Als Samsung en Swann IoT-apps hebben gehackt, wanneer zullen we onze beveiligingsfouten het hoofd bieden?

Donderdag werden beveiligingsfouten onthuld in de firmware van Samsung de SmartThings-hub. Cisco Talos heeft een blog gepubliceerd over meerdere kwetsbaarheden. Als Jeremy Cowan rapporten, is dit niet de enige IoT-beveiligingsfout die onlangs is blootgelegd. Het is dan ook geen verrassing dat ondernemingen zenuwachtig worden over de beveiliging van hun toekomstige IIoT-services.

Talos ontdekt kwetsbaarheid Samsung Smart Things

Cisco Talos heeft met Samsung samengewerkt om ervoor te zorgen dat deze problemen zijn opgelost en dat er een firmware-update beschikbaar is voor getroffen klanten.

De hub is een centrale controller waarmee gebruikers met een smartphone verschillende huishoudelijke elektronica met Internet of Things (IoT) kunnen bewaken en beheren. Deze omvatten:gloeilampen; verwarmings-, ventilatie- en airconditioningsystemen (HVAC); deursloten, enzovoort. Deze kwetsbaarheden kunnen een aanvaller in staat stellen om besturingssysteem (OS) commando's of andere willekeurige code uit te voeren op getroffen apparaten.

De firmware die op de SmartThings Hub draait, is gebaseerd op Linux en maakt communicatie met IoT-apparaten mogelijk met behulp van verschillende technologieën zoals Ethernet, Zigbee, Z-Wave en Bluetooth.

De fout is onthuld aan Samsung, die nu een oplossing beschikbaar heeft, maar de kwetsbaarheden worden door een woordvoerder van Cisco Talos "redelijk ernstig" genoemd.

Aangezien deze apparaten vaak gevoelige informatie verzamelen, kunnen de ontdekte kwetsbaarheden een aanvaller in staat stellen om apparaten in huis of bedrijf te bewaken en te bedienen, of om ongeoorloofde activiteiten uit te voeren. Bijvoorbeeld:

• Slimme sloten die worden bestuurd door de SmartThings Hub kunnen worden ontgrendeld, waardoor fysieke toegang tot het huis mogelijk is.
• Camera's die in het huis worden ingezet, kunnen worden gebruikt om bewoners op afstand in de gaten te houden.
• Bewegingsdetectoren die door het inbraakalarmsysteem worden gebruikt, kunnen worden uitgeschakeld.
• Slimme stekkers kunnen worden bediend om belangrijke systemen die mogelijk zijn aangesloten, uit of in te schakelen.
• Thermostaten kunnen worden bestuurd door onbevoegde aanvallers.
• Aanvallers kunnen ook fysieke schade aanrichten aan apparaten of andere apparaten die zijn aangesloten op slimme stekkers die in een slim gebouw zijn geplaatst.

Swanns huisbeveiligingscamera's gekaapt

Vorige week rond dezelfde tijd brak het nieuws dat de beveiligingscamera's van Swann gemakkelijk konden worden gekaapt en dat hun video- en audiofeeds toegankelijk waren. Het populaire merk draadloze beveiligingscamera's — ontworpen om bedrijven en huizen te beschermen — was in feite kwetsbaar voor een spionagehack.

De fout betekende dat het mogelijk was om toegang te krijgen tot video en audio die werden gestreamd vanaf andermans eigendommen door een kleine wijziging aan te brengen in Swann Security ’s-app. Onderzoekers ontdekten het probleem na de BBC meldde een geval waarin een klant opnames van een ander had ontvangen.

In reactie op de nieuwe bevindingen heeft Swann de BBC verteld dat het probleem beperkt was tot één model, de SWWHD-Intcam, ook wel bekend als de Swann Smart Security Camera.

Adam Brown, manager van beveiligingsoplossingen bijCalifornische Synopsys ., reageert hierop , een testbedrijf voor applicatiebeveiliging, vertelt IoT Now :“Persoonlijk heb ik ervaring met Swann-camera's – ik had er vroeger een, zij het anders dan die in het rapport. Ik ontdekte dat de camerafeed zelf rechtstreeks toegankelijk was vanaf het netwerk waarop de camera zich bevond, en er was enige toegangscontrole over die videofeed - een hardgecodeerd wachtwoord, zoals ik me herinner - dit is een slechte gewoonte.

“Als die camera direct op internet zou staan ​​(niet achter een firewall), dan zouden nieuwsgierige blikken mogelijk kunnen zien wat mijn camera kon zien. Duidelijke lakse veiligheidscontroles wijzen op systemische tekortkomingen. Zonder te speculeren over de technische details van wat hier fout ging, zou ik veronderstellen dat het softwarebeveiligingsinitiatief bij Swann ofwel ontbreekt, of baat zou kunnen hebben bij een opzettelijke verbetering die door het management wordt gedreven. De cameramarkt is bezig met een inhaalslag op het gebied van cybersecurity. Toonaangevende Chinese fabrikanten integreren privacy en beveiliging in hun camera's en infrastructuur. Privacy en beveiliging worden van vitaal belang voor de camera-industrie, die zelf ook als beveiligingsoplossing wordt gezien”, voegt Brown toe.

Veiligheid is zorg nummer 1 in IIoT

Dus is het een wonder dat beveiliging de grootste zorg is voor bedrijven die hun toekomst in het industriële Internet of Things (IIoT) overwegen? We hebben het al eerder gevraagd, maar wat voor rampzalige ramp (en schadelijke krantenkoppen) is er nodig voordat OEM's van apparaten beveiliging serieus gaan nemen?

Volgens de 2018 SANS Institute Industrial IoT Security Survey Melden , veiligheid is de grootste zorg als het gaat om Industrial Internet of Things.

Dean Ferrando, systeemingenieur manager bij Tripwire merkt op:“De uitbreiding van verbonden apparaten en technologie brengt risico's met zich mee. De ontwikkeling en inzet van een Industrial Internet of Things brengt veiligheid bovenaan die risicobeoordeling. Dit komt deels doordat IoT-fabrikanten apparaten met weinig of geen beveiliging verzenden, dus het is van cruciaal belang voor productontwikkelaars om de technologie in de apparaten grondig te onderzoeken en te garanderen dat de beveiliging in de softwarefase wordt geprogrammeerd om eventuele fouten te verwijderen.

“Wanneer verbonden apparaten materiële veranderingen in de fysieke wereld kunnen aanbrengen, worden leven en veiligheid vooral relevant voor cyberbeveiliging. Daarom moet beveiliging binnen vitale infrastructuur op het hoogste niveau worden aangepakt. Gelukkig, als er nieuwe apparaten en problemen ontstaan, is er een overvloed aan verdedigingsmechanismen en technologieën om uit te kiezen”, besluit Ferrando. "Als industriële organisaties willen voorkomen dat ze worden getroffen door een cyberaanval, moet er een strategie voor beveiliging en hygiëne worden geïmplementeerd die zowel opleiding van het personeel omvat als investeringen in de juiste technologie."

De auteur van dit artikel is
Jeremy Cowan (foto links),
hoofdredacteur van IoT Now
en VanillaPlus.