Эксперты о самых небезопасных устройствах в сфере интернета вещей
От экспертов компании Positive Technologies (Россия), основной специализацией которой является кибербезопасность (ее клиенты — ПФР, "Росатом", МВД, Минфин, ВТБ24 и пр.), стало известно о выявлении наиболее уязвимых устройств интернета вещей. Среди прочих речь идет о видеорегистраторах, домашних роутерах, GPS-навигаторах, беспроводных клавиатурах и мышек и «умных» приборах по электро- и водоснабжению. В ходе анализа принимались во внимание не только степень распространенности устройств, но и количество уязвимостей, найденных в них.
По словам руководителя группы разработки методов обнаружения атак Positive Technologies Антона Тюрина, если говорить о проанализированных устройствах, то к самым уязвимым и, как следствие, потенциально самым опасным стоит отнести роутеры. В мире в среднем каждый месяц удается обнаружить примерно с десяток уязвимостей в ПО работающих дома Wi-Fi и 3G-роутеров. Бела в том, что часто фирмы, производящие их, хоть осуществляют выпуск новых версий программного обеспечения с устраненными уязвимостями, то пользователи порой забывают или не хотят обновлять его. В 87% установленных в квартирах роутеров, прошедших тестирование, эксперты Positive Technologies обнаружили уязвимости именно из-за того, что устройства не обновлялись. Как говорят специалисты компании, средний возраст прошивки среднестатистического роутера - это 3-4 года.
К тому же, пользователи, как правило, при настройке роутеров не учитывают требования безопасности и продолжают использовать настройки по умолчанию. По словам экспертов компаний, пароли порядка 15 из 100 устройств ни разу не были изменены. По словам Тюрина, граждане даже не думают о том, что наряду с паролем к Wi-Fi-сети важно запаролировать само устройство, открывающее доступ к настройкам и интерфейсу роутера. То есть если мошенник узнает ваш пароль, для него не составит труда оказаться в вашей домашней сети для перехвата передаваемого трафика. Установленные по умолчанию логины и пароли, к примеру, такие, как «admin: admin», «admin:0000» или «user: user», пользователь не меняет, и, зная об этих популярных комбинациях, перед преступником откроется каждое десятое устройство.
К другим уязвимым устройствам относятся видеокамеры и навигаторы. Как оценила Positive Technologies, по миру потенциально может быть уязвимо 3,5 млн камер, доступ к которым можно без труда заполучить. Главная угроза от киберпреступников для пользователей навигаторов представлена спуфингом (когда подменяется сигнал). И здесь опасность заключается в передаче сигнала от GPS в незашифрованном виде, что облегчает его перехват или изменение.
Если говорить о беспроводных компьютерных мышках и клавиатурах, то их тоже можно легко взломать, причем набор для взлома продается в интернете и стоит всего 300 руб. А располагая данными, например, с клавиатуры, преступник может совершить кражу паролей и других персональных данных. Пи взломе мышки или клавиатуры преступники могут находиться на расстоянии до километра.
Топ-5 потенциально опасных устройств интернета вещей представлена «умными» устройствами электроснабжения (smart grid). Проводя исследование, специалисты Positive Technologies выявили, что 5% из 1000 систем, мониторящих солнечные электростанции вообще не были запаролированы для доступа к настройкам, остальные 95% были с очень простыми, легко подбираемыми паролями. По словам экспертов, если преступник сможет обойти авторизацию, он может и на расстоянии сменить параметры системы, что вызовет аварию.
Подсчет реального количества подверженных киберугрозам устройств, которыми владеют россияне, задача сложная. По данным «М.Видео», за прошлый год они продали роутеров около 3 млн штук (корпоративные продажи учтены), количество проданных беспроводных мышек и клавиатур составило 3,7 млн, видеорегистраторов — 800 тыс., навигаторов — порядка 220 тыс.
Как считает менеджер подразделения стандартизации и управления рисками компании Acronis Юлия Омельяненко, роутерам действительно присуща очень высокая степень уязвимости. Если преступнику по силам его взлом, он может завладеть и данными к файлам на компьютере, так как мало кто из пользователей задумывается о смене заводских настроек, они устанавливают простые пароли, их не заботит обновление прошивки. К тому же, если хакер взломает роутер, он сможет перехватить весь незашифрованный трафик (если сайты не пользуются защищенным протоколом HTTPS), то есть перед хакером откроется вся веб-активность пользователя — посещаемые им сайты. Преступник потенциально может совершить кражу паролей или банковских данных.
Специалисты «Лаборатории Касперского» тоже говорят о росте числа угроз, цель которых - интернет вещей. По словам антивирусного эксперта «Лаборатории Касперского» Дениса Легезо, сегодня уровень защищенности встроенных систем порой схож с традиционными вычислительными системами 1990-х — заходи и бери информацию Подключенные устройства - привлекательная цель для злоумышленников, так как наряду с тем, что доступ к ним облегчен (множество пользователей даже не задумываются о смене стандартных настроек от производителя и об установке обновлений для прошивок), к тому же они подключены к сети в режиме 24/7. А став частью ботнета (компьютерная сеть, представленная некоторым количеством запущенных ботов), ими можно пользоваться когда угодно.
Как говорит заместитель руководителя Лаборатории компьютерной криминалистики компании Group-IB Сергей Никитин, большая часть «умных» вещей является обыкновенными электронными вычислительными машинами, которыми управляет одно из схожих с UNIX операционных систем. В этих системах уязвимости выявляют постоянно, при том, что жизненный цикл поддержки устройств невелик. Налицо какой-то парадокс. К примеру, один телевизор прослужит лет десять, а то и больше, а вот выход прошивок, исправляющих уязвимости для него, будет осуществляться в первые год или два. То же относится и к домашним роутерам, годами работающими у пользователей, но не имеющими безопасной прошивки, которая бы могла позаботиться об устранении актуальных уязвимостей.
По мнению Никитина, во избежание этого, важно. чтобы все производители устройств в обязательном порядке выпускали обновления безопасности с учетом потенциального срока их службы. Желательно, чтобы это было закреплено законодательно, но это, конечно, непростая задача.
