bezpieczeństwo IoT (internetu rzeczy)

Bezpieczeństwo IoT (internetu rzeczy, ang. IoT security) to ochrona urządzeń sieciowych codziennego użytku: kamer, routerów, sprzętu inteligentnego domu i czujników. Sekurak przedstawia urządzenia internetu rzeczy jako sprzęt, którego bezpieczeństwo pozostaje dyskusyjne i który może być źródłem ruchu do ataków DDoS ^[1]. Typowy problem to urządzenie podłączone do sieci z domyślnym hasłem i bez ścieżki aktualizacji. Tysiące takich urządzeń przejętych naraz tworzą botnet.

Jak działa atak na urządzenia IoT

Wzorcowym przykładem jest Mirai. Według alertu CISA z 14 października 2016 roku złośliwe oprogramowanie próbowało logować się na urządzenia listą 62 popularnych domyślnych par nazwa użytkownika i hasło ^[2]. W ten sposób przejęło setki tysięcy urządzeń podłączonych do internetu, takich jak routery i kamery ^[2]. Sekurak podaje, że Mirai powstał w 2016 roku i wykorzystywał publicznie dostępne routery oraz kamery IP ^[1]. Nie potrzebował przy tym żadnego exploita: wystarczyło, że właściciele nie zmienili haseł fabrycznych. CISA podaje, że domniemany autor Mirai twierdził, iż w ataku na stronę Briana Krebsa użyto ponad 380 tysięcy urządzeń IoT ^[2]. Przejęte urządzenia to głównie domowe routery, kamery sieciowe i cyfrowe rejestratory wideo ^[2]. Pod koniec września 2016 roku kod źródłowy Mirai opublikowano w internecie ^[2], co ułatwiło tworzenie kolejnych odmian.

Cykl takiego botnetu pokazuje schemat poniżej.

RYS. 1Samorozprzestrzeniający się botnet IoT

CISA zalecała monitorowanie portów 23/TCP i 2323/TCP, na których działa usługa telnet wykorzystywana przez Mirai ^[2]. Otwarta usługa zdalnego zarządzania od strony internetu to najczęstszy element powierzchni ataku urządzenia domowego.

Wymagania i normy

Europejska norma ETSI EN 303 645 określa podstawowe wymagania bezpieczeństwa dla konsumenckiego IoT i dzieli je na 13 grup ^[3]. Pierwsze trzy odpowiadają wprost na błędy, które umożliwiły Mirai.

Wymóg unikalnych haseł ma też drugą część. Hasła fabryczne, unikalne dla każdego egzemplarza, muszą być generowane tak, by utrudnić zautomatyzowane ataki na całą klasę urządzeń ^[3]. Norma podaje jako przykład błędny schemat z rosnącym licznikiem, w którym kolejne urządzenia dostają hasła różniące się tylko numerem ^[3]. Norma wymaga też, by producent w przystępny i przejrzysty sposób opublikował zdefiniowany okres wsparcia ^[3]. Definiuje go jako minimalny czas, przez który producent dostarcza aktualizacje bezpieczeństwa ^[3]. Wymóg 5.2 odpowiada praktyce skoordynowanego ujawniania podatności.

Sama aktualizacja firmware też musi być bezpieczna. RFC 9019 wymaga, by obrazy firmware były chronione kryptograficznie przed modyfikacją i przed pochodzeniem z niezaufanego źródła ^[6]. Zaleca też aktualizacje działające bez udziału użytkownika ^[6].

W Unii Europejskiej wymagania te stają się obowiązkiem prawnym przez akt o cyberodporności (Cyber Resilience Act). Według Komisji Europejskiej akt odpowiada na niewystarczający poziom cyberbezpieczeństwa wielu produktów i brak terminowych aktualizacji bezpieczeństwa ^[4]. Obejmuje sprzęt i oprogramowanie z elementami cyfrowymi, od elektronicznych nianiek po smartwatche ^[4]. Wszedł w życie 10 grudnia 2024 roku, główne obowiązki stosuje się od 11 grudnia 2027 roku, a obowiązki zgłaszania od 11 września 2026 roku ^[4].

W WordPressie

Przejęte urządzenia IoT atakują strony internetowe, w tym witryny na WordPressie. W kwietniu 2017 roku BleepingComputer opisał raport Wordfence, według którego 6,7% wszystkich ataków siłowych na strony WordPress w marcu 2017 roku pochodziło z domowych routerów z otwartym portem 7547 ^[5]. Routery przejmowano przez słabości protokołu zdalnego zarządzania TR-069, a próby zgadywania haseł rozkładano na tysiące adresów IP ^[5].

Dla administratora strony wynikają z tego dwie rzeczy. Po pierwsze, blokowanie pojedynczych adresów IP słabo działa przeciw botnetowi, dlatego lepszy jest limit prób logowania liczony na konto i uwierzytelnianie dwuskładnikowe (2FA). Po drugie, botnety IoT prowadzą ataki odmowy usługi na strony i hostingi. Mirai zaatakował stronę dziennikarza Briana Krebsa ruchem ponad 620 Gb/s, a francuski hosting OVH ruchem co najmniej 1,1 Tb/s ^[2]. Przed takim ruchem chroni raczej CDN albo usługa ochrony przed DDoS niż ustawienia samej strony.

Jak się bronić

• Zmienić wszystkie domyślne dane logowania na silne hasła; to pierwsze zalecenie CISA ^[2].
• Instalować poprawki bezpieczeństwa, gdy tylko są dostępne ^[2].
• Wyłączyć UPnP na routerze ^[2].
• Zainfekowane urządzenie uruchomić ponownie po odłączeniu od sieci, co usuwa działające w pamięci złośliwe oprogramowanie ^[2], a potem zmienić hasło, zanim wróci do sieci.
• Kupować urządzenia od producentów, którzy mają opinię dostarczających bezpieczny sprzęt ^[2].
• Przy zakupie sprawdzać, czy producent publikuje okres wsparcia i politykę ujawniania podatności ^[3].
• Oddzielać urządzenia IoT od komputerów z dostępem do paneli administracyjnych; pomaga w tym segmentacja sieci.

W zastosowaniach przemysłowych obowiązują osobne zasady, opisane w haśle bezpieczeństwo systemów przemysłowych (OT/ICS).

Historia i przykłady

Nie każda głośna historia o botnecie IoT jest prawdziwa. W lutym 2024 roku media obiegła informacja o 3 milionach inteligentnych szczoteczek do zębów użytych w ataku DDoS ^[1]. Sekurak wyjaśnił, że scenariusz przedstawiono hipotetycznie, jako ilustrację rodzaju ataku, a nie wynik badań ^[1]. Dziennikarze pomylili przykład z rzeczywistym zdarzeniem ^[1].