Japan lijkt ongemakkelijke waarheid over IoT-kwetsbaarheid aan het licht te brengen

Medio februari is de Japanse regering van plan om openlijk te beginnen het hacken van meer dan 200 miljoen IoT-apparaten die al thuis en elders in Japan zijn geïnstalleerd.

Het plan van de regering, dat een week geleden werd aangekondigd, zal waarschijnlijk de ongemakkelijke waarheid blootleggen die bekend is bij veel experts, maar onbekend bij de meeste consumenten:veel IoT-apparaten die in gebruik zijn, zijn kwetsbaar voor cyberaanvallen.

Onveiligheid in IoT wordt veroorzaakt door vele factoren, waaronder onverschilligheid en inactiviteit van de consument. Te vaak nemen consumenten niet de moeite om de initiële instellingen in een IoT-apparaat na aankoop en installatie te wijzigen. Ten tweede blijft peer-to-peer-communicatie tussen IoT-apparaten van nature ongecontroleerd en zonder toezicht. Ten derde voeren serviceproviders niet vaak genoeg geautomatiseerde firmware-updates uit.

Hoewel veiligheidsexperts het plan van de Japanse regering als een noodzakelijke stap beschouwen, hebben veel Japanse mediaberichten geschrokken en de harde hand van de regering bekritiseerd.

Critici noemen de actie een schending van de privacy van burgers. Inderdaad, wie vindt het prettig dat de overheid in elk persoonlijk leven tuurt? Ten tweede vertrouwen de meeste mensen de overheid niet om de verzamelde gegevens veilig te houden. Hoe kan iemand er zeker van zijn dat de overheid sommige gegevens niet openbaar maakt, zelfs niet onbewust? Ten slotte koesteren de Japanners de onmiskenbare angst dat Japan een toezichtland wordt in naam van de openbare veiligheid. Wordt Japan China?

In zijn openbare aankondiging zei het National Institute of Information and Communications Technology (NICT) dat het standaardwachtwoorden en andere tactieken zal gebruiken om willekeurig geselecteerde IoT-apparaten te hacken, in een poging een lijst met kwetsbare apparaten samen te stellen.

NICT zal de informatie vervolgens delen met internetserviceproviders, die het advies krijgen om consumenten te waarschuwen en de apparaten te beveiligen. De overheid heeft de beoogde IoT-apparaten niet gespecificeerd, maar zal hoogstwaarschijnlijk beginnen met routers en webcams. Het NICT zei dat het programma tot vijf jaar zou kunnen duren.

Natuurlijk heeft de Japanse regering een perfecte dekmantel. Het excuus voor deze Big Brother-escalatie zijn de Olympische Spelen van Tokio in 2020.

Bij elk groot internationaal evenement, zoals het WK of de Olympische Spelen, is het niet ongebruikelijk dat beveiligingsexperts en overheidsinstanties een golf van cyberbeveiligingswaarschuwingen afgeven. Ook de Mirai-aanval ligt vers in het nationale geheugen. In dat geval veranderde malware netwerkapparaten met Linux in op afstand bediende bots, die een botnet werden voor grootschalige netwerkaanvallen. Mirai's primaire doelwitten waren online consumentenapparaten zoals IP-camera's en thuisrouters.

Tanner Johnson, een cybersecurity-analist die zich richt op IoT en transformatieve technologieën bij IHS Markit, ziet het hackplan van de Japanse overheid als "een eenvoudige proactieve voorzorgsmaatregel".

Hij vertelde ons:"Zo'n evenement als de Olympische Spelen zal gegarandeerd resulteren in een toestroom van miljoenen mensen naar het land, wat algemene veiligheidsproblemen oproept." Hij merkte op:"Technologisch naïeve of onwetende individuen kunnen tangentiële systemen waarmee ze verbonden zijn in gevaar brengen als ze het doelwit zijn. Hackers gaan niet achter de sterkste individuen aan binnen een verbonden groep, omdat het te veel moeite kost. Ze richten zich op de zwakste leden om de hele kudde te infiltreren.”

Toch vragen sceptici of het plan gewoon een oefening is voor de Olympische Spelen of dat het andere doelen voor de overheid kan dienen.

Gevraagd door EE Times over het hackplan van de Japanse overheid, stelde Gaku Ogura, country manager van AnyConnect, een vraag:"Als dit is om de beveiliging aan te scherpen in aanloop naar de Olympische Spelen in Tokio, vraag ik me af waarom de regering zegt dat dit programma kan tot vijf jaar meegaan.”

Waarom vijf jaar?

AnyConnect biedt een platform dat is ontworpen om apparaatmakers en serviceproviders in staat te stellen IoT-videoapparaten te ontwikkelen en te beheren, inclusief aangesloten en embedded camera's. Ogura erkende dat Japanse consumenten in veel gevallen niet de elementaire stappen nemen om de standaardwachtwoorden van hun met internet verbonden apparaten te wijzigen.

Andere waarnemers vermoeden dat de Japanse regering echt probeert te achterhalen wat er aan de hand is met de Huawei-technologieën die worden gebruikt in netwerk- en netwerkapparatuur.