Asioiden Internet-teollisuus epäonnistui meillä max pyörre

Viime viikonloppuna Yhdysvaltain Internet hidastui indeksointiin hajautetun palvelunestohyökkäyksen eli DDOS: n ansiosta. Se oli mielenkiintoinen hyökkäys kahdesta syystä. Ensinnäkin hyökkääjät - riippumatta siitä, mitä he ovat - eivät tulvanneet yhtä verkkosivustoa roskapyynnöillä, kuten on tapana DDOS-hyökkäyksille. Sen sijaan he menivät DNS-palveluntarjoajan Dynin jälkeen, mikä aiheutti useiden verkkosivustojen indeksoinnin hidastumisen tai lopettaa toiminnan kokonaan. Varoitukset DNS-infrastruktuurin ylikuormituksesta tulivat yhtäkkiä erittäin mielenkiintoisiksi.

Toinen ja tärkeämpi kohta on, että DDoS-hyökkäykseen osallistuvien laitteiden mittava kappale oli niin kutsuttuja älykkäiden esineiden Internet-laitteita. Yleensä hyökkääjät levittävät haittaohjelmia tietokoneiden kautta, jotka seuraavat hyökkääjän komentoa ja pyytävät samanaikaisesti tietoja verkkosivustoilta, kunnes sivusto solkii kuorman alla. Mutta tällä kertaa häikäisevä digitaalinen zombilaite sisälsi turvakamerat ja langattomat reitittimet.

Teekannu teki sen

Hyökkäyksen ytimessä oli Mirai, joka ei ole erityisen eksoottinen haittaohjelma. Se etsii verkkoon kytkettyjä laitteita siltä osin kuin ne näyttävät olevan Linux-pohjaisia ​​Internet-laitteita, suosimalla ilmeisesti turvakameroita ja kotireitittimiä Hangzhou Xiongmai Technologyltä. Sitten se etsii oletussalasanan taulukolta ja kirjautuu sisään. Sisältyessään se antaa laitteen hallinnan keskuskäsky- ja hallintapalvelimelle.

Vaikka tämä hyökkäys oli järkyttävää saavutuksissaan, se ei valitettavasti ole mitään, mitä emme nähneet tulevan. Craig Heffner osoitti Black Hat -konferenssissa vuonna 2013 kykynsä ottaa helposti verkkoon kytketyt turvakamerat haltuunsa. Hänen demonstraationsa sisälsi tunnettavia suuryrityksiä, kuten D-Link, Linksys, Cisco, IQInvision ja 3SVision. Kysyttäessä, mitkä laitteet olivat alttiita hyökkäyksille, hän sanoi, että hän ei ollut löytänyt merkkiä, jota ei voitaisi hallita.

Demoonsa Heffner huijasi kameran näyttämään silmukkavideon, kuten heist-elokuvassa. Mutta hänen puheensa todellinen sisältö oli paljon suorempi. Internet-laitteet, kuten turvakamerat, teenkeittimet, jääkaapit ja kyllä, jopa langattomat reitittimet ovat vain pieniä tietokoneita, jotka on kytketty Internetiin. Hän sanoi, että jos hyökkääjät haluavat kohdistaa tietyn henkilön tai yrityksen, he voivat hyökätä näihin heikosti suojattuihin laitteisiin ja käyttää niitä rannanpäällikkönä tutkiakseen uhrien muuta verkkoa. Ja koska ne ovat pieniä tietokoneita, ne voidaan ajatella koaksioida suorittamaan mitä tahansa hyökkääjän haluamaa koodia.

Ajattele sitä tällä tavalla: voit ostaa vahvimmat ovet parhaimmilla näkymättömillä lukkoilla talosi suojelemiseksi, mutta varas voi silti murtautua sisään ikkunoiden läpi.

IoT on erilainen

Turvallisuusalalla haluamme syyttää ihmisiä, ei tietokoneita. Jos ihmiset olisivat olleet valppaampia, he olisivat ehkä saaneet Heartbleed-virheen ennen sen edes käyttöönottoa. Suosittu sanonta on, että minkä tahansa turvajärjestelmän suurin vikakohta on tietokoneen ja tuolin välillä. Tapaus esimerkissä: Hillary Clinton -kampanjan puheenjohtajan John Podesta-Gmail-tilin hakkerointi - joka esitteli meille muun muassa hänen risotto-reseptinsä - alkoi ilmeisesti tietojenkalasteluhuijauksella.

IoT-tietoturvan tapauksessa kuluttajia ei kuitenkaan voida pitää vastuussa samalla tavalla. Esimerkiksi auton omistajana sinun on noudatettava varovaisuutta ajaessasi ja suoritettava kohtuullinen huolto. Autoalan yrityksen puolestaan ​​vaaditaan toimittamaan sinulle tuote, joka ei todellakaan tapa sinua.

Yhteiskuntamme muuttuessa muuttuivat myös kuluttajien odotukset. Kuluttajan kannattajat huomauttavat, että jotkut autot olivat "vaarallisia millään nopeudella". Ja kuten kehittyvä olento, autot itävät uusia lisävarusteita: turvavöitä, turvatyynyjä ja vähemmän ilmeisiä ominaisuuksia, kuten rypistysalueita ja erityisesti suunniteltuja materiaaleja, joiden tarkoituksena on pitää kuluttajat kohtuullisen turvallisina muuttuvassa maailmassa.

Sama pätee kuluttajateknologiaan. Haitallisten ohjelmistojen leviäminen ja pelkästään Internetiin yhteydessä oleviin laitteisiin liittyvät vaarat ovat pakottaneet valmistajat ottamaan aktiivisemman roolin kuluttajien suojelemisessa. Esimerkiksi Windows toimitetaan nyt virustorjuntaohjelman kanssa, jonka Microsoft on asentanut ja ylläpitänyt. Yhtiö antaa myös korjaustiedostoja säännöllisesti, koska kuluttajien edessä olevat haasteet ovat liian monimutkaisia, jotta he voisivat selviytyä yksin.

Kun älypuhelimet alkoivat ottaa pois, valmistajat ja kehittäjät oppivat PC-vuosien kokeiluista. Vaikka mobiiliturvallisuudessa on ollut joitain törmäyksiä matkan varrella, se on ollut kulkuyhteys verrattuna tietokoneen historiaan. Meillä ei ole ollut tällaista laajalle levinnyttä älypuhelimissa, minkä näimme Confickerilla, ja toivottavasti emme koskaan.

IoT: n historia kartoitti toisen kurssin, kenties sellaisen, joka käytti kultakala navigoijana. Sen sijaan, että valvottaisiin laitteeseen pääsyä ja hyödynnetään parhaita käytäntöjä, jotka on opittu yhdistämällä miljardeja tietokoneita ja puhelimia vuosikymmenien ajan, valmistajat ryntäsivät halpoja tuotteita markkinoille. Ones, jotka on joissain tapauksissa suunniteltu koskaan huoltamatta, päivittämättä tai parantamatta. Ja vaikka ongelmiin voitaisiin puuttua, ei ole väistämättä kohtuullista odottaa, että ihmiset kohtelevat työvoimaa säästäviä laitteita samalla tavalla kuin tietokoneita. Suurin osa kuluttajista olettaa, ja perustellusti, että jos laitteessa ei ole näyttöä tai jonkinlaista syöttötapaa, sitä ei ole tarkoitettu heidän huollettavaksi.

Tämän ei tarvinnut tapahtua

Kaikkein turhauttavin osa äskettäisestä DDoS-hyökkäyksestä on, että Internet-valmistajien piti vain katsoa 30 vuoden kuluttajateknologiaa nähdäkseen sananlaskun kirjoituksen seinällä. Ja elleivät he pystyneet tekemään niin, he olisivat voineet ottaa huomioon turvallisuustutkijoiden (sekä yritys- että harrastaja-hakkerit) varoitukset. Nämä ihmiset ovat kertoneet kenellekään, joka kuuntelee, kuinka miljardien lisälaitteiden sijoittaminen Internetiin harkitsematta huolellisesti niiden käyttöä on huono idea. Vuonna 2014 Dan Geer avasi Black Hat -konferenssin sanomalla, että Internet on jo päässyt päälle ja voi johtaa ongelmiin.

Huolimatta kaikista pyrkimyksistäni pysyä kyynisinä, Internet tuntuu väistämättömältä ja pakottavalta. Sci-fi on luvannut meille puhuvia tietokoneita ja futuristisia laitteita vuosikymmenien ajan, ja ehkä siksi Gartnerin ennuste, että Internetiin on liitetty 6, 4 miljardia laitetta vuoteen 2020 mennessä, on toteutettavissa. Nämä laitteet ovat jo kotonamme: suoratoistolaatikot, pelikonsolit, langattomat reitittimet. Hyökkääjien ja automatisoitujen hyökkäysten silmissä nämä ovat vain enemmän IP-osoitteita, joita voidaan hyödyntää.

Kun rynnämme kohti lomaa ja ryhdymme eteenpäin uuden sukupolven Internet-laitteisiin, asetetaan tietoturva, joka on suunniteltu käyttäjien ymmärtämiseksi eturintamassa. Jos vuoteen 2020 mennessä paras neuvo, joka minun on edelleen tarjottava ihmisille, on älylaitteidensa irtikytkentä, niin tämä ala ei ansaitse mainettaan innovaatioiden tai edes älykkyyden vuoksi.