IoT और सुरक्षा मुद्दे

इंटरनेट ऑफ़ थिंग्स (IoT), किसी भी तेजी से विकासशील तकनीक की तरह, "विकास रोगों" की एक संख्या का अनुभव कर रहा है, जिसके बीच सुरक्षा समस्या सबसे गंभीर है। नेटवर्क से जुड़े जितने अधिक "स्मार्ट" उपकरण हैं, आईओटी प्रणाली में अनधिकृत पहुंच और हमलावरों द्वारा इसकी क्षमताओं के उपयोग से जुड़े जोखिम अधिक हैं। आज, आईटी के क्षेत्र में कई कंपनियों और संगठनों के प्रयासों का उद्देश्य ऐसे समाधान खोजना है जो उन खतरों को कम करेगा जो IoT के पूर्ण कार्यान्वयन में बाधा उत्पन्न करते हैं।

स्मार्ट लेकिन कमजोर

इंटरनेट ऑफ थिंग्स की अवधारणा का विकास और विभिन्न क्षेत्रों में इसके कार्यान्वयन से दसियों अरबों स्टैंड-अलोन उपकरणों की उपस्थिति का प्रावधान है। स्टेटिस्टा पोर्टल के अनुसार , 2017 में उनमें से पहले से ही 20 बिलियन से अधिक हैं, और 2025 तक कम से कम 75 बिलियन की उम्मीद है। ये सभी नेटवर्क से जुड़े हुए हैं और इसके माध्यम से अपनी कार्यक्षमता के अनुरूप डेटा संचारित करते हैं। डेटा और कार्यक्षमता दोनों हमलावरों के लिए लक्ष्य हैं, जिसका अर्थ है कि उन्हें संरक्षित किया जाना चाहिए।

IoT उपकरणों के लिए, सुरक्षा में मुख्य रूप से कोड की अखंडता, उपयोगकर्ताओं (उपकरणों) का प्रमाणीकरण, स्वामित्व अधिकारों की स्थापना (उनके द्वारा उत्पन्न डेटा सहित), और आभासी और शारीरिक हमलों को पीछे हटाने की क्षमता शामिल होती है। लेकिन वास्तव में, आज काम कर रहे अधिकांश IoT डिवाइस सुरक्षा सुविधाओं से लैस नहीं हैं, उनके पास बाहरी नियंत्रण इंटरफेस, डिफ़ॉल्ट पासवर्ड हैं, अर्थात, उनके पास वेब भेद्यता के सभी संकेत हैं।

हम अभी भी एक साल पहले की घटनाओं को याद करते हैं, जब मिराई बॉटनेट, डिफ़ॉल्ट लॉगिन और पासवर्ड के संयोजन का चयन करके, बड़ी संख्या में कैमरे और राउटर को हैक कर लेते थे, जो बाद में प्रदाता नेटवर्क यूके पोस्टल ऑफिस, ड्यूश टेलीकॉम, टॉकटॉक, केकॉम और ईयरकॉम पर एक शक्तिशाली डीडीओएस हमले के लिए उपयोग किया जाता था। इस स्थिति में, IoT उपकरणों के "बूटफोर्स" को टेलनेट का उपयोग करके किया गया था, और TR-064 और TR-069 प्रोटोकॉल का उपयोग करके राउटर को 7547 पोर्ट के माध्यम से हैक किया गया था।



लेकिन सबसे गुंजयमान, शायद, वह हमला था जिसने डीएनएस ऑपरेटर डीवाईएन को डाल दिया, और इसके साथ संयुक्त राज्य अमेरिका के "आधा इंटरनेट"। बोटनेट हमले के लिए, डिफ़ॉल्ट डिवाइस लॉगिन और पासवर्ड के माध्यम से सबसे आसान तरीका इस्तेमाल किया गया था।

इन घटनाओं ने स्पष्ट रूप से IoT सिस्टम में अंतराल और कई स्मार्ट उपकरणों की भेद्यता का प्रदर्शन किया है। यह स्पष्ट है कि किसी की स्मार्ट घड़ियों या फिटनेस ट्रैकर्स की विफलता उनके मालिकों की हताशा को छोड़कर ज्यादा नुकसान नहीं करेगी। लेकिन IoM उपकरणों को हैक करना, जो विशेष रूप से M2M सिस्टम और सेवाओं का हिस्सा हैं, को महत्वपूर्ण बुनियादी ढांचे में एकीकृत किया जाता है, अप्रत्याशित परिणामों से भरा होता है। इस मामले में, उनकी सुरक्षा की डिग्री इस या उस बुनियादी ढांचे के महत्व के अनुरूप होनी चाहिए: परिवहन, ऊर्जा या अन्य, जिस पर लोगों की महत्वपूर्ण गतिविधि और अर्थव्यवस्था का काम निर्भर करता है। घरेलू स्तर पर भी - एक ही "स्मार्ट" हाउस सिस्टम पर विफलताओं और हमलों से स्थानीय सांप्रदायिक या अन्य आपातकालीन और खतरनाक स्थितियां पैदा हो सकती हैं।

बेशक, पूर्व-इंटरनेट समय में बुनियादी ढांचे के लिए खतरा भी मौजूद था - उदाहरण के लिए, समान प्राकृतिक आपदाओं या डिजाइनरों की गलतियों के कारण। हालांकि, इसमें नेटवर्क से जुड़े उपकरणों के आगमन के साथ, एक और जोड़ा गया था, और शायद एक गंभीर हमले का परिमाण - एक साइबर हमला।

डिवाइस प्रमाणन

IoT उपकरणों की मौजूदा सुरक्षा समस्या तकनीकी मूर्खता या उनके डेवलपर्स की लापरवाही के कारण उत्पन्न नहीं हुई। यहां कान एक शांत गणना से चिपके रहते हैं: बाजार में प्रवेश करने की गति प्रतियोगियों पर एक फायदा देती है, भले ही वह लंबे समय तक न हो, और यहां तक ​​कि कम सुरक्षा सीमा के कारण भी।



अधिकांश निर्माता अपने "स्मार्ट" उत्पादों के कोड और सुरक्षा प्रणालियों के विकास और परीक्षण के लिए समय और पैसा खर्च करने की जहमत नहीं उठाते हैं।

उन्हें अपने IoT उत्पादों की सुरक्षा के लिए अपने दृष्टिकोण पर पुनर्विचार करने का एक तरीका प्रमाणन है। विचार नया नहीं है, लेकिन फिर भी ध्यान देने योग्य है, कम से कम समस्या को हल करने के लिए यह कम से कम कुछ तरीका है। IoT उपकरणों के लिए प्रमाणन प्रक्रिया नौकरशाही नहीं होनी चाहिए और खरीदार को यह गारंटी दे सकती है कि उसे हैकर के हमलों से सुरक्षा की एक निश्चित डिग्री है। शुरू करने के लिए, राज्य और कॉर्पोरेट खरीद का संचालन करते समय एक सुरक्षा प्रमाणपत्र की आवश्यकता का संकेत दिया जा सकता है।

आज, कई निजी कंपनियां भी प्रमाणन मुद्दों में शामिल हैं। विशेष रूप से, ऑनलाइन ट्रस्ट एलायंस (ओटीए) ने IoT ट्रस्ट फ्रेमवर्क , डेवलपर्स, डिवाइस निर्माताओं और सेवा प्रदाताओं के मानदंड की सूची जारी करके राज्य और निर्माता स्तर पर IoT सुरक्षा को संबोधित करने के लिए पहल की, जो अपनी सुरक्षा, गोपनीयता और जीवन चक्र में सुधार करना चाहता है। IoT उत्पाद। सबसे पहले, यह जुड़ा हुआ घर, कार्यालय और पहनने योग्य उपकरणों पर केंद्रित है और एक तरह की सिफारिश की आचार संहिता है और कई प्रमाणन और जोखिम मूल्यांकन कार्यक्रमों के लिए आधार है।



इस वर्ष, वेरिज़ोन के स्वतंत्र प्रभाग, आईसीएसए लैब्स ने सुरक्षा परीक्षण कार्यक्रम और IoT उपकरणों का प्रमाणन शुरू किया । इसके डेवलपर्स के अनुसार, यह अपनी तरह का पहला है, और अधिसूचना / लॉगिंग, क्रिप्टोग्राफी, प्रमाणीकरण, संचार, भौतिक सुरक्षा और प्लेटफ़ॉर्म सुरक्षा जैसे घटकों का परीक्षण कर रहा है। प्रमाणित किए जाने वाले उपकरणों को एक विशेष ICSA लैब्स अनुमोदन चिह्न के साथ चिह्नित किया जाएगा, यह दर्शाता है कि उनका परीक्षण किया गया है और खोजी गई कमजोरियों को ठीक कर लिया गया है। इसके अलावा प्रमाणित उपकरणों की निगरानी और समय-समय पर उनकी सुरक्षा बनाए रखने के लिए उनके पूरे जीवन चक्र में परीक्षण किया जाएगा।

बदले में, UL साइबरस्पेस अश्योरेंस (CAP) परीक्षण और प्रमाणन कार्यक्रम का उद्देश्य उत्पादों और प्रणालियों की सुरक्षा सुनिश्चित करना है। सीएपी प्रमाणन प्रमाणित करता है कि एक उत्पाद या प्रणाली उन जोखिमों के खिलाफ उचित स्तर की सुरक्षा प्रदान करती है जो अनजाने या अनधिकृत पहुंच, परिवर्तन या विफलता के परिणामस्वरूप हो सकती हैं। इसके अलावा, CAP यह भी पुष्टि करता है कि प्रमाणित उत्पाद या सिस्टम के लिए भविष्य के पैच, अपडेट या नए सॉफ़्टवेयर संस्करण मूल्यांकन के समय मौजूद सुरक्षा के स्तर को कम नहीं करेंगे।

हालांकि, कई IoT सुरक्षा विशेषज्ञों का मानना ​​है कि इस तरह के प्रमाणन कार्यक्रमों से सबसे बड़ा लाभ तब होगा जब न केवल एक विशिष्ट उपकरण, बल्कि पूरे पारिस्थितिकी तंत्र: इसके बुनियादी ढांचे, अनुप्रयोगों आदि का परीक्षण किया जाएगा। आखिरकार, एक परीक्षण और सुरक्षित IoT डिवाइस सिस्टम के भीतर बातचीत के दौरान भी विफल हो सकता है।



IoT के विकास के लिए निर्विवाद फायदे होने के कारण, प्रमाणन कार्यक्रमों में एक नकारात्मक पहलू है। परीक्षण उपकरण को पास करने और प्रमाण पत्र की उपलब्धता का मात्र तथ्य इसकी सुरक्षा की 100% गारंटी नहीं हो सकता है, क्योंकि, बहुत संभावना है, इसमें अभी भी कुछ खामियां हैं। सुरक्षा प्रमाणपत्र में अत्यधिक विश्वास उन उपयोगकर्ताओं पर एक चाल खेल सकता है जिनके पास व्यक्तिगत आवश्यकताएं हैं और अपने उपकरणों के लिए विभिन्न अनुप्रयोग हैं, जिसका अर्थ है कि उनके स्वयं के जोखिम और खतरे हैं। और, ज़ाहिर है, दुरुपयोग की संभावना को बाहर नहीं किया गया है। निश्चित रूप से ऐसे निर्माता हैं जो "अर्ध-प्रमाणीकरण" के लिए भुगतान करेंगे, विशुद्ध रूप से वाणिज्यिक लक्ष्यों का पीछा करेंगे।

ऐसा प्रतीत होता है कि प्रमाणीकरण के माध्यम से सुरक्षा समस्या के लिए वैश्विक समाधान के लिए एक एकीकृत समाधान की आवश्यकता होती है, सभी निर्माताओं के लिए सुरक्षित उपकरणों का उत्पादन करने के लिए एक सामान्य प्रोत्साहन और उपभोक्ताओं को उन लोगों को नहीं खरीदना है जिनकी सुरक्षा की पुष्टि किसी भी चीज से नहीं होती है। यह क्या होना चाहिए - विधायी, आर्थिक या दंडात्मक - अभी तक तय नहीं किया गया है। अंततः, परिणाम वैश्विक IoT प्रणाली की सुरक्षा होना चाहिए।

ब्लॉकचेन तकनीक

चीजों की इंटरनेट की सुरक्षा ब्लॉकचेन प्रौद्योगिकी के उपयोग के पहले क्षेत्रों में से एक थी। वितरित रजिस्ट्री की तकनीक के लिए धन्यवाद, नेटवर्क पर IoT उपकरणों के लिए उच्च स्तर की सुरक्षा प्रदान करना और केंद्रीकरण से जुड़े IoT के लिए मौजूदा प्रतिबंधों और जोखिमों को समाप्त करना संभव हो गया।



यह आपको विकेंद्रीकृत प्रणाली में एक्सचेंज प्रोटोकॉल और विभिन्न IoT उपकरणों की बातचीत के परिणामों को जल्दी और सुरक्षित रूप से सहेजने की अनुमति देता है। यह ब्लॉकचेन की वितरित वास्तुकला है जो पूरे IoT सिस्टम की पर्याप्त उच्च सुरक्षा की गारंटी देता है। लेकिन अगर नेटवर्क डिवाइस में से कुछ अभी भी हैकिंग के अधीन हैं, तो यह सिस्टम के समग्र संचालन को प्रभावित नहीं करेगा। IoT सिस्टम में काम करने वाले "स्मार्ट" उपकरणों के बोटनेट द्वारा उल्लिखित उपयोग उनकी कमजोर सुरक्षा के कारण संभव हो गया है। वितरित प्रकार का विश्वास आपको "स्वस्थ" ऑब्जेक्ट्स के बीच इंटरैक्शन के पूरे मॉडल पर ध्यान देने योग्य क्षति के बिना हैक किए गए डिवाइस से छुटकारा पाने की अनुमति देता है।

सुरक्षा के संदर्भ में, आज ब्लॉकचेन का उपयोग कई ऐसे क्षेत्रों में किया जा सकता है जिनमें चीजों का इंटरनेट सबसे अधिक तीव्रता से विकसित हो रहा है। उदाहरण के लिए, यह प्रमाणीकरण प्रबंधन है, विभिन्न सेवाओं के स्वास्थ्य की जांच करना, सूचनाओं की अविभाज्यता और अन्य को सुनिश्चित करना है। वर्ष की शुरुआत में, सिस्को, बीएनवाई मेलॉन, बॉश, फॉक्सकॉन और कई अन्य लोगों सहित कई प्रमुख कंपनियों ने एक कंसोर्टियम का गठन किया, जो सुरक्षा बढ़ाने और IoT उत्पादों की सहभागिता में सुधार के लिए ब्लॉकचेन का उपयोग करने के लिए समाधान खोजेगा। मुख्य कार्य जो इसके सदस्यों ने स्वयं के लिए निर्धारित किया है, वह एक वितरित डेटाबेस की ब्लॉकचेन तकनीक और IoT उपकरणों के बीच सूचनाओं के आदान-प्रदान के लिए एक प्रोटोकॉल के आधार पर विकास है।

ध्यान दें कि जनवरी 2017 में, डीएचएस यूएसए ने वीडियो निगरानी कैमरों और विभिन्न निगरानी सेंसर से विभाग द्वारा एकत्र किए गए डेटा की रक्षा, संचार और भंडारण के लिए ब्लॉकचेन तकनीक का उपयोग करना शुरू किया। तकनीक का परीक्षण अमेरिकी रक्षा विभाग के एक प्रभाग DARPA द्वारा भी किया जा रहा है जो सेना के लिए नई तकनीकों के विकास की देखरेख करता है। इसके अलावा, पेंटागन की छत के नीचे अनुसंधान करने वाली एजेंसियों में से एक ने सॉफ्टवेयर कंपनी गैलाइस के साथ कई मिलियन डॉलर के अनुबंध पर हस्ताक्षर किए, जो ब्लॉकचेन के क्षेत्र में सुरक्षा विकसित कर रहा है।



आज यह पहले से ही स्पष्ट है कि सभी संभावनाओं को महसूस करना मुश्किल होगा कि IoT अवधारणा उपयोगकर्ताओं को सुरक्षा और गोपनीयता समस्याओं को हल किए बिना प्रदान कर सकती है। IoT की सुरक्षा के उपरोक्त तरीके, निश्चित रूप से, संपूर्ण नहीं हैं; कई समूह, कंपनियां और उत्साही लोग समस्या के समाधान पर काम कर रहे हैं। लेकिन इन सबसे ऊपर, IoT उपकरणों के लिए एक उच्च स्तर की सुरक्षा उनके निर्माताओं की प्राथमिक चिंता होनी चाहिए। विश्वसनीय संरक्षण शुरू में उत्पाद के कार्यों के हिस्से के रूप में आना चाहिए और जटिल IoT समाधान के निर्माताओं और आपूर्तिकर्ताओं दोनों के लिए एक नया प्रतिस्पर्धी लाभ बन सकता है।