„Protingo“ namo sistemos, transporto priemonės, prijungtos prie interneto, ir kiti jutikliai, kurie aktyviai perduoda duomenis į debesis arba bendrauja su išmaniuoju telefonu, sparčiai populiarėja. Taip, tai labai patogu. Bet ar saugu? Ne, visiškai nesaugu.
„Protingo“ namo sistemos, transporto priemonės, prijungtos prie interneto, ir kiti jutikliai, kurie aktyviai perduoda duomenis į debesis arba bendrauja su išmaniuoju telefonu, sparčiai populiarėja. Taip, tai labai patogu. Bet ar saugu? Ne, visiškai nesaugu.
Frazė „Daiktų internetas“ dabar girdėti iš visų pusių. Visos IT kompanijos tarsi pamišo dėl prie tinklo prijungiamų įrenginių ir kartu su „inovacijos, našumas, plėtra, ateitis“ ir kitais standartiniais žodžiais, dabar nuolat galima išgirsti kai ką apie tai, koks tai yra milžiniškas žingsnis į ateitį ir kaip prijungti prietaisai pakeis pasaulį. Turbūt, populiarumu Daiktų internetas aplenkė net debesis.
Tačiau praktikoje viskas vyksta ne taip sklandžiai, kaip brošiūrose ir parodų pristatymuose. Apie milijonų prietaisų prijungimo prie tinklo sunkumus gali papasakoti, pavyzdžiui, kompanija „Ericsson“, užsiimanti 5G korinių tinklų standartizavimu. O apie daiktų interneto saugumą galėtų papasakoti beveik bet kuri bendrovė, turinti bent ką nors bendra su tuo pačiu saugumu. Ir tokio pasakojimo bendra idėja būtų labai paprasta: nėra ten jokio saugumo. Tame tarpe ir tam buvo skirtas vienas iš pranešimų hakerių konferencijoje „PHDays“, vykusioje Maskvoje gegužės 17–18 dienomis.
Saugumas? O kam?
Pažįstami su „protingomis“ LED lemputėmis „LifX“, kurios gali pakeisti švytėjimo spalvą pagal išmaniojo telefono komandą? Jos patogios, bet nesaugios. Paprastai „LifX“ lempų name yra keletas, ir tokiu atveju viena iš jų yra visada veikia kaip pagrindinė, priimdama išmaniojo telefono komandas, o kitos gauna nurodymus iš jos. Tuo pat metu jos yra prijungtas prie jūsų namų Wi-Fi tinklo. „Context“ įmonės tyrėjams pavyko apgauti „LifX“: jie, taip sakant, apsimetė nauja lempute sistemoje – ir pagrindinė lempa jiems atsiuntė informaciją apie Wi-Fi ryšį. Tai yra namų Wi-Fi tinklo prisijungimo vardą ir slaptažodį!
Taip, šiuos duomenis „LifX“ persiunčia užšifruotus. Tačiau šifravimo raktas visoms „LifX“ lempoms pasaulyje yra tas pats (buvo iki šiol). Jis saugomas pačios lemputės programinėje įrangoje, kurį, kaip parodė praktika, ne taip sunku išgauti iš jos mikrokontrolerio. „LifX“ garbei pasakysime, kad bendrovė greitai sureagavo į problemą ir išleido firmware atnaujinimas, kurie pašalino šį pažeidžiamumą. Tačiau abejonės liko, kaip ir tūkstančiai lempų su sena programine įranga, kurių vartotojai tiesiog nesivargina jų atnaujinti.
Dar vienas pavyzdys. JAV labai populiari namų bevielė signalizacija „SimpliSafe“, kurą naudoja daugiau nei 200 tūkst. žmonių. Ji sukurta paprastai: įeidamas į namą, vartotojas skaitmeniniame skydelyje įveda kodą ir jei jis yra teisingas, signalizacija išsijungia. Jei kodas nebuvo surinktas arba nesutapo, arba jei bevieliai judesio detektoriai namuose aptiko tam tikrą veiklą arba dūmus, signalizacija koriniu ryšiu skambina jums, taip pat policijai ir ugniagesiams. Norėdami padidinti patogumą „SimpliSafe“ siūlo pultelį – jis leidžia nevesti patvirtinimo kodo, o priartėjus prie namų paspausti vieną mygtuką.
Nepriklausomas tyrėjas Andrew Sonnenbergas pabandė nulaužti signalizaciją – ir jis tai padarė labai lengvai. Jam net nereikėjo surasti kodo – pakako nuskaityti signalą, kurį generuoja pagrindinis įtaisas arba pultelis, kai kodas įrašomas teisingai.
Sonnenbergas pirmiausia informavo įmonę „SimpliSafe“ ir daugiau niekam nieko nesakė. Praėjo 5 mėnesiai, bet jokio atsakymo nebuvo. Tada Sonnenbergas apie spragą nusprendė paskelbti pranešimą savo dienoraštyje. Praėjo dar penkis mėnesiai – „SimpliSafe“ taip nieko ir neišsprendė. Po medžiagos paskelbimo gana didelėje svetainėje techinsider.io „SimpliSafe“ pagaliau sureagavo: jie sako, tai toks nestandartinis įsilaužimas, kad vargu ar bus įgyvendinamas vagių praktikoje. Jei ponai vartotojai vis dėl to jaudinasi – tegul dažniau keičia kodą.
Na, ir dar didesnio masto pavyzdys. Yra toks gana populiarus Daiktų interneto standartas „ZigBe“, sukurtas „ZigBee Alliance“, kurį sudaro ARM, „Samsung“, „Sony“ ir kitos pasaulyje gana pastebimos bendrovės. Standartas puikus tuo, kad yra atviras, labai paprastas naudoti ir nereikalauja brangios „geležies“ – tuo jis patiko daugeliui įvairių rūšių išmaniųjų prietaisų gamintojų. Be to šis standartas yra lankstus – leidžia gamintojams kurti sudėtingus ir saugius įrenginius arba mažiau sudėtingus (ir mažiau saugius). Mažiau sudėtingi, žinoma, yra pigesni, todėl dauguma pasirenka būtent šį variantą.
Kaip įprasta, kas nors (šiuo atveju – Austrijos įmonė „Cognosec“) nusprendė patikrinti: o kaip ten reikalai su saugumu? Paaiškėjo, kad su saugumu yra blogai. Iš naujo paleidžiama arba naujų prietaisų prijungimo režime „ZigBee“ šakotuvas į vietinį tinklą perduoda raktus. Paprastoje ir pigioje modifikacijoje – paprastu tekstu be jokio šifravimo. Perėmė raktus? Sveiki atvykę, šeimininke: dabar galite valdyti visą „protingą“ namą. Beje, „ZigBee“ standartas numato užraktų, termostatų, apsaugos kamerų, energijos valdymo ir kitų sistemų prijungimą prie šakotuvo. Tai reiškia, kad užpuolikas namuose gali daryti ką tik nori – kam pakanka fantazijos. Problema yra ta, kad kažkaip užlopyti skylę standarte neįmanoma – jis yra pažeidžiamas, kaip sakoma, by design, tiesiog dėl jo projektavime pritaikytos idėjos.
Kas kaltas? Ką daryti?
Tokiems įsilaužimams reikia tam tikrų žinių ir įrangos, tokios kaip SDR (Software Defined Radio), kurios kaina neviršija tūkstančio dolerių. Tai yra, apskritai nieko antgamtiško ir nepasiekiamo tam, kuris tikrai nori ką nors nulaužti. Tokiu daiktų interneto skylių pasitaiko kiekviename žingsnyje. Automobiliuose, traukiniuose – visur.
Kodėl taip? Į šį klausimą, tiesą sakant, jau atsakėme. Esmė tame, kad gamintojai daug labiau susirūpinę prietaisų kaina, funkcionalumu ir patekimo į rinką laiku, o ne saugumu. Saugumas yra visada brangu (reikia papildomų žmonių ir papildomos įrangos), ilgai trunka (reikia daugiau laiko įdiegimui ir patikrinimui) ir aplamai saugus įtaisas dažnai yra daug sudėtingesnis už nesaugų. Tuo pat metu, pagaminti visiškai saugų skaitmeninį įrenginį prijungtą prie interneto, neįmanoma iš esmės.
„PHDays“ konferencijoje pranešimą apie daiktų interneto saugumą skaitęs Jeffas Katzas šia tema pasakė labai įsimintiną frazė: „negalima sakyti, kad prietaisas 100 proc. saugus. Mes galime sakyti, kad prietaisas atrodo saugus arba tikrai nėra saugus“. Tai yra, arba jame jau rado pažeidžiamumą, arba dar nerado, bet nereiškia, kad neras. Maža to, tikriausiai ras – tai daugiau pastangų ir laiko klausimas, nei tame, ar prietaise yra pažeidžiamumas. Tikriausiai yra.
Daiktų internetas – labai sudėtingas, labai masyvus ir labai jaunas dalykas. Išpuolių krypčių daugybė – galima pabandyti išnaudoti mikrovaldiklių arba jų programinės įrangos lygio pažeidžiamumus, galima bandyti perimti signalus, galima ieškoti skylių atskirose, prietaise veikiančiose, paslaugose ir pan.
Nepaisant to daiktų interneto prietaisus dažnai kuria smulkios įmonės, kartais net pavieniai asmenys, „Kickstarter“ pradėję lėšų rinkimo kampaniją eilinei išmaniajai spynai. Beje, užduotis ne tingiems skaitytojams – pažiūrėkite į spyną nuorodoje ir sugalvokite kuo daugiau būdų, kaip ją nulaužti. Patarimas tingiems skaitytojams: užrakto programinė įranga numato galimybę atrakinimą konkrečiu beldimo deriniu. Einate jūs atsitiktinai pro tokias duris, kai buto savininkas atidaro užraktą ir…
Problema ne tik tame, kad daiktų interneto prietaisus yra taip lengva nulaužti, bet taip pat dėl to, kad jie saugo jūsų asmeninę informaciją. Ar net tokią informaciją apie jus, kurios apskritai neketinote patikėti.
Pradėsime nuo to: ar skaitote licencines sutartis prijungdami prie eilinės debesų paslaugos? Ar žinote kur Jūsų duomenis saugo kūrėjas išmaniosios spynos, kuri atrakinama „iPhone“ aplikacijos pagalba? Gal debesyje? O kokius duomenis ten saugo?
Dauguma prietaisų kūrėjų renka per daug duomenų. Spynos gamintojo debesyse gali atsidurti, pavyzdžiui, informacija apie IP adresą, į kurią ji siunčia signalą spynai atsirakinti arba užsirakinti. Taip pat istorija – kurią dieną ir kokiu laiku durys buvo atidarytos arba uždarytos. Jei tokią istoriją šiek tiek paanalizuoti, galima nustatyti kada jūs būnate namuose, kada – darbe. Jei tai būtų „Kickstarter“ kampanija, debesyse gali atsidurti jūsų fizinis namų adresas, į kurį jums išsiuntė pirkinį.
Labai nesunku įsivaizduoti vagis, kurie pagal šiuos duomenis apskaičiuoja, kada nesate namie. Ir tada jie tiesiog ateina pas jus, naudodami perimtus kodus atveria keletą paprastų skaitmeninių spynų ir išjungia pažeidžiamas signalizacijas, tokias kaip „SimpiSafe“.
Be to, kai kuriose bendrovėse požiūris į asmens duomenis yra atvirai ciniškas. Vieno iš didžiausių gamintojų išmanieji televizoriai pagal nutylėjimą nuolat įrašo garsą – taip įgyvendintas valdymas balsu. Tai reiškia, kad įmonės darbuotojai gali nuolat klausytis, ką jūs sakote savo kambaryje. Kompanija teigia, kad atsakingai vertina vartotojų duomenis ir siekia užtikrinti maksimalią privatumą.
Yra, pavyzdžiui, įrenginys „Amazon Echo“, kuris taip pat nuolat jūsų klauso, be to apdorojamus duomenis saugo debesyse. O jei tame pačiame sakinyje yra žodžių „Amazon“ ir „Duomenų apdorojimas“, nėra abejonių, kad staiga pradėsite matyti reklamą to, apie ką kalbėjote kambaryje.
Tačiau, tarkim, mes – kaip vartotojai, dar galime atleisti, kad duomenys apie mus patenka į „Amazon“, „Google“ ar „Facebook“ rankas. Tikimės, kad šios bendrovės gerai rūpinasi informacijos saugumu, o duomenys niekus nenutekės ir bus naudojami tik mūsų labui ir griežtai laikantis licencijos sutarties (kurios mes neskaitėme). Tačiau mažos įmonės, sugalvojusios kokį nors „protingą“ termostatą, debesis gali būti ne toks apsaugotas – greičiausiai, termostato kūrėjai jo saugumu rūpinasi taip pat, kaip ir paties termostato. Tai reiškia, kad duomenys gali nutekėti ir patekti ne tiems, kuriems juo patikėjote.
Kaip nuo viso to apsisaugoti? Deja, beveik niekaip. Daiktų internetui nėra antivirusinės ir ugniasienės. Tiesiog turite žinoti, ką perkate. Nepatingėkite internete susirasti informacijos ir dar kartą pagalvoti: ar jums reikia simpatiškos lempos „LifX“, kuris perduoda jūsų Wi-Fi tinklo slaptažodį, ar vis dėl to ji nėra būtina? Ar jus tenkina „SimpliSafe“ saugumo lygis, ar norite naudotis senamadiška laidine signalizacija?
Ne visiems įrenginiams iš tiesų reikia prijungimo prie interneto, telefono ar dar ko nors. Prijungiamų plaktukų arba išmaniųjų šakučių kol kas lyg ir nepasitaikė – tiesiog todėl, kad jiems nereikia prisijungti prie interneto ir siųsti duomenis į telefoną apie pakabintų makaronų kiekį. Ir kiekvienas naują įrenginį reikėtų įvertinti šiuo požiūriu – ar tikrai jam reikalingas interneto ryšys?
Kita vertus, daiktų interneto saugumo temai lėtai įsibėgėja – apie ją bent jau pradėdama kalbėti. Gamintojams nurodo jų klaidas, ir naujuose įrenginiuose gana dažnai į tai atsižvelgiama.
Pabaigai šiek tiek skaičių. Pagal „Cisco“ skaičiavimus, 2019 metais daiktų interneto rinka bus vertinama 19 milijardų dolerių. Pasaulyje bus 24 mlrd. prie tinklo prijungtų prietaisų ir 10,5 mlrd. ryšių tarp jų (M2M, machine to machine). Buitiniams prietaisams, tokiems kaip signalizacijos, spausdintuvai, išmaniosios spynos ir prie tinklo prijungtų šaldytuvų dalis sudarys daugiau nei 50 proc. iš jų. Tai reiškia, kad daiktų internetas apsups mus iš visų pusių ir tai įvyks labai greitai. Norisi tikėti, kad iki to laiko tai bus šiek tiek saugesnis nei dabar daiktų internetas.
