Многие продукты Интернета вещей (IoT) нуждаются в надлежащей защите и, как таковые, представляют собой достаточно уязвимые точки входа для атак на критически важную инфраструктуру. Конкретной целью взломщиков может быть даже само устройство, из–за данных, которые оно хранит — например, данные с камер видеонаблюдения и информация о пациентах с медицинских носимых устройств. С 2022 года ситуация в области кибербезопасности кардинально изменилась – на смену программам-вымогателям пришли «тихие атаки» на более «лёгкие мишени», которые и представляют собой юниты Интернета вещей. Одной из причин такой трансформации стало обстоятельство, что безопасность ИТ-оборудования и программного обеспечения значительно улучшилась, а интернет вещей отстал в этом вопросе. Кроме всего прочего, многие юниты используются по нескольку лет, без обновления прошивок, патчей, закрывающих уязвимости и пр.
Эксперты в области киберпреступлений давно и громко заявляют, что многие продукты Интернета вещей нуждаются в надлежащей защите и, как таковые, представляют собой потенциальную угрозу даже для всей урбанистической цифровой инфраструктуры.
Постоянный поток новостей о кибератаках, затрагивающих обычные предприятия и известные бренды усиливается от месяца к месяцу. Такие взломы приводят к финансовым потерям, нарушениям конфиденциальности или блокировке доступа отдельных лиц к критически важным сервисам. Но теперь ключевая инфраструктура также становится главной мишенью, создавая опасность для здоровья, энергетики, дата-центров, производства продуктов питания, очистки питьевой воды и коммуникаций.
Надо со свей чёткостью осознавать, что данная проблема теперь всегда с нами и никуда не денется. Недорогие домашние компоненты и устройства с беспроводным доступом становятся настоящим благом для несанкционированного подключения. Цена превращения обычного устройства в интеллектуальное может составлять всего 10 центов, утверждают эксперты по безопасности. Это побуждает производителей бытовой техники и поставщиков оборудования добавлять беспроводную связь ко многим устройствам, даже если преимущества могут быть незначительными. Но мало кто осознаёт, что всякий раз, когда устройство подключено к интернету (даже через роутер по Wi-Fi), это сразу делает его потенциально уязвимой точкой входа во всю сеть для опытных хакеров.
По данным аналитических компаний, к 2025 году в мире будет почти 42 миллиарда устройств IoT, включая многочисленные устройства «умного» дома. Уязвимые элементы в этой сети будут способствовать росту затрат на защиту от киберпреступников, которые к тому же году вырастут до 10,5 трлн долларов. Растущее число подключённых устройств создаёт для домашней виртуальной беспроводной сети большую «площадь атаки» — ведь этот параметр зависит от количества потенциально незащищённых целей, которые злоумышленник может попытаться использовать. Хотя, как показывает практика, хватает и одного «самого слабого звена» в цепи. Кроме того, большие объёмы данных, собираемых и передаваемых миллиардами подключённых устройств Интернета вещей, создают большую привлекательную цель для перехвата трафика ещё до его попадания на сервер.
Устранение уязвимости уже подключённых устройств и повышение безопасности Интернета вещей является сложной задачей. Злоумышленники извлекают выгоду из сложности и разноплановости архитектур/чипов в локальной сети, поскольку чем больше брендов (включая устройства ноунейм), оборудования, устройств и программного обеспечения задействовано, тем больше возможностей для хакерского взлома. Такая сложность подчёркивает важность обеспечения безопасности на всех этапах жизненного цикла продукта, даже на этапе проектирования, а не только когда он находится в эксплуатации. Но часть производителей недорогих устройств даже не задумываются над этой проблемой.
Даже простые устройства с выходом в сеть, например, интеллектуальные термостаты, должны обеспечиваться определённой степенью защиты. Задача по встраиванию простых средств защиты, таких, как безопасная загрузка с обязательной аутентификацией на уровне процессора и mac-адреса, система безопасного обновления ПО с защитой от отката, для серьёзного производителя будет недорогой операцией, а вот для средних производителей становится уже обузой. Им выгоднее продать побольше устройств, просто снизив цену. Их предприятия, как правило, располагаются далеко и они не будут нести никакой ответственности. Встроенная система безопасной загрузки гарантирует, что устройство подтвердит легальность своего исходного программного обеспечения и любого последующего обновления, авторизуется надлежащим образом, проведёт самодиагностику, удостоверив свою безопасность для запуска работы в общей сети. Функция защиты от отката предотвращает восстановление более старой (и потенциально уязвимой) версии встроенного ПО.
Ещё большей безопасности можно достичь за счёт изоляции – то есть барьера между встроенным ПО, ответственным за потенциально уязвимые интерфейсы, и кодом, критически важным для безопасности всей сетевой инфраструктуры. Некритическая информация по-прежнему может быть извлечена из изолированной области для общей работы устройства Интернета вещей, но никакая критически важная для безопасности информация не доступна за пределами изолированной области. Устройство также может быть оснащено защищённым хранилищем критически важных для безопасности данных и активов.
На волне повышения осведомлённости о кибератаках, ожидания клиентов и общественности, в отношении устройств IoT, сильно изменились. Девять из десяти человек, даже немного разбирающихся в вопросе, теперь ожидают, что интеллектуальные устройства будут иметь базовые встроенные функции для защиты конфиденциальности и безопасности пользователей. Тем более, что многие страны, в том числе и Россия, закрепили законодательно требования о защите персональных и конфиденциальных данных.
В ответ на вызовы времени, платформа для сертификации защиты подключаемых устройств (PSA Certified), объединила основные заинтересованные стороны, чтобы выработать ряд эффективных подходов к обеспечению стандартизированной безопасности для Интернета вещей. Компания разработала четырёхэтапную платформу, которая помогает разработчикам выполнить шаги, необходимые для обеспечения нужного уровня минимизации потенциальных угроз для продукции. Регулирующие органы в нескольких странах также излагают ожидания и устанавливают минимальные стандарты безопасности для таких изделий.
Встроенные функции безопасности делают устройства устойчивыми к сбоям, повышая доверие отрасли к подключаемым коммерческим решениям. Теперь это доверие должно распространиться на ключевую инфраструктуру, такую как интеллектуальные сети распределения электроэнергии, образование и здравоохранение. Поскольку поставщики беспроводного интернета вещей, отраслевые консорциумы и регулирующие органы по всему миру работают над определением приоритетов цифровой безопасности, есть небольшая надежда увидеть, наконец, присущие IoT высокие уровни защиты, которые позволят раскрыть весь их потенциал, не опасаясь внешних угроз.