Não acredite no exagero:Por que a IoT está parando

Ken Munro em Pen Test Partners
Se os ciclos de exagero servirem de referência, quase certamente estaremos oscilando à beira da depressão da desilusão com a IoT. Uma pesquisa recente afirma que 60% das implantações de teste falharam. Mas, embora alguns projetos-piloto possam ter falhado, ainda não há o peso dos dispositivos em implantação para sugerir que atingimos o pico. Em vez disso, a própria adoção parece estar vacilando.

A adoção da IoT não tem sido o sucesso desenfreado previsto e isso se deve a uma série de questões. Em primeiro lugar, a habilitação de IoT de dispositivos que não necessariamente garantem essa conectividade adicional. Pegue o aquário IoT que regulava a alimentação, a temperatura e a qualidade da água, diz Ken Munro, parceiro da Pen Test Partners .

Isso pode soar como um dispositivo de economia de trabalho, mas no final das contas ele viu um cassino onde o tanque foi instalado perder 10 GB de dados para um dispositivo na Finlândia. A segurança IoT não para no dispositivo. O que isso ilustra é que tais dispositivos estão sendo usados ​​para criar backdoors exploráveis ​​nas redes, permitindo o roubo de credenciais e a exfiltração de dados.

As preocupações com a longevidade também estão atrapalhando a adoção, com dispositivos frequentemente trocados em vez de atualizados, fazendo com que os usuários questionem a viabilidade do investimento. Então há a questão de saber se o fabricante tem recursos para corrigir quaisquer problemas que possam surgir?

As vulnerabilidades de segurança surgem com o tempo e, se isso acontecer e seus dispositivos precisarem ser corrigidos, o fabricante investirá o tempo necessário para supervisionar isso ou negará a culpabilidade ou até mesmo retirará o suporte?

Detalhes divulgados

Proteger a base instalada existente é uma verdadeira dor de cabeça para os fabricantes. Se você ler o site do Shodan, verá hosts de equipamentos IoT implantados (e preocupantemente até sistemas de controle industrial) com detalhes sobre o endereço IP, o sistema operacional executado e a versão do software em uso. E a FCC publica, de forma proveitosa, os esquemas dos dispositivos IoT a serem lançados em breve, completos com diagramas de circuito para aqueles que desejam detalhes de perto.

Em muitos casos, um invasor pode identificar dispositivos do Shodan e simplesmente obter as credenciais padrão para obter acesso. Certa vez, encontramos uma lista útil de "super senha" de credenciais de logon diárias para o ano inteiro publicada no site de mídia social por um técnico. Claramente, a segurança da cadeia de abastecimento tende a ser frouxa, com este caso ilustrando como é fácil obter dados "confidenciais".

Lutando contra essas probabilidades, os fabricantes agora procuram vender seus dados a terceiros. Isso pode fazer sentido comercialmente, mas compromete ainda mais a segurança e a privacidade da base de usuários. Ele pode ver as plantas baixas do seu escritório, por exemplo, vendidas se você for usuário de um aspirador de pó IoT. E se essa informação chegar ao mercado negro? Os dados do Building Management System (BMS) podem ser particularmente úteis. Pense na extorsão que seria possível se um invasor colocasse um ransomware em termostatos inteligentes.

Resolvendo o problema

Os cínicos entre vocês estarão questionando se o usuário final também não deve assumir parte da responsabilidade e é verdade que poucos reconfiguram os dispositivos após a configuração. Isso ocorre em parte porque pode ser muito difícil de fazer. Se tiver sucesso, você também alterou o PIN padrão em aplicativos móveis ou aplicativos da web que são usados ​​para controlar o dispositivo? Ainda é questionável se vale a pena fazer isso, visto que um PIN de quatro ou seis dígitos leva algumas horas para ser quebrado.

A atual falta de confiança só pode ser atribuída à falta de segurança e isso significa que os fabricantes precisam melhorar seu jogo. Eles precisam atender ao desenvolvimento seguro de aplicativos móveis, forte gerenciamento de sessão e criptografia em serviços da web, implementação segura do padrão sem fio escolhido e no próprio dispositivo, desabilitar funcionalidades não utilizadas, como portas seriais ou portas de depuração, aplicar técnicas de ofuscação e implementar segurança armazenamento da chave enquanto o firmware deve ser criptografado e assinado.

Lamentavelmente, até que os fornecedores comecem a priorizar a segurança, a adoção da IoT vacilará. Basta outro ataque de malware audacioso, talvez por meio de uma interface universal como a porta 80, para danificar a absorção de forma irreparável. No momento, a indústria precisa se concentrar em construir confiança e isso significa adotar uma regulamentação auto-imposta ou legislativa.

O autor deste blog é Ken Munro, parceiro da Pen Test Partners