Защита открытого ПО в IoT: смягчение программных рисков

В мире сейчас 7 млрд IoT-устройств. Леви Лесохин из CAST прогнозирует, что счетчик утроится к 2025 году, достигая 21,5 млрд устройств. Быстрый рост стимулирует производителей запускать продукты быстрее чем когда-либо, часто в ущерб качеству ПО.

Для ускорения time-to-market многие фирмы полагаются на готовые пакеты из open-source сообществ вроде GitHub и Apache. Однако, как показывает отчет CAST 2018 по Software Intelligence, большая доля этих проектов не соответствует стандартам безопасности.

Open-source код редко идет с надежной встроенной безопасностью. В гонке за релиз компании могут пренебречь тщательными security review, оставляя каждый из семи миллиардов устройств уязвимым для атакующих.

В отличие от enterprise-grade транзакционных систем, много IoT-прошивки исходит от встроенных софт-инженеров, чей основной фокус — функциональность, а не защита данных. Этот разрыв означает, что многие разработчики лишены специализированных навыков для защиты чувствительных данных.

Поскольку кто угодно может контрибьютить в open source, обеспечение соблюдения стандартов безопасности и качества изначально сложно. Неэффективный, небрежный или даже вредоносный код может проскочить незамеченным.

Покупатели редко замечают эти слабости. Они видят IoT-устройства как инструменты бизнес-эффективности, а не как потенциальные векторы, которые могут быть использованы против их владельцев.

Глаза мира на вашем коде

Проприетарный, in-house код может содержать дефекты, но обычно их видят только подрядчики-разработчики. Проприетарный исходный код приватен и защищен от посторонних глаз. В отличие от этого, open source публично доступен — все, включая потенциальных атакующих, могут изучить его до включения в продукт.

В 2013 году Target пострадала от утечки данных кредитных карт на $220 млн (≈€194 млн) после того, как атакующие эксплуатировали уязвимость в ее системе климат-контроля. Учетные данные вендора были украдены и оставлены неизменными при развертывании, exponируя каждую установленную единицу.

Проверь себя, прежде чем сломать себя

Хотя уязвимости никогда не могут быть устранены полностью, их вероятность можно снизить, следуя трем ключевым шагам:

1. Понимайте родословную вашего ПО. Производители должны точно знать, какой код они поставляют. При ответственном использовании open source может быть бесценным, но его происхождение должно быть прослежено к источнику и перепроверено на известные уязвимости.

2. Выделяйте достаточное время на безопасность. Пост-производственные фиксы дороги и часто неэффективны. Инцидент Target иллюстрирует, как легко атакующие эксплуатируют оставшиеся дефекты, когда устройство уже в поле.

3. Проводите end-to-end анализ. Сканируйте всю кодовую базу, оперативно адресуйте выявленные слабости и устраняйте технический долг. Цель — устойчивая система, защищающая конечных пользователей на годы.

В конечном счете, вендор климат-контроля Target остается под расследованием, с текущими затратами около $18,5 млн (≈€16,3 млн). Такая дорогая ошибка может — и должна — быть избежана.

Автор блога: Леви Лесохин, EVP Strategy & Analytics в CAST.