Waarom 98% van IoT-verkeer onversleuteld blijft: een oproep tot direct actie

Volgens het Unit 42 Threat Report 2020 van Palo Alto Networks verkeert een verbazingwekkende 98% van IoT-verkeer zonder versleuteling. Mike Nelson, VP IoT Security bij DigiCert, zei geschokt te zijn door deze cijfer.

Een Z-Scaler-rapport uit vorig jaar bevestigde deze trend, met 91% onversleuteld IoT-verkeer.

Onversleuteld verkeer betekent dat aanvallers Man-in-the-Middle (MiTM)-aanvallen kunnen uitvoeren, data tussen apparaten en netwerken onderscheppen of manipuleren.

Fabricanten brengen apparaten vaak haastig op de markt, waarbij fundamentele beveiliging in het ontwerp wordt over het hoofd gezien. Bedrijven implementeren daarna deze kwetsbare apparaten in anders veilige netwerken. Aanvallers kunnen blootgestelde endpoints ontdekken via tools zoals Shodan, een voet aan de grond verkrijgend.

IoT groeit rasant. McKinsey projecteert 43 miljard verbonden apparaten tegen 2023. Als de huidige trend van 98% onversleuteld aanhoudt, hebben cybercriminelen een massaal buffet aan data om te exploiteren.

Mensen stellen zich vaak kapotse hacks voor – poppen of deurbellen – maar het echte gevaar ligt in grote bedrijfsimplementaties. Een enkele blootgestelde apparatuur kan een poort worden naar gevoelige netwerken.

In 2017 werd een casino in Las Vegas slachtoffer van een inbraak via een visaquarium. Een IoT-sensor gekoppeld aan het aquarium stuurde data naar een externe server in Finland. Onderzoek onthulde dat hackers het aquarium gebruikten om 10 GB van de high-roller-database van het casino te exfiltreren.

Het incident belicht drie kritieke problemen: (1) data opgeslagen door het casino was onversleuteld, zodat aanvallers het gemakkelijk konden onderscheppen; (2) onvoldoende toegangscontroles lieten aanvallers toe van het IoT-apparaat naar zeer gevoelige data te bewegen; (3) de aquarium-sensor was geïntegreerd in het bredere netwerk van het casino, wat een direct pad naar kritieke informatie bood.

Dergelijke inbraken kunnen variëren van financiële verliezen en klantdatalekkages tot aanvallen op kritieke infrastructuur, potentieel veroorzakend stroomuitvallen, internetblackouts en landelijke shutdowns van gezondheidssystemen.

100% versleuteling bereiken

Alle vertrouwelijke data – of in rust of in transit – moet versleuteld zijn.zelfs een enkele onversleutelde datastroom is een kwetsbaarheid die aanvallers kunnen exploiteren.

Het versleutelen van mobiele, constant bewegende data via hubs, gateways en de cloud is complex, maar essentieel voor het beschermen van bedrijfs-IoT-netwerken die op talloze endpoints vertrouwen die data uitwisselen.

Public Key Infrastructure (PKI) met digitale certificaten biedt een schaalbare oplossing, die wederzijdse authenticatie en end-to-end versleuteling mogelijk maakt bij grote IoT-implementaties. Toonaangevende bedrijven nemen PKI aan om hun netwerken te beveiligen.

Hoewel er vooruitgang is, moet de sector versnellen. Fabrikanten moeten versleuteling, authenticatie en integriteit in hun producten inbouwen vanaf het begin. Incrementele fixes zijn onvoldoende.

Bedrijfsschaal-versleuteling is de toekomst van IoT-beveiliging. Naar mate toonaangevende fabrikanten PKI implementeren, moet de rest van de sector volgen – en dat spoedig.

De auteur is Mike Nelson, VP IoT Security bij DigiCert.

Over de auteur

Mike Nelson is VP IoT Security bij DigiCert, een aanbieder van digitale beveiliging. In deze rol begeleidt hij de strategische marktontwikkeling voor diverse kritieke infrastructuursectoren die hooggevoelige netwerken en IoT-apparaten beveiligen, waaronder gezondheidszorg, transport, industriële operaties, en slimme netwerk- en stadsimplementaties.

Mike adviseert organisaties regelmatig, bijdraagt aan mediarapporten, deelt mee in industriestandaardorganen en spreekt op conferenties over hoe technologie cyberbeveiliging voor kritische systemen en de mensen die erop vertrouwen kan verbeteren.

Mike heeft zijn carrière doorgebracht in healthcare IT, waaronder tijd bij het US Department of Health and Human Services, GE Healthcare, en Leavitt Partners – een boutique healthcare consultancy. Zijn passie voor de sector komt van zijn persoonlijke ervaring als diabetes type 1-patiënt en zijn gebruik van verbonden technologie in zijn behandeling.