Come proteggere i campanelli domestici e le videocamere dagli hacker

Mentre la scienza continua ad avanzare, le cose sempre più banali diventano sofisticate tecnologie. In questi giorni anche i campanelli si sono uniti all'elenco in continua espansione di dispositivi Internet of Things (IoT) che sono stati compromessi da terze parti dannose. Secondo i rapporti, le credenziali per 3000 account Ring sono state violate, il che ha provocato un gran numero di attacchi. In un rapporto inquietante, una telecamera Ring nella camera da letto di una bambina di otto anni è stata violentata da un individuo, che ha detto alla ragazza di chiamare sua madre con insulti razziali. E questo non è l'unico caso in cui una telecamera viene hackerata. Ci sono stati più casi, che hanno portato a cause legali.

Sfortunatamente, i dispositivi di casa intelligente come telecamere, campanelli, altoparlanti intelligenti e persino elettrodomestici come i frigoriferi, possono essere oggi compromessi dagli hacker. Ring ha rilasciato una dichiarazione in cui negava le accuse dicendo che i loro sistemi non erano stati compromessi, ma che era il risultato di altri sistemi compromessi.
Questo è ciò che diceva la dichiarazione Ring:

"Ecco cosa è successo. Gli attori dannosi hanno ottenuto alcune credenziali dell'account degli utenti Ring (ad esempio, nome utente e password) da un servizio separato, esterno, non Ring e li hanno riutilizzati per accedere ad alcuni account Ring. Quando le persone riutilizzano lo stesso nome utente e la stessa password su più servizi, è possibile per gli attori malintenzionati ottenere l'accesso a molti account ".

Gli attacchi a cui si fa riferimento nell'istruzione Ring sono chiamati attacchi "ripieno di credenziali".
Quello che succede sono gli account di accesso di un utente (il più delle volte il loro indirizzo e-mail) e le password vengono rubate da cattivi attori. Quindi queste credenziali vengono vendute per il miglior offerente sul Dark Web, quindi vengono utilizzate per tentare di accedere ad altri sistemi. È un peccato che gli utenti riutilizzino le stesse password su vari account. Una volta che hanno la password della vittima, possono accedere a tutti i loro account su più sistemi.

Le istruzioni di Ring per modificare le password e abilitare l'autenticazione a due fattori (2FA), se del caso, non sono sufficienti per scoraggiare gli hacker. La maggior parte degli esperti di sicurezza ritiene che i dispositivi IoT, in particolare le telecamere, dovrebbero avere misure di sicurezza superiori.
Non è la prima volta che Ring viene coinvolto in una violazione dei dati. In precedenza, c'erano segnalazioni di campanelli Ring che perdevano le credenziali WiFi e un difetto di sicurezza che permetteva agli utenti di rimanere connessi a un dispositivo anche dopo l'aggiornamento della password del dispositivo.

La violazione del Ring non è l'unico esempio di credenziali trapelate risultanti in un hack IoT. La famosa botnet Mirai, che utilizzava password predefinite in fabbrica per accedere a più tipi di dispositivi IoT, è il primo esempio di questa pratica. Le credenziali statiche (nomi utente e password) si sono rivelate inefficaci, e peggio ancora una potenziale minaccia alla sicurezza perché molti proprietari non si preoccupano di cambiarle a causa dell'ignoranza o di altri motivi. Oggi disponiamo di una tecnologia di sicurezza più avanzata e le credenziali utente predefinite hanno dimostrato di essere un danno più di ogni altra cosa.

Come costruire dispositivi IoT sicuri

I dispositivi IoT non sono più una nuova tecnologia emergente e richiedono una sicurezza avanzata. Non possiamo permetterci di vendere dispositivi connessi tramite Internet, come automobili, macchine fotografiche, campanelli intelligenti, elettrodomestici, senza o solo misure di sicurezza barebone. Lo stato della California e l'Unione Europea hanno già iniziato a emanare leggi che richiedono livelli più elevati di sicurezza per i dispositivi IoT. Molte altre leggi e normative sono state aggiunte per garantire la sicurezza dei dispositivi IoT. Inoltre, enti regolatori governativi come la FDA, hanno iniziato ad aggiungere maggiori requisiti di sicurezza informatica per i dispositivi IoT in mercati specifici.

Come implementare la sicurezza IoT

La violazione del Ring è stata causata da scarse pratiche di sicurezza come il riutilizzo della password, ma ciò non significa che non avrebbe potuto fare Ring. Se avessero richiesto l'autenticazione a più fattori o l'autenticazione basata su certificato per i suoi dispositivi, queste perdite potrebbero essere state evitate. È indispensabile che i produttori di dispositivi IoT inizino a prendere più seriamente la sicurezza e ad aggiungere misure di sicurezza più avanzate ai loro prodotti. La tecnologia è abbastanza avanzata da consentire la creazione di un ambiente domestico connesso relativamente sicuro dagli attacchi informatici utilizzando gli ultimi protocolli di sicurezza.

Idealmente, i dispositivi connessi a Internet avrebbero funzionalità di sicurezza integrate che proteggono il dispositivo dagli attacchi, proteggono l'integrità del dispositivo stesso e aggiungono l'identità del dispositivo, in modo che i dispositivi possano essere autenticati e comunicare in modo sicuro tra loro via Internet utilizzando sofisticati algoritmi di crittografia. Alcune delle funzionalità che migliorerebbero la sicurezza dei dispositivi IoT sono:

1. 1. Aggiungi avvio sicuro . Questa funzione assicura che il software non sia stato manomesso dall'accensione iniziale all'esecuzione dell'applicazione. Inoltre, consente agli sviluppatori di codificare in modo sicuro bootloader, microkernel, sistemi operativi, codice dell'applicazione e dati.
   2. Applicare i certificati di identità dei dispositivi . La timbratura dei dispositivi con certificati digitali durante la produzione garantisce che i dispositivi IoT siano autenticati quando aggiunti a una rete, nonché prima di interagire con altri dispositivi in quella rete. Questo li proteggerà da dispositivi contraffatti.
   3. Incorpora i firewall nei dispositivi IoT. I firewall integrati bloccano le comunicazioni con dispositivi non autorizzati e prevengono i messaggi dannosi.
   4. Usa elementi sicuri . I produttori di apparecchiature originali (OEM) e i produttori di dispositivi medici devono utilizzare un elemento sicuro, come un elemento sicuro conforme a TPM (Trusted Platform Module) o un elemento sicuro incorporato per l'archiviazione sicura delle chiavi. L'archiviazione sicura delle chiavi garantisce un avvio sicuro e la registrazione PKI utilizzando coppie di chiavi create all'interno dell'elemento sicuro, aggiunge livelli eccezionalmente elevati di sicurezza e protezione dagli hack.
   5. Garantire aggiornamenti remoti sicuri . È fondamentale assicurarsi che il firmware del dispositivo non sia stato modificato in alcun modo prima dell'installazione. Gli aggiornamenti remoti sicuri assicurano che i componenti non vengano modificati e che siano moduli autenticati dall'OEM.