Securitywatch: настоящая причина, по которой у меня нет камеры видеонаблюдения

Мы с моим партнером недавно обзавелись собакой, которая для миллениалов примерно такая же, как и у нас с ребенком. Теперь у нас уже были и есть другие домашние животные в нашем доме. Наши шалости о очаровательных крысах с розовым носом могут различаться по размеру, но это было постоянным в жизни моего партнера и меня в течение почти десятилетия. Дело в том, что крысы так же счастливы в клетке со своими крысиными друзьями, как и с вами. Собаки, с другой стороны, не счастливы, когда тебя нет, и в результате ты тоже не счастлив. Когда мы приобрели собаку (ее зовут Лулу, и она является лучшей собакой по всем объективным показателям), мой партнер предложил нам взять веб-камеру или видеоняню, чтобы мы могли следить за нашим собачьим ребенком, пока мы на работе.,

Признаюсь, меня соблазнили. Как я уже упоминал, наши питомцы играют для нас роль детей, и я трачу немало времени на то, чтобы беспокоиться о своих животных, когда я на работе, особенно летом Нью-Йорка, который сочетает в себе жар Долины Смерти и тошноту влажность подмышки. Несмотря на это, мне было неудобно. Мой партнер очень хорошо знает мои параноидальные тенденции, и после того, как мы поговорили об этом, мы согласились: у нас дома не будет камеры наблюдения.

Это не так, как вы можете подумать, потому что я боюсь, что хакеры будут наблюдать за моими интимными моментами, или спецслужбы слышат каждое мое слово, хотя это и есть реальные угрозы. Нет, я обеспокоен тем, что любое доступное в Интернете устройство в моей сети может быть взломано и превращено в оружие массового уничтожения в Интернете.

Жуткие хаки реальны, но их можно избежать

Мы дойдем до моих страхов, но сначала я должен признать, что да, жуткие вещи случаются с устройствами IoT, и это может быть очень плохо. Само по себе, это веская причина, чтобы колебаться, прежде чем получить подключенную к сети камеру или радионяня.

Существует множество историй о том, что люди слышат голоса лианы, проникающие через их радионяню, или обнаруживают, что кто-то использовал камеру в своем компьютере, чтобы делать неловкие снимки. Одна особенно коварная практика называется «секстрикция», когда злоумышленник угрожает выпустить смущающие фотографии, сделанные с захваченной веб-камеры (которую он может иметь или не иметь на самом деле), если жертва не предоставит материалы откровенно сексуального характера. Это отвратительно само по себе, и тот факт, что молодые люди часто становятся жертвами этих атак, вызывает сожаление.

Атаки на это отвратительное, как правило, труднее осуществить, потому что они требуют нацеливания на конкретного человека, но плохая родословная безопасности многих устройств Интернета вещей, включая некоторые камеры видеонаблюдения и подключенные радионяни, облегчает их оценку. Если вы хотите найти цель, вы можете взглянуть на Shodan - поисковик устройств, подключенных к Интернету. Нападение на конкретного человека, вероятно, повлечет за собой физический доступ к устройству или тщательно спланированные фишинговые атаки, но Шодан, вероятно, может связать вас с невольной, хотя и несколько случайной, жертвой.

Эти грубые, инвазивные атаки представляют собой реальную угрозу, но они также могут быть смягчены без большого технического ноу-хау. Простой кусок ленты на линзе или сухая тряпка, накинутая на устройство, может сделать камеру полностью слепой. Детские мониторы могут быть отключены, или, что еще лучше, им не разрешено подключаться к Интернету. Я могу справиться с этим самостоятельно.

Что действительно пугает меня

Была презентация Black Hat, которая всегда оставалась со мной. В нем ведущий продемонстрировал, как он может взять под контроль подключенную камеру безопасности. Это страшно, но то, что меня поразило, было то, что докладчик сказал, что эти камеры были просто маленькими компьютерами Linux, и их можно было использовать для выполнения любых действий злоумышленника. Он также утверждал, что подавляющее большинство камер на рынке имеет серьезные недостатки.

Несколько лет спустя устройства «умный дом» начали появляться на прилавках, и я продолжал слышать от охранных компаний, что они действительно обеспокоены. У них были те же проблемы, что и у докладчика в Black Hat; что может быть возможно похитить умное устройство и использовать его для всех видов гнусных целей.

Вскоре эти страхи стали реальностью, и это было хуже, чем ожидалось. Вредоносная программа Mirai автоматически сканировала Интернет на наличие доступных соединений, а затем использовала множество атак для взлома устройства IOT, причем все это без участия человека. Mirai предназначался для устройств, использующих встроенные версии Linux, от телевизоров до маршрутизаторов, и смог собрать значительный ботнет. Он был достаточно большим, чтобы отключить DNS-провайдера, что, в свою очередь, привело к недоступности таких сайтов, как GitHub, Netflix и Twitter.

Мирай был лишь одним примером, но он возвращался снова и снова. Согласно Wikipedia, варианты вредоносного ПО Mirai были обнаружены несколько раз в течение последнего года, а некоторые наблюдения были обнаружены в феврале 2019 года.

Mirai был ограничен лишь несколькими устройствами, но это было все еще жестоко эффективно. Что еще хуже, это еще более совершенная атака - возможно, менее автоматизированная, а может и нет - которая может перейти с зараженной лампочки на мой маршрутизатор, а затем, в свою очередь, на все устройства в сети. Это сделало бы устройство IoT плацдармом или плацдармом, чтобы злоумышленник или вредоносная программа могли «развернуться» в более ценную сеть.

Конечно, были достигнуты улучшения в подключенных камерах и радионянях и IoT в целом, но индустрия все еще должна делать больше. Компании должны убедиться, что их устройства выдержали серию тестов для выявления слабых мест, и, по крайней мере, должны включать механизм обновления или замены устройств, которые признаны уязвимыми. Производители должны предполагать, что их устройства будут атакованы, встраивать функции безопасности и помнить, что их продукты не всегда обслуживаются пользователем, у некоторых из них отсутствуют экраны или какой- либо интерфейс.

Коллективный иммунитет

Есть ряд мер предосторожности, доступных для обычных людей. Вы можете взглянуть на покупку устройств безопасности IoT, таких как Bitdefender Box, или маршрутизаторов со встроенным программным обеспечением безопасности. (Это последнее замечательно, если учесть, что маршрутизатор, как устройство IoT, - это просто компьютер, который можно использовать для зла.) Вы можете убедиться, что на ваших устройствах установлены последние обновления программного обеспечения, и изменить любые пароли по умолчанию. Тем не менее, это только так далеко. Посмотрев в окно, почти невозможно определить, использует ли внутренняя камера безопасности подписанный код в своих обновлениях или имеет жестко закодированные учетные данные, которые невидимы для пользователя и являются потенциальным бэкдором для злоумышленников.

Примечательно, что многие из этих советов и большая часть безопасности в целом связаны с идеей личной безопасности и ответственности. Вы должны защитить свою машину и вашу личную информацию. Как и в случае с Mirai, успешное нападение на меня может быстро превратиться в нападение на мою семью, моих друзей, мое сообщество и людей, которых я никогда не узнаю. Это не только вызовет некоторые проблемы с моим провайдером, это означает, что я невольно причинил боль окружающим.

Это напоминает мне концепцию стадного иммунитета. Именно тогда достаточно высокий процент населения либо получает иммунитет, либо вакцинируется против определенного заболевания, от которого никто не болеет. Население защищает друг друга, делая невозможным распространение инфекций. Установка камеры видеонаблюдения в моем доме - это не просто риск для меня, это может сделать других людей менее безопасными.

Лулу, лучшая собака, все еще борется за то, чтобы чувствовать себя комфортно в одиночестве. Мы недавно достали ей прикрытие для ящиков, потому что собак, очевидно, тянет к темному, безопасному логову. Вместо этого она протянула укрытие через решетку, натянула его и спала на нем. Я тоже все еще борюсь, но я знаю, что решение для нее и для нас больше тренирует, а не камера, которая просто скажет мне то, что я уже знаю.

• Взлом Hue: Исследователи червь в Интернет вещей Взлом Hue: Исследователи червь в Интернет вещей
• Гнездо: виноваты слабые пароли, а не мы за инциденты с жуткой камерой
• SecurityWatch: сделать корпорации, а не клиентов, пострадать от утечки данных SecurityWatch: сделать корпорации, а не клиентов, пострадать от утечки данных

Какая бы ни была крошечная гарантия, которую мне дала бы камера слежения, не стоит того, чтобы быть частью разрушительной атаки. Это ставит мое собственное душевное спокойствие выше других, и я не хочу совершать эту сделку. Технология IoT совершенствуется, и есть лучшие инструменты для защиты этих устройств, но мне все еще недостаточно, чтобы чувствовать себя комфортно. Я начал думать об устройствах в моей сети как о своей ответственности, ради себя и за других, и для меня эти устройства - это риск, на который я еще не готов пойти.