Эксперт по кибербезопасности Ондрей Кубович: Каждый прибор из нашего окружения, имеющий к нам физический доступ, если он подключен к Интернету, в конечном счете, представляет кому угодно неограниченный доступ к нам

Специалист по кибербезопасности рассказал УНИАН, почему английскую аббревиатуру IoT (Internet of things – Интернет вещей) стоит расшифровывать как Интернет мишеней (Internet of targets), предостерег от покупки дешевой "умной" бытовой техники и предупредил о рисках "умного дома", в которых не отдают себе отчет рядовые потребители.

УНИАН уже знакомил своих читателей с концепцией «Интернета вещей» - новой технологической эры, в которую вступает человечество. Все больше и больше различных приборов и устройств, окружающих человека – от наручных часов до холодильника и кофеварки – становятся «умными», оснащаясь разного рода датчиками и собственным доступом в Интернет. Это здорово облегчает нашу повседневную жизнь – выезжая с работы домой, можно через Интернет, с помощью приложения на смартфоне или с компьютера, дать команду смарт-бойлеру подогреть воду, чтоб, переступив порог своих пенатов, сразу принять горячий душ; находясь в отпуске за границей удобно просматривать трансляцию с домашних видеокамер системы наблюдения или удаленно отключать полив клумб дачного участка, когда на улице дождь.

Более того, разработчики пошли дальше – уже внедряются «умные» таблетки, проглотив которые, можно на экране своего смартфона видеть разнообразные показатели своего организма, включая анализы крови в реальном времени. Однако, такое сближение человека и технологий, помимо многочисленных удобств и преимуществ, несет в себе и чудовищные риски. Что, если злоумышленники взломают ваш кардиостимулятор, имеющий доступ к Интернету? Пока о преступлениях подобного толка снимают фильмы, но возможность таких действий хакеров реально существует. А что, если преступники взломают вашу домашнюю систему видеонаблюдения и превратят вашу личную жизнь в реалити-шоу с трансляцией в Сети? Подобные попытки уже предпринимаются.

Разумеется, все это – не повод отказываться от технологических инноваций и перебираться в пещеру. Однако, чтобы избежать выше описанных мрачных сценариев, стоит соблюдать определенные правила безопасности – и, в любом случае, окружая себя «умной» техникой – четко осознавать возможные риски.

Именно эти вопросы УНИАН и обсудил со специалистом в сфере Интернета вещей компании-разработчика решений по кибербезопасности ESET Ондреем Кубовичем, который представил довольно тревожный доклад об угрозах в сфере IoT на недавней конференции в Братиславе.

Меня впечатлило, как вы, эксперты по безопасности, в своих докладах расшифровываете аббревиатуру IoT – не Internet of thing (англ. «Интернет вещей»), а Internet of Targets («Интернет мишеней»). Звучит как-то страшновато. Все настолько плохо?

Увы, все так. Многие производители, которые делают дешевое оборудование – равно как и покупатели, которые, в первую очередь,смотрят на цену, пытаясь приобрести самую дешевую «умную» бытовую технику, не заботятся надлежащим образом о безопасности. Для подключения некоторых недорогих приборов не нужен пароль – нет даже функции «пароль», или пароль слишком простой, вроде слова «admin». И хакеры, и квартирные воры, например, уже об этом знают, хорошо осведомлены об уязвимостях таких приборов, у злоумышленников есть списки легко взламываемых устройств и способов доступа к ним, и они уже пытаются получать через такие «слабые места» в вашем доме или офисе доступ к компьютерам, вашей локальной сети извне, через Интернет. Если преступнику это удается, уже ничто не защищает вашу личную, домашнюю среду от внешнего мира. И это то, что уже практикуется нарушителями во всем мире сейчас.

Кроме воров, «умной» домашней техникой пользуются хакеры – они, получив доступ к миллионам подобных устройств по всему миру, превращают их в собственные бот-сети, используемые для DDoS-атакна различные веб-сайты, для взлома других систем, или как прокси (промежуточное звено для передачи данных, позволяющее скрыть местонахождение настоящего хакера, - УНИАН) для осуществления хакерской активности.

Выходит, мы добровольно окружаем себя «черными ходами» для хакеров. И за собственные деньги множим угрозы вокруг нас, в нашем собственном доме. Что же нам делать?

Есть три вещи, которые должен сделать каждый рядовой пользователь, и они – очень простые. Первое: покупайте хорошее оборудование. Не стоит пытаться сэкономить на «умной» бытовой технике и приборах, обеспечивающих ваш комфорт, если они имеют доступ к Итернету или вашей домашней локальной сети. Выбирая устройство, почитайте о нем – осуществляет ли такое устройство автоматическое обновление программного обеспечения, поддерживает ли ваш «умный» чайник шифрование передаваемых данных, есть ли в нем функция установки пароля для доступа к устройству. Второе – покупая смарт-технику – это наиболее важно – сразу после покупки, меняйте заводской пароль для доступа к устройству, и не поленитесь придумать пароль посложнее. Третье – обновляйте программную прошивку ваших «умных» приборов и вашего Wi-Fi роутера. Зачастую, последнее – уже не так просто для обычного пользователя, бывает сложно разобраться в том, как производить обновление роутера, какой интерфейс для этого нужен, это часто необходимо делать вручную – либо приглашайте специалиста по данному вопросу, либо покупайте то оборудование, за обновлениями которого вам будет следить просто.

У хакеров нет конкретных предпочтений, чаще взламывают то, что стоит дешевле \ fotokanal.com

Какие категории устройств взламывают наиболее часто? Пылесосы, чайники, телевизоры, холодильники?..

В этом смысле у хакеров нет конкретных предпочтений, чаще взламывают то, что стоит дешевле. Не конкретный какой-то прибор, а целая нижняя ценовая категория наиболее восприимчива к взлому. И проблема с дешевой бытовой техникой еще и в том, что легкую доступность ее для хакеров не так-то легко исправить. У многих недорогих устройств нет даже возможности обновления программного обеспечения или установки защитных программ! То есть, люди покупают и используют устройство, ничего в нем не меняя, годами – пока оно не выйдет из строя. Разумеется, такое положение дел дает хакерам массу времени, чтобы разобраться, как взломать и использовать в своих целях тот или иной девайс. А, получив через скомпрометированный прибор доступ к вашей домашней сети, хакер получает доступ ко всем вашим данным.

Одним из выходов из ситуации может быть покупка двух Wi-Fi роутеров – например, через один из них к Интернету подключена и связана между собой моя «умная» бытовая техника, а через беспроводную сеть от второго я захожу в Интернет со своего личного компьютера, занимаюсь финансовыми вопросами, работаю. Даже у меня, опытного пользователя и специалиста по информационной безопасности, две раздельных домашних Wi-Fi сети. Не пренебрегайте этим трюком, и хакеры не смогут узнать номер вашего банковского счета, даже если взломают ваш смарт-телевизор.

А каким образом чаще всего пытаются взломать смарт-прибор? Сам конкретный «умный» предмет, пульт ДУ, с помощью которого управляется «умный дом», или сервер, через который происходит взаимодействие «умной» бытовой техники?

Чаще всего в данный момент хакеры ищут легкую добычу: просто пробивают заводские пароли вашего домашнего Wi-Fi роутера и находящихся в вашем доме устройств.

Домашние сети – это нечто локальное, простое. Но вы в своем докладе затронули более глобальную историю – медицинские приборы, сотни тысяч которых по всему миру подключены к Интернету. В том числе, индивидуальные кардиостимуляторы. Вот это – по-настоящему страшно.

Сотни тысяч медицинских приборов, являющихся частью Интернета вещей, уже доставлены потребителям, некоторые из них уже установлены в тела пациентов. Такая техника открывает колоссальные возможности – когда доктор может удаленно наблюдать за здоровьем своего пациента, например, видеть уровень сахара в крови у человека с диабетом и корректировать, не встречаясь с человеком, работу инсулиновой помпы. Это, конечно, очень хорошо для вашего здоровья. Но, с другой стороны – если кто-то третий возьмет под удаленный контроль такой прибор – он сможет даже убить человека. Пока что я не припомню инцидентов с подобным воздействием, но мы должны понимать, что ни в коем случае нельзя сказать, что чего-то подобного никогда не случится, или что уже какой-то злоумышленник не начал работать в этом направлении. Например, если вы – политик высокого ранга, то сама информация о состоянии вашего здоровья является крайне ценной. Насколько вы здоровы, сильно ли ваше сердце? Или есть устройство, которое контролирует ваш сердечный ритм, в работу которого можно вмешаться?.. Все это открывает возможности для атак, нападений разного рода. Вашу слабость необязательно использовать каким-нибудь смертельным образом, но все ваши уязвимости всегда интересны спецслужбам.

И есть еще один фактор угрозы, который сам по себе – большая проблема: FDA (Американское агентство по контролю качества медикаментов и продуктов питания, – УНИАН) официально одобрила «умную таблетку» – сенсор внутри человеческого тела, который будет позволять лечащему врачу и пациенту оценивать в реальном времени состояние вашего организма, чтобы определять – нужны ли, например, вам какие-нибудь лекарства, чтобы сегодня сесть за руль и управлять вашим автомобилем. Это, конечно, само по себе не плохо, на как быть с утечкой данных? Что, если страховая компания, в случае, если вы попадете в ДТП, откажется покрывать убытки, скажет: «мы не покроем убытки от этой аварии, поскольку вы должны были принять определенные таблетки перед тем, как сесть за руль, а вы этого не сделали»?

Это вообще – глобальная проблема всей сферы Интернета вещей – личные данные и возможность их использования против индивидуума.

Это сложный этический вопрос…

Но есть еще одна штука, о которой мы все узнали всего пару недель назад – была совершена удаленная хирургическая операция. Хирург находился в Нью-Йорке, пациент – во Франции, было слишком сложно, дорого и долго сводить их вместе. Операция была успешно произведена удаленно, однако протокол передачи данных во время операции был небезопасным, и это могло быть использовано кем-то во вред. Представьте себе – одно неправильно движение, и… А таких операций, вероятно, будет происходить все больше и больше.

В настоящее время есть несколько крупных основных производителей оборудования категории Интернета вещей. И в настоящее время мы в ситуации, крайне близкой к войне брендов, войне стандартов, которую могут устроить, например, Apple, Amazon и Google. Представляется, что подобный сценарий лишь усугубит риски безопасности в сфере IoT, поскольку разные устройства, стандарты шифрования и протоколы связи, разное программное обеспечение – станут клубком, которым сложно управлять. Ведется ли сейчас какой-то диалог между экспертами и разработчиками в области безопасности с крупнейшими производителями «умной» техники, чтобы избежать этого всего?

Нет, мы эту дискуссию не начинаем, и я даже не уверен, что она помогла бы. Вот, мы сейчас говорим о неких единых стандартах – допустим, мы договоримся об общем стандарте безопасности – но сотни разных производителей станут по-разному внедрять этот стандарт в своей продукции. И каждое такое внедрение может иметь свое слабое место. И каждое устройство может быть по-разному совместимо с тем или иным программным обеспечением. Это сейчас уже гигантская проблема, что сотни моделей устройств имеют сотни разных интерфейсов, индивидуальное программное обеспечение, своеобразные способы связи с другими смарт-приборами – все это крайне тяжело защитить. Для нашей компании, занимающейся решениями по безопасности, единственный универсальный путь поднять уровень защиты – это обеспечить его на уровне сети. Все, что поступает в вашу домашнюю сеть – мы должны знать и контролировать, и, обнаружив недопустимую, опасную команду, мы должны ее прервать, как, например, несанкционированный доступ к видеокамере системы безопасности. Если что-то опасное, неправильное пытается пробраться в вашу домашнюю сеть, преодолеть файервол – мы должны остановить такую атаку. В нашем случае – это единственный путь защитить миллионы всех этих разнообразных устройств.

Сейчас мы работаем над прототипом эдакого «умного» Wi-Fi роутера, который будет тщательно проверять весь входящий в сеть трафик на предмет подозрительных команд и фрагментов кода. Но это решение все еще в разработке. И это не быстрый процесс.

Это уже звучит почти оптимистично, может, и не стоит опасаться наступающей эры IoT…

…Но, в любом случае, рассуждая в концепции Интернета вещей, мы должны помнить о том, что Интернет как таковой дает нам доступ к чему угодно – да буквально ко всему. И каждый прибор из нашего окружения, имеющий к нам прямой физический доступ, если он подключен к Интернету, в конечном счете, предоставляеткому угоднонеограниченный доступ к нам! Базовая проблема IoT – что большинство людей не понимают наличие и глубину этой связи.

Михаил Ганницкий

УНИАН в Google News