4 IoT-beveiligingsuitdagingen waarmee we in 2015 worden geconfronteerd

Naarmate het Internet of Things (IoT) en verbonden apparaten snel aan populariteit winnen en populairder worden, is beveiliging in de schijnwerpers komen te staan. De tijd dat beveiliging een bijzaak was voor 'slimme' apparaten, is lang voorbij. Tegenwoordig staan ​​beveiligingsproblemen voorop in de hoofden van ontwikkelaars. Ontwikkelaars worden getraind om met IoT-beveiligingsproblemen om te gaan en er wordt in de Blackhat-gemeenschap meer gepubliceerd over het exploiteren van dit soort apparaten. Er is zelfs een subconferentie op Blackhat 2015 die gericht zal zijn op het extraheren, analyseren en, in alle opzichten, hacken van IoT-apparaten met als doel ontwikkelaars te leren hoe ze kwetsbaarheden in de IoT-beveiliging kunnen voorkomen.

Bij Link Labs zijn we van mening dat er vier belangrijke beveiligingsuitdagingen zijn waarmee de IoT-gemeenschap in 2015 wordt geconfronteerd , en we hebben ze hier samengevat.

ZIE OOK: De 2 manieren van IoT-beveiliging

1. Wi-Fi-apparaten worden toegevoegd aan lokale netwerken (LAN) zonder de juiste beveiliging.

Dit is de grootste bedreiging voor IoT-beveiliging. Wanneer op TCP/IP gebaseerde eindpunten zijn toegestaan ​​op een LAN zonder dat er beveiligingsprotocollen op bedrijfsniveau zijn, zijn er grote risico's aan verbonden.

Om te illustreren hoe dit kan (en gebeurt) met IoT-producten:stel je voor dat iemand een apparaat heeft gekocht met een wifi-module die zijn normale aquarium gebruikt en er een 'slimme' aquarium van maakt. Als iemand dit product koopt en het op zijn LAN toestaat, hebben ze nu een potentieel kwaadaardig eindpunt achter hun firewall toegestaan.

Hier is het probleem:firewalls en NAT's zijn de eerste verdedigingslinie van een netwerk tegen directe hostaanvallen, en als u iets toevoegt aan uw LAN, bevindt het zich al achter de firewall. Zodra dit slimme aquariumapparaat is geïnstalleerd, kan het contact maken en verbinding maken met kwaadwillende servers. Dit proces staat bekend als "omgekeerde tunneling", omdat het apparaat in de firewall een uitgaande verbinding via de firewall kan maken en gemakkelijker een socketverbinding kan openen dan een inkomende verbinding. Firewalls blokkeren de meeste uitgaande verzoeken niet, omdat het anders moeilijk zou zijn om de meeste applicaties te gebruiken.

Slechte software is niet de enige uitdaging hier - er kunnen ook slechte mensen in het spel zijn. Met andere woorden, de makers van de slimme aquarium kunnen kwaadwillende bedoelingen hebben en willen misschien elk netwerk exploiteren dat ze te pakken kunnen krijgen. IoT-producten hebben eenvoudigweg niet het voordeel van een robuuste beveiliging van het besturingssysteem (OS). De meeste grote besturingssystemen, zoals die van Apple en Microsoft, maken het erg moeilijk voor iemand om een ​​systeem te misbruiken, zelfs vanuit een LAN. Dat betekent niet dat het niet regelmatig kan gebeuren, maar het is moeilijker. Maar met IoT-producten - aangezien de meeste een minder geavanceerd besturingssysteem gebruiken - is het enige waar consumenten op hoeven te vertrouwen dat de mensen die ze het apparaat met wifi hebben verkocht, dit met goede bedoelingen hebben gedaan.

2. Er zijn problemen met de upgradebaarheid en patchbaarheid van IoT-eindpunten.

Een van de leuke dingen van Mac en Windows OS is dat ze volledig zijn geconfigureerd en regelmatig worden bijgewerkt. Ze kunnen allebei automatisch worden geüpgraded, dus als het besturingssysteem van uw computer moet worden gerepareerd vanwege een beveiligingsprobleem, kan het contact opnemen en automatisch worden bijgewerkt of 'gepatcht'.

Met IoT-apparaten is het aan de bedrijven die ze hebben verkocht om een ​​mechanisme te hebben voor elk soort patchgerelateerde beveiligingskwetsbaarheden. Het probleem is dat dat wel of niet kan gebeuren. Dit is geen nieuw probleem, maar het is niettemin een probleem. (In feite heeft de industrie voor netwerkapparatuur te maken gehad met - en is nog steeds omgaan met - hetzelfde probleem, omdat routers, enz. soms kwetsbaarheden hebben die niet worden gepatcht voordat er een beveiligingsprobleem is.)

In dit VentureBeat-artikel zegt auteur Michael Coates dat "effectieve patchimplementatie een groot probleem is" voor IoT. Hij legt uit dat sommige inbreuken op de beveiliging onopgemerkt zullen blijven, maar andere zullen worden ontdekt - en consumenten zullen om een ​​oplossing vragen. Hij legt verder uit hoe een scenario als dit zich kan ontvouwen - en waarom het verontrustend is:

“In deze situaties kan een fabrikant klauteren om een ​​patch uit te geven. Maar wat dan? Hoe wordt de patch daadwerkelijk op het apparaat afgeleverd? Worden alle klanten gevraagd om hun oven, auto of pacemaker opnieuw op te starten en door een updateproces te navigeren? Of is de bijgewerkte software pas beschikbaar in de volgende release van het fysieke product? Dit zou betekenen dat klanten geen patch krijgen totdat ze een nieuwe broodrooster, babyfoon, enz. hebben gekocht. Helaas is een van onze huidige uitdagingen met IoT dat, zelfs als er een patch wordt uitgegeven, er geen effectief kanaal is om de meeste apparaten te bereiken tijdig.”

Waar het op neer komt is dit:hoe meer dingen er aan een LAN worden toegevoegd, hoe groter de veiligheidszorgen. We blijven hoopvol dat de industrie een soort standaard zal creëren rond de verwachtingen van beveiligingspatches voor IoT-apparaten.

3. Er zijn problemen ontstaan ​​rond het beschermen van fysieke toegang.

Laten we terugkeren naar het voorbeeld van onze slimme aquarium-app. Consumenten houden hier vaak geen rekening mee, maar met elk fysiek apparaat bestaat de kans dat een hacker het kan manipuleren en in blootgestelde USB-poorten of een debugger-interface kan komen. Als iemand in staat is om op embedded niveau met succes het geheugen van een IoT-apparaat te hacken en de coderingssleutel kan lezen, wordt elk apparaat dat is of is verzonden kwetsbaar. Dit is een reëel probleem voor zowel consumenten als voor de industrie als geheel.

4. Er is een massa hype van ontwikkelaars en consumenten.

Omdat er zo'n frequente en intense pers is rond het Internet of Things, is er een urgentie bij bedrijven om sneller met hun IoT-apparaten op de markt te komen. De huidige hype stimuleert enerzijds innovatie, maar zet ontwikkelaars ook op een strak tijdschema. Wanneer tijd van essentieel belang is en alle inspanningen zijn gericht op een snelle implementatie, kan beveiliging een bijzaak worden. Wanneer dit gebeurt, kunnen IoT-apparaten op de markt komen met slechte codering, niet-gepatchte besturingssystemen en meer.

U kunt zien hoe IoT-beveiliging een eigen discipline is geworden en net zo belangrijk is als standaard netwerkbeveiliging. IoT heeft het "vroege stadium" van ontwikkeling verlaten en met zijn algemene populariteit komt ook de verantwoordelijkheid om consumenteninformatie veilig te houden. Productontwikkelaars en consumenten nemen deze problemen serieus, en moeten dat ook zijn.