Bezpieczeństwo IoT: jak chronić urządzenia inteligentnego domu

Problem bezpieczeństwa IoT

Internet rzeczy (IoT) to rosnąca grupa urządzeń podłączonych do internetu, wykraczająca poza tradycyjne komputery i telefony: telewizory smart, kamery bezpieczeństwa, wideodomofony, roboty sprzątające, termostaty, inteligentne głośniki, nianie elektroniczne, lodówki i dziesiątki innych „inteligentnych” sprzętów.

Te urządzenia mają poważny problem z bezpieczeństwem. Większość z nich produkują firmy, dla których priorytetem jest szybkie wprowadzenie produktu na rynek i niskie koszty — a nie bezpieczeństwo. Trafiają do sprzedaży ze słabymi domyślnymi hasłami, rzadko dostają aktualizacje i często działają na przestarzałym oprogramowaniu ze znanymi lukami. Po zainstalowaniu w domu zwykle zostają całkowicie zapomniane.

Efekt: miliony słabo zabezpieczonych urządzeń podłączonych do domowych sieci na całym świecie, tworzących razem jedną z największych powierzchni ataku, jakie istnieją.

Dlaczego urządzenia IoT są celem ataków

Atakujący biorą na cel urządzenia IoT z kilku powodów:

• Trwały dostęp: przejęty telewizor smart daje atakującemu przyczółek w Twojej sieci, który może przetrwać latami niewykryty
• Werbowanie do botnetów: botnet Mirai w 2016 roku zainfekował ponad 600 000 urządzeń IoT i wykorzystał je do przeprowadzenia największego wówczas ataku DDoS, który położył główne usługi internetowe
• Ruch boczny: z przejętego urządzenia IoT atakujący mogą przejść do komputerów i telefonów w tej samej sieci
• Inwigilacja: przejęte kamery i mikrofony to oczy i uszy w Twoim domu
• Zbieranie danych: telewizory smart i asystenci głosowi mogą zostać wykorzystani do podsłuchiwania wrażliwych rozmów

Zmień domyślne dane logowania na każdym urządzeniu

To najważniejszy pojedynczy krok w bezpieczeństwie IoT. Większość urządzeń ma domyślne loginy i hasła, takie jak admin / admin, admin / password czy user / 1234. Są one publicznie dostępne w dokumentacji producenta i to pierwsze dane, które sprawdzają atakujący.

Dla każdego posiadanego urządzenia IoT:

1. Otwórz panel administracyjny urządzenia (zwykle przez aplikację mobilną lub interfejs WWW)
2. Zmień domyślne hasło na długie, unikalne hasło zapisane w menedżerze haseł
3. Zmień domyślną nazwę użytkownika, jeśli interfejs na to pozwala
4. Wyłącz wszystkie domyślne konta administratora, z których nie będziesz korzystać

Już sam ten krok eliminuje większość zautomatyzowanych ataków na IoT, które polegają wyłącznie na próbowaniu domyślnych danych logowania.

Odizoluj urządzenia IoT w osobnej sieci

Najskuteczniejszą ochroną architektoniczną jest segmentacja sieci — trzymanie urządzeń IoT w osobnej sieci Wi-Fi, która nie może bezpośrednio komunikować się z Twoimi komputerami, telefonami i tabletami.

Umożliwia to funkcja sieci gościnnej w routerze. Włącz ją, podłącz do niej wszystkie urządzenia IoT i włącz opcję izolowania urządzeń w tej sieci od siebie nawzajem i od sieci głównej.

Korzyść: jeśli Twój telewizor smart zostanie przejęty, atakujący znajdzie się w odizolowanym segmencie i nie dostanie się bezpośrednio do laptopa, telefonu czy dysku NAS. Zostaje uwięziony.

Co umieścić w sieci IoT:

• Telewizory smart
• Asystentów głosowych (Amazon Echo, Google Home)
• Kamery bezpieczeństwa i wideodomofony
• Inteligentne termostaty
• Roboty sprzątające
• Inteligentne żarówki i gniazdka
• Konsole do gier

Co zostawić w sieci głównej:

• Komputery
• Telefony i tablety
• Pamięć sieciową (NAS)

Aktualizuj oprogramowanie układowe

Producenci IoT co jakiś czas wydają aktualizacje oprogramowania układowego (firmware), łatające znane luki. W przeciwieństwie do komputerów większość urządzeń IoT nie aktualizuje się automatycznie, a wielu właścicieli nigdy tego nie sprawdza.

• Otwórz aplikację urządzenia i poszukaj opcji aktualizacji firmware
• Niektóre urządzenia obsługują automatyczne aktualizacje — włącz tę funkcję wszędzie, gdzie jest dostępna
• Śledź komunikaty o aktualizacjach na stronie producenta
• Ustaw przypomnienie w kalendarzu co 3 miesiące, by sprawdzać aktualizacje IoT

Jeśli urządzenie ma więcej niż 3–4 lata, a producent nie wydaje już aktualizacji, rozważ jego wymianę. Korzystanie z trwale niezałatanych urządzeń to stałe ryzyko.

Wyłącz nieużywane funkcje

Wiele urządzeń IoT ma funkcje, z których możesz nigdy nie skorzystać — a każda z nich to dodatkowa powierzchnia ataku:

• Dostęp zdalny / przez chmurę: jeśli nie musisz sterować termostatem z drugiego końca świata, wyłącz dostęp przez chmurę i korzystaj wyłącznie ze sterowania lokalnego
• UPnP: pozwala urządzeniom automatycznie otwierać porty w routerze. Wyłącz UPnP w routerze, aby urządzenia IoT nie robiły dziur w zaporze bez Twojej wiedzy
• Dostęp z internetu: niektóre kamery i urządzenia NAS można skonfigurować tak, by były dostępne z internetu — włączaj to tylko w razie konieczności i z silnym uwierzytelnianiem
• Nieużywane usługi: SSH, Telnet lub interfejsy WWW, których nie potrzebujesz — wyłącz je

Wybieraj urządzenia z rozwagą

Kwestie bezpieczeństwa, które warto rozważyć przed zakupem nowego urządzenia IoT:

• Czy producent ma historię wydawania aktualizacji bezpieczeństwa?
• Czy urządzenie działa bez konta w chmurze? (Działanie wyłącznie lokalne jest bardziej prywatne i bezpieczne)
• Czy urządzenie przeszło niezależne przeglądy bezpieczeństwa?
• Jakie dane zbiera i udostępnia aplikacja urządzenia?
• Czy producent prawdopodobnie będzie wspierać to urządzenie przez kolejne 5 lat?

Do marek z lepszą historią bezpieczeństwa należą Ubiquiti, Eufy (z lokalnym zapisem) oraz urządzenia obsługujące lokalne protokoły, takie jak Matter. Unikaj mało znanych marek sprzedających podejrzanie tanie urządzenia smart — często są słabo zabezpieczone, a bywa, że mają preinstalowane złośliwe oprogramowanie.

Monitoruj sieć pod kątem nieznanych urządzeń

Regularnie sprawdzaj, co jest podłączone do Twojej sieci:

• Panel administracyjny routera wyświetla wszystkie podłączone urządzenia
• Aplikacje takie jak Fing (iOS/Android) skanują sieć i identyfikują urządzenia
• Szukaj nieznanych nazw urządzeń lub adresów MAC
• Nowe, nierozpoznane urządzenia mogą oznaczać sąsiadów korzystających z Twojej sieci albo przejęte urządzenie, które zarejestrowało nową tożsamość sieciową

Udokumentuj swoje urządzenia IoT — zrób prostą listę: co posiadasz, w której sieci działa i kiedy ostatnio sprawdzałeś aktualizacje firmware.

Rozważ osobny router lub VLAN dla IoT

Dla osób, które chcą mieć większą kontrolę, bardziej zaawansowaną opcją jest router obsługujący VLAN-y (wirtualne sieci lokalne), pozwalające tworzyć w pełni odizolowane segmenty sieci. Taką możliwość dają m.in. Ubiquiti UniFi, TP-Link Omada czy pfSense.

To krok dalej niż sieć gościnna — daje precyzyjną kontrolę nad tym, które urządzenia IoT mogą łączyć się z internetem, które tylko z siecią lokalną i jaki ruch jest całkowicie blokowany.

Bezpieczeństwo IoT nie jest skomplikowane, ale wymaga świadomego działania. Ustawienia domyślne są niezmiennie niebezpieczne — każde urządzenie w Twoim domu zasługuje na pięć minut konfiguracji zabezpieczeń przy instalacji.