Як зламують розумну техніку та як її захистити
Покладаючись на стандартні налаштування, ви ризикуєте тим, що ваші пристрої виявляться беззахисними перед хакерами.
Ми покажемо вам як захистити розумну техніку.
Коли фахівці з питань безпеки компанії BullGuard у середині цього року виявили гігантську бот-мережу, експерти були вражені: більшість «систем-зомбі», використаних для DoS-атак на провайдерів та провідні компанії у сфері телекомунікацій, виявилися зовсім не комп'ютерами. Здебільшого йшлося про розумну побутову техніку, наприклад, про IP-камери. Зловмисники встановлювали шкідливу програму під назвою Mirai - удосконалену версію вірусу Gafgyt, який, за оцінками BullGuard, за останні місяці вбив понад мільйон розумних побутових пристроїв.
Зараження компонентів досі відбувається відносно просто, тому що антивірусного захисту, як у комп'ютерів, побутові пристрої просто не мають. Спеціально для CHIP інсайдери повідомили, що провідні компанії, які працюють у сфері комп'ютерної безпеки, досі не дійшли остаточного рішення щодо того, як саме потрібно захищати такі пристрої. На жаль, розумні лампи та подібна до них техніка, як правило, обладнані лише самими базовими механізмами захисту від злому. Наприклад, багато IP-камер використовують стандартні паролі, викладені в загальний доступ в інтернеті.
Однак низький рівень безпеки — ще не привід відразу відмовлятися від розумного будинку. Найчастіше відносно надійний захист можна побудувати за допомогою декількох простих налаштувань, про які йтиметься нижче.
Ми продемонструємо вам хакерські методи, що використовуються для злому різних пристроїв, і розповімо, як від них захиститися.
Дверні замки та камери
Захист двернихзамків
Стандартно iOS дозволяє такі команди, лише якщо пристрій розблоковано. Однак у багатьох пристроїв, які використовуються лише вдома, кодове блокування найчастіше деактивується. Якщо вдома використовується з'єднання «розумного» замка з голосовим помічником, на пристрої з iOS слід активувати пін-код для розблокування або деактивувати Siri. Налаштування ви знайдете в розділі "Налаштування Siri" на вашому пристрої з iOS. У користувачів Android такої проблеми немає, тому що тут поки що неможливо управління розумним будинком через голосовий сервіс Google. Але з появою цієї опції потрібно буде потурбуватися про безпеку і власникам Android-пристроїв.
Шифрування даних IP-камери
Небезпека в тому, що запит програми, що надсилається до хмари, є незашифрованим. У ньому міститься ідентифікатор сесії, за допомогою якого програма потім шифрує трафік. Якщо хакер знаходиться в тій же мережі, що й користувач програми камери, він може вважати ідентифікатор сесії і отримати доступ до камери через хмару. Від таких зломів захистить VPN, наприклад, безкоштовний VPN у веб-браузері Opera, який завжди потрібно використовувати в публічних мережах.
У деяких версіях мікропрограмного забезпечення камер «Лабораторія Касперського» виявила налаштований за промовчанням і незмінний пароль root, однаковий для всіх моделей. Подібне програмне забезпечення хакери можуть легко завантажити на сайті виробника, отримавши таким чином пароль для повного доступу до камери. Тут питання захисту стоїть ще гостріше, тому що з боку користувача нічого проти цього зробити неможливо. Однак найчастіше подібні помилки швидко усуваються виробником, і їм надається нове мікропрограмне забезпечення. Тому потрібнорегулярно шукати оновлення програмного забезпечення для ваших систем безпеки, а також для програм, що відносяться до них, і якщо це можливо, активувати автоматичну функцію установки останніх оновлень.
Плацдарм для атаки на розумний дім
HomeKit Спочатку Apple добре захищає свою платформу. Але оскільки повний доступ до пристрою з iOS можна отримати за допомогою джейлбрейка, то і програма HomeKit не є безпечною. До того ж зломщики можуть керувати важливими компонентами ззовні через голосові команди Siri — наприклад, можна відкрити вхідні двері (див. розділ «Захист дверних замків»).
Samsung SmartThings Дослідники питань безпеки в університеті Мічігану знайшли у платформи Samsung спосіб отримання великих прав доступу до розумних пристроїв за допомогою додатків SmartThings. Це дозволяло так керувати дверним замком і так його блокувати, що його більше не можна було відкрити. Компанія Samsung вже усунула цей пролом. Тому варто стежити за своєчасним оновленням ПЗ вашої системи.
Розетки, лампочки та термостати
У той час як розумні замки поки що займають дуже скромну нішу, такі сучасні системи забезпечення комфорту, як розумні лампи або термостати, зустрічаються набагато частіше.
Захистити лампи
Ще кілька місяців тому Роунен показав, як за допомогою ламп Hue можна передавати пакети даних, наприклад, дані реєстрації, які без захисту розсилаються в домашній мережі. Крім того, він змусив лампи мерехтіти із частотою понад 60 Гц. Людським оком це не вловлюється, а ось спеціальним світловим сенсором цілком. Його Роунен встановив на телескоп, щоб мати можливість вловлювати мерехтіння світла на великій відстані. Залежно від частоти мерехтіння можнапередавати 10 кбайт даних щодня. Це, звичайно, небагато, та й користувач від цього ніяк не страждає, а для передачі реєстраційних даних цього більш ніж достатньо.
За словами Коліна О’Флінна, через світильники можна впровадити у домашню мережу шкідливу програму. Для цього використовується той факт, що зв'язок з пристроями Hue встановлюється закодованим бездротовим стандартом ZigBee. Головний ключ від нього було викладено хакерами в інтернет. І оскільки всередині мережі Hue-пристрою пересилають одне одному оновлення програмного забезпечення, не використовуючи контроль з підписом, зловмисник може запустити в систему фальшиве оновлення, яке потім розійдеться по всіх лампах. Це дає хробакові можливість вести DoS-атаки. У цьому випадку користувач виявляється беззахисним перед атакою, оскільки лампам для комунікації обов'язково потрібно ZigBee. Тому слід звертати увагу на те, щоб у лампах було встановлене найновіше мікропрограмне забезпечення.
Як захистити розетку від нападів
. та захистити термостат від хакерів
Для захисту керування системою опалення також є актуальним використання VPN. У системи Max дані для керування термостатом зовсім не шифруються. Вірус може без проблем отримати контроль над пристроєм, проникнувши в домашню мережу. І відповідний додаток для дистанційного керування не кращий. За словами фахівців компанії AV-Test, трафік тут йде через незашифроване http-з'єднання. З публічної WLAN-мережі реєстраційні дані для керування будуть вкрадені дуже швидко.
Отже, майже всі елементи Інтернету речей потенційно можуть бути зламані, а в гіршому випадку стати частиною ботнета. Але при цьому власники пристроїв у системі розумного будинку можуть легкозахиститися від злому. Найпростіший спосіб – це використання VPN при віддаленому доступі та регулярне оновлення мікропрограмного забезпечення розумних пристроїв. Щоправда, за даними опитування асоціації prpl Foundation, 20% користувачів не знають про те, що мікропрограмне забезпечення пристроїв взагалі може оновлюватися, що не вселяє оптимізму.
Злом через ТБ
У світі використовується безліч розумних телевізорів з підключенням до інтернету. Через онлайн-з'єднання хакери можуть проникнути у пристрої та, наприклад, активувати вбудовану веб-камеру та мікрофон. Це продемонстрував експерт Бенжамін Мішель, отримавши доступ до телевізора через сигнал DVB-T. Для цього хакер використав уразливість в операційній системі телевізорів Samsung. Компанія Samsung вже зреагувала та закрила проломи у безпеці більшості телевізійних пристроїв.
Контрзаходи. Якщо ви хочете самостійно захиститися від таких атак, потрібно вжити рішучих заходів: заклейте вічко камери телевізора непрозорим скотчем. У деяких моделей доступний і мікрофон його теж потрібно заклеїти. Як правило, розташування мікрофона описується в інструкції, і стандартно він знаходиться на передній стороні пристрою. І звичайно, регулярне оновлення мікропрограмного забезпечення відіграє велику роль і для Smart TV.