"सुरक्षा के लिए IoT स्टेंड्स में एस": स्मार्ट गैजेट्स के संरक्षण पर दुनिया का पहला कानून अपनाया गया है - हम समझते हैं कि सार क्या है

कैलिफ़ोर्निया ने SB-327 IoT डिवाइस सुरक्षा पास कर ली है। यह स्मार्ट सिस्टम डेवलपर्स को उनके लिए एक अद्वितीय उपयोगकर्ता नाम / पासवर्ड जोड़ी बनाने के लिए बाध्य करता है। दस्तावेज़ को पहले ही राज्य के गवर्नर द्वारा हस्ताक्षरित किया जा चुका है। हम समुदाय की राय और उद्योग के विकास पर नए कानून के प्रभाव के बारे में बात करते हैं।


/ फ़्लिकर / अल राजा / सीसी

सार क्या है?

SB-327 , जिसे सूचना सुरक्षा कहा जाता है: कनेक्टेड डिवाइसेस, पिछले फरवरी से कैलिफोर्निया के सीनेटरों द्वारा विकसित किया गया है । इस मामले में "कनेक्टेड डिवाइस" उन सभी गैजेटों को संदर्भित करता है जिनके पास इंटरनेट कनेक्शन, आईपी पता या ब्लूटूथ है।

सीनेटर हन्नाह-बेथ जैक्सन, जो बिल के लेखक हैं, ने कहा कि ऐसा कानून लंबे समय के लिए होना चाहिए था। उनके अनुसार, आम उपभोक्ता शायद ही कभी खरीदे जाने वाले गैजेट्स के सुरक्षा मुद्दों में रुचि रखते हैं, क्योंकि डेवलपर्स सुरक्षा कमजोरियों को ठीक करने की जल्दी में नहीं हैं।

विशेष रूप से महत्व बच्चों के खिलौने के मामले में समस्या है। एक उदाहरण के रूप में, बिल में परिवर्धन में, सीनेटरों ने माई फ्रेंड केला गुड़िया ( सीनेट फ्लोर एनालिसिस दिनांक 08/28/18 ) के साथ स्थिति का हवाला दिया। वे बच्चों के साथ संवाद कर सकते हैं और निर्माता के सर्वर को अग्रेषित कर सकते हैं, उदाहरण के लिए, किसी प्रश्न का विश्लेषण करने और उसका उत्तर खोजने के लिए। यह बच्चे के व्यक्तिगत डेटा के लिए संभावित भेद्यता बनाता है। इस कारण से, जर्मनी में आमतौर पर ऐसी गुड़िया की बिक्री पर प्रतिबंध लगा दिया गया था।

कैलिफ़ोर्निया कानून की मुख्य आवश्यकता यह है कि IoT उपकरणों के प्रत्येक निर्माता को "उचित सुरक्षात्मक उपकरण" के साथ अपने गैजेट प्रदान करने होंगे। सुरक्षा की डिग्री डिवाइस के कार्य और उस जानकारी पर निर्भर करती है जो इसका उपयोग करती है और प्रसारित करती है।

कानून यह नहीं कहता है कि "उचित संरक्षण" का क्या मतलब है, लेकिन प्रमाणीकरण तंत्र की आवश्यकताओं का उल्लेख किया गया है। यदि कनेक्टेड डिवाइस में इंटरनेट एक्सेस है, तो उसके प्रमाणीकरण प्रणाली को दो मानदंडों में से एक को पूरा करना होगा। सबसे पहले, निर्माता स्वयं प्रत्येक व्यक्तिगत डिवाइस के लिए लॉगिन और पासवर्ड का अनूठा संयोजन बनाता है। दूसरी - डेवलपर पहली बार उपकरण का उपयोग करते समय लॉगिन के लिए मानक फ़ैक्टरी डेटा को बदलने के लिए खरीदार को बाध्य करता है।

कानून में उन सभी कंपनियों को शामिल किया गया है जो कैलिफोर्निया में IoT उपकरणों का निर्माण या बिक्री करती हैं। SB-327 1 जनवरी, 2020 से लागू होगा।

कानून के बारे में राय

नया कानून अस्पष्ट रूप से मिला था। कुछ उपयोगकर्ताओं और विशेषज्ञों ने सहमति व्यक्त की कि कम से कम मानक पासवर्डों का निषेध, लेकिन IoT उपकरणों की सुरक्षा में वृद्धि होगी। हालांकि, निर्माताओं के लिए अन्य विशिष्ट आवश्यकताओं की कमी ने समुदाय को भ्रमित किया।

साइबर सुरक्षा विशेषज्ञों ने कानून को संदेह से पारित किया है। मुख्य आलोचकों में से एक रॉबर्ट ग्राहम थे, जो इरेटा सुरक्षा में साइबर सुरक्षा के विशेषज्ञ थे। रॉबर्ट लिखते हैं कि "उपचार" का शब्द बहुत अस्पष्ट है, इसलिए संगठनों के लिए अधिनियम की आवश्यकताओं को पूरा करने के लिए मानदंड को परिभाषित करना मुश्किल होगा।

इसके अलावा, विशिष्ट खतरों का मुकाबला करने के लिए कानून के तरीकों में निर्दिष्ट करना असंभव है, क्योंकि नए प्रकार के हमले लगातार दिखाई देते हैं। ग्राहम का मानना ​​है कि IoT की सुरक्षा के तरीकों को कानून में परिभाषित नहीं किया जा सकता है, और SB-327 केवल स्मार्ट उपकरणों के निर्माण की लागत में वृद्धि करेगा।

आर्मिस उत्पाद के उपाध्यक्ष जो ले की राय में कानून भी बेकार है। उनकी कंपनी IoT नेटवर्क की सुरक्षा के लिए एक प्लेटफॉर्म बना रही है। जो के अनुसार, चीजों की इंटरनेट की सुरक्षा एक जटिल उद्योग है जो उपकरणों के लिए पासवर्ड मुद्दों तक सीमित नहीं है।

कई सूचना सुरक्षा विशेषज्ञों ने नए बिल का समर्थन किया। ऐसे ही एक व्यक्ति थे ब्यू वुड्स, जो अटलांटिक काउंसिल थिंक टैंक के सुरक्षा विशेषज्ञ थे। उनके अनुसार, कानून में अस्पष्ट शब्दों का इस्तेमाल जानबूझकर किया गया था। यह कंपनियों को स्वतंत्र रूप से डिवाइस सुरक्षा आवश्यकताओं को विकसित करने की अनुमति देगा।

कई विशेषज्ञों का मानना ​​है कि एक अपूर्ण कानून भी इसकी अनुपस्थिति से बेहतर है। साइबरस्पेस लेखक और क्रिप्टोग्राफर ब्रूस श्नेयर ने कहा कि एसबी -327 सही दिशा में एक कदम है, हालांकि यह दस्तावेज़ पूरी तरह से IoT को विनियमित करने के लिए पर्याप्त नहीं है।

“कानून को उपकरणों तक अनधिकृत पहुंच की समस्या को हल करने में मदद करनी चाहिए। हालांकि, यह एक रामबाण नहीं है, ” 1cloud.ru बादल में बुनियादी ढांचे के किराये सेवा विकास विभाग के प्रमुख सर्गेई बेल्किन टिप्पणी करते हैं । - अद्वितीय और मजबूत पासवर्ड को केलेल डिक्शनरी सर्च की मदद से स्मार्ट गैजेट्स की हैकिंग को जटिल बनाना चाहिए। हालांकि, उपकरणों तक पहुंच प्राप्त करने के कई अन्य तरीके हैं, जैसे कि डीएनएस री-बाइंडिंग । इस तरह के हमले से दुनिया भर में आधे अरब से अधिक IoT उपकरण प्रभावित होते हैं।

उपयोगकर्ता आमतौर पर कैलिफोर्निया सरकार की पहल का समर्थन करते हैं। हैकर समाचार के निवासी ध्यान दें कि निर्माताओं के पासवर्ड बहुत अधिक अनुमानित हो सकते हैं और सीरियल नंबर से मेल खाते हैं। लेकिन यह समाधान एक ही मॉडल के सभी उपकरणों के लिए मानक पासवर्ड से बेहतर है।

कुछ उपयोगकर्ता कानून को निरर्थक पाते हैं। Slashdot पर एक टिप्पणीकार ने संकेत दिया कि अक्सर IoT उपकरणों की सुरक्षा समस्याओं को पासवर्ड प्रतिस्थापन द्वारा हल नहीं किया जाता है और फर्मवेयर और सॉफ़्टवेयर मॉड्यूल में कमजोरियों से जुड़ा होता है। उदाहरण के लिए, 2017 में, gSOAP लाइब्रेरी में एक बग की खोज की गई थी , जिसका उपयोग IoT उपकरणों के निर्माताओं द्वारा किया जाता है। प्रदर्शन के दौरान, सुरक्षा विशेषज्ञों ने एक घर के कैमरे को तोड़ दिया और इससे एक छवि प्राप्त की।

और कौन IoT के लिए कानूनों का मसौदा तैयार कर रहा है

यह सिर्फ कैलिफोर्निया नहीं है जो चीजों की इंटरनेट की सुरक्षा पर काम करता है। पिछले एक साल में, इस विषय पर कई परियोजनाएं अमेरिकी कांग्रेस को प्रस्तुत की गई हैं। इनमें 2017 का सिक्योरिंग IoT एक्ट और 2017 का इंटरनेट ऑफ थिंग्स साइबरस्पेस इंप्रूवमेंट एक्ट है, जिसमें IoT डिवाइसों के लिए मानक सुरक्षा आवश्यकताओं को विकसित करने के लिए संघीय एजेंसियों की आवश्यकता होती है।

इससे पहले, अमेरिकी सरकार ने स्मार्ट उपकरणों के निर्माताओं के लिए दिशानिर्देश जारी किए थे, जो उपयोगकर्ताओं के व्यक्तिगत डेटा की सुरक्षा के लिए सिफारिशें एकत्र करते थे। उदाहरण के लिए, ऐसा दस्तावेज 2015 में फेडरल ट्रेड कमीशन (FTC) द्वारा प्रकाशित किया गया था।


/ फ़्लिकर / कॉनिफ़रेंफ़र / सीसी

यूरोप में, इसी तरह के दस्तावेज भी हैं, विशेष रूप से, नेटवर्क और सूचना प्रणालियों की सुरक्षा पर निर्देश (एनआईएस निर्देश), जुलाई 2016 में अपनाया गया। यह सीधे चीजों के इंटरनेट के साथ सौदा नहीं करता है, लेकिन यह महत्वपूर्ण क्षेत्रों में कंपनी प्रणालियों की सुरक्षा के लिए आवश्यकताओं को स्थापित करता है: ऊर्जा, वित्त, स्वास्थ्य देखभाल और परिवहन उद्योग। दस्तावेज़ में केवल नियमों की एक सूची है, और यूरोपीय संघ के प्रत्येक राज्य को स्वतंत्र रूप से इसके कार्यान्वयन के तरीकों का निर्धारण करना चाहिए।

ऑस्ट्रेलियाई सरकार द्वारा IoT उपकरणों के संरक्षण पर कानून भी विकसित किया जा रहा है । राजनेताओं के अनुसार, वे एक संतुलित दस्तावेज बनाना चाहते हैं जो उपभोक्ताओं की रक्षा करेगा और IoT में नवीनता को सीमित नहीं करेगा। ऐसा करने के लिए, नियामक उद्योग के प्रतिनिधियों के साथ बातचीत कर रहा है। अब तक, राजनेता केवल स्मार्ट डिवाइस निर्माताओं के लिए आवश्यकताओं पर चर्चा कर रहे हैं।

इस प्रकार, कैलिफोर्निया कानून IoT उपकरणों के सभी निर्माताओं के लिए सामान्य आवश्यकताओं को तैयार करने वाला पहला था। और यद्यपि यह अपूर्ण है, यह माना जाता है कि निर्देश अन्य देशों के लिए एक मार्गदर्शक बन जाएगा और स्मार्ट गैजेट्स की सुरक्षा पर सक्रिय कार्य शुरू करेगा।

हमारे कॉर्पोरेट ब्लॉग से कुछ ताज़ा सामग्री:

• क्लाउड सेवा में DevOps: हम एक उदाहरण के रूप में 1cloud.ru का उपयोग करके दृष्टिकोण का विश्लेषण करते हैं
• जोखिम कम से कम: कैसे अपना डेटा खोना नहीं है
• "व्यक्तिगत डेटा पर": FZ-152 का सार क्या है?
• व्यक्तिगत डेटा: इसे कैसे संरक्षित किया जाए