Astăzi suntem martorii creşterii Internetului Lucrurilor (IoT), în cadrul căruia literalmente miliarde de dispozitive sunt din ce în ce mai conectate la Internet şi diseminează informaţiile şi datele colectate. Ele pot fi dispozitive simple, cum ar fi un termostat sau un bec, sau dispozitive mai complexe, cum ar fi camerele CCTV sau aşa-numitele Smart Bins.
de Scott Penno, Allied Telesis
Elemente precum această interconectivitate şi capacitatea de a disemina informaţii pot genera inteligenţă şi eficienţă la nivele de neimaginat în trecut. În zilele noastre clădirile îşi pot optimiza performanţele pentru a asigura nu doar cerinţele ocupanţilor în termeni de confort şi securitate, ci şi respectarea cerinţelor de mediu şi legislative. În plus, firmele de salubritate nu mai au nevoie să trimită camioane zilnic sau de mai multe ori pe zi pentru a goli tomberoanele de gunoi, deoarece acestea din urmă pot conţine (sau recicla) mai mult gunoi graţie unui compactor integrat, urmând ca atunci când se apropie de umplere, tomberonul să contacteze firma de salubritate pentru a avertiza asupra nevoii de golire. Sunt două exemple simple legate de modul prin care conectivitatea şi inteligenţa ajută la îmbunătăţirea performanţelor şi eficienţei.
Există însă şi o latură neplăcută a acestui nivel crescut de conectivitate şi ea se referă la securitate. Odată cu explozia numărului de dispozitive interconectate şi cu sensibilitatea multora dintre acestea, creşte nevoia ca aceste dispozitive să fie conectate cu un nivel ridicat de securitate.
Ca exemplu al ceea ce ar putea merge rău atunci când ticăloşii profită de breşele dintr-un mediu IoT, putem lua filmul Die Hard 4.0, în care vedeta este nimeni altul decât Bruce Willis. Deşi cumva demodat azi, filmul ilustrează ceea ce s-ar putea întâmpla dacă atacatorii reuşesc să preia controlul clăririlor şi infrastructurilor critice precum sistemele de control trafic.
Chiar dacă acest film poate părea exagerat prin ceea ce arată legat de realizările potenţiale ale unor hackeri capabili, este important să înţelegem că securitatea înseamnă un set de contra-măsuri pentru reducerea sau atenuarea probabilităţii şi severităţii unui atac. Şi chiar dacă poate părea de bun simţ, există multe sarcini comune sau rutiniere de îmbunătăţire a securităţii care încă nu au fost implementate. Ar fi cazul să ne oprim asupra câtorva dintre ele.
- Schimbaţi numele de utilizator şi parolele implicite. Cele mai multe dispozitive, dacă nu chiar toate, dispun de nume de utilizator şi parole implicite care pot fi lesne descoperite de un copil care foloseşte un motor de căutare. Parolele implicite ar trebui schimbate imediat şi ar fi cel mai bine dacă şi numele implicit de utilizator ar fi schimbat, şters sau dezactivat.
- Nu împărtăşiţi parole. Fiecare utilizator dintr-un sistem ar trebui să aibă un nume de utilizator şi o parolă proprie. Prin aceasta, atunci când utilizatorul părăseşte organizaţia, contul lui poate fi simplu dezactivat sau şters, fără a fi nevoie de schimbarea detaliilor de cont pentru fiecare sistem la care utilizatorul are acces (fapt care în realitate nu se întâmplă).
- Folosiţi metode de autentificare puternică. Folosirea de parole tari, care au o lungime rezonabilă şi includ o combinaţie de litere, cifre şi caractere special, şi care nu includ cuvinte de dicţionar, are darul de a îngreuna compromiterea parolelor. Şi mai bună este folosirea de certificate digitale cu chei generate de un token sau de un dispozitiv care nu numai că furnizează o autentificare puternică, dar care asigură şi lipsa de respingere.
- Folosiţi autentificarea centralizată. Folosirea unui sistem de autentificare centralizată precum Active Directory, RADIUS sau LDAP simplifică procesul de gestionare a informaţiilor utilizatorului deoarece există un singur sistem care trebuie administrat în loc de mai multe sisteme.
- Restricţionaţi accesul. Accesul la sisteme ar trebui restricţionat la nivelul minim cerut pentru ca utilizatorul să execute sarcinile pe care trebuie să le execute. În plus, ar trebui folosite firewall-uri pentru separarea şi izolarea sistemelor, astfel încât o problemă sau un atac asupra unui sistem să aibă şanse mai mici de a impacta alte sisteme.
- Integraţi redundanţă. Redundanţa ar trebui integrată pentru asigurarea continuităţii de operare a sistemului în eventualitatea unei căderi sau a unui atac. În multe instanţe, costul operaţiunilor pierdute este mult mai mare decât costul suplimentar al redundanţei.
- Nu uitaţi de securitatea fizică. Securitatea se referă la nivele şi unul din aceste nivele este cel al accesului fizic. Dacă un atacator poate obţine acces fizic într-un sistem, sarcina lui se va simplifica, aşa că asiguraţi-vă că accesul fizic este disponibil doar celor care au nevoie de el.
- Menţineţi backup-uri. Din când în când, lucrurile vor merge prost. Iar câns se întâmplă asta, este important să dispuneţi de un back-up care este offline şi stocat într-o locaţie fizică diferită.
Chiar dacă aceşti paşi par simpli şi de bun simţ, multe din sistemele IoT actuale lasă mult de dorit din punct de vedere al gradului de securitate utilizat. Există multe lucruri suplimentare care pot fi implementate, însă asigurarea urmăririi paşilor de mai sus va însemna mult pentru îmbunătăţirea securităţii sistemelor existente azi.
Mai multe detalii pe site-ul companiei Allied Telesis.
