Securitywatch: истинската причина да нямам камера за сигурност

Неотдавна с партньора ми се сдобихме с куче, което за хилядолетия е почти същото като да кажем, че имаме дете. Сега вече имахме и все още имаме други домашни любимци в дома си. Нашите премеждия на очарователни, розови носове плъхове могат да варират по размер, но това е константа в живота на моя партньор и мен от почти десетилетие. Нещото при плъховете е, че те са толкова щастливи в клетка с приятелите си плъхове, колкото и с вас. Кучетата, от друга страна, не са щастливи, когато ги нямате, и в резултат на това не сте щастливи. Когато се сдобихме с кучето (чието име е Лулу и тя е най -доброто куче по всякакви обективни измервания), моят партньор ми предложи да вземем уеб камера или видео бебешки монитор, за да можем да водим раздели на кучешкото си дете, докато бяхме на работа,

Признавам, бях изкушен. Както споменах, нашите домашни любимци изпълват ролите на децата за нас и аз прекарвам не незначително количество време, грижейки се за животните си, когато съм на работа, особено по време на лятото в Ню Йорк, които съчетават топлината на Долината на смъртта с боледуващото влажност на подмишницата. Въпреки тези притеснения ми беше неприятно. Моят партньор е много добре запознат с параноялните ми склонности и след като поговорихме за това, ние сме съгласни: няма да имаме охранителна камера в нашата къща.

Както може би си мислите, не е, защото се страхувам от хакери, които наблюдават интимните ми моменти или разузнавателните агенции да чуят всяка моя дума, въпреки че това са реални заплахи. Не, тревогата ми е, че всяко интернет достъпно устройство в моята мрежа може да бъде отвлечено и превърнато в оръжие за онлайн масово унищожение.

Страшните хакове са реални, но избягващи

Ще стигнем до страховете ми, но първо трябва да призная, че да, страховити неща се случват с устройствата на IoT и това може да бъде наистина лошо. Само по себе си, това е валидна причина да прибързвате, преди да получите свързана към уеб камера или бебе монитор.

Истории изобилстват от хора, които чуват гласовете на пълзящи хора, идващи през бебешкия монитор, или откриват, че някой е използвал камерата в компютъра си, за да заснеме смущаващи снимки. Една особено коварна практика се нарича „сексторция“, при която нападател заплашва да пусне смущаващи снимки, направени от отвлечена уеб камера (която той може или не може всъщност да има), освен ако жертвата не предостави сексуално явни материали. Това само по себе си е отвратително и фактът, че младите хора често са мишени на тези атаки, е плачевно.

Атаките на този грандиозен обикновено се извършват по-трудно, тъй като изискват насочване към конкретен индивид, но лошата родословна сигурност на много устройства от Интернет на нещата, включително някои охранителни камери и свързани бебешки монитори, ги прави по-лесни. Ако искате да намерите цел, можете да разгледате Shodan - търсачка на устройства, свързани с интернет. Атакуването на конкретен човек вероятно ще включва физически достъп до устройството или внимателно конструирани фишинг атаки, но Shodan вероятно може да ви свърже с неволна, макар и донякъде случайна жертва.

Тези груби, инвазивни атаки са реална заплаха, но те също могат да бъдат смекчени без много техническо ноу-хау. Едно просто парче лента през леща или суха кърпа, хвърлено върху устройство, може да направи камерата напълно сляпа. Бебешките монитори могат да бъдат изключени - или още по-добре, да не им е позволено да се свързват с интернет на първо място. Мога да се справя сама.

Какво наистина ме плаши

Имаше презентация на Black Hat, която винаги се държеше с мен. В него водещият демонстрира как може да поеме контрола върху свързана камера за сигурност. Това е страшно, но това, което ме накара, беше мнението на водещия, че тези камери са само малки компютри с Linux и могат да се използват за всичко, което един атакуващ иска. Той също така твърди, че по-голямата част от камерите на пазара имат големи недостатъци.

Няколко години по-късно умните домашни устройства започнаха да удрят по рафтовете и аз постоянно чувах от охранителните компании, че наистина са притеснени. Те имаха същата грижа като водещия на Black Hat; че може да бъде възможно да се отвлече умно устройство и да се използва за всякакви злобни цели.

Не след дълго тези страхове станаха реалност и беше по-лошо от очакваното. Зловредният софтуер Mirai автоматично сканира интернет за налични връзки и след това използва батерия от атаки, за да нахлуе в IOT устройството, всички без въвеждане от човек. Mirai насочени устройства, работещи с вградени версии на Linux, от телевизори до рутери, и успя да сглоби голям ботнет. Беше достатъчно голям, за да свали доставчик на DNS, което от своя страна причини сайтове като GitHub, Netflix и Twitter да не са достъпни.

Мираи беше само един пример, но се връщаше отново и отново. Според Wikipedia, вариантите на злонамерения софтуер Mirai са били забелязвани няколко пъти в рамките на последната година, като някои наблюдения са наскоро през февруари 2019 г.

Mirai беше ограничен само до няколко устройства, но все още беше брутално ефективен. Това, което ще бъде по-лошо, е още по-напреднала атака - може би по-малко автоматизирана, може би не -, която може да скочи от заразена крушка към моя рутер, а след това от своя страна до всяко устройство в мрежата. Това би превърнало IoT устройството в плаж или опора, така че нападателят или злонамереният софтуер може да се „насочи“ към по-ценната мрежа.

Разбира се, има подобрения в свързани камери и бебешки монитори и по-общо в интернет, но все пак индустрията трябва да направи повече. Компаниите трябва да гарантират, че техните устройства са оцелели от батерия от тестове, за да се проучат слабостите и най-малкото трябва да включват механизъм за актуализиране или замяна на устройства, за които се установи, че са уязвими. Продавачите трябва да приемат, че техните устройства ще бъдат атакувани, вградени функции за защита и не забравяйте, че техните продукти не винаги са обслужвани от потребителите, някои от тях нямат екрани или какъвто и да е вид интерфейс.

Имунитет на стадото

Има и някои предпазни мерки, достъпни за обикновените хора. Можете да разгледате закупуване на устройства за сигурност на IoT като Bitdefender Box или рутери с вграден софтуер за сигурност. (Последният е важен, когато смятате, че рутер, подобно на IoT устройство, е само компютър, който може да се използва за зло.) Можете да гарантирате, че устройствата ви са актуални с най-новите софтуерни лепенки и се променяте всички пароли по подразбиране. И все пак това стига само дотук. Почти няма начин да разберете от кутия дали защитната камера вътре използва подписан код в своите актуализации или дали има твърдо кодирани идентификационни данни, които са невидими за потребителя и потенциални бекверди за атакуващи.

Прави впечатление как много от тези съвети и много сигурност като цяло са свързани с идеята за лична безопасност и отговорност. Трябва да защитите вашата машина и вашата лична информация. Както беше случаят с Мирай, успешната атака срещу мен може бързо да се превърне в атака срещу моето семейство, моите приятели, моята общност и хора, които никога няма да позная. Това не само ще създаде някои проблеми с моя интернет доставчик, но означава, че неволно наранявам хората около мен.

Това ми напомня на концепцията за имунитета на стадото. Точно тогава достатъчно висок процент от населението е имунизиран или ваксиниран срещу определена болест, за която никой не се разболява. Населението се защитава взаимно, като прави невъзможно заразите да се разпространяват. Поставянето на охранителна камера в къщата ми не е само риск за мен, това може да направи и другите малко по-малко безопасни.

Лулу, най-доброто куче, все още се бори да бъде удобно сам. Наскоро я снабдихме с щайга, тъй като кучетата очевидно са привлечени по естествен начин в тъмно, безопасно. Вместо това тя дръпна капака през решетките, балира го и спа на него. Все още се боря, но знам, че решението е повече обучение за нея и за нас, а не камера, която просто ще ми каже какво вече знам.

• Хакен оттенък: Изследователи Червеят в Интернет на нещата Хакерски нюанс: Изследователи Червеят в Интернет на нещата
• Гнездо: обвинявайте слабите пароли, а не нас за ужасни инциденти с камера. Гнездо: обвинявайте слабите пароли, а не нас за ужасни инциденти с камери
• SecurityWatch: Правете корпорации, а не клиенти, страдайте за нарушения на данните SecurityWatch: Правете корпорации, а не клиенти, страдайте за нарушения на данните

Каквото и мъничко да е сигурно от камерата за сигурност, не си струва потенциално да бъда част от опустошителна атака. Това поставя моето спокойствие над другите и това не е търговия, която съм готова да правя. IoT технологията се подобрява и има по-добри инструменти за защита на тези устройства, но все още не ми е достатъчно, за да се чувствам комфортно. Започнах да мисля за устройствата в мрежата си като моя отговорност, заради мен и за другите, а за мен тези устройства са риск, който все още не съм готов да поемам.