Kalifornien verbietet den Verkauf von IoT-Geräten mit oder ohne einfache Passwörter

Warum Passwörter schwierig sein sollten, ist es bei Habrice nicht notwendig, noch einmal zu sprechen. Man kann sich nur an die Folgen des schwachen Schutzes von IoT-Geräten erinnern, die vom Mirai- Virus in „Zombies“ verwandelt wurden, die bereit sind, den Befehlen eines Remote-Hackers zu gehorchen.

Nach diesem und vielen anderen Vorfällen vernachlässigen Gerätehersteller weiterhin den Cyber-Schutz von Gadgets. Ja, das Design und die Benutzeroberfläche vieler von ihnen sind top, die Funktionen sind gut. Die Verwendung der meisten Cloud-basierten Gadgets ist jedoch wie ein "Crack Me If You Can" -Spiel, bei dem der Cracker fast immer der Gewinner ist.

Im US-Bundesstaat Kalifornien beschlossen sie, das Spiel zu beenden und die Gerätehersteller zu verpflichten, sich um die Auswahl komplexer „Login-Passwort“ -Paare zu kümmern, um Gadgets zu schützen. Alle im Land verkauften Systeme sollten bis 2020 entsprechend modifiziert werden. Das Gesetz legt eine Reihe von Anforderungen fest, die Entwickler von Hardware-Netzwerklösungen erfüllen müssen - sei es ein Router, eine Überwachungskamera oder ein intelligenter Kühlschrank.

Das Gesetz wurde im August genehmigt und letzte Woche vom Gouverneur Jerry Brown unterzeichnet.

"Schwache Methoden zum Schutz von Geräten, die mit dem Netzwerk verbunden sind, gefährden ihre Benutzer in Kalifornien und ermöglichen es Crackern, elektronische Geräte gegen die Eigentümer selbst einzusetzen", sagte ein Senator, der das Gesetz unterstützt. "Das Dokument gibt Vertrauen, dass Technologie zum Nutzen der Menschen in Kalifornien funktioniert und dass Sicherheit nicht mehr als das am wenigsten wichtige Thema angesehen wird", fuhr er fort.

Während sich das Internet der Dinge allmählich weiterentwickelt, verbinden sich immer mehr Geräte mit dem Netzwerk - dies sind nicht nur Kameras, Sensoren verschiedener Art, sondern auch Mikrowellen, Babyphone, Klimaanlagen und andere Geräte. Unmittelbar nach dem Anschließen werden alle diese Geräte zum Ziel für Cracker. Am häufigsten interessieren sich Cyberkriminelle nicht für einsame Geräte, sondern für Netzwerke, die Tausende und Abertausende solcher Geräte vereinen. Wir sprechen über Botnets, mit denen Hacker viel tun können - von DDoS-Angriffen bis hin zu Versuchen, sich in die Netzwerke von Bank- und Finanzorganisationen zu hacken.

Wie oben erwähnt, haben IoT-Geräte oft nicht einmal den schwächsten Schutz, den Cracker verwenden. Somit kann sogar ein Scriptdiddy aus den Geräten, die er geknackt hat, ein kleines Botnetz erstellen. Die Ergebnisse all dessen sind mit bloßem Auge sichtbar. Vor zwei Jahren standen Millionen von Geräten unter der Kontrolle von Crackern - jetzt gibt es wahrscheinlich noch mehr solcher Geräte. Und je mehr Hersteller IoT-Systeme für Heim und Büro herstellen, desto größer ist das Risiko für die Eigentümer solcher Systeme.

Warum richtet sich das Gesetz speziell an Gerätehersteller? Tatsache ist, dass nicht alle Käufer verbundener Geräte über das erforderliche technische Wissen verfügen, um das gekaufte Gerät selbst vor Hackerangriffen zu schützen. Ja, Sie müssen nur die banale Gruppe von "admin / admin" in ein komplexes Kennwort mit alphanumerischen Zeichen ändern, und in den meisten Fällen können Botnets ein solches Gerät nicht unterordnen. Aber ein relativ kleiner Prozentsatz der Benutzer weiß, wie man das Passwort ändert, und diejenigen, die es wirklich ändern, sind noch weniger.

Kürzlich wurde eine Umfrage durchgeführt, um herauszufinden, wie viele IoT-Gadget-Benutzer versucht haben, sich durch Ersetzen der Standard-Administratordaten vor Hacking zu schützen. Wie sich herausstellte, haben etwa 82% nicht einmal darüber nachgedacht. Passwörter sind bei weitem nicht immer einfach, aber da der Hersteller sie selbst in der mit den Geräten gelieferten technischen Dokumentation veröffentlicht, ist es für Cracker nicht schwierig, Zugangsdaten herauszufinden.

Das neue kalifornische Gesetz verpflichtet Gerätehersteller nun, für jedes Gerät eine eindeutige und zuverlässige Kombination aus Benutzername und Passwort zu erstellen. Dies ist natürlich kein Allheilmittel, aber dennoch eine deutliche Verschiebung in der Frage der Stärkung der Cybersicherheitspolitik durch Hersteller von IoT-Geräten. Vielleicht werden die Hersteller trotz der Änderungen im staatlichen Recht nicht darauf warten, dass andere Staaten und Länder sie dazu zwingen, sondern ihre Cybersicherheitspolitik in Richtung einer Stärkung im Voraus ändern.