OWASP TOP 10 आईओटी उपकरणों की कमजोरियां

2018 के अंत तक, कनेक्ट किए गए IoT उपकरणों की संख्या 22 बिलियन से अधिक हो गई । पृथ्वी पर 7.6 बिलियन लोगों में से 4 बिलियन लोगों की इंटरनेट तक पहुंच है। यह पता चला है कि प्रत्येक व्यक्ति के लिए चीजों के इंटरनेट के 5.5 उपकरण हैं।

IoT डिवाइस नेटवर्क से कनेक्ट होने और पहले हमले के समय के बीच औसतन लगभग 5 मिनट का समय बीत जाता है। इसके अलावा, स्मार्ट उपकरणों पर अधिकांश हमले स्वचालित हैं ।

बेशक, इस तरह के दुखद आँकड़े साइबर स्पेस के क्षेत्र में उदासीन विशेषज्ञों को नहीं छोड़ सकते थे। अंतरराष्ट्रीय गैर-लाभकारी संगठन OWASP (ओपन वेब एप्लीकेशन सिक्योरिटी प्रोजेक्ट) 2014 में वापस इंटरनेट की चीजों की सुरक्षा के बारे में चिंतित था, OWASP टॉप 10 IoT का पहला संस्करण जारी किया। अद्यतित खतरों के साथ " इंटरनेट ऑफ़ थिंग्स डिवाइसों की शीर्ष 10 कमजोरियों " का एक अद्यतन संस्करण 2018 में जारी किया गया था। यह परियोजना निर्माताओं, डेवलपर्स और उपभोक्ताओं को IoT सुरक्षा मुद्दों को समझने और IoT पारिस्थितिक तंत्र बनाते समय अधिक सूचित सूचना सुरक्षा निर्णय लेने में मदद करने के लिए डिज़ाइन की गई है।

10. अपर्याप्त शारीरिक सुरक्षा।

भौतिक सुरक्षा उपायों की कमी, संभावित हमलावरों को गोपनीय जानकारी प्राप्त करने की अनुमति देती है, जो भविष्य में दूरस्थ हमले को लागू करने या डिवाइस पर स्थानीय नियंत्रण हासिल करने में मदद कर सकती है।

IoT पारिस्थितिकी तंत्र की सुरक्षा चुनौतियों में से एक यह है कि इसके घटकों को अंतरिक्ष में वितरित किया जाता है और अक्सर सार्वजनिक या असुरक्षित स्थानों में स्थापित किया जाता है। इससे हमलावर डिवाइस तक पहुंच प्राप्त कर सकते हैं और इसे स्थानीय स्तर पर नियंत्रण में ले सकते हैं या नेटवर्क के बाकी हिस्सों तक पहुंचने के लिए इसका उपयोग कर सकते हैं।

एक हमलावर सेटिंग्स (आईपी नेटवर्क, मैक पते, आदि) की नकल कर सकता है और नेटवर्क प्रदर्शन को सुनने या कम करने के लिए अपने डिवाइस को मूल एक के स्थान पर रख सकता है। यह एक आरएफआईडी रीडर को हैक कर सकता है, एक हार्डवेयर बुकमार्क सेट कर सकता है, मैलवेयर से संक्रमित हो सकता है, आवश्यक डेटा चोरी कर सकता है, या केवल IoT डिवाइस को भौतिक रूप से अक्षम कर सकता है।

इस समस्या का समाधान एक है - उपकरणों तक भौतिक पहुंच को जटिल बनाना। उन्हें संरक्षित क्षेत्रों पर, ऊंचाइयों पर स्थापित किया जा सकता है या बर्बर प्रूफ संरक्षित अलमारियाँ का उपयोग किया जा सकता है।

9. डिफ़ॉल्ट सेटिंग्स को असुरक्षित करें

डिवाइस या सिस्टम असुरक्षित डिफ़ॉल्ट सेटिंग्स के साथ आते हैं या उपयोगकर्ताओं को बदलते कॉन्फ़िगरेशन से प्रतिबंधित करके सिस्टम को अधिक सुरक्षित बनाने में असमर्थ हैं।

कोई भी निर्माता अधिक कमाना और कम खर्च करना चाहता है। डिवाइस को कई स्मार्ट फ़ंक्शन के साथ लागू किया जा सकता है, लेकिन सुरक्षा को कॉन्फ़िगर करना संभव नहीं है।

उदाहरण के लिए, यह विश्वसनीयता के लिए पासवर्ड की जाँच का समर्थन नहीं करता है, विभिन्न अधिकारों के साथ खाते बनाना संभव नहीं है - व्यवस्थापक और उपयोगकर्ता, एन्क्रिप्शन, लॉगिंग और सुरक्षा घटनाओं के बारे में उपयोगकर्ताओं को सूचित करने के लिए कोई सेटिंग्स नहीं हैं।

8. डिवाइस को नियंत्रित करने में असमर्थता

परिसंपत्ति प्रबंधन, अद्यतन प्रबंधन, सुरक्षित डीकोमिशनिंग, सिस्टम मॉनिटरिंग और प्रतिक्रिया सहित उत्पादन में तैनात उपकरणों के लिए सुरक्षा सहायता का अभाव।

IoT डिवाइस अक्सर एक ब्लैक बॉक्स होते हैं। उन्होंने काम की स्थिति की निगरानी करने की क्षमता को लागू करने की पहचान नहीं की है कि कौन सी सेवाएं चल रही हैं और किस बातचीत के साथ।

सभी निर्माता आईओटी उपकरणों के उपयोगकर्ताओं को ऑपरेटिंग सिस्टम और रनिंग एप्लिकेशन पर पूर्ण नियंत्रण नहीं देते हैं, साथ ही डाउनलोड किए गए सॉफ़्टवेयर की अखंडता और वैधता की जांच करते हैं या ओएस पर अपडेट पैच स्थापित करते हैं।

हमलों के दौरान, डिवाइस के फर्मवेयर को पुन: कॉन्फ़िगर किया जा सकता है ताकि डिवाइस को पूरी तरह से फ्लैश करके ही इसे ठीक किया जा सके। उदाहरण के लिए, Silex मैलवेयर द्वारा इसी तरह के नुकसान का इस्तेमाल किया गया था।

इन समस्याओं का समाधान चीजों के इंटरनेट के उपकरणों के प्रबंधन के लिए विशेष सॉफ़्टवेयर का उपयोग हो सकता है, उदाहरण के लिए, क्लाउड समाधान AWS, Google, IBM, आदि।

7. असुरक्षित डेटा ट्रांसफर और स्टोरेज

पारिस्थितिकी तंत्र में कहीं भी संवेदनशील डेटा तक एन्क्रिप्शन या पहुंच नियंत्रण की कमी, भंडारण के दौरान, ट्रांसमिशन के दौरान या प्रसंस्करण के दौरान।

इंटरनेट ऑफ थिंग्स डिवाइस विभिन्न व्यक्तिगत जानकारी सहित पर्यावरण डेटा एकत्र और संग्रहीत करते हैं। एक समझौता किए गए पासवर्ड को बदला जा सकता है, लेकिन बायोमेट्रिक डिवाइस से डेटा चुराया जा सकता है - फिंगरप्रिंट, रेटिना, फेस बायोमेट्री - नहीं।

इसी समय, IoT डिवाइस न केवल अनएन्क्रिप्टेड रूप में डेटा स्टोर कर सकते हैं, बल्कि इसे नेटवर्क पर भी प्रसारित कर सकते हैं। यदि स्थानीय नेटवर्क में स्पष्ट में डेटा ट्रांसमिशन को किसी तरह समझाया जा सकता है, तो वायरलेस नेटवर्क या इंटरनेट ट्रांसमिशन के मामले में, यह किसी की भी संपत्ति बन सकता है।

उपयोगकर्ता स्वयं डेटा ट्रांसफर के लिए सुरक्षित संचार चैनलों का उपयोग कर सकता है, लेकिन डिवाइस निर्माता को संग्रहीत पासवर्ड, बायोमेट्रिक और अन्य महत्वपूर्ण डेटा को एन्क्रिप्ट करने का ध्यान रखना चाहिए।

6. अपर्याप्त गोपनीयता सुरक्षा

उपयोगकर्ता की व्यक्तिगत जानकारी एक उपकरण या पारिस्थितिकी तंत्र पर संग्रहीत होती है जिसका उपयोग असुरक्षित, अनुचित या बिना अनुमति के किया जाता है।

यह टॉप -10 आइटम पिछले एक को गूँजता है: सभी व्यक्तिगत डेटा को सुरक्षित तरीके से संग्रहीत और प्रेषित किया जाना चाहिए। लेकिन यह पैराग्राफ गोपनीयता की रक्षा करने के दृष्टिकोण से एक गहरे अर्थ में गोपनीयता पर विचार करता है।

IoT डिवाइस इस बारे में जानकारी एकत्र करते हैं कि उन्हें क्या और कौन घेरता है, इसमें शामिल नहीं हैं। चोरी या अनुचित रूप से संसाधित उपयोगकर्ता डेटा या तो अनजाने में किसी व्यक्ति को बदनाम कर सकता है (उदाहरण के लिए, जब अनुचित तरीके से कॉन्फ़िगर किए गए ट्रैफ़िक कैमरे, बेवफा पति-पत्नी को उजागर करते हैं), और ब्लैकमेल में इस्तेमाल किया जा सकता है।

समस्या को हल करने के लिए, आपको यह जानने की आवश्यकता है कि IoT डिवाइस, मोबाइल एप्लिकेशन और क्लाउड इंटरफेस द्वारा कौन सा डेटा एकत्र किया गया है।

आपको यह सुनिश्चित करने की आवश्यकता है कि डिवाइस के कामकाज के लिए केवल आवश्यक डेटा एकत्र किया गया है, यह जांचने के लिए कि क्या व्यक्तिगत डेटा को स्टोर करने की अनुमति है और क्या यह संरक्षित है, और क्या डेटा स्टोरेज नीतियां निर्धारित हैं। अन्यथा, यदि ये स्थितियां नहीं देखी जाती हैं, तो उपयोगकर्ता को कानून के साथ समस्या हो सकती है।

5. असुरक्षित या अप्रचलित घटकों का उपयोग

पुराने या असुरक्षित सॉफ़्टवेयर घटकों या पुस्तकालयों का उपयोग करना जो आपके डिवाइस से समझौता कर सकते हैं। इसमें ऑपरेटिंग सिस्टम प्लेटफार्मों का असुरक्षित कॉन्फ़िगरेशन और एक समझौता आपूर्ति श्रृंखला से तीसरे पक्ष के सॉफ़्टवेयर या हार्डवेयर घटकों का उपयोग शामिल है।

एक कमजोर घटक सभी कॉन्फ़िगर सुरक्षा को नकार सकता है।
2019 की शुरुआत में, विशेषज्ञ पॉल मारर्पिज़ ने iLnkP2P P2P उपयोगिता में कमजोरियों की पहचान की , जो कि नेटवर्क से जुड़े 2 मिलियन से अधिक उपकरणों पर स्थापित है: आईपी कैमरा, बेबी मॉनिटर, स्मार्ट डोरबेल और डीवीआर।
पहली भेद्यता CVE-2019-11219 एक हमलावर को एक उपकरण की पहचान करने की अनुमति देता है, दूसरा iLnkP2P CVE-2019-11220 में एक प्रमाणीकरण भेद्यता है - वीडियो स्ट्रीम और पासवर्ड सहित स्पष्ट में यातायात को बाधित करने के लिए।

कई महीनों के लिए, पॉल ने निर्माता को तीन बार और उपयोगिता के डेवलपर को दो बार दिया, लेकिन उनसे कभी कोई प्रतिक्रिया नहीं मिली।

इस समस्या का समाधान सुरक्षा पैच की रिहाई की निगरानी करना और डिवाइस को अपडेट करना है, और यदि वे बाहर नहीं आते हैं ... निर्माता को बदलें।

4. सुरक्षित अद्यतन तंत्र का अभाव

डिवाइस को सुरक्षित रूप से अपडेट करने में असमर्थता। इसमें डिवाइस पर फर्मवेयर सत्यापन की कमी, सुरक्षित डिलीवरी की कमी (ट्रांसमिशन के दौरान एन्क्रिप्शन के बिना), रोलबैक को रोकने के लिए तंत्र की कमी और अपडेट के कारण सुरक्षा परिवर्तनों के बारे में सूचनाओं की अनुपस्थिति शामिल है।

डिवाइस को अपडेट करने में असमर्थता सुरक्षा की कमजोरी है। अद्यतन स्थापित करने में विफलता का मतलब है कि उपकरण अनिश्चित समय के लिए असुरक्षित रहते हैं।

लेकिन इसके अलावा, अपडेट स्वयं और फर्मवेयर भी असुरक्षित हो सकते हैं। उदाहरण के लिए, यदि सॉफ़्टवेयर प्राप्त करने के लिए एन्क्रिप्टेड चैनलों का उपयोग नहीं किया जाता है, तो अपडेट फ़ाइल एन्क्रिप्ट नहीं की जाती है या स्थापना से पहले अखंडता के लिए जांच नहीं की जाती है, कोई एंटी-रोलबैक सुरक्षा नहीं है (पिछले, अधिक असुरक्षित संस्करण पर वापसी के खिलाफ सुरक्षा), या अपडेट के कारण सुरक्षा परिवर्तनों के बारे में कोई सूचना नहीं है।

इस समस्या का एक समाधान निर्माता की तरफ भी है। लेकिन आप जांच सकते हैं कि क्या आपका डिवाइस अपडेट करने में सक्षम है। सुनिश्चित करें कि अपडेट की गई फाइलें एक एन्क्रिप्टेड चैनल के माध्यम से सत्यापित सर्वर से डाउनलोड की जाती हैं, और यह कि आपका डिवाइस सुरक्षित अपडेट इंस्टॉलेशन आर्किटेक्चर का उपयोग करता है।

3. असुरक्षित पारिस्थितिकी तंत्र इंटरफेस

डिवाइस के बाहर पारिस्थितिकी तंत्र में एक असुरक्षित वेब इंटरफ़ेस, एपीआई, क्लाउड या मोबाइल इंटरफेस, जो आपको डिवाइस या इसके संबंधित घटकों से समझौता करने की अनुमति देता है। सामान्य समस्याओं में प्रमाणीकरण या प्राधिकरण की कमी, अभाव या कमजोर एन्क्रिप्शन, और इनपुट और आउटपुट फ़िल्टरिंग की कमी शामिल है।

असुरक्षित वेब इंटरफेस, एपीआई, क्लाउड और मोबाइल इंटरफेस का उपयोग करने से आप इसे कनेक्ट किए बिना भी डिवाइस या उसके संबंधित घटकों से समझौता कर सकते हैं।

उदाहरण के लिए, बाराकुडा लैब्स ने "स्मार्ट" कैमरों में से एक के मोबाइल एप्लिकेशन और वेब इंटरफेस का विश्लेषण किया और उन कमजोरियों को पाया जो इंटरनेट ऑफ थिंग्स डिवाइस के लिए पासवर्ड प्राप्त करने की अनुमति देती हैं:

• मोबाइल एप्लिकेशन ने सर्वर प्रमाणपत्र की वैधता को नजरअंदाज कर दिया।
• वेब एप्लिकेशन क्रॉस-साइट स्क्रिप्टिंग के लिए असुरक्षित था।
• क्लाउड सर्वर पर फ़ाइलों को बायपास करना संभव था।
• डिवाइस अपडेट सुरक्षित नहीं थे।
• डिवाइस ने सर्वर प्रमाणपत्र की वैधता को नजरअंदाज कर दिया।

सुरक्षा के लिए, डिफ़ॉल्ट उपयोगकर्ता और पासवर्ड को बदलना आवश्यक है, सुनिश्चित करें कि वेब इंटरफ़ेस क्रॉस-साइट स्क्रिप्टिंग, SQL इंजेक्शन या CSRF हमलों के अधीन नहीं है।
साथ ही, क्रूर बल द्वारा पासवर्ड हमलों के खिलाफ सुरक्षा को लागू किया जाना चाहिए। उदाहरण के लिए, गलत तरीके से पासवर्ड दर्ज करने के तीन प्रयासों के बाद, खाता अवरुद्ध होना चाहिए और केवल हार्डवेयर रीसेट के माध्यम से पासवर्ड पुनर्प्राप्ति की अनुमति दें।

2. असुरक्षित नेटवर्क सेवाएं

डिवाइस पर चलने वाली अनावश्यक या असुरक्षित नेटवर्क सेवाएं, विशेष रूप से एक बाहरी नेटवर्क के लिए खुली हुई हैं, जो गोपनीयता, अखंडता, प्रामाणिकता, सूचना की पहुंच को खतरे में डालती हैं या अनधिकृत रिमोट कंट्रोल की अनुमति देती हैं।

अनावश्यक या असुरक्षित नेटवर्क सेवाएँ डिवाइस सुरक्षा को ख़तरे में डालती हैं, खासकर अगर उनकी इंटरनेट तक पहुँच हो।

असुरक्षित नेटवर्क सेवाएं बफर ओवरफ्लो और DDoS हमलों के लिए अतिसंवेदनशील हो सकती हैं। कमजोरियों और असुरक्षित कनेक्शन सेवाओं के लिए ओपन नेटवर्क पोर्ट्स को स्कैन किया जा सकता है।

आईओटी उपकरणों के हमलों और संक्रमण के सबसे लोकप्रिय वैक्टरों में से एक गैर-अक्षम टेलनेट सेवाओं और एसएसएच पर पासवर्ड की गणना है। इन सेवाओं तक पहुँच प्राप्त करने के बाद, हमलावर उपकरण के लिए दुर्भावनापूर्ण सॉफ़्टवेयर डाउनलोड कर सकते हैं या बहुमूल्य जानकारी तक पहुँच प्राप्त कर सकते हैं।


1. कमजोर, अनुमान या हार्ड-कोडेड पासवर्ड

फ़र्मवेयर या क्लाइंट सॉफ़्टवेयर में बैकडोर सहित आसानी से क्रैक करने योग्य, सार्वजनिक रूप से उपलब्ध या अपरिवर्तनीय क्रेडेंशियल्स का उपयोग, जो तैनात सिस्टमों में अनधिकृत पहुँच प्रदान करता है।

हैरानी की बात है, तब तक, सबसे बड़ी भेद्यता कमजोर पासवर्ड, डिफ़ॉल्ट पासवर्ड या नेटवर्क पर लीक पासवर्ड का उपयोग है।
एक मजबूत पासवर्ड का उपयोग करने की स्पष्ट आवश्यकता के बावजूद, कुछ उपयोगकर्ता अभी भी डिफ़ॉल्ट पासवर्ड नहीं बदलते हैं। जून 2019 में, Silex मालवेयर ने इसका फायदा उठाया, जो एक घंटे के भीतर 2000 IoT डिवाइसों की ईंट में बदल गया।
और इससे पहले, जाने-माने बोटनेट और वर्म मिराई ने 61 मानक लॉगिन-पासवर्ड संयोजनों के डेटाबेस का उपयोग करके चीजों के इंटरनेट के 600 हजार उपकरणों को संक्रमित करने में कामयाब रहे।

इसका उपाय पासवर्ड बदलना है!

निष्कर्ष

जब उपयोगकर्ता IoT डिवाइस खरीदते हैं, तो वे मुख्य रूप से अपनी "स्मार्ट" क्षमताओं के बारे में सोचते हैं, सुरक्षा के बारे में नहीं।

दरअसल, इसी तरह, कार या माइक्रोवेव खरीदते समय, हम आशा करते हैं कि डिवाइस उपयोग के लिए " डिज़ाइन में सुरक्षित " हो।

जब तक IoT की सुरक्षा कानून द्वारा विनियमित नहीं होती है (अब तक, ऐसे कानून केवल स्थापना की प्रक्रिया में हैं ), निर्माता इस पर अतिरिक्त पैसा खर्च नहीं करेंगे।
यह पता चला है कि निर्माता को प्रेरित करने का एकमात्र तरीका कमजोर उपकरणों को खरीदना नहीं है।

और इसके लिए हमें उनकी सुरक्षा के बारे में सोचने की जरूरत है।