Japan Lanceert Landelijke IoT Beveiligingsaudit om Kwetsbaarheidsgaten aan te Pakken

Vanaf half februari begint de Japanse overheid een systematische beveiligingsaudit van meer dan 200 miljoen IoT-apparaten die al in gebruik zijn door het hele land.

Deze initiatief, vorige week aangekondigd, heeft als doel een feit aan het licht te brengen dat experts al lang weten maar consumenten grotendeels over het hoofd zien: een significante fractie van consumenten IoT-producten blijft kwetsbaar voor cyber-aanvallen.

IoT onbeveiliging stamt uit verschillende factoren: consumentenonverschilligheid – de meeste gebruikers veranderen nooit standaard wachtwoorden na het kopen en installeren van een apparaat; de inherentie van gebrek aan toezicht in device-to-device communicatie; en de zeldzame implementatie van geautomatiseerde firmware updates door serviceproviders.

Beveiligingsspecialisten applaudisseren het plan als een noodzakelijke maatregel, maar talrijke Japanse media-outlets hebben gekritiseerd wat ze zien als overreik door de staat.

Critici argumenteren dat de initiatief inbreuk maakt op privacy, vraagbaar waarom burgers een overheid zouden toestaan hun persoonlijke apparaten te inspecteren. Velen vertrouwen niet op de staat zijn vermogen om de verzamelde data te beschermen, uit vrees voor ongelukkelijke of intentionele lekkages. Er is ook een bredere zorg dat dergelijke surveillance burgerrechten kan undermijnen en Japan naar een surveillance-staat kan duwen.

Het National Institute of Information and Communications Technology (NICT) onthulde dat het tactieken zal aanwenden als het testen van standaard wachtwoorden en andere methoden om willekeurig geselecteerde IoT-apparaten te testen, met als doel een uitgebreide inventaris van kwetsbare producten op te stellen.

NICT zal bevindingen doorsturen aan internet service providers, die op hun beurt consumenten zullen notificeren en beveiligingsmaatregelen zullen aanbevelen. Hoewel de exacte omvang ongedefinieerd blijft, wordt verwacht dat het programma zich initieel richt op routers en webcams, en de agentie heeft aangegeven dat de initiatief tot vijf jaar kan uitstrekkken.

Voorstanders rechtvaardigen de uitgebreide surveillance door de Tokio Olympische Spelen aan te halen als katalysator voor verhoogde beveiliging.

Grootschalige internationale evenementen vragen routinematig een golf van cybersecurity waarschuwingen van experts en autoriteiten. De recente herinnering aan de Mirai botnet – waar malware consumentenapparaten als IP camera's en thuisrouters kapte om massive DDoS aanvallen te lanceren – versterkt de urgentie van proactieve maatregelen.

Tanner Johnson, een cybersecurity analist bij IHS Markit gespecialiseerd in IoT en opkomende technologieën, beschrijft Japan's hacking programma als een voor de hand liggende proactieve bescherming.

'Zulk evenement als de Spelen is gegarandeerd om miljoenen bezoekers te trekken, wat de algehele beveiligingszorgen ophaalt,' merkte Johnson op. 'Hackers neigen de zwakste schakels in een netwerk aan te vallen, de meest kwetsbare apparaten te exploiteren in plaats van de meest veilige.'

Sceptikers vragen zich af of het programma slechts een oefening is voor de Spelen of bredere overdoeleinden dient. Gaku Ogura, country manager bij AnyConnect, vroeg waarom de initiatief tot vijf jaar zou kunnen strekken als de primaire motief Olympische beveiliging is.

Ogura wees erop dat veel Japanse consumenten faalden om standaard wachtwoorden op hun verbonden apparaten te wijzigen. Hij benadrukte ook dat het programma een kans kan zijn om de integratie van Huawei technologieën in Japans netwerkinfrastructuur te beoordelen.