Internet industri hal-hal mengecewakan kita | max eddy

Akhir pekan terakhir ini, Internet AS melambat menjadi merangkak berkat penolakan serangan layanan, atau DDOS. Itu adalah serangan yang menarik karena dua alasan. Pertama, para penyerang - siapa pun mereka - tidak membanjiri satu situs web dengan permintaan sampah, seperti MO biasa untuk serangan DDOS. Sebagai gantinya, mereka mengejar penyedia DNS Dyn, yang menyebabkan banyak situs web memperlambat perayapan atau menghentikan operasi sepenuhnya. Peringatan tentang sentralisasi infrastruktur DNS yang tiba-tiba menjadi sangat menarik.

Poin kedua, dan yang lebih penting, adalah sebagian besar perangkat yang terlibat dalam serangan DDoS disebut perangkat Internet of Things yang cerdas. Biasanya, penyerang menyebarkan malware melalui komputer yang kemudian akan mengikuti perintah penyerang dan secara bersamaan meminta informasi dari situs web sampai situs tersebut tertekuk di bawah beban. Tapi kali ini, zombie digital yang tertimbun menimbun termasuk kamera keamanan dan router nirkabel.

Teko Melakukannya

Inti dari serangan itu adalah Mirai, yang bukan bagian malware yang eksotis. Ini memindai perangkat yang terhubung ke Web untuk apa yang tampak sebagai perangkat IoT yang didukung Linux, tampaknya lebih menyukai kamera keamanan dan router rumah dari Hangzhou Xiongmai Technology. Kemudian mencari kode sandi default pada sebuah tabel dan login. Setelah masuk, itu menyerahkan kontrol perangkat ke perintah pusat dan server kontrol.

Sementara serangan ini mengejutkan dalam apa yang dicapai, sayangnya tidak ada yang tidak kita lihat datang. Pada konferensi Black Hat pada 2013, Craig Heffner menunjukkan kemampuan untuk dengan mudah mengambil alih kamera keamanan yang terhubung ke jaringan. Demonstrasinya termasuk perusahaan besar yang Anda kenal, termasuk D-Link, Linksys, Cisco, IQInvision, dan 3SVision. Ketika ditanya perangkat apa yang rentan terhadap serangan, dia mengatakan dia belum menemukan merek yang tidak dapat dikendalikan.

Untuk demo-nya, Heffner menipu kamera agar menampilkan video berulang, seperti dalam film pencurian. Tetapi inti pembicaraannya sebenarnya jauh lebih mengerikan. Perangkat IoT seperti kamera keamanan, ceret teh, lemari es, dan ya, bahkan router nirkabel hanyalah komputer kecil yang terhubung ke Internet. Jika penyerang ingin menargetkan seseorang atau perusahaan secara khusus, katanya, mereka dapat menyerang perangkat yang kurang dilindungi ini dan menggunakannya sebagai kepala pantai untuk menjelajahi seluruh jaringan korban. Dan karena mereka adalah komputer kecil, mereka dapat dibujuk untuk mengeksekusi kode apa pun yang diinginkan penyerang.

Pikirkan seperti ini: Anda dapat membeli pintu terkuat dengan kunci terbaik yang tidak dapat dipangkas untuk melindungi rumah Anda, tetapi pencuri masih dapat menerobos masuk melalui jendela.

IoT Berbeda

Dalam industri keamanan, kami suka menyalahkan orang, bukan komputer. Jika orang lebih waspada, mereka mungkin telah menangkap bug Heartbleed sebelum diperkenalkan. Pepatah populer adalah bahwa titik kegagalan terbesar dalam sistem keamanan adalah antara komputer dan kursi. Contoh kasus: retas akun kampanye Hillary Clinton pimpinan akun Gmail John Podesta - yang memperkenalkan kami pada resep risotto-nya, di antara hal-hal lain - tampaknya dimulai dengan penipuan phishing.

Tetapi dalam kasus keamanan IoT, konsumen tidak dapat dimintai pertanggungjawaban dengan cara yang sama. Sebagai pemilik mobil, misalnya, Anda diharuskan untuk berhati-hati saat mengemudi dan memberikan perawatan yang wajar. Perusahaan mobil, pada gilirannya, diharuskan untuk menyediakan Anda produk yang tidak akan benar-benar membunuh Anda.

Ketika masyarakat kita berubah, begitu pula harapan konsumen. Pendukung konsumen menunjukkan bahwa beberapa mobil "tidak aman pada kecepatan apa pun." Dan seperti makhluk yang berevolusi, mobil tumbuh pelengkap baru: sabuk pengaman, kantong udara, dan fitur yang kurang jelas seperti zona crumple dan bahan rekayasa khusus yang dirancang untuk menjaga konsumen cukup aman di dunia yang terus berubah.

Hal yang sama berlaku untuk teknologi konsumen. Proliferasi perangkat lunak berbahaya, dan bahaya yang disajikan ke perangkat apa pun yang hanya terhubung ke Internet, telah mendorong produsen untuk mengambil peran yang lebih aktif dalam melindungi konsumen. Windows, misalnya, sekarang disertakan dengan antivirus yang diinstal dan dikelola oleh Microsoft. Perusahaan juga mengeluarkan tambalan secara teratur, karena tantangan yang dihadapi konsumen terlalu rumit untuk mereka tangani sendiri.

Ketika smartphone mulai lepas landas, produsen dan pengembang belajar dari uji coba tahun PC. Sementara keamanan seluler telah mengalami beberapa guncangan di sepanjang jalan, itu sudah menjadi cakewalk dibandingkan dengan sejarah PC. Kami belum pernah mengalami infeksi yang tersebar luas pada ponsel cerdas yang kami lihat dengan Conficker, dan semoga saja tidak akan pernah terjadi.

Sejarah IoT memetakan arah yang berbeda, mungkin yang menggunakan ikan mas sebagai navigator. Alih-alih mengendalikan akses ke perangkat, dan menggunakan praktik terbaik yang dipelajari dari menghubungkan milyaran komputer dan telepon selama beberapa dekade, para pabrikan menyerbu produk murah ke pasar. Orang yang dirancang, dalam beberapa kasus, tidak pernah dilayani, ditingkatkan, atau ditambal. Dan bahkan jika masalah dapat diatasi, bisa dibilang, tidak masuk akal untuk mengharapkan individu memperlakukan perangkat hemat tenaga dengan cara yang sama seperti yang mereka lakukan pada komputer. Sebagian besar konsumen berasumsi, dan memang demikian, bahwa jika suatu perangkat tidak memiliki layar atau semacam metode input, itu tidak dimaksudkan untuk dilayani oleh mereka.

Ini Tidak Harus Terjadi

Bagian yang paling membuat frustrasi dari serangan DDoS baru-baru ini adalah bahwa produsen IoT hanya perlu melihat 30 tahun teknologi konsumen untuk melihat pepatah menulis di dinding. Dan jika mereka tidak bisa melakukan itu, mereka bisa mengindahkan peringatan yang diutarakan oleh peneliti keamanan (hacker korporat dan hobi sama). Orang-orang ini telah memberi tahu siapa pun yang mau mendengarkan bagaimana menempatkan miliaran perangkat di Internet tanpa pertimbangan cermat bagaimana mereka akan digunakan adalah ide yang buruk. Pada tahun 2014, Dan Geer membuka konferensi Black Hat dengan mengatakan bahwa IOT sudah ada pada kita dan dapat menyebabkan masalah.

Terlepas dari upaya terbaik saya untuk tetap sinis, IoT merasa tak terhindarkan dan meyakinkan. Sci-fi telah menjanjikan kita berbicara komputer dan peralatan futuristik selama beberapa dekade, dan mungkin itu sebabnya prediksi oleh Gartner bahwa akan ada 6, 4 miliar perangkat yang terhubung ke Internet pada tahun 2020 terdengar masuk akal. Perangkat-perangkat ini sudah ada di rumah kita: kotak streaming, konsol game, router nirkabel. Di mata para penyerang dan serangan otomatis, ini hanyalah lebih banyak alamat IP untuk dieksploitasi.

Saat kami bergegas menuju liburan dan melangkah maju ke generasi baru perangkat IoT, mari kita menempatkan keamanan yang dirancang untuk dipahami oleh pengguna di garis depan. Jika pada tahun 2020 saran terbaik yang masih harus saya tawarkan kepada orang-orang adalah melepaskan perangkat pintar mereka, maka industri ini tidak pantas memiliki reputasi untuk inovasi atau bahkan kecerdasan.