IoT

Последен ъпдейт на 28 юни 2018 в 01:15 ч.

„Интернет на нещата“ (IoT, Internet of Things) е феномен, който за много хора означава да се възползват от предимствата на свързани с интернет устройства, които могат да контролират отдалечено. Целта: да улесним живота си и дори да спестим разходи – като например контролираме отвсякъде кога и на каква температура да работи климатикът, например.

Дали обаче тази технология е безопасна? Има само един начин да разберем – като проверим или като някой провери вместо нас. В случая, този някой са анализаторите на ESET, които са тествали възможностите за защита на 20 различни устройства, свързани в един „умен дом“ – а производителите са марки като Amazon, d-Link, Nokia, Sonos, TP-Link и други.

Пълните резултати от експеримента можете да видите тук. А обобщението може да прочетете по-долу.

Личното ви пространство става все по-малко лично

Нуждата на IoT устройствата да ви следят и да събират информация за поведението ви не е най-големия проблем на умните домове. Както показват резултатите от проучването, основният проблем се крие в уязвимостите, открити в по-голямата част от тестваните устройства. С други думи – нямате пълна гаранция, че информацията ви отива само там, където я изпращате.

Последното е особено важно в случаите, в които сте се възползвали от предимствата на на IoT не за дома, а за офиса си.

Трудно, но не и невъзможно

Предвид казаното по-горе, мога ли да вярвам на умния си дом или офис? Да, разбира се.

А мога ли да имам сигурен умен дом или офис? Да, разбира се. Изграждането на защитена система от IoT устройства е напълно постижима задача, стига да знаете какво правите – или да работите с някой, който знае какво прави. В противен случай, рискувате да създадете база данни с вашите навици, предпочитания и лични (бизнес) данни, която  да е защитена точно толкова, колкото може да бъде непромокаем един гевгир.

Никое приложение или устройство не може да ви гарантира пълна сигурност, независимо какво казва производителят. Но начинът, по който инсталирате, конфигурирате и работите с тези устройства може да намали риска от работата с тях и да ви позволи да се възползвате от предимствата им.

Интелигентен дом с интелигентни избори

Ако сте готови да внесете лека футуристична нотка в ежедневието си и искате интернет да е и на вашите неща, то трябва да знаете как да избирате:

• Проверете за потенциални и минали уязвимости с просто търсене онлайн. Най-добре е да го направите на английски като следвате следните шаблони:

[име на устройството] security vulnerability

[име на устройството] privacy breach

[име на устройството] data leak

• Проверете дали и колко често производителят обновява фърмуера (вградения софтуер) на устройството, което сте избрали. Можете да проверите на сайта на производителя, да следите бюлетини или да използвате търсачка.
• Четете – да, курсорът на мишката ви се отплесва към „Accept Terms & Conditions” в момента, в който видите правен текст, но това няма да направи устройството ви по-сигурно.
• Не прекалявайте с данните, които споделяте с устройствата си или услугите, които използвате чрез тях. Отнасяйте се с тях като с човек, който обслужва нуждите ви, а не стар познат.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Последен ъпдейт на 28 юни 2018 в 01:27 ч.

Светът е IoT (Internet of Things или интернет на нещата). На практика, това са всички умни и свързани с интернет устройства – от IP камери, през рутери и принтери, чак до „умни“ крушки за лампи. Проблемът с тях е, че средностатистическия потребител не би имал и най-беглата идея как да ги подсигури срещу експлоатиране. А те съхраняват критична за него локация, която в грешните ръце може да бъде силно оръжие срещу самия потребител.

Нагледен пример за последното през последните две години са множество масирани атаки, идващи от ботмрежи, изградени изцяло от IoT устройства и изтеклите лични и дори интимни снимки.

Защитата на такива устройства не е нещо непостижимо – дори обратното. Ето няколко съвета, които ще ви помогнат да спите спокойно в свят, в който дигитална рамка за снимки може да шпионира вас и организацията ви (да, системни администратори, следващите редове са специално и за вас – защото смарт часовниците във офиса ви сигурност далеч не са изключение):

1. Избягвайте устройства, които рекламират Peer-to-Peer (P2P) функционалност

Причината за това е, че такива устройства използват изключително несигурен начин за свързване и са достижими отдалечено, дори и зад защитна стена. Те винаги търсят начин да се свържат към глобална, обща мрежа, за да могат потребителите да ги достъпват без значение къде са. Това обаче оставя зееща пролука в сигурността, която само чака да бъде експлоатирана.

2. Винаги променяйте фабричните настройки

Целта на занятието е да се избегнат или изключат функции, които са апетитни за атакуващите (като UPnP – Universal Plug n’ Play, който може да минава през защитната ви стена, без да знаете).

За да сте сигурни, винаги можете да проверите кои портове са отворени и достъпни през IP адреса ви. Можете да проверите IP адреса си тук и да използвате този инструмент на Censys като изберете IPv4 от падащото меню на страницата, въведете IP адреса си и натиснете „търси“.

От страна на антивирусния ви софтуер, най-добър избор би било използването на такъв с допълнително подсигуряване на мрежи и използване на интернет.

3. Обновявайте firmware-a на устройствата си

Вече сме писали неведнъж по темата – но по-голямата част от IoT устройствата обикновено се купуват и съществуването им се забравя от собственика (а понякога – и от производителя). Да, немалка част от авторите на IoT устройства предоставят на всичките си потребители обновления, които или подобряват сигурността, или поправят софтуерни грешки. Най-добре е дори, преди да включите устройството си в мрежата, да проверите дали фърмуеъра е последна версия.

4. Променяйте фабричните пароли

Факт е, че при някои устройства дори и това не би помогнало поради лошото внедряване на други мерки за сигурност или липсата им. Освен ако не искате всички да виждат огромен надпис „Добре дошли!“ над устройството ви, то първото нещо, което трябва да правите с ново устройство е промяната на фабричните име и парола – което важи с особена сила за WiFi рутера ви, особено, ако мрежата ви е незащитена с парола (Мрежата ви е незащитена с парола!? Поправете го още докато четете този текст). За жалост, голяма част от продуктите, които хората използват днес, имат и недокуметирани „задни вратички“, които принципно са акаунти за разработчици, чиито име и парола често са общо достояние.

5. Не свързвайте устройствата си директно с интернет

Това значи, че устройството ви не трябва да е последната стъпка преди световната мрежа – без защитна стена. Напредъкът във функционалността на IoT устройствата се случва прекалено бързо, за да се осигури максималното (или поне някакво) ниво на сигурност за всички устройства. Ако използвате рутер, то той най-вероятно има вградена защитна стена – дръжте всички устройства зад нея.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Последен ъпдейт на 28 юни 2018 в 01:29 ч.

Смарт-часовници, телевизори, хладилници, печки и много други IoT устройства в комбинация с наличието на услуги под наем са основните причини за над 90% ръст в броя на засечените през 2017 г. DDoS атаки от Corero Network Security.

DDoS или атака за отказ от услуга представлява забавяне или спиране на услуга, сайт или сървър след изпращането на огромен брой заявки за обработка, което води до невъзможност на сървъра да смогне с обема информация (повече за този тип атаки научете от нашия речник).

8.4 млрд. причини

Интернетът на нещата (както се превежда на български език IoT) и експлоатирането му за генериране на спам и фишинг атаки, както и на интернет трафик като цяло, не е нещо ново или невероятно. Подобни устройства са често експлоатирани, тъй като все още защитата им не е на толкова високо ниво, колкото на компютри и смартфони, например – а един смарт-телевизор има завидни възможности като устройство от гледна точка хардуерна мощност. Дори един домашен WiFi рутер (които са сред най-често компроментираните устройства) може да бъде използван за подобни негативни цели.

Така се получава следната ситуация: според Gartner към края на 2017 г. в света работят около 8.4 млрд. IoT устройства, а до края на 2018 г. броят им ще порасне  до 11.2 млрд. (или с над 30%). Не е ясно каква част от тях имат някаква защита –  съответно каква част от тях могат (или са) използвани за осъществяване на нелегални дейности, обикновено без знанието на собствениците им. Но е факт, че само няколко години след стартът на масовото им навлизане на пазара, те вече са фактор – първо в разпращането на спам, а вече и DDoS атаките.

Осезаемо повече

Данните на Corero Network Security показват, че през третото тримесечие на миналата година, са засичани средно 237 атаки месечно – с 35% повече спрямо първото тримесечие и с 91% повече спрямо началото на годината.

Естествено, не само IoT устройствата имат дял в това – на дневен ред е и възможността за наемане на услуги, които осъществяват DDoS атаки. На практика – подобна услуга може да бъде наета срещу по-малко от 100 долара, с които да се спре функционирането на сайт или да се забави значително, твърдят от Corero.

Успешни примери

Като успешен пример за рисковете, пред които стои IoT светът, е ботмрежата Reaper, която експлоатира уязвимости  в редица онлайн камери и рекордери – и която бе използвана за подобни атаки през 2017 г.

В началото на декември се „събуди“ и мрежата Satori – като само за ден беше засечено наличието ѝ на 280,000 различни IP адреса (бота). А малко по-късно – около Коледните празници – беше публикуван и варианта на кода, който е бил използван от мрежата (иронично или не, Satori на яонски означава „събуждане“).

А 2018 г. едва сега започва…

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Последен ъпдейт на 28 юни 2018 в 01:50 ч.

Съвсем наскоро Световната федерация по кеч стана жертва на пробив в сигурността, вследствие на който изтекоха лични данни на 3 милиона клиенти. Хакерите успешно са пробили системата, хоствана от облачна услуга на Amazon. Според Forbes  данните съдържат адресите, етническата принадлежност, залозите и печалбите, както и други лични данни на жертвите. Случилото се е смущаващо, но и чудесен пример за последиците от подобни престъпления.

Ето кои са шестте най-големи пробива в сигурността на облака досега.

1. Microsoft

През 2010 г., вследствие на неправилно конфигуриране на услугата Business Productivity Online Suite, инцидентно се дава достъп на неупълномощени потребители на облачната услуга до контактите на други потребители. Компанията потвърждава за нерегламентирания достъп, но уверява, че проблемът е бил разрешен в рамките на два часа. Тъй като са засегнати сравнително малък брой хора, инцидентът се счита за незначителен. Случилото се е не само първият сериозен пробив в сигурността на облачните услуги, но и предвестник на онези, които ще последват.

2. Dropbox

Никой не е подозирал за истинските размери на чудовищния пробив в Dropbox, когато се е случил през 2012 г. Едва 4 години по-късно, през 2016 г., става ясно, че хакерите успяват да се сдобият с данни за достъп на 68 милиона профила . Пробивът е толкова мащабен, че файловете с данни на потребители са с обща големина цели 5 Gb! Откраднатите имейли и пароли за достъп се търгуват от хакерите в dark web срещу биткойни, когато цената им е била около 1,100 щатски долара. Вследствие на пробива Dropbox предприема масово нулиране на потребителски пароли, за да предпази клиентите си от злоупотреба с лични данни.

@darkpawH and @PyroTek3 on hacking the cloud to a huge and packed room at @defcon pic.twitter.com/zXK292dl8v

— MrShannon (@MrShannonFritz) July 27, 2017

3. Национален електорален институт на Мексико

През април 2016 г. Националният електорален институт на Мексико става жертва на атака, която разкрива регистрациите на 93 милиона избиратели. Личните данни се оказват публични вследствие на лошо конфигурирана база данни. Този пробив разкрива редица други нарушения, като например това, че институцията е съхранявала чувствителни данни на необезопасен облачен сървър на Amazon извън пределите на Мексико. На това му се казва „как да не съхраняваме лични данни, ако сме държавна институция“.

4. LinkedIn

Понякога късметът наистина може да ни изиграе лоша шега. Точно това се случва с LinkedIn, когато през 2012 г. киберпрестъпници успяват да откраднат 6 милиона потребителски пароли и да ги публикуват в руски форум. Само 4 години по-късно, през май 2016 г., втора атака води до компрометиране на данни за достъп на над 167 милиона LinkedIn профила, които хакерите пускат за продажба на черния пазар. Инцидентът става причина LinkedIn да предприемат спешни мерки по сигурността и освен смяна на компрометираните пароли, въвеждат двустепенно удостоверяване (two-factor authentication) – опция, която позволява допълнително въвеждане на ПИН код, получен чрез SMS при всяко логване в сайта.

5. Apple iCloud

Няма да сгрешим, ако наречем пробива в Apple iCloud най-скандалния по рода си, защото този път не става дума за някакви си милиони обикновени потребители, а за известни личности. Личните снимки на Дженифър Лорънс и други публични личности, съхранявани в облака, стават достъпни за хакерите. Първоначално се смята, че причината е масово хакване на телефони, но впоследствие се оказва, че е била компрометирана услугата iCloud, използвана от звездите за съхранение на личните им архиви. В отговор на атаката Apple подканва потребителите да сменят паролите си с по-сигурни, както и да активират известия в случай, че се установи съмнителна активност в профилите им.

6. Yahoo

Съвременните уеб гиганти базират услугите си почти изцяло върху облачна инфраструктура. Това включва и Интернет мастодонтът Yahoo, който сам се оказва жертва на киберпробив. На компанията са й нужни близо 3 години, за да се справи с пораженията от атаката, случила се през 2013 г., и едва в края на 2016-а, разкрива детайли за мащаба й. Компрометирани са близо 1 милиард потребителски профила, което включва електронните адреси, имената, рождените дати и тайните отговори на въпросите за възстановяване на парола. Това се счита за най-мащабният киберпробив в историята, което си е сериозен рекорд, особено предвид че месеци преди това, от същата компания изтичат данните на други 500 милиона профила.

В бизнес средите няма съмнение,  че облачните услуги имат както предимства, така и недостатъци. Но изводите от тези мащабни атаки са, че облакът може да разкрие целия си потенциал само, ако сигурността му се развива паралелно с все по-голямата му популярност.

Прочетете повече: Колко безопасни са публичните облаци за съхранение на бизнес информация?

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Последен ъпдейт на 28 юни 2018 в 01:52 ч.

Умни звънци на вратата, умни термостати, умни кафе-машини, та дори и умни четки за зъби, всички те, свързани с интернет и готови да ви се подчиняват само с няколко докосвания на умния ви телефон. Това е ерата на Интернет на нещата (Internet of Things; съкр. IoT).

Хакерски експеримент

До 2020 г. се очаква в света да има над 21 милиарда умни устройства, но колко защитени са всички тези уреди от хакерска атака, пита американската телевизия ABC.

За да отговори на този въпрос, ABC провежда експеримент с експерта по киберзащита на британската компания за информационна сигурност Sophos Джеймс Лайн.

В експеримента Лайн посещава умния дом на семейство Кендъл, за да провери какво ще му струва, за да получи достъп до личната информация на четиричленното семейство. Лайн свързва няколко уреда с локалния Wi-Fi рутер и опитва да получи нерегламентиран достъп до мрежата.

Експертът успява да хакне DVD плеъра на семейството, пробивайки системата през Wi-Fi рутера за „една минута време“, използвайки хакерски инструменти.

„Толкова е лесно“, възкликва репортерът.

„Това не е всичко“, отговаря му Лайн, „В тази мрежа е вързан и домашният компютър на семейство Кендъл“.

DVD плеърът има много слаба защита срещу хакерски атаки. Той е само портал към далеч „по-интересните“ за злонамереният ИТ специалист устройства, където се съхранява лична информация, като банкови сметки и кредитни карти.

Ако нещо може да се обърка, то непременно ще се обърка

Следващият ход на Лайн е да хакне кафе-машината. Само с няколко реда код и без да му се налага да въвежда парола, Лайн успява да задейства машината и да направи кафе дистанционно. Тогава специалистът по киберсигурност решава да зарази софтуера на кафе-машината с вирус.

Вирусът позволява на Лайн да проследи в реално време какво прави репортерът на домашния лаптоп на семейство Кендъл. Използвайки keylogger (злонамерен код, който регистрира натискането на копчета по клавиатурата), Лайн успява да запамети данните на кредитната карта на потребителя, докато той пазарува онлайн.

„Той е тотално компроментиран“, категорично заявява киберекспертът преди да включи камерата на лаптопа.

„Нямах никаква идея, че някой ме гледа“, коментира репортерът

„Нека това бъде последното доказателство“, отсича Лайн и изключва лаптопа от разстояние.

Как да се предпазим от злонамерени смарт уреди?

Тази поучителна история изглежда далеч от българската реалност, но това чувство за сигурност е измамно. Модерните домове ще се възползват все повече от новите технологии. Всеки българин, който реши да живее в умен дом, е потенциална жертва на кибератаки. Още през миналата година българската компания „Алтерко“ обяви, че ще използва 70% от набрания капитал при преминаването на компанията в публична за развойна дейност в областта на IoT. 43% от приходите на компанията се реализират именно на българския пазар.

За да останете защитени от нерегламентиран достъп до личната ви информация, получен през умни устройства, специалистите съветват да третирате смарт уредите като компютри. Ъпдейтвайте софтуера често, сменете фабричната парола и се уверете, че уредите и компютъра ви се помещават на отделни Wi-Fi мрежи.

Вижте видеото с експеримента на ABC тук:

ABC Breaking News | Latest News Videos

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook.