IoT-adoptie stagneert: waarom de hype de plank mist

Volgens de Gartner Hype Cycle befindt het Internet of Things (IoT) zich nu in het 'dal van desillusie'. Recente studies tonen aan dat ongeveer 60% van de pilootprojecten hun beloftes niet inhouden. Hoewel geïsoleerde projecten struikelen, is de bredere markt nog niet verzadigd met apparaten om een piek te signaleren; in plaats daarvan vertraagt het tempo van nieuwe adoptie.

Factoren die de IoT-groei ondermijnen

Een groot probleem is de neiging om connectiviteit toe te voegen aan apparaten die het simpelweg niet nodig hebben. Neem de 'IoT-visaquarium' die voeding, temperatuur en waterkwaliteit monitorde. Ken Munro, partner bij Pen Test Partners, wijst erop dat een casino dat de tank installeerde, 10 GB aan gegevens verloor via een apparaat dat in Finland stond. Dit illustreert hoe slecht beveiligde IoT-eindpunten backdoors kunnen worden in bedrijfsnetwerken, wat diefstal van inloggegevens en data-exfiltratie mogelijk maakt.

Levensduur en ondersteuning

Levensduur is een ander punt van zorgen. Veel organisaties vervangen apparaten in plaats van firmware te updaten, wat twijfel onttrekt aan de lange-termijn rendabiliteit. Zelfs als een apparaat in dienst blijft, rijst de vraag: zal de fabrikant voortdurende ondersteuning en beveiligingspatches leveren? Kwetsbaarheden die na verloop van tijd opduiken, kunnen apparaten blootleggen als fabrikanten de middelen of bereidheid missen om updates uit te geven, of nog erger, de ondersteuning geheel intrekken.

Onontdekte kwetsbaarheden

Fabrikanten worstelen om hun geïnstalleerde basis te beschermen. Shodan's publieke database noemt duizenden geïmplementeerde IoT-eenheden - inclusief Industriële Control Systems - samen met details zoals IP-adressen, besturingssystemen en softwareversies. Gecombineerd met de vrijgave van schema's voor toekomstige apparaten door de FCC, kunnen aanvallers kwetsbare modellen identificeren en standaard inloggegevens misbruiken. In één incident plaatste een technicus publiekelijk een 'superwachtwoord'-lijst die dagelijkse inloggegevens voor een heel jaar gaf, wat de laksiteit in de beveiliging van de toeleveringsketen en de gemak waarmee vertrouwelijke data kan worden gecompromitteerd, benadrukt.

Geconfronteerd met deze risico's, keren sommige leveranciers zich tot datamonetarisatie. Het verkopen van gebruiksdata aan derden kan opbrengst genereren, maar ondermijnt verder de privacy van gebruikers.voorbeeld, vloerplangegevens van een slimme stofzuiger kunnen op het dark web worden verkocht, of Building Management System (BMS) data kunnen ransomware-aanvallen op slimme thermostaten mogelijk maken.

De weg vooruit

Sommigen kunnen beweren dat eindgebruikers meer verantwoordelijkheid moeten dragen, maar velen configureren apparaten niet na installatie. Zelfs wanneer wijzigingen worden aangebracht, blijven standaard PIN's of wachtwoorden vaak zwak - vier of zes cijfers kunnen in uren worden gekraakt. De hoofdoorzaak van het huidige gebrek aan vertrouwen is simpelweg slecht beveiligingsontwerp, en fabrikanten moeten actie ondernemen.

Best practices voor beveiliging omvatten: veilige mobiele app-ontwikkeling, robuuste sessiebeheer, end-to-end encryptie voor webservices, strikte implementatie van draadloze standaarden, uitschakelen van ongebruikte interfaces (serieele/debug-poorten), het gebruik van obfuscatie en veilige sleutelopslag op het apparaat, en het waarborgen dat firmware versleuteld en digitaal ondertekend is. Totdat leveranciers deze maatregelen prioriteren, zal de IoT-adoptie blijven struikelen. Eén hoog-publiek malware-incident - met name een dat een alomtegenwoordige interface zoals poort 80 aanvalt - kan het marktvertrouwen permanent schaden. Het opbouwen van vertrouwen door industriebrede standaarden of regelgevende toezicht is nu essentieel.

Auteur: Ken Munro, Partner bij Pen Test Partners