Hoe deurbellen en camera's in huis te beschermen tegen hackers

Naarmate de wetenschap vordert, worden steeds meer alledaagse dingen geavanceerde stukjes technologie. Tegenwoordig zijn zelfs deurbellen toegevoegd aan de steeds groter wordende lijst van Internet of Things (IoT) -apparaten die zijn aangetast door kwaadwillende derden. Volgens rapporten zijn de inloggegevens van 3000 Ring-accounts gehackt, wat heeft geleid tot een groot aantal aanvallen. In een verontrustend rapport werd een Ring-camera in de slaapkamer van een achtjarig meisje gehackt door een persoon, die het meisje vertelde haar moeder te bellen met racistische opmerkingen. En dit is niet het enige geval waarbij een camera wordt gehackt. Er zijn meerdere zaken geweest die tot rechtszaken hebben geleid.

Helaas kunnen slimme thuisapparaten zoals camera's, deurbellen, slimme luidsprekers en zelfs apparaten zoals koelkasten tegenwoordig door hackers worden aangetast. Ring gaf een verklaring af waarin hij de beschuldigingen ontkende door te zeggen dat hun systemen niet waren aangetast, maar dat dit het gevolg was van andere systemen die in gevaar waren gebracht.
Dit is wat de Ring-verklaring zei:

"Dit is wat er is gebeurd. Schadelijke actoren hebben de inloggegevens van sommige Ring-gebruikers (bijv. Gebruikersnaam en wachtwoord) verkregen van een aparte, externe, niet-Ring-service en hergebruikt om in te loggen op sommige Ring-accounts. Wanneer mensen dezelfde gebruikersnaam en hetzelfde wachtwoord opnieuw gebruiken op meerdere services, is het voor kwaadwillende actoren mogelijk om toegang te krijgen tot veel accounts. "

De aanvallen waarnaar in de Ring-verklaring wordt verwezen, worden 'credential stuffing'-aanvallen genoemd.
Wat er gebeurt, is het inloggen van een gebruiker (meestal zijn e-mailadres) en wachtwoorden worden gestolen door slechte acteurs. Vervolgens worden deze inloggegevens verkocht voor de hoogste bieder op het Dark Web en vervolgens worden ze gebruikt om te proberen toegang te krijgen tot andere systemen. Het is jammer dat gebruikers dezelfde wachtwoorden voor verschillende accounts hergebruiken. Zodra ze het wachtwoord van het slachtoffer hebben, kunnen ze toegang krijgen tot al hun accounts op meerdere systemen.

Ring's instructies om wachtwoorden te wijzigen en Two-Factor Authentication (2FA) in te schakelen, zijn in voorkomend geval niet voldoende om hackers af te schrikken. De meeste beveiligingsexperts zijn van mening dat IoT-apparaten, vooral camera's, superieure beveiligingsmaatregelen moeten hebben.
Dit is ook niet de eerste keer dat Ring betrokken is bij een datalek. Eerder waren er meldingen dat Ring-deurbellen WiFi-inloggegevens lekten en een beveiligingsfout waardoor gebruikers ingelogd konden blijven op een apparaat, zelfs nadat het wachtwoord van het apparaat was bijgewerkt.

De Ring-inbreuk is niet het enige voorbeeld van gelekte inloggegevens die resulteren in een IoT-hack. Het beroemde Mirai-botnet, dat fabriekswachtwoorden gebruikte om toegang te krijgen tot meerdere soorten IoT-apparaten, is het beste voorbeeld van deze praktijk. Statische inloggegevens (gebruikersnamen en wachtwoorden) zijn niet effectief gebleken, en erger nog, een potentiële veiligheidsdreiging omdat veel eigenaren de moeite niet nemen om ze te wijzigen vanwege onwetendheid of andere redenen. We hebben tegenwoordig meer geavanceerde beveiligingstechnologie en de standaard gebruikersreferenties blijken meer dan wat dan ook een nadeel te zijn.

Hoe veilige IoT-apparaten te bouwen

De IoT-apparaten zijn geen nieuwe opkomende technologie meer en ze vereisen geavanceerde beveiliging. We kunnen het ons niet veroorloven om apparaten te verkopen die via internet zijn aangesloten, zoals auto's, camera's, slimme deurbellen, apparaten, zonder of alleen met barebones-beveiligingsmaatregelen. De staat The State of California en de Europese Unie zijn al begonnen met het vaststellen van wetgeving, die een hoger beveiligingsniveau voor IoT-apparaten vereist. Veel andere wet- en regelgeving wordt toegevoegd om de veiligheid van IoT-apparaten te waarborgen. Sterker nog, overheidsinstanties zoals de FDA zijn begonnen met het toevoegen van strengere cyberbeveiligingsvereisten voor IoT-apparaten in specifieke markten.

Hoe IoT-beveiliging te implementeren

De Ring-inbreuk werd veroorzaakt door slechte beveiligingspraktijken zoals hergebruik van wachtwoorden, maar dat betekent niet dat Ring niets had kunnen doen. Als ze voor hun apparaten multi-factor authenticatie of op certificaten gebaseerde authenticatie hadden vereist, waren deze lekken mogelijk voorkomen. Het is absoluut noodzakelijk dat IoT-apparaatfabrikanten de beveiliging serieuzer gaan nemen en geavanceerdere beveiligingsmaatregelen aan hun producten toevoegen. De technologie is zo geavanceerd dat het mogelijk is om een verbonden thuisomgeving te bouwen die relatief veilig is tegen cyberaanvallen met behulp van de nieuwste beveiligingsprotocollen.

Idealiter zouden apparaten die met internet zijn verbonden ingebouwde beveiligingsfuncties hebben die het apparaat tegen aanvallen beschermen, de integriteit van het apparaat zelf beschermen en de identiteit van het apparaat toevoegen, zodat de apparaten kunnen worden geverifieerd en veilig met elkaar kunnen communiceren via internet met behulp van geavanceerde encryptie-algoritmen. Enkele van de functies die de beveiliging van IoT-apparaten zouden verbeteren, zijn:

1. 1. Voeg Secure Boot toe . Deze functie zorgt ervoor dat er niet is geknoeid met de software vanaf de eerste "inschakelen" tot het uitvoeren van de applicatie. Het stelt ontwikkelaars ook in staat om bootloaders, microkernels, besturingssystemen, applicatiecode en gegevens veilig te coderen.
   2. Afdwingen van identiteitscertificaten voor apparaten . Het stempelen van apparaten met digitale certificaten tijdens de productie zorgt ervoor dat de IoT-apparaten worden geverifieerd wanneer ze worden toegevoegd aan een netwerk, en voordat ze communiceren met andere apparaten in dat netwerk. Dit beschermt ze tegen namaakapparaten.
   3. Sluit firewalls in op IoT-apparaten. Ingebouwde firewalls blokkeren de communicatie met niet-geautoriseerde apparaten en voorkomen schadelijke berichten.
   4. Gebruik beveiligde elementen . Fabrikanten van originele apparatuur (OEM) en fabrikanten van medische apparatuur moeten een beveiligd element gebruiken, zoals een vertrouwd platformmodule (TPM) -compatibel beveiligd element, of een ingebed beveiligd element voor veilige sleutelopslag. Veilige sleutelopslag zorgt voor een veilige opstart en PKI-inschrijving met sleutelparen die in het beveiligde element zijn gecreëerd, voegt uitzonderlijk hoge niveaus van beveiliging en bescherming tegen hacks toe.
   5. Zorg voor veilige externe updates . Het is van cruciaal belang ervoor te zorgen dat de apparaatfirmware op geen enkele manier is gewijzigd vóór de installatie. Veilige updates op afstand zorgen ervoor dat de componenten niet worden gewijzigd en geauthenticeerde modules zijn van de OEM.