Этот беззащитный «Интернет вещей»
CIO крупной металлургической компании в приподнятом настроении вышел из лифта и направился к своей Audi Q7, стоящей в дальнем углу подземного корпоративного паркинга. Сев за руль и нажав кнопку Start, он с удовольствием прислушался к медленному нарастанию урчащего звука мотора, выдающего в железном коне чистокровную породу. Вырулив в лучах заходящего солнца на Кутузовский проспект, наш CIO втопил педаль газа в пол. Ни сигнализация эвакуируемых машин, ни шум дорожных работ не отвлекали CIO от предвкушения наступающего вечера — в компании своей любимой, с бокалом виски в руке, смотря на горящие в камине поленья…
Но мечтам не суждено было сбыться. Audi Q7 внезапно самопроизвольно стал набирать скорость. CIO пытался тормозить, но соответствующая педаль перестала реагировать на нажатия… Перед глазами CIO стали проноситься яркие события прошлой жизни, которые прервал страшный удар в ряд бетонных тумб, защищающих Триумфальную арку…
Вы когда-нибудь думали о том, что окружает нас с вами? Нет, я не о лютиках-цветочках, и не о каменных джунглях, и не о железных конях, своими выхлопными газами портящими окружающую среду. Я об «Интернете вещей», который медленно, но верно проникает в нашу жизнь, а с ним – и чувство абсолютной незащищенности всех этих гаджетов, которые подключены к Всемирной сети. Ведь мы зачастую даже не подозреваем, что приобретаемые нами телевизоры, холодильники, газовые котлы, автомобили, садовые поливалки могут быть доступны через Интернет. Ну и что? Что в этом такого страшного? Давайте я попробую привести несколько примеров.
Автомобили
Вернемся к началу статьи. Прочтя его, наверное, у вас возник вопрос: а при чем тут журнал об информационных технологиях и описанная ситуация? Так сложилось, что автомобиль по своей начинке мало чем отличается от корпоративной сети: в нем есть сеть, есть компьютеры (их роль выполняют контроллеры ECU, управляющие различными функциями автомобиля — стеклоподъемниками, датчиками температуры, давлением в шинах, ABS, мультимедиа, контролем слепых зон и т. п.), есть выход в Интернет, есть свои хранилища данных…
40% современного автомобиля – это электроника и программное обеспечение. ПО насчитывает несколько миллионов строк кода (даже в космических кораблях меньше). Объем ПО в премиальных моделях достигает гигабайта, длина кабельной системы – до 3 км, а число интерфейсов превышает 3000. Вот только функции безопасности почему-то в автомобилях нет. И примеров их взломов за последнее время становится все больше и больше, а модель угроз для железного коня ширится с каждым днем. Вот лишь несколько примеров того, что можно сегодня сделать с автомобилем:
· Перехват местоположения.
· Блокирование передачи данных о местоположении.
· Изменение маршрута движения.
· Подмена Point-of-Interest в навигационной системе.
· Блокирование/разблокирование дверей.
· Блокирование/разблокирование двигателя.
· Блокирование передачи сигнала о краже.
· Кража контента в развлекательной системе.
· Внесение изменений в работу электронных блоков управления (ECU).
«Умный» дом
Недавно я устанавливал газовой котел на дачу, и продавец мне предложил систему дистанционного мониторинга и управления котлом по SMS. На словах все выглядело просто потрясающе: я мог отслеживать уровень температуры в помещениях, повышать его или понижать, а также удаленно включать или выключать газовый котел. «А как защищена эта система?» – спросил я. «А зачем?» – последовал недоуменный ответ. Тогда я стал рассказывать продавцу о том, что я могу сделать с такой системой дистанционного управления, не обладающей даже зачатками защитных механизмов. Самое первое, что пришло в голову, – отключение котла в зимние морозы, что приведет к промерзанию труб отопления и потенциальному их разрыву (если там залита вода, а не антифриз). А уж если вспомнить пресловутый Stuxnet, заразивший объект по обогащению ядерного топлива в иранском Натанзе, то обычными эсэмэсками, которые передаются в открытом виде и могут быть подменены, можно нарушить режим работы котла, то включая его, то отключая, что приведет к выходу его из строя и необходимости дорогого ремонта. Продавец ушел от меня ошарашенный, а я лишний раз убедился, что о безопасности «Интернета вещей» у нас сегодня мало кто думает.
И это не единственный пример незащищенности «умных» домов, которые строятся гражданами у себя на загородных участках и в квартирах, а также компаниями – при проектировании бизнес-центров и элитных жилых домов. Согласно статистике компании HP, 100% исследованных ею систем «умного» дома не требовали сложных паролей для своей настройки, пять из десяти систем имели проблемы с перехватом данных при их передаче с мобильного устройства, а семь из семи облачных платформ для управления «умным» домом могли быть легко взломаны.
Кардиостимуляторы и инсулиновые помпы
Знаете ли вы, что «Интернет вещей» проник даже в такие, казалось бы, далекие от Интернета вещи, как персональные медицинские приборы, например кардиостимуляторы или инсулиновые помпы. Что за бред, скажете вы, и ошибетесь. С точки зрения врача и пациента это удобно – можно дистанционно снимать показания приборов. Но проблема заключается в том, что у этих приборов есть не только функции диагностики – можно еще дистанционно менять режим их работы. Например, инсулиновая помпа по команде извне может впрыснуть диабетику не жестко заданную порцию инсулина, а весь объем лекарства, что приведет к анафилактическому шоку и смерти человека. А некоторые модели кардиостимуляторов оснащены встроенным дефибриллятором, предназначенным для запуска остановившегося сердца. Теперь представьте, что дефибриллятор дал разряд в 800 вольт на работающем «пламенном моторе»? Сердце просто остановится. И это не фантастика – это результаты реальных исследований безопасности медицинских приборов. Недаром американский Минздрав в начале 2015 года выпустил специальные требования по кибербезопасности медицинских устройств.
Носимые гаджеты
Кардиостимуляторы и инсулиновые помпы с интернет-подключением – это, к счастью, пока редкость, в отличие от фитнес-браслетов, трекеров и «умных» часов, которые завоевывают все большую популярность среди людей, стремящихся вести здоровый образ жизни. Поэтому они, ничтоже сумняшеся, доверяют таким устройствам информацию о своем здоровье, о своем местоположении и времени его посещения, о своей сексуальной активности и уровне стресса, и даже о том, когда крепче всего сон (мечта вора-домушника)…
По перечисленной информации уже становится понятно, что основная проблема с безопасностью носимых гаджетов – это приватность. Все упомянутые мной данные, а также многие другие могут быть украдены как с самого устройства, так и во время их передачи на мобильное устройство и дальше в облако, а также в самом облачном хранилище. Так уж получилось, что, согласно исследованию HP, 70% из носимых устройств передают данные в открытом виде, а по статистике компании Symantec – 20% таких приложений даже пароли на доступ к облачным хранилищам персональных данных передают в незащищенном виде. Трое из десяти самых популярных «умных» часов, протестированных HP, позволяли злоумышленникам просто угадать учетную запись и получить несанкционированный доступ к носимому гаджету. И это не говоря уже о том, что вся ваша подноготная продается направо и налево – маркетинговым и рекламных компаниям, страховым и медицинским организациям, производителям спортивных товаров. Никаких согласий на обработку персональных данных у владельцев носимых устройств не берут, а на сайтах их производителей обычно не встретишь никакой политики конфиденциальности.
Кстати, на Олимпиаде в Лондоне в 2012 году в кроссовки легкоатлетов встраивались специальные беспроводные датчики для отслеживания времени в том или ином соревновании. Представьте себе, к чему может привести внесение небольшой задержки или подмена данных, поступающих к судьям. Тут не то что о золотой медали можно забыть, но и вообще в тройку медалистов не попасть.
Почему все так печально?
Я привел только несколько примеров интернет-вещей, имеющих серьезные проблемы с безопасностью. А ведь есть еще сантехника, холодильники, секс-роботы, дороги, парковки, одежда, игрушки, подключенные к Интернету. За термином «Интернет вещей» или даже «Всеобъемлющий Интернет» скрывается очень много разных направлений. Такое разнообразие его применений привело к тому, что до сих пор отсутствует единый стандарт в области взаимодействия интернет-вещей между собой. В мире сегодня насчитывается свыше 25 (!) различных групп, которые занимаются стандартизацией данного вопроса: ITU, ISO, IEEE, ETSI, GS1, ANSI, OASIS, IETF, AllSeen, OIC, OMG и т. д. К сожалению, пока они не смогли прийти к взаимопониманию и разработать единый набор спецификаций для использования в разных сферах (может быть, это и в принципе невозможно, кто знает).
В ноябре 2014 года ITU-T попробовала аккумулировать в одном документе все работы по стандартизации, которые ведутся в мире. Получился очень весомый документ на 122 страницы, содержащий упоминания более чем о 250 (!) различных стандартах (преимущественно в виде проекта) в области «Интернета вещей». И из всего многообразия этих стандартов только пять было посвящено вопросам защиты информации. Представьте себе, только пять! С другой стороны, надо признать, что и традиционные средства защиты пока не готовы к работе в «Интернете вещей». Ведь тут нет мощных серверов и постоянно подключенных к сети питания узлов, на которые можно поставить систему защиты. Миниатюризация, автономность работы, невысокие требования к системным ресурсам – все это не позволяет обычным антивирусам, системам аутентификации, средствам шифрования и т. п. быть установленными на «умные» часы, фитнес-браслеты, кофеварки, очки, автомобили и т. п.
И понять такую «слепоту» разработчиков и стандартов, и средств защиты, и новомодных интернет-гаджетов можно – ведь инцидентов в области «Интернета вещей» пока еще не было (в массовом порядке). А значит, отсутствует спрос со стороны потребителей, отсутствуют стандарты взаимодействия, что не позволяет выработать механизмы защиты… В итоге получается, что безопасность «Интернета вещей» – скорее дань моде, чем осознанная производителями необходимость. Они больше озабочены тем, чтобы выпустить свой продукт на рынок пораньше, дабы застолбить право первенства и захватить большую долю рынка.
Как построить систему информационной безопасности, чтобы она обеспечивала защиту на уровне, превосходящем тех, кто наименее подготовлен к угрозам.
Опубликовано 24.11.2015
