Securitywatch: den virkelige grunnen til at jeg ikke har et sikkerhetskamera

Partneren min og jeg har nylig fått en hund, som for tusenårsalder er omtrent det samme som å si at vi hadde et barn. Nå har vi allerede, og har fortsatt, andre kjæledyr i hjemmet vårt. Ondskapen vår med bedårende, rosa neserotter kan variere i størrelse, men det har vært en konstant i livene til min partner og meg selv i nesten et tiår. Saken med rotter er at de er like glade i et bur med rottevennene som de er med deg. Hunder derimot er ikke glade når du er borte, og som et resultat er du heller ikke lykkelig. Da vi fikk hunden (som heter Lulu og hun er den beste hunden etter alle målinger), foreslo partneren min at vi skulle få et webkamera eller en videobabymonitor slik at vi kunne holde oversikt over hundebarnet vårt mens vi var på jobb.

Jeg innrømmer at jeg ble fristet. Som jeg nevnte, fyller kjæledyrene våre rollene som barn for oss, og jeg bruker en ikke ubetydelig mengde tid på å skjule om dyrene mine når jeg er på jobb, spesielt i NYC-somre, som kombinerer varmen fra Death Valley med den kvalmende fuktighet i en armhule. Til tross for de bekymringene, var jeg ukomfortabel. Partneren min er veldig klar over mine paranoiske tendenser, og etter at vi hadde snakket om det, er vi enige om: Vi vil ikke ha et sikkerhetskamera i huset.

Det er ikke, som du kanskje tror, ​​fordi jeg er redd for at hackere ser på de intime øyeblikkene mine eller etterretningsbyråene hører hvert eneste ord, selv om det er reelle trusler. Nei, min bekymring er at alle internettilgjengelige enheter i nettverket mitt kan bli kapret og omgjort til et våpen for masseødeleggelse på nettet.

De skumle hakkene er virkelige, men unngås

Vi kommer til frykten min, men først må jeg erkjenne at, ja, skumle ting skjer med IoT-enheter, og det kan være veldig ille. På egen hånd er det en gyldig grunn til å hestituere før du får et internettilkoblet kamera eller babymonitor.

Historier florerer av mennesker som hører stemmene fra skrapere som kom gjennom babymonitoren, eller oppdager at noen har brukt kameraet på datamaskinen sin for å ta pinlige bilder. En spesielt snikende praksis kalles "sextortion", der en angriper truer med å gi ut pinlige bilder tatt fra et kapret webkamera (som han faktisk har eller ikke kan ha) med mindre offeret gir seksuelt eksplisitt materiale. Dette er ekkelt av seg selv, og det at unge mennesker ofte er målene for disse angrepene er beklagelig.

Angrep med dette avskyelige er vanligvis vanskeligere å utføre fordi de krever målretting mot et spesifikt individ, men den dårlige stamtavlen til mange Internet of Things-enheter, inkludert noen sikkerhetskameraer og tilkoblede babymonitorer, gjør dem lettere å merke. Hvis du vil finne et mål, kan du ta en titt på Shodan - en søkemotor for enheter koblet til internett. Å angripe en spesifikk person vil sannsynligvis innebære fysisk tilgang til enheten, eller nøye konstruerte phishing-angrep, men Shodan kan sannsynligvis forbinde deg med et uvitende, om noe tilfeldig, offer.

Disse grove, invasive angrepene er en reell trussel, men de kan også avbøtes uten mye teknisk kunnskap. Et enkelt stykke tape over en linser eller tørr vaskeklut som kastes over en enhet, kan gjøre et kamera helt blint. Babymonitorer kan kobles fra - eller enda bedre, ikke tillate å koble til internett i utgangspunktet. Jeg kan takle det på egen hånd.

Det som virkelig skremmer meg

Det var en Black Hat-presentasjon som alltid stakk med meg. I den demonstrerte programlederen hvordan han kunne ta kontroll over et tilkoblet sikkerhetskamera. Det er skummelt, men det som fikk meg var programlederens poeng med at disse kameraene bare var små Linux-datamaskiner, og kan brukes til å gjøre hva en angriper ønsket. Han hevdet også at de aller fleste kameraene på markedet hadde store mangler.

Noen år senere begynte smarte hjem enheter å treffe hyllene, og jeg hørte stadig fra sikkerhetsselskaper at de virkelig var bekymret. De hadde den samme bekymringen som Black Hat-programlederen; at det kan være mulig å kapre en smart enhet, og å bruke den til alle slags ubehagelige formål.

Ikke lenge etter ble frykten virkelighet, og den var verre enn forventet. Mirai-malware skadet automatisk internett etter tilgjengelige tilkoblinger, og brukte deretter et batteri angrep for å bryte inn i IOT-enheten, alt uten innspill fra et menneske. Mirai målrettede enheter som kjører innebygde versjoner av Linux, fra TV-er til rutere, og klarte å sette sammen et betydelig botnet. Det var stort nok til å ta ned en DNS-leverandør, som igjen fikk nettsteder som GitHub, Netflix og Twitter til å være utilgjengelige.

Mirai var bare ett eksempel, men det har kommet tilbake igjen og igjen. I følge Wikipedia har varianter av Mirai-malware blitt oppdaget flere ganger i løpet av det siste året, med noen observasjoner så nylig som i februar 2019.

Mirai var begrenset til bare en håndfull enheter, men det var fortsatt brutalt effektivt. Det som ville være verre er et enda mer avansert angrep - kanskje mindre automatisert, kanskje ikke - som kan hoppe fra en infisert lyspære til ruteren min, og deretter i tur og orden til alle enheter i nettverket. Dette ville gjøre IoT-enheten til et strandhode eller fotfeste, slik at angriperen eller skadelig programvare kan "svinge" inn i det mer verdifulle nettverket.

Gitt at det har vært forbedringer i tilkoblede kameraer og babymonitorer, og IoT mer generelt, men industrien trenger fortsatt å gjøre mer. Bedrifter må sørge for at enhetene deres har overlevd et batteri med tester for å søke etter svakheter, og i det minste bør inneholde en mekanisme for å oppdatere eller erstatte enheter som er funnet å være sårbare. Leverandører må anta at enhetene deres vil bli angrepet, bygge inn sikkerhetsfunksjoner og huske at produktene deres ikke alltid er brukervennlige, noen av dem mangler skjermer eller noen form for grensesnitt.

Herdimmunitet

Det er noen forholdsregler tilgjengelig for vanlige mennesker også. Du kan se på å kjøpe IoT sikkerhetsenheter som Bitdefender Box, eller rutere med innebygd sikkerhetsprogramvare. (Den siste er viktig når du tenker på at en ruter, som en IoT-enhet, bare er en datamaskin som kan brukes til det onde.) Du kan sikre at enhetene dine er oppdaterte med de nyeste programvareoppdateringene, og endre eventuelle standard passord. Likevel går det bare så langt. Det er nesten ingen måte å fortelle fra å se på en boks om sikkerhetskameraet inne bruker signert kode i oppdateringene, eller om det har hardkodede legitimasjonsoplysninger som er usynlige for brukeren og en potensiell bakdør for angripere.

Det er bemerkelsesverdig hvor mange av disse rådene, og mye sikkerhet generelt, ligger i ideen om personlig sikkerhet og ansvar. Du må beskytte maskinen din og din personlige informasjon. Som tilfellet var med Mirai, kan et vellykket angrep på meg raskt bli et angrep på min familie, mine venner, samfunnet mitt og folk jeg aldri vil kjenne. Det vil ikke bare forårsake noen problemer med Internett-leverandøren min, det betyr at jeg uforvarende har såret menneskene rundt meg.

Dette minner meg om begrepet flokkunimmunitet. Det er da en høy nok prosentandel av befolkningen enten er immun eller vaksinert mot en bestemt sykdom at ingen blir syke. Befolkningen beskytter hverandre ved å gjøre det umulig for smitte å spre seg. Å sette et sikkerhetskamera i huset mitt er ikke bare en risiko for meg, det kan gjøre andre litt mindre trygge også.

Lulu, den beste hunden, sliter fortsatt med å være komfortabel alene. Vi har nylig fått henne et kassetrekk, fordi hunder tilsynelatende er naturlig trukket til en mørk, trygg, hiet. I stedet trakk hun dekselet gjennom stengene, ballet det opp og sov på det. Jeg sliter fortsatt også, men jeg vet at løsningen er mer trening for henne og for oss, ikke et kamera som bare vil fortelle meg hva jeg allerede vet.

• Hacking Hue: Researchers Worm into the Internet of Things Hacking Hue: Researchers Worm into the Internet of Things
• Nest: Blame Weak Passwords, Not Us for Creepy Camera incident Nest: Blame Weak Passwords, Not Us for Creepy Camera incident.
• SecurityWatch: Gjør selskaper, ikke kunder, lider av dataovertredelser SecurityWatch: Gjør selskaper, ikke kunder, lider for databrudd

Uansett hvilken liten sikkerhet et sikkerhetskamera vil gi meg, er det ikke verdt å være en del av et ødeleggende angrep. Det legger min egen trygghet over andre, og det er ikke en handel jeg er villig til å utføre. IoT-teknologien forbedrer seg, og det er bedre verktøy for å beskytte disse enhetene, men det er fremdeles ikke nok til at jeg føler meg komfortabel ennå. Jeg har begynt å tenke på enhetene i nettverket mitt som mitt ansvar, for min skyld og for andre, og for meg er disse enhetene en risiko jeg ennå ikke er villig til å ta.