Почему 98% трафика IoT остается незашифрованным — призыв к немедленным действиям

Согласно отчету Unit 42 компании Palo Alto Networks за 2020 год, шокирующие 98% трафика IoT передаются без шифрования. Майк Нельсон, вице-президент по безопасности IoT в DigiCert, признался, что эта цифра поразила его.

Отчет Z-Scaler за прошлый год подтвердил эту тенденцию: 91% трафика IoT было незашифрованным.

Отсутствие шифрования позволяет злоумышленникам проводить атаки «человек посередине» (MiTM), перехватывая или изменяя данные между устройствами и сетями.

Производители часто спешат вывести устройства на рынок, упуская базовую безопасность на этапе проектирования. Компании затем развертывают эти уязвимые устройства в иных безопасных сетях. Атакующие могут обнаружить открытые конечные точки через такие инструменты, как Shodan, получая опорную точку.

IoT стремительно расширяется. McKinsey прогнозирует 43 миллиарда подключенных устройств к 2023 году. Если текущая тенденция 98% незашифрованного трафика сохранится, киберпреступники получат огромное «шведское стол» данных для эксплуатации.

Часто представляют безобидные взломы — куклы или дверные звонки — но реальная опасность кроется в крупных корпоративных развертываниях. Единое уязвимое устройство может стать шлюзом в чувствительные сети.

В 2017 году казино в Лас-Вегасе стало жертвой взлома через аквариум. IoT-датчик аквариума передавал данные на удаленный сервер в Финляндии. Расследование показало, что хакеры использовали аквариум для кражи 10 ГБ базы данных VIP-клиентов казино.

Инцидент выявил три критические проблемы: (1) данные казино хранились незашифрованными, позволяя атакующим легко их перехватить; (2) неадекватные контроль доступа позволили перейти от IoT-устройства к высокочувствительным данным; (3) датчик аквариума был интегрирован в общую сеть казино, предоставляя прямой путь к критичной информации.

Такие утечки могут привести к финансовым потерям, раскрытию данных клиентов и атакам на критическую инфраструктуру, потенциально вызывая сбои в энергосетях, интернет-блэкауты и остановку национальных систем здравоохранения.

Достижение 100% шифрования

Все конфиденциальные данные — سواء в покое, либо в передаче — должны быть зашифрованы. Даже единственный незашифрованный поток данных — это уязвимость, которую могут использовать злоумышленники.

Шифрование постоянно движущихся мобильных данных через хабы, шлюзы и облако — сложная, но необходимая задача для защиты корпоративных IoT-сетей, полагающихся на множество конечных точек, обменивающихся данными.

Инфраструктура открытых ключей (PKI) с цифровыми сертификатами предлагает масштабируемое решение, обеспечивающее взаимную аутентификацию и сквозное шифрование в крупных IoT-развертываниях. Ведущие предприятия уже внедряют PKI для защиты своих сетей.

Хотя процесс идет, отрасли нужно ускориться. Производители должны встраивать шифрование, аутентификацию и целостность в свои продукты с самого начала. Постепенные исправления недостаточно.

Корпоративное масштабирование шифрования — будущее безопасности IoT. По мере того как ведущие производители внедряют PKI, остальная отрасль должна последовать их примеру — и сделать это оперативно.

Автор: Майк Нельсон, вице-президент по безопасности IoT в DigiCert.

Об авторе

Майк Нельсон — вице-президент по безопасности IoT в DigiCert, провайдере цифровой безопасности. На этой позиции он курирует стратегическое развитие рынка для отраслей критической инфраструктуры, защищающих высокочувствительные сети и IoT-устройства, включая здравоохранение, транспорт, промышленные операции, умные сети и умные города.

Майк часто консультирует организации, участвует в отраслевых стандартах и выступает на конференциях о том, как технологии могут улучшить кибербезопасность критических систем и людей, которые на них полагаются.

Майк провел карьеру в IT здравоохранения, включая работу в Министерстве здравоохранения и социальных служб США, GE Healthcare и консалтинговой фирме Leavitt Partners. Его страсть к отрасли восходит к личному опыту — он страдает сахарным диабетом 1 типа и использует подключенные технологии для лечения.