Prieš kelerius metus saugumo tyrėjai nusipirko protingą lemputę, kainavusią kokius 15 eurų, ir per porą valandų ištraukė iš jos Wi-Fi slaptažodį visam namui. Tokia istorija skamba kaip anekdotas, bet realybėje panašių atvejų yra šimtai – nuo protingų durų spynų iki vaizdo stebėjimo kamerų, kurios transliuoja vaizdą tiesiai į viešą internetą, apie tai net nežinant savininkui. IoT (daiktų interneto) pasaulis auga greičiau nei bet kas spėja sugalvoti, kaip jį tinkamai apsaugoti, ir būtent tai kelia didžiausią galvos skausmą tiek namų vartotojams, tiek įmonių IT skyriams.
Kodėl protingi įrenginiai dažnai būna kvaili saugumo požiūriu
Gamintojai lenktyniauja dėl kainos ir greičio į rinką, o ne dėl saugumo. Tai suprantama iš verslo perspektyvos – kas žiūrės į kriptografinius protokolus, kai reikia parduoti šimtą tūkstančių vienetų per Kalėdas? Rezultatas – įrenginiai, kuriuose procesorius ir atmintis tokie riboti, kad net elementarus šifravimas jiems yra prabanga. Daugelis gamintojų tiesiog perima seną, viešai prieinamą kodą, priklijuoja prie jo savo logotipą ir siunčia į sandėlius.
Kita problema – pati IoT ekosistema yra chaotiška. Vienoje namų tinklo dalyje sukasi termostatas, kitoje – vaikų auklė su kamera, trečioje – robotas dulkių siurblys, kuris žemėlapiuoja jūsų buto planą ir siunčia jį į debesį kažkur kitoje pasaulio pusėje. Kiekvienas iš šių įrenginių turi savo, dažnai visai skirtingą, programinę įrangą, ir niekas centralizuotai nekontroliuoja, ar ji atnaujinta, ar joje nėra žinomų pažeidžiamumų.
Numatytieji slaptažodžiai – amžina problema
Tai gal pati banaliausia, bet vis dar dažniausiai pasitaikanti spraga. 2016 metais Mirai botnetas užkrėtė šimtus tūkstančių kamerų ir maršrutizatorių tiesiog perbraukdamas standartinį vartotojų vardų ir slaptažodžių sąrašą – „admin/admin“, „root/12345“ ir panašiai. Praėjo beveik dešimtmetis, o situacija pagerėjo tik iš dalies. Kai kurie regionai jau reikalauja, kad gamintojai kiekvienam įrenginiui priskirtų unikalų slaptažodį iš gamyklos (pavyzdžiui, tai numato Jungtinės Karalystės PSTI įstatymas), bet globaliai tai vis dar nėra norma.
Praktinis patarimas paprastas: perkant bet kokį IoT įrenginį, pirmas žingsnis – pakeisti gamyklinį slaptažodį dar prieš prijungiant jį prie interneto. Ne po savaitės, ne „kai bus laiko“, o iškart. Jeigu įrenginys neleidžia to padaryti arba slaptažodžio keitimo funkcija paslėpta trijuose meniu lygiuose – tai jau savaime ženklas, kad gamintojas nelabai galvojo apie saugumą.
Atnaujinimų klausimas, kurio niekas nenori spręsti
Įsivaizduokite, kad nusipirktumėte kompiuterį, žinodami, kad jis niekada negaus jokio saugumo atnaujinimo per visą naudojimo laikotarpį. Skambėtų beprotiškai, tiesa? Būtent taip veikia didžioji dalis IoT rinkos. Pigesni gamintojai tiesiog neplanuoja ilgalaikio palaikymo – produktas parduodamas, pinigai uždirbami, o po metų ar dvejų programinės įrangos serveriai gali būti tiesiog išjungti be jokio įspėjimo.
Tai reiškia, kad net jeigu šiandien pažeidžiamumo nėra, jis gali atsirasti rytoj, kai saugumo tyrėjai atras naują atakos vektorių, o pataisos jau niekas nebeišleis. Vartotojas lieka su „mirusiu“ produktu, kuris vis dar prijungtas prie tinklo ir vis dar veikia – tik jau kaip potenciali įėjimo durys užpuolikams.
- Prieš perkant, pasitikrinkite gamintojo istoriją – ar jis reguliariai leidžia atnaujinimus senesniems modeliams.
- Ieškokite informacijos, kiek metų gamintojas įsipareigoja palaikyti konkretų produktą.
- Jei įrenginys turi automatinio atnaujinimo funkciją – įjunkite ją, net jei tai reiškia trumpalaikius nepatogumus dėl perkrovimų.
Tinklo segmentacija – paprasčiausias, bet dažnai ignoruojamas sprendimas
Vienas efektyviausių būdų sumažinti riziką – atskirti IoT įrenginius nuo pagrindinio tinklo, kuriame yra jūsų kompiuteriai, telefonai ir dokumentai. Dauguma šiuolaikinių maršrutizatorių leidžia sukurti atskirą Wi-Fi tinklą (dažnai vadinamą „svečių tinklu“ arba VLAN), kuriame gali veikti visos protingos lemputės, kameros ir garsiakalbiai, neturėdami tiesioginio priėjimo prie jautresnės tinklo dalies.
Jei kamera ar termostatas bus pažeisti, užpuolikas liks izoliuotas atskiroje tinklo dalyje ir negalės tiesiog „peršokti“ į jūsų nešiojamą kompiuterį ar NAS su asmeninėmis nuotraukomis. Įmonėse ši praktika dar svarbesnė – vienas nesaugus lauko oro sąlygų jutiklis gali tapti tiltu į visą korporatyvinį tinklą, jei viskas sukasi tame pačiame plokščiame tinkle be jokios segmentacijos.
Botnetai ir DDoS atakos – kai jūsų šaldytuvas dirba ne jums
Vienas iš dažniausiai pamirštamų aspektų – kompromituotas IoT įrenginys retai kada kenkia pačiam savininkui tiesiogiai. Vietoj to jis tampa dalimi didesnio tinklo – botneto, kuris naudojamas atakuoti trečiąsias šalis. Jūsų vaizdo stebėjimo kamera gali ramiausiai siųsti šiukšlių srautą kažkokiam serveriui Azijoje, o jūs net nepastebėsite, nes internetas namuose veiks šiek tiek lėčiau, bet ne kritiškai.
Būtent taip veikė jau minėtas Mirai – jis sukūrė vieną galingiausių DDoS atakų istorijoje, panaudodamas šimtus tūkstančių kamerų ir maršrutizatorių, kad nuverstų didelius interneto paslaugų teikėjus ir net dalį DNS infrastruktūros JAV rytiniame pakrantėje. Tai buvo ne pavienis įrenginys, o masinis, koordinuotas jėgos demonstravimas, panaudojant paprasčiausius, niekieno neprižiūrimus namų prietaisus.
Ką realiai galima padaryti, nesikankinant su sudėtingomis technologijomis
Nereikia būti tinklo inžinieriumi, kad apsisaugotum bent minimaliai. Štai keletas dalykų, kuriuos galima padaryti šiandien, per pusvalandį:
- Sudarykite sąrašą visų prie tinklo prijungtų IoT įrenginių – dažnai pamirštame, kiek jų iš tikrųjų turime.
- Pakeiskite visus numatytuosius slaptažodžius, įskaitant paties maršrutizatoriaus administravimo prieigą.
- Išjunkite nenaudojamas funkcijas – jei kamera turi UPnP arba nuotolinės prieigos funkciją, kurios nenaudojate, išjunkite ją.
- Sukurkite atskirą tinklą IoT prietaisams, atskirai nuo asmeninių įrenginių.
- Reguliariai tikrinkite atnaujinimus – daugelis gamintojų tai daro per mobiliąją programėlę, tereikia paspausti kelis mygtukus.
- Venkite pigiausių, nebrendinių gamintojų, jei įrenginys skirtas jautrioms sritims – durų spynoms, kameroms, signalizacijoms.
Įmonėms rekomendacijos panašios, tik masiškesnės – reikalingas įrenginių inventorizavimo procesas, aiškios politikos dėl to, kokie IoT prietaisai apskritai gali būti prijungiami prie korporatyvinio tinklo, ir reguliarus stebėjimas, ar tie prietaisai nesiunčia įtartino srauto.
Kai kavos aparatas žino daugiau nei norėtum
Galiausiai visa ši istorija nusileidžia iki vieno paprasto klausimo: ar mes iš tikrųjų suprantame, ką prijungiame prie savo tinklo? Kiekvienas naujas „protingas“ daiktas namuose – tai naujas galimas įėjimo taškas, apie kurį dažniausiai negalvojame taip pat rimtai, kaip apie kompiuterio ar telefono saugumą. O turėtume, nes skirtumo iš esmės nėra – abu atvejais kalbame apie prietaisą su procesoriumi, operacine sistema ir prieiga prie tinklo.
Gera žinia ta, kad situacija po truputį keičiasi – reguliavimas griežtėja, kai kurios šalys jau reikalauja minimalaus saugumo lygio prieš leidžiant prekiauti IoT produktais, o vartotojai palaipsniui tampa sąmoningesni. Bloga žinia – rinka auga greičiau nei reguliavimas, ir kiekvieną dieną atsiranda naujų prietaisų, kurių saugumas nebuvo pagalvotas net minutę ilgiau nei būtina.
Tad kitą kartą, kai ruošitės pridėti dar vieną „protingą“ prietaisą prie namų tinklo – ar tai būtų durų skambutis su kamera, ar robotas žoliapjovė – skirkite penkias minutes patikrinti gamintojo reputaciją, pakeisti slaptažodį ir pagalvoti, ar tikrai reikia, kad tas prietaisas turėtų prieigą prie viso jūsų skaitmeninio gyvenimo. Kartais paprasčiausia apsauga yra ne sudėtingas šifravimas, o tiesiog sveikas atsargumas – tas pats, kurį taikytume bet kuriam nepažįstamam, kuris prašosi įleidžiamas į namus.
