Alles gaat IoT

Er is een klein beetje ingebedde technologie die verbinding maakt met internet op bijna alle nieuwe apparaten. De soorten "dingen" die internet-enabled zijn, zijn waterkokers (serieus), trainers (sneakers) en televisies.

Ook dingen die mogelijk niet met internet zijn verbonden, maar vaak zijn verbonden met een lokaal netwerk, zijn medische apparaten zoals pacemakers en insulinepompen. Deze trend, zegt Art Dahnert, managing consultant bij Synopsys, Inc. , gebeurt nu al enkele jaren en het ziet er niet naar uit dat het snel zal stoppen.

Het probleem is dat te veel dingen in het Internet of Things (IoT) ook worden gehackt.

Je hoeft niet ver te zoeken om verhalen te zien over beveiligingscamera's die worden omgezet in een botnet of je tv die wordt gebruikt om je te bespioneren, of een fitnessmonitor die wordt gebruikt om geheime militaire bases te identificeren. Het probleem met al deze aanvallen is dat de software die deze apparaten ondersteunt, niet wordt gebouwd met het oog op beveiliging. Vaak denkt niemand aan beveiliging totdat het te laat is en hun IoT-apparaat overal in het nieuws is.

Kwetsbare voertuigen

Nergens is dit duidelijker dan bij de auto's van vandaag. Het moderne voertuig heeft tegenwoordig meer dan 100 CPU's (co-processor units) en gebruikt miljoenen regels code. Al deze code is nodig om geavanceerde technologieën te ondersteunen, zoals adaptieve cruisecontrol, rijstrookassistent, zelfparkeren en noodremfuncties, die 10 jaar geleden allemaal niet bestonden.

De combinatie van nieuwe code en nieuwe functies, samen met de druk om snel op de markt te komen, betekent dat er hoogstwaarschijnlijk in een aantal hoeken is gesneden, waaronder beveiligingscontroles. Het kan ook zijn dat de eisen aan beveiliging niet hoog genoeg zijn bevonden om tot het eindproduct te komen. Wat de reden ook is om in het begin geen beveiliging op te nemen, een onveilig voertuig is rijp voor aanvallers om te misbruiken en de controle over te nemen.

En dit is precies wat er is gebeurd. De meeste slechteriken die autosoftware aanvallen, zijn niet van plan om duizenden auto's te laten crashen terwijl ze over de weg rijden; ze gaan doen wat slechteriken doen, dingen stelen. Namelijk het voertuig stelen, of in ieder geval wat zich in het voertuig bevindt. Dat is precies wat er in 2016 in Houston gebeurde, toen een bende meer dan 30 jeeps stal door misbruik te maken van het gebrek aan beveiligingscontroles in de software van het voertuig.

Wat kan er gedaan worden?

Ten eerste moeten bedrijven beveiliging serieus nemen en vanaf het begin beveiliging in hun producten inbouwen met behulp van best practices op het gebied van beveiliging. Dit begint met het trainen van het ontwikkelingspersoneel over het schrijven van veilige software, en omvat het ontwikkelen of gebruiken van een architectuur die beveiliging integreert in het algehele systeem. Het is één ding om veilig geschreven modules of componenten te hebben, maar als het systeem gegevens (wachtwoorden) in leesbare tekst rondgeeft, heb je uiteindelijk toch een compromis.

Naast veilige code en architectuur, zullen bedrijven moeten investeren in een SDLC die beveiliging op specifieke punten in het proces integreert. Dit kan een statische code-analysetool zijn die de bron scant telkens wanneer een build wordt gestart. En tot slot wordt er vaak een veiligheidsbeoordeling (penetratietest) op het product uitgevoerd voordat het naar productie wordt verzonden om de beveiligingsvereisten te valideren.

Softwarebeveiliging is een reis en deze stappen zijn nog maar het begin. Nu alles IoT wordt, moet elk 'ding' in het internet der dingen veilig zijn.

De auteur van deze blog is Art Dahnert, managing consultant bij Synopsys, Inc.

Over de auteur:

Art Dahnert is een informatiebeveiligingsconsultant met meer dan 19 jaar ervaring in informatietechnologie en meer dan 9 jaar in het testen van applicatiepenetratie. Dhr. Dahnert heeft honderden beveiligingsrisicobeoordelingen, penetratietests en kwetsbaarheidsbeoordelingen van webapplicaties, desktopapplicaties en mobiele applicaties uitgevoerd.

Hij heeft de beveiliging beoordeeld van systemen en infrastructuren variërend in grootte van klein tot groot, waaronder; eenvoudige webapplicaties, grote zakelijke bankapplicaties en volledig functionele Amerikaanse legerspecifieke implementatiesystemen.