Mengamankan internet dari berbagai hal

Dengan komputer desktop atau perangkat seluler pintar, menambahkan perlindungan keamanan itu mudah. Cukup instal suite keamanan, atau aplikasi antivirus, dan Anda selesai. Sangat mudah justru karena perangkat yang dipermasalahkan menjalankan sistem operasi canggih yang menangani multitasking dan komunikasi antarproses. Seluruh model perlindungan itu rusak ketika menyangkut banyak perangkat yang terhubung yang membentuk apa yang kita sebut Internet of Things (IoT).

PC dan smartphone memiliki banyak kekuatan pemrosesan; harganya juga banyak dolar. Pabrikan yang ingin menambahkan konektivitas Internet ke boneka atau stopkontak harus menghabiskan sesedikit mungkin, jika tidak produk tidak akan kompetitif. Perangkat ini bahkan tidak memiliki sistem operasi seperti itu. Semua kode tertanam dalam firmware, dan Anda tidak bisa begitu saja menyuruh antivirus masuk ke firmware.

Jika terjadi masalah keamanan atau bug lain, pabrikan hanya mengganti firmware dengan versi baru. Sayangnya, penjahat dapat menggunakan kemampuan pembaruan firmware bawaan untuk tujuan jahat. Bagaimana dengan mengganti firmware kunci pintu pintar Anda dengan versi baru yang melakukan semua yang seharusnya, tetapi juga terbuka untuk perintah penjahat? Serangan seperti ini biasa terjadi, dan hasilnya biasanya tidak menyenangkan. Apakah ada harapan?

Arxan Inside

Pada Konferensi RSA baru-baru ini di San Francisco, saya berbicara dengan Patrick Kehoe, CMO dari Arxan Technologies, dan Jonathan Carter, Project Lead untuk proyek rekayasa terbalik dan proyek pencegahan modifikasi kode (cukup sulit!). Dalam istilah paling sederhana, apa yang dilakukan tim Carter adalah membantu pengembang aplikasi memanggang keamanan langsung ke firmware.

Carter menjelaskan bahwa beberapa serangan terhadap perangkat IoT fokus pada penyadapan dan memanipulasi atau menduplikasi lalu lintas jaringan antara perangkat dan server, atau smartphone. Tapi perlindungan Arxan lebih dalam. "Kami fokus pada aktivitas di dalam perangkat seluler, di dalam perangkat IoT, " kata Carter. "Apa yang kita lakukan di belakang layar, kita menghentikan orang jahat mencegat lalu lintas di tempat pertama. Ini bukan pada tingkat jaringan, ini adalah dalam aplikasi itu sendiri. Pada saat run time kita dapat mendeteksi apakah seseorang telah mencoba menginfeksi kode firmware."

Ketika seorang pengembang mengkompilasi kode menggunakan teknologi Arxan, perlindungan diri dibangun langsung ke dalam firmware. Komponen-komponennya memonitor kode aktif (dan satu sama lain) untuk mendeteksi dan mencegah modifikasi apa pun. Bergantung pada serangan, dan pilihan pengembang, kode penjaga dapat mematikan aplikasi yang disusupi, memperbaiki kerusakan, mengirim peringatan, atau ketiganya.

Tidak Dapat Menyalin Saya!

Tentu saja, jika seorang penyerang berhasil sepenuhnya mengganti firmware, semua kode penjaga itu lenyap, bersama dengan sisa dari firmware asli. Di situlah teknologi kebingungan Arxan masuk. Sederhananya, selama pembuatan kode firmware, teknologi Arxan menggunakan banyak trik berbeda untuk membuat pembongkaran dan membalikkan rekayasa firmware menjadi sangat sulit.

Mengapa ini penting? Dalam serangan penggantian firmware yang khas, penjahat harus menjaga fungsi firmware yang ada berfungsi. Jika boneka berbicara yang diretas berhenti berbicara, Anda cenderung membuangnya sebelum orang jahat dapat menggunakannya untuk musang ke jaringan Anda. Jika kunci pintu pintar Anda yang diretas tidak akan terbuka untuk Anda , Anda akan mencium bau tikus.

Carter menunjukkan bahwa pabrikan memiliki alasan lain untuk melindungi firmware terhadap rekayasa terbalik. "Mereka khawatir tentang kloning atau pemalsuan perangkat IoT, " jelasnya. "Beberapa produsen khawatir akan menjual bahkan satu perangkat di China. Sebelum mereka mengetahuinya, tiruan muncul di sebagian kecil dari harga."

"Kami melengkapi kode, " lanjut Carter, "tetapi pengembang harus tetap mengikuti pedoman pengkodean yang aman. Mereka perlu mencegah serangan buffer overflow dan kerentanan klasik lainnya. Mari kita khawatir tentang pelanggaran integritas."

Kau adalah aku

Carter menunjukkan perangkat IoT dengan potensi serangan yang bahkan tidak pernah kupikirkan. Saat ini, pengunjung taman hiburan Disney menerima Band Ajaib yang memungkinkan mereka membuka kunci kamar hotel, memasuki taman, dan bahkan melakukan pembelian. Itu pasti memenuhi syarat sebagai perangkat IOT. Jika Beagle Boys meretas Band Ajaib Anda, mereka dapat membersihkan kamar hotel Anda dan kemudian pergi untuk makan malam mewah di Blue Bayou… traktir Anda! "Tentu saja, " renung Carter, "Disney sangat tergila-gila pada keamanan." Sayangnya, saya tidak bisa membujuknya untuk menjelaskan.

Saya harus mengatakan, saya khawatir kita tidak dapat mengamankan IOT. Saya bukan pengembang firmware, tetapi bagi saya pendekatan Arxan, menempatkan perlindungan di dalam firmware yang diperlukan masing-masing perangkat, sepertinya pendekatan yang benar-benar bisa diterapkan.