Почему 98% трафика Интернета вещей не зашифрованы

98 процентов трафика Интернета вещей не зашифрованы. Когда я прочитал эту статистику, опубликованную Palo Alto Networks в их отчете об угрозах Unit 42 2020, я должен был быть шокирован, - говорит Майк Нельсон, вице-президент по безопасности Интернета вещей в DigiCert . .

В прошлом году Z-Scaler в отчете говорилось нечто подобное:91% трафика Интернета вещей был незашифрованным. Хотя вполне возможно, что эти цифры не совсем отражают реальную проблему, одно можно сказать наверняка - слишком большой трафик Интернета вещей не зашифрован, тогда как абсолютно весь он должен быть незашифрованным.

Незашифрованный трафик Интернета вещей наиболее очевидно означает, что злоумышленники могут выполнять атаки Man in The Middle (MiTM). Перехватывая этот незашифрованный поток данных, злоумышленники могут попасть между устройствами - или между устройством и более крупной сетью - и украсть или изменить данные.

Сбои в обеспечении безопасности Интернета вещей хорошо задокументированы. Подключенные устройства часто быстро выводятся на рынок производителями, которые допускают до боли очевидные, но в большинстве случаев легко предотвратимые ошибки безопасности в процессе проектирования. Затем они охотно скупаются предприятиями, которые часто не принимают во внимание эти сбои, и развертываются в других безопасных сетях. Оттуда злоумышленники обнаруживают их с помощью простого поиска и находят легкую точку проникновения в предприятие.

И все же - независимо от состояния его безопасности - Интернет вещей стремительно растет. По оценкам McKinsey, к 2023 году к Интернету будет подключено 43 миллиарда устройств Интернета вещей. Если текущие тенденции сохранятся и 98 процентов трафика Интернета вещей останется незашифрованным, это вызовет безумие киберпреступников.

Часто, когда люди думают о взломе Интернета вещей - они думают об уязвимой кукле или дверном звонке - атаках, которые задействуют функциональность устройства - интересно, но в конечном итоге бесполезно. Настоящие угрозы гораздо менее красочны. Развертывания корпоративного Интернета вещей часто состоят из сотен, если не тысяч отдельных устройств, и если бы только одно из этих устройств оставалось незащищенным, это могло бы обеспечить легкую точку проникновения в защищенную в остальном сеть.

Именно такой пример можно увидеть в печально известном взломе Интернета вещей в Лас-Вегасе. В 2017 году хакеры использовали аквариум для ограбления казино. Рассматриваемый аквариум был подключен к Интернету через датчик, который позволял операторам удаленно управлять аквариумом. Однако вскоре после установки сотрудники службы безопасности заметили, что аквариум отправляет данные на удаленный сервер в Финляндии. Дальнейшее расследование выявило серьезную уязвимость - хакеры использовали этот аквариум для извлечения 10 гигабайт данных из базы данных хайроллеров казино.

Взлом выявил три важных момента. Во-первых, украденная информация не была зашифрована в системе казино и была доступна злоумышленникам. Во-вторых, у казино не было достаточных проверок доступа и аутентификации, чтобы злоумышленники не смогли получить с этого устройства IoT некоторые из наиболее конфиденциальных данных, которыми они владели. Наконец, этот аквариум был подключен к более широкой сети казино - и, используя слабые стороны этого продукта, они могли подключиться к огромному количеству конфиденциальных данных и украсть их.

Последствия таких атак могут варьироваться от утечки финансовых или клиентских данных до атак на критически важную инфраструктуру. Подумайте об ущербе от крупномасштабных перебоев в электроснабжении, отключении Интернета, отключении общенациональных систем здравоохранения и доступе к неотложной помощи. Список продолжается.

Получение 100% -ного шифрования

IoT или нет - все конфиденциальные данные должны быть зашифрованы. Все это - все, что выше 0 процентов, недопустимо. Вы могли бы сделать небольшую скидку на ошибки здесь и там, но любые данные, которые не зашифрованы, могут быть скомпрометированы.

Это не значит, что у него нет собственных проблем. Природа современных данных такова, что они постоянно перемещаются - от концентратора к шлюзу, от шлюза к облаку и далее. Это усложняет задачу, так как данные должны быть зашифрованы как в состоянии покоя, так и во время полета.

Это особенно верно в отношении корпоративных сетей IoT, которые обычно состоят из ряда различных конечных точек, датчиков и устройств, постоянно отправляющих данные между своими различными частями. Одна трещина в этой сети может позволить злоумышленнику проникнуть внутрь, что делает ее не только особо уязвимой, но и критически важной областью, которую необходимо исправить.

Инфраструктуры открытых ключей (PKI) с цифровыми сертификатами начинают решать эту проблему. Поскольку PKI может обеспечивать взаимную аутентификацию между различными узлами больших сетей и шифровать потоки данных повсюду, в огромном масштабе, подходящем для Интернета вещей, предприятия начинают использовать его как способ защиты своих крупных развертываний Интернета вещей.

Хотя отрасль прогрессирует, и ведущие компании, практики и регулирующие органы предпринимают шаги для совместной работы и повышения уровня безопасности этих устройств, нам еще предстоит пройти долгий путь. Нам нужно, чтобы больше производителей уделяли приоритетное внимание безопасности и внедряли передовые методы - шифрование, аутентификацию и целостность, и это лишь некоторые из них, - и реализация не может быть постепенной. Этого будет недостаточно.

Масштабируемое шифрование - это то, что необходимо предприятиям для защиты трафика Интернета вещей. Ведущие производители обращают внимание и внедряют PKI. Будем надеяться, что остальные наверстают упущенное. И скоро.

Автор - Майк Нельсон, вице-президент по безопасности Интернета вещей в DigiCert .

Об авторе

Майк Нельсон - вице-президент по безопасности Интернета вещей в DigiCert, провайдере цифровой безопасности. В этой роли Майк наблюдает за стратегическим развитием компании в различных отраслях критически важной инфраструктуры, обеспечивающих безопасность высокочувствительных сетей и устройств Интернета вещей (IoT), включая здравоохранение, транспорт, промышленные операции, а также внедрение интеллектуальных сетей и умных городов.

Майк часто консультируется с организациями, публикует сообщения в СМИ, участвует в отраслевых органах по стандартизации и говорит на отраслевых конференциях о том, как можно использовать технологии для повышения кибербезопасности критически важных систем и людей, которые на них полагаются.

Майк провел свою карьеру в сфере информационных технологий в сфере здравоохранения, в том числе работал в Министерстве здравоохранения и социальных служб США, GE Healthcare . , и Leavitt Partners - бутик-консалтинговая фирма в области здравоохранения. Увлечение Майка этой отраслью связано с его личным опытом диабета 1 типа и использованием подключенных технологий в своем лечении.