सुरक्षा सप्ताह 07: IoT उपकरणों की स्थानीय कमजोरियाँ

पिछले हफ्ते "आईओटी के साथ क्या गलत है" पारंपरिक शीर्षक में मिशिगन विश्वविद्यालय और ब्राजील के संघीय विश्वविद्यालय परनामबुको के विशेषज्ञों का एक वैज्ञानिक अध्ययन जोड़ा गया था। अध्ययन ने अमेज़ॅन साइट पर सबसे अधिक बिक्री की सूची से स्मार्ट घर के लिए 96 IoT उपकरणों की जांच की। वैज्ञानिकों ने स्मार्टफोन से इन उपकरणों को प्रबंधित करने, स्वचालित रूप से और स्वचालित नेटवर्क संचार विश्लेषण उपकरण का उपयोग करने के लिए अनुप्रयोगों का विश्लेषण किया है। सबसे पहले, उन्होंने उन कमजोरियों की खोज की जो अपर्याप्त सुरक्षित कनेक्शन के कारण IoT उपकरणों का नियंत्रण ले सकती थीं।



96 विभिन्न उपकरणों के लिए, 32 अद्वितीय नियंत्रण अनुप्रयोगों को इकट्ठा किया गया था। उनमें से आधे या तो IoT के साथ काम करते समय ट्रैफ़िक को एन्क्रिप्ट नहीं करते हैं, या फिक्स्ड एन्क्रिप्शन कुंजियों का उपयोग करते हैं। तदनुसार, न केवल मालिक उपकरणों को नियंत्रित कर सकता है, बल्कि कोई भी, सामान्य रूप से, एक कैविएट के साथ - यदि आपके पास स्थानीय नेटवर्क तक पहुंच है। पीडीएफ में अध्ययन यहां है , रूसी में एक संक्षिप्त सारांश इस खबर में है । हम काम के सबसे दिलचस्प विवरणों पर ध्यान केन्द्रित करेंगे।

एक विशिष्ट सुरक्षा अध्ययन के विपरीत, आमतौर पर किसी विशेष उपकरण की विशिष्ट भेद्यता पर ध्यान केंद्रित किया जाता है, ब्राजील और अमेरिकी विशेषज्ञों का वैज्ञानिक कार्य एक एकीकृत दृष्टिकोण प्रदान करता है। यह सैद्धांतिक रूप से किसी भी IoT उपकरणों की सुरक्षा का आकलन करने के लिए इस्तेमाल किया जा सकता है जो इंटरनेट और / या स्थानीय नेटवर्क से जुड़ सकते हैं। दृष्टिकोण निम्नलिखित निकला: हम खुद को नियंत्रण अनुप्रयोगों के अध्ययन में परिभाषित करते हैं और कैसे वे स्मार्ट होम के उपकरणों के साथ बातचीत करते हैं। उपकरणों में अंतराल को ध्यान में नहीं रखा जाता है - यह माना जाता है कि यदि ग्राहक भाग कमजोर है, तो आप आगे खुदाई नहीं कर सकते हैं, और इसलिए सब कुछ काफी खराब है।



एक सीसीटीवी कैमरा जैसे एक विशिष्ट उपकरण की संचालन योजना में नियंत्रक के माध्यम से एक स्मार्टफोन के साथ बातचीत शामिल है - या तो सीधे स्थानीय नेटवर्क के माध्यम से या निर्माता की ओर से क्लाउड सिस्टम के माध्यम से। आरंभ करने के लिए, शोधकर्ताओं ने पांच सबसे लोकप्रिय स्मार्ट घरेलू उपकरणों को खरीदा और मैन्युअल रूप से उनका अध्ययन किया। समस्याओं का तुरंत पता चला - उदाहरण के लिए, इस तरह के एक दूरस्थ रूप से नियंत्रित टीपी-लिंक आउटलेट के साथ:



स्मार्टफोन पर एप्लिकेशन के माध्यम से डिवाइस का प्रारंभिक कॉन्फ़िगरेशन पूरी तरह से एन्क्रिप्शन के बिना होता है। सामान्य ऑपरेशन के दौरान, डेटा एन्क्रिप्शन प्रदान किया जाता है, लेकिन श्रृंखला में सभी उपकरणों के लिए एन्क्रिप्शन कुंजी एक है। इस दृष्टिकोण के व्यावहारिक परिणामों की पुष्टि करने के लिए, शोधकर्ताओं ने एक वीडियो अपलोड किया, जो डिवाइस के नियंत्रण को जब्त करने की संभावना की पुष्टि करता है। पांच उपकरणों के अध्ययन ने हमें प्रश्न तैयार करने की अनुमति दी, जिनके उत्तर बाद में एक (ज्यादातर) स्वचालित विश्लेषण प्रणाली का उपयोग करते हुए पाए गए:

• फर्मवेयर में प्रयुक्त "डिफ़ॉल्ट" एन्क्रिप्शन कुंजी का उपयोग किया जाता है?
• क्या स्थानीय नेटवर्क पर डिवाइस और स्मार्टफोन के बीच सीधा संबंध है?
• क्या एप्लिकेशन और डिवाइस नेटवर्क पर प्रसारण संदेश भेजते हैं?
• क्या जानबूझकर कमजोर संचार प्रोटोकॉल का उपयोग किया जा रहा है?

चार चयनित आवेदनों के उत्तर इस प्रकार थे:



कासा स्मार्ट टीपी-लिंक उपकरणों के लिए एक आवेदन है, जैसे कि ऊपर का स्मार्ट सॉकेट। LIFX दूर से नियंत्रित बल्बों का निर्माता है। WeMo का विकास बेल्किन और ई-कंट्रोल द्वारा ब्रॉडलिंक द्वारा किया गया है , दोनों ही मामलों में यह प्रकाश और बिजली के उपकरणों, टीवी और घरेलू उपकरणों को अवरक्त के माध्यम से, साथ ही सुरक्षा प्रणालियों को नियंत्रित करने के बारे में है। वेओमो के मामले में, शोधकर्ताओं ने स्थानीय नेटवर्क पर उपकरणों के साथ संचार करते समय एन्क्रिप्शन और किसी भी प्रकार के प्राधिकरण की कमी पाई। नेटवर्क पैकेट को इंटरसेप्ट करके, वैज्ञानिक एक ऐसी स्क्रिप्ट बनाने में सक्षम थे जो स्वामी के ज्ञान के बिना बेल्किन स्मार्ट उपकरणों को नियंत्रित करता है।



सामान्य शोध परिणाम: 16 अनुप्रयोग या तो एन्क्रिप्शन का उपयोग नहीं करते हैं या एक निश्चित कुंजी का उपयोग करके एन्क्रिप्ट किया जाता है। 18 एप्लिकेशन स्थानीय नेटवर्क पर उपकरणों के साथ संचार करते हैं, 14 केवल निर्माता के सर्वर के माध्यम से संवाद करते हैं। 6 एप्लिकेशन कमजोर संचार प्रोटोकॉल का उपयोग करते हैं। रजिस्टर ने अध्ययन में उल्लिखित कंपनियों से टिप्पणियों का अनुरोध किया। LIFX स्मार्ट बल्ब निर्माता की टिप्पणी यह ​​है कि कंपनी सुरक्षा और सुविधा के बीच संतुलन की तलाश कर रही है, और यह सामान्य रूप से IoT उपकरणों की प्रमुख समस्या है।

उपकरणों (या नियंत्रक) और स्थानीय नेटवर्क पर एक स्मार्टफोन के बीच सीधा संचार उपयोगकर्ता को निर्माता के अचानक दिवालियापन या अप्रचलित उपकरणों के लिए समर्थन की समाप्ति से बचाता है। यदि इस स्थिति में आपका IoT बादल से बंधा होता है, तो आप अपने आप को लोहे के टूटे हुए टुकड़े के साथ आमने सामने पाते हैं। लेकिन निर्माताओं का तर्क है कि स्थानीय नेटवर्क में संचार की रक्षा करने की कोई आवश्यकता नहीं है, यह भी बहस का विषय है। एक स्थानीय नेटवर्क को हैक किया जा सकता है, इसमें उस डिवाइस से समझौता करने की संभावना भी है जिसकी पहुंच इसमें है। राउटर की कई कमजोरियां, सेटिंग्स जिसमें आप ब्राउज़र में सही लिंक खोलकर बदल सकते हैं, इसकी पुष्टि करें।

अध्ययन "सही" उपकरणों के उदाहरण प्रदान करता है जिसमें नियंत्रण एप्लिकेशन के साथ बातचीत केवल क्लाउड सिस्टम के माध्यम से होती है, संचारित डेटा के एन्क्रिप्शन के आवश्यक स्तर के साथ। ये नेस्ट और EZVIZ के उत्पाद हैं। यह डिवाइस को शुरू में कॉन्फ़िगर करने के लिए अपेक्षाकृत सुरक्षित तरीका भी लागू करता है। पहले मामले में, यह डिवाइस स्क्रीन पर प्रदर्शित एक यादृच्छिक प्रमाणीकरण कोड है। दूसरे मामले में, डिवाइस के लिए क्यूआर कोड के रूप में एक अद्वितीय प्राधिकरण लाइन लागू की जाती है, जिसे स्कैन किया जाना चाहिए।

इस काम में शोधकर्ताओं द्वारा निर्धारित प्राथमिकताओं को चुनौती दी जा सकती है, साथ ही स्मार्ट होम सिस्टम के संचार की सुरक्षा के लिए सही दृष्टिकोण के बारे में भी विचार किया जा सकता है। कम से कम, अध्ययन एक बार फिर से पुष्टि करता है कि एक स्थानीय नेटवर्क में भी संचार चैनलों के संरक्षण को जानबूझकर कम करना सार्थक नहीं है। परिणाम गंभीर हो सकते हैं, खासकर अगर असुरक्षित तरीकों का उपयोग स्मार्ट अलार्म या इंटरनेट-कनेक्टेड डोर लॉक द्वारा किया जाता है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।