IoT-hyökkäykset, Jotka Kaikkien Tulisi Tietää
IoT:n innovaatiot, jotka ovat tulleet organisaatioiden ja yksilöiden arkeen, ovat kokeneet nousun viime vuosina. Esimerkiksi kävely autonvalmistajan kokoonpanolinjalla paljastaa älykkäitä teknologioita, jotka suorittavat sarja- tai erätoimintoja minimaalisella tai ilman ihmisen valvontaa.
UK:ssa toimiva verkkosupermarketti-startup – Ocado ja Amazon ovat molemmat kehittäneet massiivisia ruoan lajittelu- ja toimitusteknologioita, jotka perustuvat pääasiassa IoT:hen. On myös kodinkoneita ja laitteita, jotka voivat toimia etänä. Hyviä esimerkkejä ovat valvontakamerat, valaistusjärjestelmät, automatisoidut ajotiet, kastelujärjestelmät, jotka kastelevat nurmikon paikallisen sääennusteen analysoinnin jälkeen, älykkäät mikroaaltouunit ja täysin synkronoidut asunnot.
Älylaitteet, joissa on IoT-ominaisuuksia, vaativat aktiivisen internet-yhteyden optimaalisen tehokkuuden saavuttamiseksi. IoT-laitteiden yhdistäminen internetiin kuitenkin altistaa ne potentiaalisille turvallisuusuhkille, jotka ovat yhteisiä kaikille verkkolaitteille. Internet-yhteyden mukana tuleva laaja yhteydenpito mahdollisuus on lähes aina rinnakkain turvallisuushaasteiden kanssa. On edelleen ihmisiä, jotka etsivät resursseja (sekä kovia että pehmeitä) internetin hyväksikäyttöön. Hakkerit voivat käyttää yhtä harmittomia laitteita kuin astianpesukoneita tai termostaatteja haavoittuvana aukkona muuten turvallisessa verkossa.
## Ovatko IoT-laitteet haavoittuvaisia?
Mutta, ovatko IoT-laitteet haavoittuvaisia, vai ovatko väitteet niiden turvallisuusongelmista pelkkiä salaliittoteorioita, jotka on tarkoitettu lannistamaan teknologian ystäviä IoT:n omaksumisesta? Internetin turvallisuusrikkomusten historiaa, joka on korostettu seuraavassa osiossa, ja merkitsevät todisteet siitä, että IoT-laitteet ovat säännöllisesti epäiltyjä, vastaavat kysymyksiimme.
## Kuuluisia esimerkkejä IoT-hyökkäyksistä
IoT-hyökkäyksiä on useita erilaisia; tässä muutama esimerkki niistä, jotta saat selkeämmän kuvan:
1. Mirai-hyökkäys Dyniä vastaan
Vuoden 2016 loppupuolella hakkerit murtautuivat merkittävän verkkotunnuksen nimipalveluntarjoajan – Dynin – tietokoneverkkoon. Tuolloin Dyn oli DNS-palveluntarjoaja yrityksille kuten Twitter, Netflix, Reddit, CNN ja The Guardian. DDoS-hyökkäys toteutettiin hakkerien toimesta, jotka olivat rekrytoineet noin 600 000 IoT-laitetta ja muita tietokoneita, ottaen niiden etähallinnan käyttöönsä Mirai-nimisellä haittaohjelmalla.
Mirai-botnetin hyökkäys lamaannutti Dynin useiksi tunneiksi ylikuormittamalla yrityksen verkkoresursseja.
2. Kaapatut katumaasturit
Tässä tapauksessa kyseessä oleva hakkerointi oli pelkkä simulaatio, mutta huolestuttava hakkerointi. Tutkijaryhmä hyödynsi vuonna 2015 Jeep SUV:n laiteohjelmiston päivityshaavoittuvuutta matkapuhelinverkon kautta. Päästyään käsiksi ajoneuvon dataväylään tutkijat pystyivät hidastamaan, pysäyttämään ja ohjaamaan auton tieltä pois.
3. Kirjaimelliset sydänkohtaukset
Lääketieteen edistysaskeleet ovat mahdollistaneet yksilöille, jotka ovat saaneet sydänleikkauksia ja joille on asennettu sydämentahdistimia tai defibrillaattoreita, täydentää heikkoja sydämiään. Yhdysvaltain elintarvike- ja lääkevirasto (FDA) vahvisti sydänlaitteiden haavoittuvuudet, jotka voisivat mahdollistaa niiden tehtävänsä menettämisen tai toimintahäiriön hakkerin muokkauksen seurauksena. FDA teki tämän löydön erityisesti sydänimplantteja käyttävien potilaiden osalta tietyssä sairaalassa.
4. Lämpöpääsy kasinoon
Toinen laajalti raportoitu IoT-haavoittuvuustapaus toteutettiin hakkeriryhmän toimesta, joka löysi turva-aukon kasinon akvaarion lämpömittarissa asennetussa muodossa. Päästyään käsiksi kasinon verkkoon, ryhmä onnistui saamaan haltuunsa laitoksen arkaluonteiset tiedot.
5. Isoveli-pääsy
Kuten George Orwellin Isoveli, useat internetiin yhdistetyt kamerat ovat hakkerien ulottuvilla, jotka tietävät oikeat reiät kaivettavaksi. CNN onnistui todistamaan, kuinka haavoittuvia nämä laitteet voivat olla käyttämällä Shodania, IoT-hakukonetta. Shodanin avulla yksityinen uutisyritys lähetti suoraa lähetystä satunnaisten ihmisten ympäri maailmaa olevista kameroista, todennäköisesti tietämättä altistumisestaan.
## IoT-tietoturvan haavoittuvuuden syyt
IoT-teknologioiden tulo on edelleen kukoistuskaudellaan ja sen omaksumiseen liittyviä kriittisiä kysymyksiä on vielä käsittelemättä. Kyllä, IoT-laitteet voivat olla hyödyllisiä, mutta innovaattorit ovat vielä enemmän huolissaan laitteiden toiminnallisesta vakaudesta ennen kuin ryhtyvät käsittelemään päivittäin kasvavia turvallisuuspuutteiden raportteja.
Alla on joitakin keskeisiä tekijöitä, jotka ovat saaneet IoT-laitteiden kohtaamat turvallisuusuhat pysymään ajankohtaisina.
1. IoT-laitteiden murtaminen hyödyntämällä käyttäjien tietämättömyyttä tai huolimattomuutta
Kun on kyse itsensä suojaamisesta viruksilta, jotka hyökkäävät PC:n käyttöjärjestelmään tai online-jalanjäljen peittämisestä julkisessa Wi-Fi:ssä, tällaisten teknologioiden keskivertokäyttäjä on melko hyvin perillä. Mutta kun kyse on uudemmista teknologioista, kuten IoT-laitteista, käyttäjät ovat enemmän huolissaan sääennusteen tarkistamisesta uuden jääkaappinsa GUI:sta kuin sen turvallisuudesta. ”Mikä riski jääkaapilla voisi mahdollisesti olla?” on kohtuullinen kysymys, joka saattaa tulla keskivertokäyttäjän mieleen.
Joissakin tapauksissa IoT-teknologioiden käyttäjät ovat täysin tietämättömiä laitteidensa turvallisuuden murtumisen seurauksista. Ei-toivotun roskapostin käsittely sähköpostilaatikossa ei ole ongelma. Silti satunnainen kysely IoT-laitteiden käyttäjille paljastaisi, että he eivät ymmärrä näiden helposti murrettavien teknologioiden turvaamisen perusteita. Jotkut hakkerit pääsevät käsiksi aiemmin turvattuun IoT-laitteeseen saaden käyttäjän avaamaan porsaanreiän sosiaalisen manipuloinnin kautta.
2. Tietoturva-aukot suurten hyökkäysten jälkeen
Jokaisen merkittävän botnet-hyökkäyksen jälkeen, joka ravistelee internetiä, teknologiavalmistajien tulisi luonnollisesti päivittää laitteita turvallisuuteen keskittyvillä korjauspäivityksillä. Valitettavasti hyökkäysten tiheys internetissä tekee turvallisuuspäivityksistä uuvuttavia. Ja valitettavasti hakkerien huolellinen työ jättää haavoittuvan aukon jokaisen jakson jälkeen, jota usein hyödynnetään toistuvasti, jos sitä ei käsitellä nopeasti.
Toinen merkittävä haaste IoT-laitteiden päivittämisessä on, että useimmat tällaiset päivitykset asennetaan automaattisesti ilman teknistä apua. Useammin kuin ei, IoT-laite varmuuskopioi asiakirjansa lataamalla ne pilveen ja kokee lyhyen käyttökatkon yrittäessään käynnistää uudelleen tai määrittää asetuksensa uudelleen. Tällaisia aikoja voivat hyödyntää hakkerit, erityisesti kun internet-yhteys ei ole salattu.
3. Laitteiden altistuminen valmistajien turvallisuusstandardien noudattamatta jättämisen vuoksi
Kuten aiemmin mainittiin, valmistajat ovat enemmän huolissaan ja keskittyneet tyydyttämään kuluttajiensa toiminnallisia tarpeita ja tuottavat ulos hohdokkaita ja innovatiivisia laitteita arvioimatta niiden mukana tulevia mahdollisia turvallisuusaukkoja. Tämä paljastus tarkoittaa, että jokaisen markkinoille tulevan uuden IoT-laitteen myötä saapuu uusi aukko, jonka hakkerit voivat hyödyntää.
Valmistajat ovat edelleen aktiivisia innovaatioiden saralla, mutta yhtenäisiä turvallisuusstandardeja ei ole vieläkään saavutettu. Yhteisen pohjan, kuten avoimen pääsyn teknologioiden tarjoaman, löytäminen IoT-turvallisuudelle poistaisi monia kasvavia haasteita, jotka niille on osoitettu. Mutta valitettavasti valmistajat pyrkivät saamaan suurimman markkinaosuuden häikäisemällä kuluttajia laitteilla, joissa on parannettu toiminnallisuus mutta puutteellinen turvallisuus.
4. IoT-laitteiden fyysinen haavoittuvuus
Useimpien IoT-laitteiden toiminnallisuus perustuu niiden kykyyn toimia ilman ihmisen ohjausta asennuksen jälkeen. Esimerkiksi Ocado:n automatisoidut varastot, jotka kattavat fyysisen tilan, joka vastaa noin kahta standardin jalkapallokenttää, ovat pääasiassa IoT-voimalla toimivien robottien hallinnassa ja vain muutaman ihmistyöntekijän voimin. Kuitenkin kuka tahansa voi helposti kaapata etäkohteissa asennetut IoT-laitteet ilman minkäänlaista ihmisen valvontaa asentamalla haittaohjelmia, käyttämällä laitteen saatavilla olevia portteja. Esimerkiksi valvontakameroihin voitaisiin helposti kajota tai niitä voitaisiin jopa käyttää pääsynä muuten suojattuun verkkoon.
Esimerkiksi fyysinen pääsy vain yhteen Ocado:n ruokien lajittelurobotiin voisi johtaa kaikkien yrityksen varastojen turvallisuuden vaarantumiseen ympäri maailmaa, jos ne ovat yhteisessä verkossa.
5. Rekrytoinnin helppous bottiverkkoihin
IoT-laitteiden tarpeen päivittää turvapäivityksiä ajoittain vuoksi, ne ovat muuttuneet *helpoksi saaliiksi* hakkerien keskuudessa. Ennen botnet-hyökkäyksen aloittamista, hakkerit rakentavat botnet-armeijansa asentamalla haittaohjelmia haavoittuvaisiin laitteisiin useilla eri keinoilla. Tämän jälkeen kompromissoidut laitteet saavat Handlerin, yleensä ohjauspalvelimen, joka sitten käyttää niitä koordinoidun DDoS-hyökkäyksen suorittamiseen merkityn internet-käyttäjän kimppuun.
Lisäksi IoT-laitteiden kasvavan suosion vuoksi herkillä järjestelmissä on mahdollista, että hakkerit voivat sabotoida tärkeitä laitoksia, kuten sähköverkkoa, lämmitysjärjestelmää tai liikenteenohjausta.
6. IoT-laitteiden manipulointi vakoiluohjelmiksi
Kuvittele hakkeri, joka on päässyt käsiksi lapsesi vauvakameraan ja lähettää kuvaa, kun olet poissa liikematkalla. Tällaiset henkilöt saattavat hyödyntää tilannetta pyytämällä lunnaita vastineeksi perheesi yksityisyyden säilyttämisestä. Teknisesti kyvykkäiden maiden keskusviranomaisten turvallisuusyksiköiden tekniset tiimit todennäköisesti käyttävät IoT-laitteita muiden ihmisten vakoiluun.
## Yhteenveto — Turvassa pysyminen älylaitteita käytettäessä
Turvallisuuden tulisi olla suuri huolenaihe hankittaessa IoT-laitetta, sillä on olemassa joitakin haavoittuvuuksia, joita hakkerit voisivat hyödyntää. Jos käy niin, että IoT-laitteen hankkiminen muodostuu välttämättömäksi, ennen sen aktiiviseen käyttöön ottamista, muista vaihtaa oletuskäyttäjänimi ja salasana. Lue valmistajan ohjeet ymmärtääksesi, mitä vaiheita laitteen firmwaren päivittäminen sisältää. Päivitykset pitävät sinut turvassa uhilta, jotka voisivat ilmetä aukoista, jotka valmistajan turvallisuustiimi on onnistuneesti paikannut.