимі реального часу і мають можливість прямої інтеграції і з баз даних і сховищами даних та ERP-системами тощо.
 +
 
 +
Всі ці впроваджені нововведення додають серйозних проблем, що пов'язані з '''інформаційною безпекою'''.
 +
 
 +
 
 +
'''Безпека IoT стала одним з найважливіших аспектів нових технологій'''. Можливо здасться, що не існує ризику для даних, що передаються і зберігаються такими системами, вони не є вразливими, але реальність така, що IoT пристрої, які не мають належного захисту, піддаються атакам, які вже інфіковані шкідливим кодом для створення ботнету.
  
  
Рядок 16: Рядок 21:
 
У такому разі ще виявляється важливим захищати критично важливу інфраструктуру, таку як мережа електропередачі. Необхідно підготувати базу для несподіваного аварійного випадку, а також вибрати правильне співвідношення для відкритості та вбудованої надмірності.
 
У такому разі ще виявляється важливим захищати критично важливу інфраструктуру, таку як мережа електропередачі. Необхідно підготувати базу для несподіваного аварійного випадку, а також вибрати правильне співвідношення для відкритості та вбудованої надмірності.
  
−
Одним з найбільш небезпечних напрямків атаки, на які варто звернути увагу, є DDoS-атака. Їх мета представляє з себе захоплення системних ресурсів і утруднення доступу до них інших користувачів. Так 21 жовтня 2016 року в США була здійснена серія DDoS-атак, яка призвела до глобального порушення інтернет-трафіку. Оскільки вона була спрямована на систему доменних імен (DNS), яка отримує інформацію про домени,  повсякденні активності, такі як соціальні мережі або онлайн покупки, стали недоступні на деякий час. Основні інформаційні потоки зловмисників були спрямовані на сервери компанії Dyn, яка є головним постачальником DNS-послуг для таких найбільших компаній, як Twitter, Pinterest, Reddit, GitHub, Etsy, Tumblr, Spotify, PayPal і Verizon. Здійснення таких атак стало можливим завдяки підключенню до незахищених цифрових пристроїв: Маршрутизаторів і камер відеоспостереження. Хоч вони і не є потужними комп'ютерами, але здатні генерувати величезні обсяги паразитичної інформації для серверів, особливо при одночасному підключенні.[5]
+
Одним з '''найбільш небезпечних напрямків атаки''', на які варто звернути увагу, є '''DDoS-атака'''. Їх мета представляє з себе захоплення системних ресурсів і утруднення доступу до них інших користувачів. Так 21 жовтня 2016 року в США була здійснена серія DDoS-атак, яка призвела до глобального порушення інтернет-трафіку. Оскільки вона була спрямована на систему доменних імен (DNS), яка отримує інформацію про домени,  повсякденні активності, такі як соціальні мережі або онлайн покупки, стали недоступні на деякий час. Основні інформаційні потоки зловмисників були спрямовані на сервери компанії Dyn, яка є головним постачальником DNS-послуг для таких найбільших компаній, як Twitter, Pinterest, Reddit, GitHub, Etsy, Tumblr, Spotify, PayPal і Verizon. Здійснення таких атак стало можливим завдяки підключенню до незахищених цифрових пристроїв: Маршрутизаторів і камер відеоспостереження. Хоч вони і не є потужними комп'ютерами, але здатні генерувати величезні обсяги паразитичної інформації для серверів, особливо при одночасному підключенні.
−
 
 
−
 
 
−
У січні 2014 року в журналі Forbes кібержурналіст Джозеф Стейнберг (англ. Joseph Steinberg) опублікував список пов'язаних із Інтернетом приладів, які «шпигують» за нами буквально в наших будинках[6]. До них належать телевізори, кухонна техніка[7], камери. Дуже ненадійна комп'ютерна система автомобілів, яка контролює гальма, двигун, замки, капот, вентиляцію і приладову панель; ці частини системи найбільш уразливі для зловмисників під час спроби отримання доступу до бортової мережі. Також атака може бути проведена віддалено по Інтернету[8]. Хакерами була продемонстрована можливість дистанційного керування електрокардіостимуляторами. Пізніше вони навчилися отримувати доступ до інсулінових помп й імплантованих кардіо-дефібриляторам[9].
 
  
−
Компанія Hewlett Packard провела масштабне дослідження в 2015 році, в якому повідомляється, що 70 % пристроїв IoT мають вразливості своїх паролів, існують проблеми з шифруванням даних та з дозволами для доступу, і 50 % додатків для мобільних пристроїв не обмінюються даними[10].
 
  
−
Лабораторія Касперського — компанія, що спеціалізується на виробництві програмного забезпечення для захисту інформації, провела випробування на об'єктах, підключених до IoT, і виявила, що відеоняні можуть бути зламані для перехоплення відео та кавомашини, які передають інформацію в незашифрованому вигляді, можуть зберігати пароль мережі Wi-Fi, до якої були приєднані[11].
+
Сучасна концепція Інтернету речей передбачає комунікацію об’єктів, які використовують технології для
 +
взаємодії між собою та з навколишнім середовищем. Частина мережних протоколів адаптовані для використання в
 +
IoT і їх можна описати як складову TCP/IP моделі. Тому вразливості цих протоколів можна використовувати і для
 +
зламу систем, які використовують Інтернет речей. Зловмисник може атакувати мережне обладнання, що
 +
використовується в системі. Серед компонентів розумного дому та охоронних систем значна частина має проблеми
 +
з безпекою, які характерні для цілого ряду пристроїв, а не просто для певної серії ненадійного виробника.
 +
Розглянемо масові грубі порушення принципів розробки: використання незмінних (hardcoded) та прихованих
 +
сервісних облікових записів; застосування однакових або легко передбачуваних паролів та ПІН-кодів; відсутність
 +
перевірки прав доступу при звернені до відомої сторінки налаштувань або прямого виклику зображень та
 +
відеопотоку IP-камер; некоректна обробка отримуваних даних, що викликає переповнення буферу. Як наслідок,
 +
можна отримати виконання довільного коду при отримані попередньо складеного TCP-пакету; примусове
 +
переключення серверу на використання старих версій протоколів за запитом клієнтського пристрою; та інші типові
 +
помилки, які спрощують конфігурування пристроїв неспеціалістами, що в свою чергу послаблює параметри
 +
безпеки в цілому (в тому числі – віддаленого та без належної авторизації). З прикладів використання вразливостей
 +
систем IoT можна навести DNS rebinding, DoS/DDoS-атаки, ботнети, концепція Man-in-The-Middle та інші.
  
−
Безпека IoT стала одним з найважливіших аспектів нових технологій. Можливо здасться, що не існує ризику для даних, що передаються і зберігаються такими системами, вони не є вразливими, але реальність така, що IoT пристрої, які не мають належного захисту, піддаються атакам, які вже інфіковані шкідливим кодом для створення ботнету.
 
  
 +
Уже сьогодні спеціалісти працюють над усуненням вразливостей в розумних пристроях. Для підвищення
 +
якості написання програмного забезпечення для даних пристроїв необхідно підняти питання сертифікації. За умов
 +
мінімальної бюрократії та надання користувачам гарантії, що продукт достатньо захищений від хакерських атак,
 +
рівень довіри до виробника значно зросте. Питанням сертифікації займаються приватні компанії. Зокрема компанія
 +
Online Trust Alliance (OTA) випустила IoT Trust Framework – ряд критеріїв для розробників, постачальників послуг,
 +
який направлений на покращення безпеки, конфіденційності та життєвого циклу їх IoT-продуктів
  
  
 +
Компанія Verizon запустила програму тестування безпеки та сертифікації IoT-пристроїв. Як стверджують її
 +
розробники, вона являється однією з перших в своєму роді, і тестує такі складові як сповіщення/протоколювання,
 +
криптографія, аутентифікації, зв’язок, фізична безпека та безпека платформи. Пристрої, що пройшли сертифікацію,
 +
будуть відмічені знаком схвалення ICSA Labs та буде вказувати, що вони були протестовані, а знайдені
 +
вразливості були усунені. Також пристроїв, що пройшли сертифікацію будуть знаходитись під наглядом і
 +
періодично тестуватись протягом їх життєвого циклу для збереження безпеки. Інтернет речей стала однією з
 +
перших сфер, в якій використовується блокчейн-технологія. Наприклад, управління аутентифікацією, перевірка
 +
роботоспроможності різних сервісів та ін. Ряд компаній, як Cisco, BNY Mellon, Bosch, Foxconn та ряд інших
 +
організували консорціум, який буде знаходити рішення з використання блокчейну для збільшення безпеки і
 +
покращення взаємодії IoT-продуктів.
  
  
−
ІоТ– цемережа, що складається із взаємозв’язаних фізичних об’єктів або пристроїв, які мають вбудовані сенсори, а також програмне забезпечення, що дає змогу здійснювати передавання і обмін даними між фізичним світом і комп’ютерними системами за допомогою використання стандартних протоколів зв’язку. Крім сенсорів, мережа може мати виконавчі пристрої, вбудовані у фізичні об’єкти і пов’язані між собою через дротові й без дротові мережі. Ці взаємопов’язані об’єкти мають можливість зчитування та приведення в дію функції програмування та ідентифікації, а також дають змогу обійтись без участі людини за рахунок використання інтелектуальних інтерфейсів.
+
Отже, довіра користувачів до інтернету речей залежить від реалізації безпеки в ньому, тому саме питання її
 +
забезпечення має бути ключовим для виробників. Позитивним є об’єднання компаній заради створення стандартів
 +
та реалізації різних концепцій для підтримки цієї технології та її популяризації.
  
 +
[https://conf.ztu.edu.ua/wp-content/uploads/2019/02/115-1.pdf Джерело]
  
  
 +
== '''Статистичні дані''' ==
  
−
Недоліки
 
  
−
Технології IoT поєднують підключені точки доступу та стандарти мережі передавання даних для застосунку кінцевого користувача, що дає можливість підвищувати продуктивність роботи промислових підприємств, здійснюватитрансформаціюекономічнихпроцесів. Протетакожпотрібнозвер-нутиувагунавиклики, зумовленірозвиткомтехнологій IoT, зокрема: кібербезпеку, оскількизрозвиткомринків IoT можливіатакинаціліпідприємства; юридичнізагрози – захистданихуглобальніймережійатакитехнологій IoT; відсутністьстандартів – потрібнопрацюватинададаптацієютехнологічнихстандартівіпротоколівдоновихтехнологічнихумовтощо. Розглянемоосновнізчиннихстандартів. IЕЕЕ 802.15.4  СтандартIЕЕЕ 802.15.4 [3] єсьогодніосновнимусферісенсорнихмереж, описуєфізичнийіканальнийрівніеталонноїмоделі OSI. Вищірівнідоповнюютьсявіншихстандартах, наприклад, ZigBee [4]. Стандартпередбачаєроботувтрьохчастотнихдіапазонах: одинканал 868,0–868,6 МГц, десятьканалівудіапазоні 902–928 МГці 16 каналівудіапазоні 2400–2483,5 МГц.  Мережастандарту IEEE 802.15.4 міститьдватипипристроїв – повнофункціональні (FFD – Full Function Device) іпристроїзізменшеноюфункціональністю (RFD – Reduced Function Device). Запринципом FFD працюютькоординаторімаршрутизаторимережі, запринципом RFD – кінцевіпристрої. Кожнамережамаєсвійідентифікатор (PAN ID – Personal Area Network ID). ZigBee/ZigBee Pro  Стандарт ZigBee [4] доповнюєверхнірівніеталонноїмоделі OSI, використовуючи IEEE 802.15.4 якоснову. Зокрема, специфікаціявизначаєалгоритмимаршрутизаціївкомірчастіймережі, колиміжпароювузлівможебутикількамаршрутів. Зоглядунаістотнуобмеженістьуресурсахсенсорнихвузлівіневеликупропускнуздатністьканалузв’язку, щоунеможливлюютьрегулярнийобмінслужбовоюінформацією, використовуєтьсяспеціальнийпротоколмаршрутизації AODV зобчисленняммаршрутунавимогу. Відповіднодоцьогопротоколу, передтим, яквідправитиданівіддаленоговузла, виявляютьнайкращийшлях, розсилаючиспеціальнийзапитнапередавання. Цедаєзмогууникнутипостійногозберіганнявеликихзаобсягомтаблицьмаршрутизаціївпам’ятівузлів.  Специфікоюстандарту ZigBee єтакождетальнийописсервісів, призначенихдлякористу-вацькогорівня, спрямованоюназабезпеченнясумісностіобладнаннярізнихвиробників. Зцієюметоюпідконкретніцільовідодаткирозробленопрофілі, наприклад Smart Energy, Home Automation, Healthcare таінші.
+
У січні 2014 року в журналі '''Forbes''' кібержурналіст Джозеф Стейнберг (англ. Joseph Steinberg) '''опублікував список''' пов'язаних із '''Інтернетом приладів''', '''які «шпигують» за нами буквально в наших будинках'''. До них належать '''телевізори, кухонна техніка, камери'''. Дуже '''ненадійна комп'ютерна система автомобілів''', яка '''контролює гальма, двигун, замки, капот, вентиляцію і приладову панель'''; '''ці частини системи найбільш уразливі для зловмисників''' під час спроби отримання доступу до бортової мережі. Також '''атака може бути проведена віддалено по Інтернету'''.  
  
 +
Хакерами була продемонстрована можливість дистанційного керування електрокардіостимуляторами. Пізніше вони навчилися отримувати доступ до інсулінових помп й імплантованих кардіо-дефібриляторам.
  
  
−
'''Концепція Інтернету речей'''
+
Компанія Hewlett Packard провела масштабне дослідження в 2015 році, в якому повідомляється, що '''70 % пристроїв IoT мають вразливості своїх паролів''', існують '''проблеми з шифруванням даних та з дозволами для доступу''', і 50 % додатків для мобільних пристроїв не обмінюються даними.
  
−
Головна ідея полягає в тому, щоб поєднати фізичний та віртуальний світ за допомогою машин.
+
'''Лабораторія Касперського''' — компанія, що спеціалізується на виробництві програмного забезпечення для захисту інформації, '''провела випробування на об'єктах, підключених до IoT''', і виявила, що '''відеоняні можуть бути зламані для перехоплення відео''' та '''кавомашини''', які '''передають інформацію в незашифрованому вигляді''', можуть зберігати '''пароль мережі Wi-Fi''', до якої були приєднані.
  
−
Деякі автором терміна називають британського інженера Кевіна Ештона, який запропонував своє трактування концепції у 1999 році та назву "Інтернет для речей" (Internet for Things).
 
−
Він вважав, що інтернет можна з'єднати з фізичним світом за допомогою великої кількості датчиків, включаючи мітки RFID (Radio Frequency IDentification) — надтонкі мікросхеми з низьким енергоспоживанням, які обмінюються між собою бездротовими даними. Кевін Ештон закликав створити комп'ютери, здатні автоматично збирати всю доступну інформацію про фізичні об'єкти. За його словами, ці дані допоможуть людям краще стежити за станом речей, а також скоротити витрати та кількість відходів.
 
  
−
Інтернет речей може змінити світ так само, як це зробив Інтернет. Можливо, навіть більше", — заявив інженер.
 
  
  
−
'''Засоби ідентифікації'''
 
  
−
IoT об'єднує мільярди пристроїв, тому їхня працездатність багато в чому залежить від того, наскільки добре машини розпізнають одне одного та наскільки їх розпізнають сервери та маршрутизатори всередині мережі, а також зовнішні хмарні системи управління. Зашифрований канал автентифікації необхідний, щоб кожен об'єкт отримав власний унікальний знак і міг підтвердити свою справжність. Заради безпеки системи повинні приймати дані та виділяти виробничі ресурси пристроям Інтернету речей тільки після авторизації останніх, адже це захищає від зламу та так званого спуфінгу — підміни даних.
+
Так, на самому початку експлуатації
 +
користувачеві обов'язково потрібно замінити фабричний пароль, встановлений за
 +
замовчуванням, на свій особистий, оскільки фабричні паролі однакові на всіх пристроях і не
 +
відрізняються стійкістю. На жаль, роблять це далеко не всі. Оскільки не всі прилади мають
 +
вбудовані засоби ІБ-захисту, власникам також слід подбати про встановлення зовнішнього
 +
захисту, призначеної для домашнього використання, з тим щоб інтернет-пристрою не стали
 +
відкритими шлюзами в домашню мережу або прямими інструментами заподіяння шкоди.
 +
В ході проведеного HP дослідження виявлено, що приблизно в 70% проаналізованих
 +
пристроїв не шифрується бездротової трафік. Веб-інтрефейс 60% пристроїв експерти HP
 +
порахували небезпечним через небезпечну організацію доступу і високих ризиків
 +
міжсайтового скриптинга. У більшості пристроїв передбачені паролі недостатньою стійкості.
 +
Приблизно 90% пристроїв збирають ту чи іншу персональну інформацію про власника без
 +
його відома.
 +
Всього ж фахівці HP нарахували близько 25 різних вразливостей в кожному з
 +
досліджених пристроїв (телевізорів, дверних замків, побутових ваг, домашніх охоронних
 +
систем, електророзеток ...) і їх мобільних і хмарних компонентах.
 +
Висновок експертів HP невтішний: безпечної екосистеми IoT на сьогоднішній день не
 +
існує. Особливу небезпеку речі Інтернету таять в собі в контексті поширення цільових атак
 +
(APT). Варто тільки зловмисникам проявити інтерес до будь-кого з нас, і наші вірні
 +
помічники зі світу IoT перетворюються в зрадників, нарозхрист відкривають доступ в світ
 +
своїх власників.
  
−
Як пише журнал Control Engineering, для ідентифікації в Інтернеті речей використовують RFID-мітки, штрих-коди та "розумні" датчики. Для створення простої RFID-системи достатньо мітки з мікрочипом та пристрої-зчитувача. Технологія радіочастотної ідентифікації зараз розвивається у двох напрямках: активні RFID-системи з розширеним спектром передачі та управління RFID-додатками. Експерти виділяють великі можливості розвитку додатків ідентифікації в IoT. Наприклад, RFID-мітки можна підключити до бездротової сенсорної мережі (WSN) для швидкого пошуку та розпізнавання об'єктів, а також стеження за ними в режимі реального часу.
 
  
−
У деяких промислових системах вже розгорнуті сервіси, де кожному пристрою надають універсальний унікальний ідентифікатор (UUID), який є 128-бітовим номером. Він містить мережеву адресу системи, що згенерувала UUID, мітку із зазначенням часу та випадково створений компонент, перших двох достатньо для гарантії унікальності, а випадковий елемент є додатковим захистом. Імовірність дублювання ідентифікатора можлива, але практично дорівнює нулю. Завдяки UUID потрібну річ можна легко знайти і не переплутати з іншими, тому ця технологія важлива для роботи IoT.
+
== '''Слабкі місця IoT:''' ==
  
−
Згідно з дослідженням, опублікованим у журналі Digital Communications and Networks, поки не існує загальної схеми ідентифікації для IoT, тому такі стандарти ще розроблять державні органи. Поки відсутність єдиного механізму ідентифікації ускладнює взаємодію між різними складовими Інтернету речей. Втім, деякі міжнародні організації надають свої стандарти та рішення для забезпечення безпеки IoT, наприклад Open Connectivity Foundation (OCF), FIWARE, oneM2M. Тут же став у нагоді і глобальний інтернет-протокол IPv6, що забезпечує унікальні IP-адреси машин.
+
* перехід на IPv6;
 +
* живлення датчиків;
 +
* стандартизація архітектури і протоколів, сертифікація пристроїв.
 +
* інформаційна безпека;
 +
* стандартні облікові записи від виробника, слабка аутентифікація;
 +
* відсутність підтримки з боку виробника для усунення вразливостей
 +
* важко або неможливо оновити ПЗ і ОС;
 +
* використання текстових протоколів і непотрібних відкритих портів;
 +
* використовуючи слабкість одного гаджета, хакеру легко потрапити у всю мережу;
 +
* використання незахищених мобільних технологій;
 +
* використання незахищеною хмарної інфраструктури;
 +
* використання небезпечного ПЗ.

Поточна версія на 20:28, 9 вересня 2022

Проблеми технологій Інтернету речей (Internet of things, IoT).

Інтернет речей (англ. Internet of Things, IoT) – це мережа, що складається із взаємозв’язаних фізичних об’єктів або пристроїв, які мають вбудовані сенсори, а також програмне забезпечення, що дає змогу здійснювати передавання і обмін даними між фізичним світом і комп’ютерними системами за допомогою використання стандартних протоколів зв’язку. Крім сенсорів, мережа може мати виконавчі пристрої, вбудовані у фізичні об’єкти і пов’язані між собою через дротові й без дротові мережі. Ці взаємопов’язані об’єкти мають можливість зчитування та приведення в дію функції програмування та ідентифікації, а також дають змогу обійтись без участі людини за рахунок використання інтелектуальних інтерфейсів.


Інтернет речей передбачає підключення до глобальної комп’ютерної мережі побутових предметів за допомогою вбудованих модулів зв’язку, завдяки чому вони отримують можливість взаємодіяти один з одним, із зовнішнім середовищем, обмінюватися даними і здійснювати операції без участі людини. Сенсори консолідують дані в режимі реального часу і мають можливість прямої інтеграції і з баз даних і сховищами даних та ERP-системами тощо.

Всі ці впроваджені нововведення додають серйозних проблем, що пов'язані з інформаційною безпекою.


Безпека IoT стала одним з найважливіших аспектів нових технологій. Можливо здасться, що не існує ризику для даних, що передаються і зберігаються такими системами, вони не є вразливими, але реальність така, що IoT пристрої, які не мають належного захисту, піддаються атакам, які вже інфіковані шкідливим кодом для створення ботнету.


Основні уразливості

Порушення конфіденційності традиційних мереж зв'язку (повтори, підслуховування, спотворення інформації і т. д.).

Велику загрозу несе керування пристроїв за допомогою міжмашинної взаємодії. Жодну написану людиною програму не можна вважати стовідсотково точною; для неї пишуться різні патчі для виправлення помилок. Така ж доля чекає датчики в інтернет-пристроях. Із посиленням ролі даних пристроїв в житті людей буде збільшуватися загроза безпеці всіх даних, навіть найнезначніших на перший погляд. Необхідно оцінювати будь-який витік інформації, так як резюмування її складових може представляти небезпеку для життя як фізичних, так і юридичних осіб (найбільших компаній).

У такому разі ще виявляється важливим захищати критично важливу інфраструктуру, таку як мережа електропередачі. Необхідно підготувати базу для несподіваного аварійного випадку, а також вибрати правильне співвідношення для відкритості та вбудованої надмірності.

Одним з найбільш небезпечних напрямків атаки, на які варто звернути увагу, є DDoS-атака. Їх мета представляє з себе захоплення системних ресурсів і утруднення доступу до них інших користувачів. Так 21 жовтня 2016 року в США була здійснена серія DDoS-атак, яка призвела до глобального порушення інтернет-трафіку. Оскільки вона була спрямована на систему доменних імен (DNS), яка отримує інформацію про домени, повсякденні активності, такі як соціальні мережі або онлайн покупки, стали недоступні на деякий час. Основні інформаційні потоки зловмисників були спрямовані на сервери компанії Dyn, яка є головним постачальником DNS-послуг для таких найбільших компаній, як Twitter, Pinterest, Reddit, GitHub, Etsy, Tumblr, Spotify, PayPal і Verizon. Здійснення таких атак стало можливим завдяки підключенню до незахищених цифрових пристроїв: Маршрутизаторів і камер відеоспостереження. Хоч вони і не є потужними комп'ютерами, але здатні генерувати величезні обсяги паразитичної інформації для серверів, особливо при одночасному підключенні.


Сучасна концепція Інтернету речей передбачає комунікацію об’єктів, які використовують технології для взаємодії між собою та з навколишнім середовищем. Частина мережних протоколів адаптовані для використання в IoT і їх можна описати як складову TCP/IP моделі. Тому вразливості цих протоколів можна використовувати і для зламу систем, які використовують Інтернет речей. Зловмисник може атакувати мережне обладнання, що використовується в системі. Серед компонентів розумного дому та охоронних систем значна частина має проблеми з безпекою, які характерні для цілого ряду пристроїв, а не просто для певної серії ненадійного виробника. Розглянемо масові грубі порушення принципів розробки: використання незмінних (hardcoded) та прихованих сервісних облікових записів; застосування однакових або легко передбачуваних паролів та ПІН-кодів; відсутність перевірки прав доступу при звернені до відомої сторінки налаштувань або прямого виклику зображень та відеопотоку IP-камер; некоректна обробка отримуваних даних, що викликає переповнення буферу. Як наслідок, можна отримати виконання довільного коду при отримані попередньо складеного TCP-пакету; примусове переключення серверу на використання старих версій протоколів за запитом клієнтського пристрою; та інші типові помилки, які спрощують конфігурування пристроїв неспеціалістами, що в свою чергу послаблює параметри безпеки в цілому (в тому числі – віддаленого та без належної авторизації). З прикладів використання вразливостей систем IoT можна навести DNS rebinding, DoS/DDoS-атаки, ботнети, концепція Man-in-The-Middle та інші.


Уже сьогодні спеціалісти працюють над усуненням вразливостей в розумних пристроях. Для підвищення якості написання програмного забезпечення для даних пристроїв необхідно підняти питання сертифікації. За умов мінімальної бюрократії та надання користувачам гарантії, що продукт достатньо захищений від хакерських атак, рівень довіри до виробника значно зросте. Питанням сертифікації займаються приватні компанії. Зокрема компанія Online Trust Alliance (OTA) випустила IoT Trust Framework – ряд критеріїв для розробників, постачальників послуг, який направлений на покращення безпеки, конфіденційності та життєвого циклу їх IoT-продуктів


Компанія Verizon запустила програму тестування безпеки та сертифікації IoT-пристроїв. Як стверджують її розробники, вона являється однією з перших в своєму роді, і тестує такі складові як сповіщення/протоколювання, криптографія, аутентифікації, зв’язок, фізична безпека та безпека платформи. Пристрої, що пройшли сертифікацію, будуть відмічені знаком схвалення ICSA Labs та буде вказувати, що вони були протестовані, а знайдені вразливості були усунені. Також пристроїв, що пройшли сертифікацію будуть знаходитись під наглядом і періодично тестуватись протягом їх життєвого циклу для збереження безпеки. Інтернет речей стала однією з перших сфер, в якій використовується блокчейн-технологія. Наприклад, управління аутентифікацією, перевірка роботоспроможності різних сервісів та ін. Ряд компаній, як Cisco, BNY Mellon, Bosch, Foxconn та ряд інших організували консорціум, який буде знаходити рішення з використання блокчейну для збільшення безпеки і покращення взаємодії IoT-продуктів.


Отже, довіра користувачів до інтернету речей залежить від реалізації безпеки в ньому, тому саме питання її забезпечення має бути ключовим для виробників. Позитивним є об’єднання компаній заради створення стандартів та реалізації різних концепцій для підтримки цієї технології та її популяризації.

Джерело


Статистичні дані

У січні 2014 року в журналі Forbes кібержурналіст Джозеф Стейнберг (англ. Joseph Steinberg) опублікував список пов'язаних із Інтернетом приладів, які «шпигують» за нами буквально в наших будинках. До них належать телевізори, кухонна техніка, камери. Дуже ненадійна комп'ютерна система автомобілів, яка контролює гальма, двигун, замки, капот, вентиляцію і приладову панель; ці частини системи найбільш уразливі для зловмисників під час спроби отримання доступу до бортової мережі. Також атака може бути проведена віддалено по Інтернету.

Хакерами була продемонстрована можливість дистанційного керування електрокардіостимуляторами. Пізніше вони навчилися отримувати доступ до інсулінових помп й імплантованих кардіо-дефібриляторам.


Компанія Hewlett Packard провела масштабне дослідження в 2015 році, в якому повідомляється, що 70 % пристроїв IoT мають вразливості своїх паролів, існують проблеми з шифруванням даних та з дозволами для доступу, і 50 % додатків для мобільних пристроїв не обмінюються даними.

Лабораторія Касперського — компанія, що спеціалізується на виробництві програмного забезпечення для захисту інформації, провела випробування на об'єктах, підключених до IoT, і виявила, що відеоняні можуть бути зламані для перехоплення відео та кавомашини, які передають інформацію в незашифрованому вигляді, можуть зберігати пароль мережі Wi-Fi, до якої були приєднані.



Так, на самому початку експлуатації користувачеві обов'язково потрібно замінити фабричний пароль, встановлений за замовчуванням, на свій особистий, оскільки фабричні паролі однакові на всіх пристроях і не відрізняються стійкістю. На жаль, роблять це далеко не всі. Оскільки не всі прилади мають вбудовані засоби ІБ-захисту, власникам також слід подбати про встановлення зовнішнього захисту, призначеної для домашнього використання, з тим щоб інтернет-пристрою не стали відкритими шлюзами в домашню мережу або прямими інструментами заподіяння шкоди. В ході проведеного HP дослідження виявлено, що приблизно в 70% проаналізованих пристроїв не шифрується бездротової трафік. Веб-інтрефейс 60% пристроїв експерти HP порахували небезпечним через небезпечну організацію доступу і високих ризиків міжсайтового скриптинга. У більшості пристроїв передбачені паролі недостатньою стійкості. Приблизно 90% пристроїв збирають ту чи іншу персональну інформацію про власника без його відома. Всього ж фахівці HP нарахували близько 25 різних вразливостей в кожному з досліджених пристроїв (телевізорів, дверних замків, побутових ваг, домашніх охоронних систем, електророзеток ...) і їх мобільних і хмарних компонентах. Висновок експертів HP невтішний: безпечної екосистеми IoT на сьогоднішній день не існує. Особливу небезпеку речі Інтернету таять в собі в контексті поширення цільових атак (APT). Варто тільки зловмисникам проявити інтерес до будь-кого з нас, і наші вірні помічники зі світу IoT перетворюються в зрадників, нарозхрист відкривають доступ в світ своїх власників.


Слабкі місця IoT:

  • перехід на IPv6;
  • живлення датчиків;
  • стандартизація архітектури і протоколів, сертифікація пристроїв.
  • інформаційна безпека;
  • стандартні облікові записи від виробника, слабка аутентифікація;
  • відсутність підтримки з боку виробника для усунення вразливостей
  • важко або неможливо оновити ПЗ і ОС;
  • використання текстових протоколів і непотрібних відкритих портів;
  • використовуючи слабкість одного гаджета, хакеру легко потрапити у всю мережу;
  • використання незахищених мобільних технологій;
  • використання незахищеною хмарної інфраструктури;
  • використання небезпечного ПЗ.
Отримано з https://wiki.welard.com/index.php?title=Iot-problems&oldid=2717