SmartDanger – jakie niebezpieczeństwa stwarza internet przedmiotów

Choć większość użytkowników nie do końca zdaje sobie z tego sprawę, już od pewnego czasu zawładnął nimi internet przedmiotów. Telewizor z dostępem do internetu, nawigacja, czytnik e-booków, samochód, smartfon, monitor aktywności fizycznej i inne urządzenia elektroniki nasobnej – większość otaczającego nas sprzętu jest sprzężona z internetem i nieustannie znajduje się w trybie online. Choć przynosi to pewne korzyści, wiąże się z dużym ryzykiem.


Oprogramowanie do wyłudzania pieniędzy wróciło do łask cyberprzestępców. Jak donosi Kaspersky Lab, firma specjalizująca się w zabezpieczeniach systemów informatycznych, coraz większa liczba użytkowników pada ofiarą złośliwego oprogramowania, które szyfruje dane przechowywane na dyskach twardych. Po przedarciu się do komputera ofiary szkodliwy kod może zaszyfrować pliki osobiste użytkownika lub zablokować dostęp do systemu.

Z drugiej strony coraz większą popularność zyskuje technologia inteligentnego domu, a więc urządzenia, które mają za zadanie usprawniać życie domowników, zwiększać bezpieczeństwo i oszczędzać energię. Aby mogły realizować ten cel, są połączone w sieć i sprzężone z internetem. Z racji tego, iż nie stanowią niezależnego systemu, a więc odgrodzonego od świata zewnętrznego, są podatne na ewentualne ataki. Analogia do zablokowania dostępu do komputera wydaje się oczywista, z tym że w wypadku mieszkania lub samochodu takie przejęcie kontroli przez agresora miałoby znacznie bardziej dotkliwe konsekwencje.

Co się stanie, gdy cyberprzestępcy przejmą kontrolę nad takim urządzeniem nasobnym jak np. okulary Google Glass i zyskają wgląd w życie ich właściciela?

Co się stanie, gdy cyberprzestępcy przejmą kontrolę nad takim urządzeniem nasobnym jak np. okulary Google Glass i zyskają wgląd w życie ich właściciela?

SmartDanger – badania ujawniają poważne luki

Czy malujemy diabła na ścianie? Ani trochę. Dowodzą tego nie tylko liczne incydenty, w których komuś udało się włamać do „inteligentnego” urządzenia i zdalnie nim sterować, lecz także systematyczne badania wykonywane przez specjalistów. Już w 2014 r. firma HP ustaliła na podstawie przeprowadzonych badań, że 70 procent najbardziej rozpowszechnionych inteligentnych urządzeń przejawia poważne niedoskonałości w zakresie bezpieczeństwa. Należą do nich m.in. takie luki jak mierne zarządzanie hasłami, niedostatecznie zaimplementowane szyfrowanie i brak indywidualnej kontroli dostępu. Średnio wykryto po 25 niedociągnięć na urządzenie!

Również renomowany instytut badawczy AV-Test ujawnił wiele niedoskonałości w dziewięciu monitorach aktywności fizycznej. W podsumowaniu badań czytamy, iż „bezpieczeństwo potraktowano marginalnie. Nie zastosowano wypróbowanych metod zabezpieczeń takich jak uwierzytelnianie i szyfrowanie lub zastosowano je niedostatecznie.” Jeszcze wcześniej testy bezpieczeństwa elektroniki nasobnej (m.in. okularów Google Glass) przeprowadziła firma Kaspersky Labs. Wg wyników „użytkownicy okularów Google'a mogą łatwo paść ofiarą ataku”.

Eksperyment, który wykonał na sobie ekspert ds. bezpieczeństwa David Jacoby, dowiódł, iż niebezpieczeństwo grozi nawet właścicielom sprzętu codziennego użytku. Przebadał w tym celu urządzenia różnego typu, m.in. dyski sieciowe, telewizory Smart TV i routery. Okazało się, że nawet sprzęt, który już od dawna jest w powszechnym użytku, jest podatny na ataki z zewnątrz. Również niemiecka organizacja Bitkom zrzeszająca firmy branż technologii informacyjnej i telefonicznej dostrzega niebezpieczeństwa związane z internetem przedmiotów, wskazując, iż operatorzy botnetów i inni cyberprzestępcy biorą za cel już nie tylko komputery, lecz coraz częściej smartfony, serwery internetowe, routery i inne urządzenia nawiązujące połączenia z internetem.

Hakerom udało się przejąć zdalnie kontrolę nad samochodem marki Jeep Cherokee. Sparaliżowali układ hamulcowy, a pojazd wylądował w rowie. Na szczęście wszystko na potrzeby eksperymentu.

Hakerom udało się przejąć zdalnie kontrolę nad samochodem marki Jeep Cherokee. Sparaliżowali układ hamulcowy, a pojazd wylądował w rowie. Na szczęście wszystko na potrzeby eksperymentu.

SmartDanger – samochody pod obcą kontrolą

Jeszcze kilka lat temu nowoczesne samochody osobowe były wyposażone w różnorakie rozwiązania wspomagające kierowcę podczas jazdy, więc już wtedy uchodziły za komputery na czterech kołach. Wówczas stosowano jednak tylko zamknięte systemy elektroniczne, czyli takie, które nie nawiązują kontaktu ze światem zewnętrznym. Komunikowanie się było możliwe tylko poprzez gniazdo serwisowe OBD II (On-Board Diagnostics), poprzez które pracownicy warsztatu odczytują komunikaty o awariach i inne informacje dotyczące stanu poszczególnych układów pojazdu.

Z biegiem czasu uległo to dużej zmianie. Obecnie chyba żaden producent samochodów osobowych nie odważy się zrezygnować z łącza internetowego w wytwarzanych przez siebie pojazdach. Duży wpływ na taki stan rzeczy ma drastyczny spadek cen podzespołów sprzętowych wymaganych do wyposażenia auta w dostęp do internetu. Z drugiej strony klienci chcą mieć takie rozwiązanie w swoich pojazdach, aby mogli korzystać z internetu także w podróży. Zdaniem wielu osób, samochód powinien nie być gorszy od smartfona – przecież jest niewspółmiernie droższy.

Niemiecki automobilklub ADAC ujawnił niedociągnięcia w zabezpieczeniach systemu ConnectedDrive. Umożliwiają nieuprawnione otwieranie drzwi pojazdu za pomocą aplikacji.

Niemiecki automobilklub ADAC ujawnił niedociągnięcia w zabezpieczeniach systemu ConnectedDrive. Umożliwiają nieuprawnione otwieranie drzwi pojazdu za pomocą aplikacji.

Tymczasem to właśnie postęp techniczny w zakresie rozwiązań internetowych sprawił, że branża motoryzacyjna jest coraz baczniej obserwowana przez cyberprzestępców i specjalistów ds. bezpieczeństwa. Ci ostatni próbują zwrócić uwagę producentów na braki w systemach zabezpieczeń pojazdów. Nie trzeba sięgać pamięcią daleko wstecz. Na początku 2015 r. zrobiło się głośno o podatności samochodów BMW na włamania. Już kilka miesięcy wcześniej niemiecki automobilklub ADAC wykrył lukę w systemie ConnectedDrive, która umożliwia otworzenie drzwi pojazdu za pomocą aplikacji. Problem dotyczył ponad dwóch milionów samochodów marek BMW, Mini i Rolls Royce. Jako przyczynę eksperci wskazali niedostateczne szyfrowanie w module telekomunikacji. Przedstawiciele ADAC powiadomili uprzednio producenta, który załatał lukę, dostarczając właścicielom pojazdów aktualizację w trybie OTA (Over The Air).

Jeszcze bardziej spektakularnego włamania dokonali dwaj eksperci od zabezpieczeń latem 2015 r. Udało im się wedrzeć do elektroniki Jeepa Cherokee i sterować zdalnie wszystkimi układami samochodu – nawet silnikiem i hamulcami. Korzystając z telefonii komórkowej, badacze nawiązali zdalne połączenie z systemem informacyjno-rozrywkowym UnConnect i zaatakowali go. Jak się okazało, nie był dostatecznie odizolowany od całego układu sterowania pojazdem. Zabrakło więc ochrony oddzielnych elementów systemu, na co zwracali uwagę rok wcześniej specjaliści z firmy HP. Fachowcy z amerykańskiego magazynu Wired demonstrują w filmie na kanale YouTube zdalnie sterowanie pojazdem, w którym znajduje się bezradny kierowca.

Materiał może przerażać, a przynajmniej budzić niepokój. Spółki grupy FCA (Fiat Chrysler Automobiles) musiały wezwać do serwisu 1,4 miliona pojazdów w Stanach Zjednoczonych, aby wgrać z pendrive'a poprawkę usuwającą wspomnianą lukę. Kilka dni później ujawniono kłopoty elektrycznego sedana Tesla S. Dwóm ekspertom od zabezpieczeń udało się przejąć kontrolę nad niektórymi elementami pojazdu po tym, gdy uzyskali fizyczny dostęp do jego wnętrza. Nie trudno sobie wyobrazić podobny scenariusz w praktyce. Sprawca mógłby zmanipulować elektronikę pojazdu podczas jazdy próbnej lub jazdy w samochodzie z wypożyczalni. Kilka dni po ujawnieniu włamania do Tesli S padło na Chevroleta Corvette. Tym razem specjaliści wdarli się do elektroniki auta poprzez złącze serwisowe OBD. Udało im się m.in. manipulować działaniem hamulców i wycieraczek. Choć w bardzo krótkim czasie obiegło świat tak wiele powiadomień o lukach w zabezpieczeniach elektroniki pojazdów, przypuszczalnie to tylko wierzchołek góry lodowej. Narastającym problemem kradzieży aut, który jest spowodowany coraz większym uzależnieniem pojazdów od elektroniki, zajął się autor wideoblogu motoryzacyjnego Zachar OFF.

SmartDanger – typowy przykład zagrożeń w internecie przedmiotów

Włamania do elektroniki samochodów są wyjątkowo spektakularne. Z jednej strony bardzo efektownie, a zarazem przekonująco unaoczniają niebezpieczeństwo związane ze zdalnym przejęciem przez obcych kontroli nad danym urządzeniem. Z drugiej strony w przyszłości prawdopodobnie wszyscy właściciele samochodów będą musieli stawiać czoła temu zagrożeniu. Jednak luki w zabezpieczeniach nie ograniczają się, rzecz jasna, tylko do segmentu motoryzacyjnego, lecz dotyczą całego internetu przedmiotów. Występują więc w urządzeniach inteligentnego domu, sprzęcie elektroniki użytkowej, lodówkach, pralkach, aparaturach grzewczych, elektronicznych nianiach (zestawach do nadzorowania niemowląt) i – oczywiście – urządzeniach wearable, a więc elektronice nasobnej.

Sterowanie aparaturą grzewczą Vaillant EcoPower 1.0 z poziomu takiego pulpitu wydaje się wygodne i bardzo łatwe. Zanim nie wykryto luki w zabezpieczeniach, cyberprzestępcy mogli przejąć kontrolę nad urządzeniem.

Sterowanie aparaturą grzewczą Vaillant EcoPower 1.0 z poziomu takiego pulpitu wydaje się wygodne i bardzo łatwe. Zanim nie wykryto luki w zabezpieczeniach, cyberprzestępcy mogli przejąć kontrolę nad urządzeniem.

Już na początku 2013 r. wykryto niedociągnięcia w zabezpieczeniach aparatury energetyczno-grzewczej Vaillant EcoPower 1.0. Producentowi nie pozostało nic innego, jak zalecić swoim klientom odłączenie całego systemu od zasilania, dopóki nie zjawi się u nich serwisant i załata luki. Najłatwiej przechwycić aparatury i urządzenia, w których producenci definiują takie same hasła fabryczne. Jeśli klient nie zmienił domyślnego hasła, agresor bez wysiłku uzyska zdalnie dostęp do elektroniki. Co ciekawe, problem zdarza się nadal w urządzeniach IT takich jak dyski sieciowe, kamery IP, adaptery Powerline, a nawet niektóre routery. W internecie można znaleźć obszerne listy z wyszczególnieniem modeli i danych dostępowych. Wprawdzie taki wytrych może przydać się, gdy użytkownik zapomni własne hasło, lecz stwarza niepotrzebne ryzyko.

Ustalenia te przerażają jeszcze bardziej w kontekście wyszukiwarki Shodan. Stworzony już w 2009 r. przez programistę Johna Matherly serwis pozwala znajdować urządzenia w internecie (tak jak Google znajduje witryny internetowe). Na konferencji prasowej, która odbyła się niedawno temu, autor zademonstrował potencjał takiego wyszukiwania. Prelekcja obfituje w przykłady, a jej tytuł „The return of dragons” (Powrót smoków) unaocznia skalę zjawiska. Referat jest dostępny bezpłatnie w internecie (tekst w języku angielskim).

Czyżby kolejna alternatywa Google'a? W żadnym razie. Shodan pozwala znajdować urządzenia podłączone do internetu. Filtry ułatwiają definiowanie kryteriów wyszukiwania.

Czyżby kolejna alternatywa Google'a? W żadnym razie. Shodan pozwala znajdować urządzenia podłączone do internetu. Filtry ułatwiają definiowanie kryteriów wyszukiwania.

Oprócz tego powstały programy, które mają w ciągu kilku(nastu) minut przeczesać cały internet (!) w poszukiwaniu urządzeń z lukami w zabezpieczeniach.

Powszechny problem polega na tym, iż wiele urządzeń (lub ich producenci) niepotrzebnie zdradza zbyt wiele informacji.

Bezsprzecznym liderem w porównaniu producentów okazał się Western Digital, wykazując ponad 120 otwartych portów. Jeśli masz ochotę, przejrzyj powyższy odczyt (jego objętość sięga ok. 80 stron) i zapoznaj się z kuriozalnymi przykładami przytaczanymi przez autora. W ich obliczu niektóre stwierdzenia producentów takie jak „Stosujemy najwyższe standardy zabezpieczeń” można uznać za czcze slogany marketingowe. Zagrożenie przechwycenia kontroli nad sprzętem przez cyberprzestępców jest wszechobecne, więc właściciele inteligentnego domu lub samochodu powinni odpowiedzieć sobie na pytanie, czy określenie inteligentny zawsze oznacza lepszy.

Poziom zagrożenia infrastruktury publicznej uwidocznił także atak na przedsiębiorstwa komunalne miasteczka Ettlingen położonego u północnego podnóża Schwarzwaldu (Niemcy). Ekspert Felix Lindner, któremu zlecono przeprowadzenie ataku, złamał zabezpieczenia w niespełna 24 godziny. Gdyby miał złowrogie intencje, mógłby całkowicie odłączyć doprowadzanie mediów, pozbywając 40 tysięcy mieszkańców dostępu do wody i prądu.

Alternatywa w postaci bezpiecznych urządzeń
Monitory aktywności fizycznej automatycznie zapisują indywidualne dane użytkownika na dysku wirtualnym w internecie. W większości takich urządzeń nie można wyłączyć tej funkcji. Wyjątek stanowi Beurer AS 80.

Monitory aktywności fizycznej automatycznie zapisują indywidualne dane użytkownika na dysku wirtualnym w internecie. W większości takich urządzeń nie można wyłączyć tej funkcji. Wyjątek stanowi Beurer AS 80.

Czy nie można obejść się bez inteligentnego termostatu, który włącza ogrzewanie już wtedy, gdy jeden z domowników zbliża się do mieszkania? Nie wystarczy moduł sterowania czasowego? Podobne pytania nasuwają się w wypadku samochodu, telewizora, systemu nawigacji, czytnika e-booków, monitora aktywności fizycznej i urządzeń AGD z dostępem do internetu. Czy aż tak bardzo są nam potrzebne inteligentne funkcje? Jeśli przykładasz dużą wagę do ochrony swojej prywatności i wolisz zrezygnować z połączeń internetowych, sprawdź, czy urządzenia pozwalają wyłączyć komunikowanie się z internetem. Możesz włączać tę funkcję tylko wtedy, gdy zechcesz z niej skorzystać. W ten sposób możesz np. nadal czytać i kupować książki za pomocą Kindle'a, nie informując firmy Amazon o interesujących cię treściach i postępach czytania. Znacznie trudniej okiełznać niedyskretny monitor aktywności fizycznej. W prawie wszystkich urządzeniach tego typu brakuje opcji wyłączania automatycznego zapisywania danych w chmurze. Wyjątek stanowi czujnik aktywności Beurer AS 80.

SmartDanger – naruszanie prywatności w codziennym życiu

Samochody i telewizory wyposażone w łącze internetowe, czytniki e-booków, aplikacje nadzorujące stan zdrowia, inteligentne zegarki, monitory aktywności fizycznej itd. – internet przedmiotów coraz śmielej wkracza w codzienne życie wielu osób. Jeśli nie mieszkasz w inteligentnym domu, być może uważasz, że internet przedmiotów to coś dla pasjonatów nowinek technologicznych. Jesteś w ogromnym błędzie, jeżeli sądzisz, że nie dotyczą cię kwestie bezpieczeństwa związane z tym zagadnieniem. Zakres informacji, które wysyłają samochody z kartą SIM, systemy nawigacji, czytniki e-booków, inteligentne odbiorniki TV i inne urządzenia sprzężone z internetem, znają tylko producenci sprzętu lub ewentualnie ich firmy partnerskie otrzymujące te dane.

Zresztą możesz sam to sprawdzić. Zapytaj miejscowego dealera samochodowego, jakie informacje o preferencjach kierowcy i jego stylu jazdy zdradza pojazd producentowi. Możesz uznać za niemal pewne, że nie udzieli ci wyczerpującej odpowiedzi. To samo dotyczy wielu innych dziedzin IT. Przypuszczalnie nigdy nie dowiesz się, jakie dane gromadzą o tobie producenci aplikacji do nadzorowania aktywności fizycznej, a jakie dane przekazują innym podmiotom. Inteligentne telewizory, które mimochodem wysyłają producentom lub stacjom telewizyjnym informacje o upodobaniach użytkowników, to kolejny przykład niezauważalnego ingerowania w sferę prywatną. Skoro przedsiębiorstwo Amazon chce w przyszłości wynagradzać autorów e-booków na podstawie liczby przeczytanych stron, siłą rzeczy musi jakoś pozyskiwać te dane, a to sugeruje nieskrywane szpiegowanie użytkowników czytnika Kindle. Test przeprowadzony w niezależnym laboratorium AV-Test (patrz wyżej) wykazał, że większość urządzeń do monitorowania aktywności fizycznej niedostatecznie chroni gromadzone przez siebie informacje. Choć nie są opatrzone imieniem i nazwiskiem, zapisy zawierają pełny profil zdrowotny użytkownika i jego preferencje uprawiania sportu, więc stanowią cenny łup. Ryzyko wykorzystania zebranych danych w niewłaściwym celu jest nieodłączną cechą bransoletek nadzorujących aktywność fizyczną użytkownika.

Kontaktowanie się z operatorem to jedna z idei zaimplementowanych w odbiornikach HbbTV (Hybrid broadcast broadband TV). Na podstawie wymiany informacji dostawca treści jest w stanie identyfikować poszczególnych użytkowników.

Kontaktowanie się z operatorem to jedna z idei zaimplementowanych w odbiornikach HbbTV (Hybrid broadcast broadband TV). Na podstawie wymiany informacji dostawca treści jest w stanie identyfikować poszczególnych użytkowników.

Listę potencjalnych nadużyć można jeszcze długo uzupełniać o kolejne pozycje. W przyszłości dochodzą jeszcze matematyczne możliwości wykorzystania danych ze względu na obfitość informacji zbierających się z upływem czasu w całym internecie rzeczy. Na przykład pracownicy operatora kontrowersyjnej usługi Uber, która za pomocą aplikacji kojarzy pasażerów z kierowcami zmierzającymi w tym samym kierunku, systematycznie analizowali dane przejazdów w piątkowe i sobotnie wieczory. Na podstawie czasu, który upływał między dojazdem w miejsce docelowe i kursem powrotnym, ustalali, którzy użytkownicy wyruszali na jednorazowe, miłosne podboje. Te przejażdżki żartobliwie określane mianem rides of glory (podwózki w szczytnym celu) dobitnie unaoczniają, jak ogromne możliwości daje analizowanie ogromnych zasobów danych (proces ten nosi angielską nazwę big data analysis). Uwagę na potencjał (także w negatywnym tego słowa znaczeniu) analizy olbrzymich zbiorów danych zwrócił także dziennikarz Charles Duhigg. Na łamach bestsellera „Siła nawyku” opisał zdumiewające następstwa i nieprzewidziane efekty uboczne takich poczynań w marketingu spersonalizowanym na przykładzie analizy przyzwyczajeń zakupowych. Polska edycja książki ukazała się w 2013 r. nakładem Domu Wydawniczego PWN.

Czytanie książek za pomocą Kindle'a jest możliwe bez ciągłego synchronizowania danych, a więc szpiegowania.

Czytanie książek za pomocą Kindle'a jest możliwe bez ciągłego synchronizowania danych, a więc szpiegowania.

SmartDanger – brak całościowej strategii przeciwdziałania

Gdy latem br. opublikowano informacje o możliwościach przejmowania kontroli nad pojazdami określonych marek, Martin Emele, kierownik działu odpowiadającego za bezpieczeństwo produktów w siostrzanej spółce Boscha, firmie ETAS GmbH, uspokajał, wyjaśniając, że opisane włamania wymagają dużego nakładu pracy. Ponadto, tłumaczył, układy elektroniczne są bardzo skomplikowane, więc nie uda się ich przechytrzyć laikowi. Czyżby zatem nie było powodów do obaw?

Bynajmniej! Zarówno przedsiębiorstwa i infrastruktura publiczna, jak też prywatne sieci i urządzenia z dostępem do internetu są bezustannie narażone na niebezpieczeństwo. Choć rozwiązania takie jak bezkluczykowy system otwierania samochodu są bardzo wygodne i zyskują coraz większą popularność w branży motoryzacyjnej, kryją w sobie zagrożenia – to samo dotyczy zresztą także inteligentnego domu.

Koniec końców nasuwa się pytanie, kto ponosi prawną odpowiedzialność za szkody powstałe wskutek przywłaszczenia cudzego mienia lub nieuprawnionej ingerencji. Podsumowując, należy stwierdzić, że producenci zdają się nie przejawiać należytej świadomości panujących zagrożeń. Wprawdzie powstały niezależne koncepcje mające na celu zwiększenie bezpieczeństwa w przestrzeni internetu przedmiotów (np. BuildItSecure), jednak inicjatywy te póki co ciągle drepczą w miejscu.

W zaistniałej sytuacji powinni wkroczyć do akcji klienci, domagając się od producentów przykładania znacznie większej wagi do kwestii bezpieczeństwa.