Internet of Things: propojená budoucnost

Vše přístupné je napadnutelné

Zařízení, která budou v džungli internetu díky IP adrese jasně identifikovatelná a přístupná, znamenají problém pro bezpečnost. Asi nás nebude moc trápit, když bude napadena naše chytrá žárovka, ale automobilové systémy, zařízení sloužící veřejnému osvětlení či průmyslová zařízení, to už je jiné kafe. Nicméně už lednička nebo ona zmíněná žárovka se staly obětí útoku.
Jak informoval příslušný blog, potkalo to žárovku LIFX vybavenou rozhraním Wi-Fi, ovšem útočníci byli prozatím jen výzkumníci firmy Context, kteří testovali odolnost systému právě proti napadení. Podařilo se jim pomocí sledování provozu na síti používané samotnými žárovkami a také prozkoumáním firmwaru žárovky ovládnout jejich síťovou komunikaci a zasílat příkazy bez řádné autorizace. Nicméně to fungovalo pouze v dosahu bezdrátového rozhraní v rámci sítě 802.15.4 6 LoWPAN, a není také moc pravděpodobné, že by někdo vynaložil takovou snahu k ovládnutí cizích žárovek. Jde ale o to, že napadnutí takovýchto zařízení je možné.

Zmínit můžeme ale také ledničky rozesílající spam, čili nevyžádanou elektronickou poštu. V tomto případě jde už o opravdový problém, který ukazuje na možnost ovládnutí podobných zařízení, která pak jako boti poslouží k libovolnému účelu. Nicméně toto samozřejmě není problém pouze IoT, ale i počítačů nebo dalších k síti připojených zařízení, tedy již léta používaných chytrých televizorů a multimediálních center, nad jejichž zabezpečením se obvykle moc nepozastavujeme. Kalifornská společnost Proofpoint udává, že na přelomu tohoto a minulého roku bylo pro rozesílání spamu zneužito několik desítek tisíc domácích zařízení, mezi něž nepatřily klasické počítače.

Jaká jsou ale spotřební zařízení, u nichž se předpokládá největší riziko napadení? Bude v podstatě stačit, když se podíváme na deset nejpopulárnějších spotřebních zařízení pro IoT, a to dle HP Fortify a Forbes. Mezi ta patří televizory, webkamery, domácí termostaty, síťové zásuvky, ovladače zahradních systémů zavlažování, huby pro ovládání více zařízení najednou, zámky u dveří, domácí alarmy, váhy a zařízení pro otevírání vrat či garážových dveří. Některá tato zařízení přitom známe už dlouho a nemáme je zrovna spojena s IoT, přičemž jde především o televizory a webkamery, takže zde se svět IoT začíná překrývat se světem už dlouho známých zařízení připojených přes síť. Je tu však ten rozdíl, že klasická webkamera obvykle nedisponuje vlastní internetovou adresou (na rozdíl od IP kamer). Nicméně u spotřebitelských zařízení se i tak obecně čeká jen malé riziko cíleného napadení, které by majiteli dokázalo citelně uškodit.

Mluvit pak můžeme o typech rizik. Jedno je spojeno právě třeba s webkamerami a jde o ohrožení soukromí, ale nejde pouze o napadení koncového zařízení. Soukromí si můžeme ohrožovat i sami tím, že budeme souhlasit se sdílením osobních dat s třetí stranou. Příkladem může být zařízení sledující naši kondici, které si koupíme od výrobce, jenž bude mít třeba díky cloudové službě přístup k datům a ta může poskytnout třeba zdravotní pojišťovně. Jde tedy především o citlivá data vztahující se ke konkrétní osobě.

Když ohrožení soukromí pozvedneme na ještě vyšší úroveň, může jít rovnou o náš majetek a potažmo i život. Není složité si představit, že sledováním zařízení na dálku může někdo skrytě vysledovat náš denní režim a po několika dnech automatického monitorování může vědět, kdy chodíme spát nebo kdy nikdo není doma. Už jen tyto informace mohou mít svou hodnotu a zde se tedy kyberzločin potkává s tím "klasickým". Přeci jen se ale budeme setkávat spíše s kyberzločinem usilujícím o naše peníze a ten už je rozšířen i bez IoT. Tuto oblast zabezpečení si chce vzít na starost také Intel.

S tím vším je spojen i problém neaktualizovaných zařízení. Na trhu přibydou miliardy zařízení, která bude nutné čas od času aktualizovat, na což budou výrobci potřebovat zcela nové strategie, jak upozorňuje i zpráva firmy Verizon. Nejvíce na ráně pak mají být body, které budou spravovat více koncových zařízení, čili útočník jejich ovládnutím zabije několik much jednou ranou.
Také společnost HP provedla malý průzkum, v jehož rámci si vzala 10 nejpopulárnějších zařízení pro IoT, které jsou určeny pro domácnosti. Patří mezi ně třeba chytrá zásuvka, ovladací zařízení pro zavlažování, domácí alarm či televizor. Ze zkoumání těchto zařízení vyplynulo, že těsná většina, tedy 6 z 10, nepoužívá při stahování aktualizací zabezpečené připojení, stejný počet měl problém s málo zabezpečeným webovým rozhraním, sedm zařízení dokonce nepoužívalo šifrovanou síťovou komunikaci s ostatními zařízeními. Osm z nich nepožadovalo po uživateli, aby zadal dostatečně silné heslo a téměř všechna zařízení vzbuzovala obavy ohledně osobních dat, která putují mezi nimi a cloudovými servery, a to navíc často v nezašifrované podobě. Tyto závěry přímo křičí po tom, aby někdo přišel s konceptem centralizované a dobře zabezpečené správy všech domácích IoT zařízení.

Vypadá to tedy na divokou džungli a ne robustně chráněný systém, o jehož správném nastavení řada uživatelů nebude mít nejmenší tušení, a to otevírá vrátka potenciálním útočníkům. Firmy si ale tento problém pochopitelně uvědomují, takže co si chystají?