Internet rzeczy (IoT - Internet of Things) rozwija się już w zasadzie wykładniczo. Według Fortune Business Insights, wskaźnik CAGR (skumulowany roczny wskaźnik wzrostu) dla rynku IoT wyniesie 25,4% do 2028 r. I tak, kiedy w 2021 r. sektor ten był wart łącznie 381 mld dol., w 2028 r. powinien osiągnąć kapitalizację na poziomie 1,8 bln dol. Wraz z IoT rozwija się cały sektor czujników oraz 5G, zapewniając firmom dostęp do nowych modeli biznesowych i szans tworzenia wartości.

Już teraz ogromna liczba urządzeń IoT, które łączą się i komunikują ze sobą, zapewnia nowe operacje biznesowe, a dodatkowo bardzo wysoką wydajność. Wiele firm zdaje już sobie sprawę, że IoT ma coraz większy wpływ na rynek – zwłaszcza w kontekście pracy z danymi.

Zobacz również:

• 8 błędów strategii danych, których należy unikać
• 5G - rozwój jeszcze przed nami, 6G - tuż tuż, za rogiem
• Najnowsze cyberataki a dzisiejsze wyzwania w skutecznej cyberochronie przedsiębiorstw

Aby jednak czerpać korzyści z IoT trzeba wcześniej uporać się z piętą achillesową tych rozwiązań, czyli problemem bezpieczeństwa czujników i całych sieci. Na co zwrócić uwagę, gdy chcemy stworzyć i rozwijać smart infrastrukturę Internetu rzeczy?

Bezpieczeństwo IoT to duże wyzwanie

Aby zrozumieć jak zabezpieczyć systemy IoT, konieczne jest zbadanie potencjalnych zagrożeń. Co trzeba wiedzieć w kontekście IoT, jeśli chodzi o cyberbezpieczeństwo? Jest kilka wyzwań, z którymi specjaliści ds. bezpieczeństwa muszą sobie radzić.

Najważniejszym z nich są luki w oprogramowaniu firmware, jak i samych aplikacji do obsługi danego sprzętu. Wiele systemów IoT ma luki w zabezpieczeniach, które dotyczą oprogramowania, ale wynika to niekoniecznie z nieuwagi developerów. Warto wiedzieć, że sporo smart urządzeń ma ograniczone zasoby i moc obliczeniową. To sprawia, że nie mogą uruchamiać rozbudowanych funkcji bezpieczeństwa. Luki w zabezpieczeniach sieci IoT powstają z powodów takich jak:

• Brak wystarczającej mocy obliczeniowej dla wydajnych, wbudowanych zabezpieczeń
• Niedopracowana kontrola dostępu w systemach IoT (m.in. nadawanie uprawnień)
• Ograniczony budżet na prawidłowe testowanie i poprawę bezpieczeństwa oprogramowania dla urządzeń IoT
• Brak regularnych poprawek i aktualizacji oprogramowania ze względu na kwestie budżetowe i ograniczenia techniczne
• Użytkownicy często nie mogą na własną rękę przeprowadzać aktualizacji oprogramowania, co dodatkowo ogranicza łatanie luk
• Słaba ochrona przed atakami fizycznymi (np. hakowanie urządzenia za pomocą fal radiowych)

Cyberprzestępcy mogą wykorzystywać luki znalezione w danej sieci IoT, aby naruszać komunikację, instalować złośliwe oprogramowanie malware czy wykradać cenne dane. Przykładem może być atak na smart kamery Amazon Ring z 2020 r., który był możliwy, ponieważ producent stosował słabej jakości domyślne hasła, a klienci ich nie zmieniali po instalacji sprzętu. W rezultacie hakerzy mogli nawet zdalnie komunikować się z ofiarami za pomocą mikrofonu i głośników kamer.

KOMENTARZ EKSPERTA

Tworzenie produktów IoT wymaga przemyślenia kwestii ich bezpieczeństwa już na wczesnym etapie projektowania. Jednak zapewnienie solidnej ochrony urządzeń, sieci i danych w środowiskach IoT jest trudne ze względu na częstotliwość cyberataków i coraz większe wyrafinowanie cyberprzestępców. Poza ograniczeniami sprzętowymi, wdrożenie optymalnych funkcji bezpieczeństwa w IoT może podnieść koszt i wydłużyć czas ich rozwoju, co dla przedsiębiorstw jest niepożądanym efektem. Największe problemy z bezpieczeństwem są bez wątpienia związane z kontrolą dostępu i eksponowanymi usługami. Aby utrudnić atakującym przejęcie kontroli nad urządzeniami IoT, powinno się wdrażać środki bezpieczeństwa zgodne z najlepszymi praktykami, jak na przykład szyfrowanie. Konsekwencje cyberataków na rozwiązania IoT mogą być znacznie bardziej dotkliwe ze względu na wyjątkową zdolność wpływania zarówno na systemy wirtualne, jak i fizyczne. Jest to szczególnie widoczne w dziedzinie przemysłowego IoT, gdzie wcześniejsze cyberataki wykazały konsekwencje kaskadowe. W wielu branżach urządzenia IoT są już wykorzystywane do zdalnego monitorowania różnorakich parametrów. Ataki na takie urządzenia mogą ujawnić poufne informacje, a nawet zagrozić zdrowiu i bezpieczeństwu człowieka. Przejęte urządzenia IoT mogą umożliwić cyberprzestępcom monitorowanie gospodarstwa domowego. Mogą wpływać na urządzenia zabezpieczające, takie jak inteligentne zamki i obracać urządzenia przeciwko ich właścicielom, tak jak miało to miejsce w przypadku elektronicznej niani i inteligentnego termostatu. Jeśli chcemy nie tylko rozwijać biznes IoT, ale też mieć pewność, że jest on bezpieczny, musimy ciągle dostosowywać narzędzia cyberochrony do aktualnej sytuacji. Jest to wyzwanie, przed którym stają największe przedsiębiorstwa i specjaliści ds. cyberbezpieczeństwa. Dlatego warto w tym względzie współpracować z zewnętrznymi ekspertami, którzy posiadają dostęp do najnowocześniejszych rozwiązań. Dla przykładu T-Mobile ze względu na swoją unikalną pozycję operatora telekomunikacyjnego oraz dostęp do wysoko zaawansowanych technologii, niedostępnych dla mniejszych podmiotów, dostarcza pełen usług cyberbezpieczeństwa dla rozwiązań IoT. Obejmują one takie obszary, jak bezpieczeństwo aplikacji web i mobilnych, radia i sieci oraz sprzętu i infrastruktury. Takie podejście gwarantuje, że żaden komponent bezpieczeństwa IoT, który mógłby stanowić najsłabsze ogniwo w łańcuchu całego ekosystemu, nie zostanie pominięty.

Kolejnym słabym ogniwem w sieciach IoT jest brak lub słabe mechanizmy bezpieczeństwa. Te bowiem były projektowane najczęściej z myślą o komputerach stacjonarnych i laptopach i są trudne do wdrożenia na urządzeniach IoT o ograniczonych zasobach. To powoduje, że jednym z popularnych zagrożeń jest możliwość ataku typu man-in-the-middle (MitM). Hakerzy mogą z łatwością przeprowadzać ataki MitM, aby złamać procedurę aktualizacji i przejąć kontrolę nad urządzeniem, jeśli nie korzysta ono z bezpiecznego szyfrowania i mechanizmów uwierzytelniania. Atakujący mogą nawet zainstalować złośliwe oprogramowanie lub zmienić funkcjonalność urządzenia. Warto dodać, że nawet jeśli nasze urządzenie nie padnie ofiarą ataku MitM, dane, które wymienia z innymi urządzeniami i systemami, nadal mogą zostać przechwycone przez cyberprzestępców, jeśli tylko są wysyłane w postaci niezaszyfrowanych wiadomości tekstowych.

Kilka zalecanych praktyk

Luki w zabezpieczeniach IoT są jak znak powitalny dla hakerów. Wiele firm dba o wysoki poziom bezpieczeństwa w przypadku komputerów czy smartfonów, ale z jakiegoś powodu ignoruje urządzenia wchodzące w skład sieci IoT. I tak, nawet z pozoru tak podstawowa czynność jak zmiana haseł dostępu, które domyślnie zwykle brzmią "admin" lub "12345", jest pomijana. Podstawową praktyką jest więc nie tylko zmiana domyślnego hasła, ale też polityka wymuszająca zmianę haseł np. co trzy miesiące. Same hasła warto natomiast przechowywać w bezpiecznym miejscu, np. menedżerze haseł, aby nie musieć ich zapisywać i przechowywać bezpośrednio na dysku.

Korzystając z sieci IoT upewnijmy się, że wszystkie urządzenia są chronione oraz mają aktualne oprogramowanie. To niezbędne w walce z zagrożeniami bezpieczeństwa IoT. Idąc dalej, uważajmy na spoofing (podszywanie się) tożsamości. Cyberprzestępcy są coraz sprytniejsi i często podszywają się pod pracowników poszczególnych firm. Wówczas, jeśli dana organizacja domyślnie akceptuje wszystkie połączenia ze służbowych komputerów (z domeny firmowej), może w ten sposób wpuścić do sieci hakera. Dobrym rozwiązaniem jest weryfikowanie wszystkich użytkowników oraz nadawanie uprawnień tylko tym osobom, które faktycznie potrzebują dostępu do konkretnych zasobów. Świetnym podejściem będzie stosowanie modelu zero trust.

Kolejnym zalecanym rozwiązaniem jest używanie szyfrowanych protokołów. Niewiele urządzeń korzysta z komunikacji szyfrowanej w ramach początkowej konfiguracji. Możliwe jest, że używają one standardowych protokołów, które komunikują się zwykłym tekstem, co ułatwia hakerom ich monitorowanie i wykrywanie słabości. W obecnych czasach kluczowe jest, aby cały ruch sieciowy korzystał z protokołu HTTPS, a także takich zabezpieczeń jak TLS (transport layer security), SFTP (Secure File Transfer Protocol) czy rozszerzeń zabezpieczeń DNS (DNS security extensions). Urządzenia IoT, które łączą się z aplikacjami mobilnymi, również powinny korzystać z szyfrowanych protokołów.