Öryggisáskoranir í IoT netum
Hlutirnir á Netinu (IoT) hafa gjörbreytt því hvernig menn hafa samskipti við tækni. Tæki eins og snjallljós, eftirlitsmyndavélar, iðnaðarskynjarar, snjallrafmælar, klæðanleg heilbrigðistæki og jafnvel sjálfvirknikerfi í verksmiðjum eru tengd internetinu til að safna gögnum og framkvæma aðgerðir sjálfkrafa. Þó að þægindi og skilvirkni sem hlutir af hlutunum á Netinu bjóða upp á séu gríðarleg, eru öryggisáskoranir verulegar. Hlutirnir á Netinu eru oft auðveld skotmörk vegna þess að fjöldi tækja er gríðarlegur, ólíkur og mörg eru hönnuð með lágan kostnað í huga, án þess að taka tillit til öryggisþátta. Þessi grein fjallar um helstu öryggisáskoranir í hlutunum á Netinu, orsakir þeirra og áhrif á einstaka notendur og stofnanir.
1. Mjög stór árásarflötur
Stærsta áskorunin við IoT er gríðarlegt árásarsvæði þess. Ólíkt hefðbundnum upplýsingakerfum, sem gætu aðeins samanstaðið af netþjónum, tölvum og nettækjum, getur IoT náð yfir þúsundir til milljóna lítilla tækja sem eru dreifð um marga staði. Hvert tæki verður hugsanlegur „inngangspunktur“ fyrir árásarmenn. Því fleiri tæki sem eru tengd, því erfiðara er að fylgjast stöðugt með þeim öllum.
Til dæmis setur framleiðslufyrirtæki upp hita- og titringsskynjara á framleiðsluvélar. Ef einn skynjari hefur öryggisgalla og er tengdur við innra netið gæti árásarmaður nýtt sér hann til að færa sig yfir á mikilvægari kerfi eins og framleiðsluþjóna eða gagnagrunna.
2. Takmarkanir á auðlindum tækja
Mörg IoT tæki eru smíðuð með takmörkunum á örgjörva, minni og orkunotkun. Þessar takmarkanir gera það erfitt að innleiða nútíma öryggiskerfi. Sterk dulkóðun, lagskipt auðkenning, örugg ræsing eða eftirlit með heilleika krefjast oft reikniauðlinda sem eru ekki tiltækar í ódýrum tækjum.
Þar af leiðandi nota sum tæki veikar samskiptareglur, geyma lykilorð á óöruggan hátt eða senda gögn án dulkóðunar. Jafnvel þótt framleiðendur reyni að bæta öryggið gætu tækin ekki getað keyrt fullnægjandi öryggisuppfærslur.
3. Sjálfgefið lykilorð og veik auðkenning
Klassískt vandamál sem kemur enn oft upp: sjálfgefin lykilorð eru ekki breytt. Margar IP myndavélar, heimilisleiðir og önnur snjalltæki eru með aðgangsupplýsingum eins og „admin/admin“ eða einfaldri samsetningu. Árásarmenn geta framkvæmt fjöldaskönnun á internetinu til að finna tæki sem enn nota sjálfgefin aðgangsupplýsingar.
Þar að auki bjóða sum tæki ekki einu sinni upp á sterkar auðkenningaraðferðir, svo sem skortur á stuðningi við flókin lykilorð, hraðatakmarkanir eða vottorðsbundna auðkenningu. Þetta opnar möguleika á ólöglegum árásum og yfirtökum á tækjum.
4. Lágmarks uppfærslur á vélbúnaði og sundrun milli framleiðenda
Líftími IoT-tækja er oft langur, en uppfærslustuðningur frá framleiðendum er ekki alltaf samræmdur. Mörg tæki fá ekki reglulegar öryggisuppfærslur eða uppfærsluferlið er flókið fyrir notendur. Þar að auki er vistkerfi IoT mjög sundurleitt: hundruð framleiðenda, fjölbreytt úrval flísasetta, mismunandi stýrikerfi og mismunandi samskiptareglur. Þessi sundrun flækir öryggisstöðlun og uppfærslustjórnun.
Sum tæki eru alls ekki með uppfærslukerfi yfir loftið (OTA). Þegar veikleiki uppgötvast gæti eina lausnin verið að skipta um tækið. Ef tækið er notað í stórum stíl (t.d. skynjarar í snjallborgum) verður kostnaðurinn og flækjustigið óhóflega hátt.
5. Öryggisbrellur í samskiptareglum og samskiptum
IoT tæki eiga samskipti með ýmsum samskiptareglum, svo sem MQTT, CoAP, Zigbee, Z-Wave, Bluetooth Low Energy og Wi-Fi. Hver samskiptaregla hefur hugsanlega veikleika ef hún er rangstillt eða útfærð á óöruggan hátt. Til dæmis:
– MQTT sem keyrir án TLS gerir kleift að hlusta á gögn og taka yfir samskiptalotur.
– Rangt stillt Bluetooth getur verið misnotað til að fá óheimilan aðgang úr návígi.
– Zigbee stendur frammi fyrir áskorunum tengdum lyklastjórnun og hættu á hlerun ef dulkóðun er ekki rétt innleidd.
Að auki ferðast gögn oft um opinber net eða skýið. Án heildardulkóðunar geta viðkvæm gögn eins og staðsetning, venjur íbúa eða heilsufarsupplýsingar lekið út.
6. Áhætta vegna friðhelgi einkalífsins og óhófleg gagnasöfnun
Internet of Things snýst ekki bara um kerfisöryggi heldur einnig friðhelgi einkalífs. Mörg tæki safna gögnum um hegðun notenda: hvenær einhver er heima, svefnmynstur, ferðaleiðir og jafnvel raddupptökur. Þessi gögn eru ómetanleg fyrir árásarmenn og aðra aðila sem vilja rekja eða stjórna gögnum.
Áskorunin er gagnsæi og stjórnun. Notendur vita oft ekki hvaða gögnum er safnað, hvernig þau eru geymd og með hverjum þau eru deilt. Jafnvel þótt gögn séu geymd á öruggan hátt í skýinu er samt hætta á leka frá þjónustuveitunni eða vegna rangrar stillingar.
7. IoT Botnets og DDoS árásir
Ein af augljósustu áhrifum veikrar öryggis í hlutum hlutanna er tilkoma botneta, eins og hins alræmda Mirai, sem ræðst á IoT tæki með sjálfgefnum lykilorðum og notar þau síðan til að framkvæma dreifða þjónustuneitunarárásir (DDoS). IoT botnet geta samanstaðið af hundruðum þúsunda „uppvakninga“ tækja sem starfa án vitundar eigenda sinna.
DDoS árásir frá IoT botnetum geta lamað mikilvægar þjónustur, stórar vefsíður og jafnvel netkerfisinnviði. Þar sem IoT tæki eru dreifð um mörg lönd og í eigu margra einstaklinga er flókið að rekja þau og draga úr þeim.
8. Samþætting við mikilvæg kerfi og rekstrartækni (OT)
Í iðnaðargeiranum er internetið (IoT) oft tengt rekstrarkerfum, svo sem SCADA-kerfum, PLC-kerfum og stjórnkerfum verksmiðjunnar. Þessi samþætting bætir skilvirkni, en ef hún er ekki rétt hönnuð getur hún opnað árásarleiðir frá upplýsingatækninetinu yfir í rekstrarnetið. Áhrifin fara lengra en gagnaleka og geta leitt til rekstrartruflana, bilana í vélum og jafnvel öryggisáhættu.
Áskorunin er sú að mörg eldri OT-kerfi voru ekki hönnuð til að tengjast internetinu. Þegar nútíma IoT-tæki eru felld inn í eldri umhverfi geta þau leitt til öryggisósamrýmanleika, veikrar netskiptingar og eftirlitsörðugleika.
9. Skortur á sýnileika og stjórnun eigna
Fyrirtæki skortir oft heildarskrá yfir uppsett IoT tæki. Sum tæki eru keypt af tilteknum einingum, sett upp af söluaðilum eða notuð tímabundið og síðan gleymd. Án þessa yfirsýnar verða óstýrð tæki veikleiki. Áskorunin er aukin vegna „skugga IoT“ tæki sem tengjast án samþykkis öryggisteymisins.
Án eignastýringarkerfis er erfitt að innleiða öryggisstefnur eins og uppfærslur, snúning á skilríkjum, skiptingu og umferðareftirlit.
10. Mannlegir þættir og röng stilling
Mörg öryggisatvik eiga sér ekki stað vegna flókinna tæknilegra veikleika, heldur vegna rangra stillinga. Heimilisnotendur gætu opnað myndavélar fyrir internetið án verndar. Fyrirtækjastjórar gætu virkjað óþarfa tengi, notað útrunnin vottorð eða geymt API-lykla á óöruggum stöðum. Öryggisfræðsla og staðlaðar verklagsreglur dragast oft á eftir hraðri innleiðingu á hlutum internetsins.
Niðurstaða
Öryggi netkerfa IoT er fjölþætt áskorun: það nær yfir tæki, net, ský, samskiptareglur, gagnastjórnun og jafnvel hegðun notenda. Breitt árásarsvæði, takmarkað framboð tækja, veik auðkenning, takmarkaðar uppfærslur og sundrun framleiðenda gera IoT viðkvæmt fyrir misnotkun. Áhrifin geta verið allt frá gagnaþjófnaði, truflunum á þjónustu og jafnvel ógnum við öryggi í iðnaðargeiranum.
Til að takast á við þessar áskoranir þarf öryggisnálgun fyrir hlutina í hlutunum að vera alhliða: allt frá öruggri hönnun tækja og auðveldum uppfærslum á vélbúnaði, sterkri dulkóðun, netskiptingu, stöðugu eftirliti og notendafræðslu. Með réttri stefnu getur hlutina í hlutunum haldið áfram að skila verulegum ávinningi án þess að skerða öryggi og friðhelgi einkalífs.
Ef þú vilt get ég líka bætt við tæknilegri undirkafla um „mótvægisaðgerðir“ (t.d. innleiðing á núlltrausti fyrir IoT, tækjavottorð, bestu starfsvenjur varðandi NAC og VLAN skiptingu) eftir samhenginu: snjallheimili, skrifstofa eða atvinnugrein.
