Застой внедрения IoT: почему ожидания не оправдались

Если цикл зрелости технологий Gartner — достоверный показатель, то Интернет вещей (IoT) сейчас входит в впаду разочарования. Недавние исследования показывают, что примерно 60% пилотных проектов не выполняют своих обещаний. Хотя отдельные проекты могут спотыкаться, более широкий рынок еще не насыщен устройствами для сигнализации о пике; вместо этого темпы нового внедрения замедляются.

Факторы, подрывающие рост IoT

Несколько факторов тормозят развитие IoT. Одна из главных проблем — тенденция добавлять подключение к устройствам, которым оно просто не нужно. Возьмем «IoT-аквариум», который отслеживал кормление, температуру и качество воды. Кен Манро, партнер в Pen Test Partners, отмечает, что казино, установившее такой аквариум, потеряло 10 ГБ данных через устройство, находившееся в Финляндии. Это иллюстрирует, как слабо защищенные конечные точки IoT могут стать черными ходами в корпоративные сети, обеспечивая кражу учетных данных и утечку данных.

Проблема долговечности

Долговечность — еще одна озабоченность. Многие организации заменяют устройства вместо обновления прошивки, что ставит под сомнение долгосрочную окупаемость инвестиций. Даже когда устройство остается в эксплуатации, остается вопрос: будет ли производитель обеспечивать постоянную поддержку и обновления безопасности? Уязвимости, выявляемые со временем, могут оставить устройства беззащитными, если у производителей нет ресурсов или желания выпускать обновления, или, что еще хуже, они полностью прекращают поддержку.

Выявленные уязвимости

Производители борются за защиту уже установленного парка устройств. Публичная база данных Shodan перечисляет тысячи развернутых IoT-устройств — включая системы промышленного управления — вместе с такими деталями, как IP-адреса, операционные системы и версии программного обеспечения. В сочетании с публикацией FCC схем предстоящих устройств, злоумышленники могут идентифицировать уязвимые модели и эксплуатировать учетные данные по умолчанию. В одном инциденте техник публично разместил список «супер-паролей», дававших ежедневные учетные данные для входа на целый год, что подчеркивает небрежность в безопасности цепочки поставок и легкость компрометации конфиденциальных данных.

Столкнувшись с этими рисками, некоторые поставщики обращаются к монетизации данных. Продажа данных об использовании третьим лицам может приносить доход, но еще больше подрывает приватность пользователей. Например, данные о планировке этажа от умного пылесоса могут быть проданы в даркнете, а данные систем управления зданиями (BMS) могут позволить атаки вымогателями на умные термостаты.

Пути решения

Можно утверждать, что конечные пользователи должны нести больше ответственности, но многие не перенастраивают устройства после установки. Даже когда изменения вносятся, стандартные PIN-коды или пароли часто остаются слабыми — четыре или шесть цифр можно взломать за часы. Корневая причина текущего недоверия — просто плохое проектирование безопасности, и производители должны действовать.

Лучшие практики безопасности включают: защищенную разработку мобильных приложений, надежное управление сессиями, сквозное шифрование для веб-сервисов, строгую реализацию беспроводных стандартов, отключение неиспользуемых интерфейсов (последовательные/отладочные порты), использование обфускации и защищенного хранения ключей на устройстве, а также обеспечение шифрования и цифровой подписи прошивки. Пока поставщики не расставят приоритеты в этих мерах, внедрение IoT будет продолжать хромать. Один громкий инцидент с вредоносным ПО — особенно нацеленный на повсеместный интерфейс, такой как порт 80 — может навсегда подорвать доверие к рынку. Построение доверия через отраслевые стандарты или регуляторный надзор теперь необходимо.

Автор: Кен Манро, партнер Pen Test Partners