Интернет вещей (Internet of Things, IoT), как и любая быстроразвивающаяся технология, испытывает ряд «болезней роста», среди которых наиболее серьезной является проблема безопасности. Чем больше «умных» устройств подключается к сети, тем выше риски, связанные с несанкционированным доступом в IoT-систему и использованием ее возможностей злоумышленниками. Сегодня усилия многих компаний и организаций в сфере IT направлены на поиск решений, которые позволят минимизировать угрозы, тормозящие полноценное внедрение IoT.
Развитие концепции Интернета вещей и ее внедрение в различные сферы предусматривает наличие десятков миллиардов автономных устройств. По данным портала Statista в 2017 году их уже насчитывается более 20 млрд, а к 2025 году ожидается не менее 75 млрд. Все они подключены к Сети и передают через нее соответствующие их функционалу данные. И данные, и функционал являются мишенью для злоумышленников, а значит, должны быть защищены.
Для IoT-устройств безопасность заключается, прежде всего, в целостности кода, проверке подлинности пользователей (устройств), установлении правами владения (включая генерируемые ими данные), а также возможностью отражения виртуальных и физических атак. Но по факту, большинство из работающих сегодня IoT-устройств элементами защиты не снабжены, имеют доступные извне интерфейсы управления, дефолтных пароли, т.е., имеют все признаки веб-уязвимости.
Все еще помнят события годичной давности, когда ботнет Mirai путем подбора комбинаций дефолтных логинов и паролей взломал большое количество камер и роутеров, которые были в дальнейшем использованы для мощнейшей DDoS-атаки на провайдерские сети UK Postal Office, Deutsche Telekom, TalkTalk, KCOM и Eircom. При этом «бутфорс» IoT-устройств осуществлялся при помощи Telnet, а роутеры взламывались через порт 7547 с использованием протоколов TR-064 и TR-069.
Но самой резонансной, пожалуй, была атака, положившая DNS-оператора DYN, а вместе с ним практически «пол-Интернета» США. Для атаки ботнетом был использован самый легкий путь через установленные по умолчанию логины и пароли устройств.
Указанные события наглядно продемонстрировали бреши в IoT-системах и уязвимость многих «умных» устройств. Понятно, что сбои чьих-либо «умных» часов или фитнес-трекеров особого вреда, кроме расстройства их хозяев, не принесут. Но вот взлом IoT-устройств, которые входят в системы и сервисы M2M, в частности, интегрированы в критическую инфраструктуру, чреват непредсказуемыми последствиями. В этом случае степень их безопасности должна соответствовать важности той или иной инфраструктуры: транспортной, энергетической или другой, от которых зависит жизнедеятельность людей и работа экономики. Также и на бытовом уровне — сбои и атаки на ту же систему «умный» дом могут привести к локальным коммунальным или иным аварийным и опасным ситуациям.
Безусловно, угрозы для инфраструктуры существовали и в «доинтернетовские» времена — например, из-за тех же стихийных бедствий или ошибок проектантов. Однако с появлением в ней подключенных к Сети устройств добавилась еще одна, и, наверное, на порядок серьезней — кибератака.
Существующая проблема безопасности IoT-устройств возникла не из-за технической глупости или безалаберности их разработчиков. Здесь «торчат уши» трезвого расчета: быстрота выхода на рынок дает преимущество перед конкурентами, пускай и ненадолго, и даже за счет низкого порога защищенности.
Большинство производителей не заморачиваются тем, чтобы тратить время и деньги на разработки и тестирования кодов и систем безопасности своих «умных» изделий.
Одним из способов заставить их пересмотреть свое отношение к безопасности выпускаемых ими IoT-продуктов может стать сертификация. Идея не нова, но все же заслуживает на внимание, по крайней мере, это хоть какой-то путь решения проблемы. Процедура сертификации IoT-устройств не должна быть забюрократизированной и предоставлять покупателю гарантию, что оно имеет определенную степень защиты от хакерских атак. Для начала о необходимости наличия сертификата безопасности может быть указано при осуществлении государственных и корпоративных закупок.
Сегодня вопросами сертификации занимаются и несколько частных компаний. В частности, компания Online Trust Alliance (OTA) вышла с инициативой решения проблемы безопасности IoT на уровне государств и производителей, выпустив IoT Trust Framework — перечень критериев для разработчиков, производителей устройств и поставщиков услуг, который направлен на улучшение безопасности, конфиденциальности и жизненного цикла их IoT-продуктов. В первую очередь, он ориентирован на подключенные домашние, офисные и носимые устройства и является неким рекомендательным кодексом поведения и основой для нескольких программ сертификации и оценки рисков.
В текущем году независимым подразделением компании Verizon — ICSA Labs была запущена программа тестирования безопасности и сертификации IoT-устройств. Как утверждают ее разработчики, она является одной из первых в своем роде, и тестирует такие составляющие, как уведомление/протоколирование, криптография, аутентификация, связь, физическая безопасность и безопасность платформы. Устройства, которые прошли сертификацию, будут отмечены специальным знаком одобрения ICSA Labs, указывающим на то, что они были тестированы, а обнаруженные уязвимости были устранены. Также прошедшие сертификацию устройства будут находиться под наблюдением и периодически тестироваться на протяжении всего их жизненного цикла для сохранения их безопасности.
В свою очередь программа тестирования и сертификации компании UL Cybersecurity Assurance (CAP) направлена на обеспечение безопасности продуктов и систем. Сертификация CAP удостоверяет, что продукт или система обеспечивают разумный уровень защиты от рисков, которые могут привести к непреднамеренному или несанкционированному доступу, изменению или сбою. Кроме того, CAP также подтверждает, что будущие патчи, обновления или новые версии ПО для сертифицированного продукта или системы не приведут к снижению уровня защиты, существующего на момент оценки.
Впрочем, многие эксперты по безопасности IoT считают что наибольшая польза от таких программ сертификации будет при тестировании не только конкретного устройства, а всей экосистемы: используемой им инфраструктуры, приложений и т.д. Ведь протестированное и безопасное IoT-устройство может выйти из строя и в процессе взаимодействия внутри системы.
Имея безусловные плюсы для развития IoT, сертификационные программы имеют и обратную сторону. Один лишь факт прохождения устройством теста и наличие сертификата не может быть 100%-й гарантией его безопасности, поскольку, он, очень вероятно, все еще имеет определенные недоработки. Излишняя вера в сертификат безопасности может сыграть злую шутку с пользователями, у которых имеются индивидуальные потребности и различные варианты применения устройств, а значит, и собственные риски и угрозы. Ну и, конечно же, не исключена вероятность злоупотреблений. Наверняка найдутся производители, которые будут платить за «квазисертификацию», преследуя чисто коммерческие цели.
По всему выходит, что для глобального решения проблемы безопасности с помощью сертификации необходимо некое объединяющее решение, общий для всех производителей стимул выпускать защищенные устройства, а потребителям — не покупать те, безопасность которых ничем не подтверждается. Каким ему быть — законодательным, экономическим или карательным — еще предстоит решить. В конечном итоге, результатом должна стать безопасность глобальной системы Интернета вещей.
Безопасность Интернета вещей стала одной из первых сфер использования блокчейн-технологии. Благодаря технологии распределенного реестра появилась возможность обеспечивать высокий уровень безопасности IoT-устройств в сети и устранить существующие ограничения и риски для IoT, связанные с централизацией.
Она позволяет быстро и безопасно сохранять протоколы обмена и результаты взаимодействия различных IoT-устройств в децентрализованной системе. Именно распределенная архитектура блокчейна гарантирует достаточно высокую безопасность всей IoT-системы. Но если часть из устройств сети все же будет подвержена взлому, в целом, это не скажется на общей работе системы. Упомянутое использование ботнетами «умных» устройств, работающих в IoT-системах, стало возможным вследствие их слабой защищенности. Распределенный тип доверительных отношений позволяет избавиться от взломанного устройства без ощутимого ущерба для всей модели взаимодействия между «здоровыми» объектами.
В контексте безопасности сегодня блокчейн может использоваться в ряде сфер, в которых Интернет вещей развивается наиболее интенсивно. Например, это управление аутентификацией, проверка работоспособности разных сервисов, обеспечение неделимости информации и другие. В начале года ряд ведущих компаний, среди которых Cisco, BNY Mellon, Bosch, Foxconn и ряд других образовали консорциум, который будет находить решения по использованию блокчейна для увеличения безопасности и улучшения взаимодействия IoT-продуктов. Главная задача, которую поставили перед собой его члены — разработка на основе блокчейн-технологии распределенной базы данных и протокола обмена информацией между IoT-устройствами.
Отметим, что в январе 2017 года DHS США начало использовать технологию блокчейн для защиты, передачи и хранения данных, которые собираются ведомством с камер видеонаблюдения и различных датчиков контроля. Технологию также тестирует и DARPA — подразделение Минобороны США, курирующее вопросы разработки новых технологий для армии. Кроме того, одно из агентств, ведущее исследования под крышей Пентагона, подписало контракт стоимостью несколько миллионов долларов с софтвер-компанией Galois, занимающейся разработками в сфере безопасности на базе блокчейна.
Сегодня уже очевидно, что реализовать все возможности, которые может предоставить пользователям концепция IoT без решения проблем с безопасностью и конфиденциальностью будет сложно. Указанные выше способы защиты IoT, конечно же, не являются исчерпывающими, над решением проблемы работают множество групп, компаний и энтузиастов. Но прежде всего высокий уровень безопасности устройств Интернета вещей должен быть основной задачей их производителей. Надежная защита должна изначально входить как часть функций изделия и стать новым конкурентным преимуществом, как для производителей, так и поставщиков комплексных IoT-решений.
«Умные», но уязвимые
Развитие концепции Интернета вещей и ее внедрение в различные сферы предусматривает наличие десятков миллиардов автономных устройств. По данным портала Statista в 2017 году их уже насчитывается более 20 млрд, а к 2025 году ожидается не менее 75 млрд. Все они подключены к Сети и передают через нее соответствующие их функционалу данные. И данные, и функционал являются мишенью для злоумышленников, а значит, должны быть защищены.
Для IoT-устройств безопасность заключается, прежде всего, в целостности кода, проверке подлинности пользователей (устройств), установлении правами владения (включая генерируемые ими данные), а также возможностью отражения виртуальных и физических атак. Но по факту, большинство из работающих сегодня IoT-устройств элементами защиты не снабжены, имеют доступные извне интерфейсы управления, дефолтных пароли, т.е., имеют все признаки веб-уязвимости.
Все еще помнят события годичной давности, когда ботнет Mirai путем подбора комбинаций дефолтных логинов и паролей взломал большое количество камер и роутеров, которые были в дальнейшем использованы для мощнейшей DDoS-атаки на провайдерские сети UK Postal Office, Deutsche Telekom, TalkTalk, KCOM и Eircom. При этом «бутфорс» IoT-устройств осуществлялся при помощи Telnet, а роутеры взламывались через порт 7547 с использованием протоколов TR-064 и TR-069.
Но самой резонансной, пожалуй, была атака, положившая DNS-оператора DYN, а вместе с ним практически «пол-Интернета» США. Для атаки ботнетом был использован самый легкий путь через установленные по умолчанию логины и пароли устройств.
Указанные события наглядно продемонстрировали бреши в IoT-системах и уязвимость многих «умных» устройств. Понятно, что сбои чьих-либо «умных» часов или фитнес-трекеров особого вреда, кроме расстройства их хозяев, не принесут. Но вот взлом IoT-устройств, которые входят в системы и сервисы M2M, в частности, интегрированы в критическую инфраструктуру, чреват непредсказуемыми последствиями. В этом случае степень их безопасности должна соответствовать важности той или иной инфраструктуры: транспортной, энергетической или другой, от которых зависит жизнедеятельность людей и работа экономики. Также и на бытовом уровне — сбои и атаки на ту же систему «умный» дом могут привести к локальным коммунальным или иным аварийным и опасным ситуациям.
Безусловно, угрозы для инфраструктуры существовали и в «доинтернетовские» времена — например, из-за тех же стихийных бедствий или ошибок проектантов. Однако с появлением в ней подключенных к Сети устройств добавилась еще одна, и, наверное, на порядок серьезней — кибератака.
Сертификация устройств
Существующая проблема безопасности IoT-устройств возникла не из-за технической глупости или безалаберности их разработчиков. Здесь «торчат уши» трезвого расчета: быстрота выхода на рынок дает преимущество перед конкурентами, пускай и ненадолго, и даже за счет низкого порога защищенности.
Большинство производителей не заморачиваются тем, чтобы тратить время и деньги на разработки и тестирования кодов и систем безопасности своих «умных» изделий.
Одним из способов заставить их пересмотреть свое отношение к безопасности выпускаемых ими IoT-продуктов может стать сертификация. Идея не нова, но все же заслуживает на внимание, по крайней мере, это хоть какой-то путь решения проблемы. Процедура сертификации IoT-устройств не должна быть забюрократизированной и предоставлять покупателю гарантию, что оно имеет определенную степень защиты от хакерских атак. Для начала о необходимости наличия сертификата безопасности может быть указано при осуществлении государственных и корпоративных закупок.
Сегодня вопросами сертификации занимаются и несколько частных компаний. В частности, компания Online Trust Alliance (OTA) вышла с инициативой решения проблемы безопасности IoT на уровне государств и производителей, выпустив IoT Trust Framework — перечень критериев для разработчиков, производителей устройств и поставщиков услуг, который направлен на улучшение безопасности, конфиденциальности и жизненного цикла их IoT-продуктов. В первую очередь, он ориентирован на подключенные домашние, офисные и носимые устройства и является неким рекомендательным кодексом поведения и основой для нескольких программ сертификации и оценки рисков.
В текущем году независимым подразделением компании Verizon — ICSA Labs была запущена программа тестирования безопасности и сертификации IoT-устройств. Как утверждают ее разработчики, она является одной из первых в своем роде, и тестирует такие составляющие, как уведомление/протоколирование, криптография, аутентификация, связь, физическая безопасность и безопасность платформы. Устройства, которые прошли сертификацию, будут отмечены специальным знаком одобрения ICSA Labs, указывающим на то, что они были тестированы, а обнаруженные уязвимости были устранены. Также прошедшие сертификацию устройства будут находиться под наблюдением и периодически тестироваться на протяжении всего их жизненного цикла для сохранения их безопасности.
В свою очередь программа тестирования и сертификации компании UL Cybersecurity Assurance (CAP) направлена на обеспечение безопасности продуктов и систем. Сертификация CAP удостоверяет, что продукт или система обеспечивают разумный уровень защиты от рисков, которые могут привести к непреднамеренному или несанкционированному доступу, изменению или сбою. Кроме того, CAP также подтверждает, что будущие патчи, обновления или новые версии ПО для сертифицированного продукта или системы не приведут к снижению уровня защиты, существующего на момент оценки.
Впрочем, многие эксперты по безопасности IoT считают что наибольшая польза от таких программ сертификации будет при тестировании не только конкретного устройства, а всей экосистемы: используемой им инфраструктуры, приложений и т.д. Ведь протестированное и безопасное IoT-устройство может выйти из строя и в процессе взаимодействия внутри системы.
Имея безусловные плюсы для развития IoT, сертификационные программы имеют и обратную сторону. Один лишь факт прохождения устройством теста и наличие сертификата не может быть 100%-й гарантией его безопасности, поскольку, он, очень вероятно, все еще имеет определенные недоработки. Излишняя вера в сертификат безопасности может сыграть злую шутку с пользователями, у которых имеются индивидуальные потребности и различные варианты применения устройств, а значит, и собственные риски и угрозы. Ну и, конечно же, не исключена вероятность злоупотреблений. Наверняка найдутся производители, которые будут платить за «квазисертификацию», преследуя чисто коммерческие цели.
По всему выходит, что для глобального решения проблемы безопасности с помощью сертификации необходимо некое объединяющее решение, общий для всех производителей стимул выпускать защищенные устройства, а потребителям — не покупать те, безопасность которых ничем не подтверждается. Каким ему быть — законодательным, экономическим или карательным — еще предстоит решить. В конечном итоге, результатом должна стать безопасность глобальной системы Интернета вещей.
Блокчейн-технология
Безопасность Интернета вещей стала одной из первых сфер использования блокчейн-технологии. Благодаря технологии распределенного реестра появилась возможность обеспечивать высокий уровень безопасности IoT-устройств в сети и устранить существующие ограничения и риски для IoT, связанные с централизацией.
Она позволяет быстро и безопасно сохранять протоколы обмена и результаты взаимодействия различных IoT-устройств в децентрализованной системе. Именно распределенная архитектура блокчейна гарантирует достаточно высокую безопасность всей IoT-системы. Но если часть из устройств сети все же будет подвержена взлому, в целом, это не скажется на общей работе системы. Упомянутое использование ботнетами «умных» устройств, работающих в IoT-системах, стало возможным вследствие их слабой защищенности. Распределенный тип доверительных отношений позволяет избавиться от взломанного устройства без ощутимого ущерба для всей модели взаимодействия между «здоровыми» объектами.
В контексте безопасности сегодня блокчейн может использоваться в ряде сфер, в которых Интернет вещей развивается наиболее интенсивно. Например, это управление аутентификацией, проверка работоспособности разных сервисов, обеспечение неделимости информации и другие. В начале года ряд ведущих компаний, среди которых Cisco, BNY Mellon, Bosch, Foxconn и ряд других образовали консорциум, который будет находить решения по использованию блокчейна для увеличения безопасности и улучшения взаимодействия IoT-продуктов. Главная задача, которую поставили перед собой его члены — разработка на основе блокчейн-технологии распределенной базы данных и протокола обмена информацией между IoT-устройствами.
Отметим, что в январе 2017 года DHS США начало использовать технологию блокчейн для защиты, передачи и хранения данных, которые собираются ведомством с камер видеонаблюдения и различных датчиков контроля. Технологию также тестирует и DARPA — подразделение Минобороны США, курирующее вопросы разработки новых технологий для армии. Кроме того, одно из агентств, ведущее исследования под крышей Пентагона, подписало контракт стоимостью несколько миллионов долларов с софтвер-компанией Galois, занимающейся разработками в сфере безопасности на базе блокчейна.
Сегодня уже очевидно, что реализовать все возможности, которые может предоставить пользователям концепция IoT без решения проблем с безопасностью и конфиденциальностью будет сложно. Указанные выше способы защиты IoT, конечно же, не являются исчерпывающими, над решением проблемы работают множество групп, компаний и энтузиастов. Но прежде всего высокий уровень безопасности устройств Интернета вещей должен быть основной задачей их производителей. Надежная защита должна изначально входить как часть функций изделия и стать новым конкурентным преимуществом, как для производителей, так и поставщиков комплексных IoT-решений.
