OWASP TOP 10 kerentanan perangkat IoT

Pada akhir 2018, jumlah perangkat IoT yang terhubung melebihi 22 miliar . Dari 7,6 miliar orang di Bumi, 4 miliar memiliki akses ke Internet. Ternyata untuk setiap orang ada 5,5 perangkat Internet hal.

Rata-rata, sekitar 5 menit berlalu antara waktu perangkat IoT terhubung ke jaringan dan waktu serangan pertama. Selain itu, sebagian besar serangan pada perangkat pintar bersifat otomatis .

Tentu saja, statistik menyedihkan seperti itu tidak dapat meninggalkan spesialis acuh tak acuh di bidang cybersecurity. Organisasi nirlaba internasional OWASP (Proyek Keamanan Aplikasi Web Terbuka) prihatin dengan keamanan Internet pada tahun 2014, setelah merilis versi pertama OWASP Top 10 IoT. Versi terbaru dari " kerentanan TOP 10 perangkat Internet hal " dengan ancaman yang diperbarui dirilis pada tahun 2018. Proyek ini dirancang untuk membantu produsen, pengembang, dan konsumen memahami masalah keamanan IoT dan membuat keputusan keamanan informasi yang lebih terinformasi ketika membuat ekosistem IoT.

10. Keamanan fisik yang tidak memadai.

Kurangnya langkah-langkah perlindungan fisik, memungkinkan penyerang potensial untuk mendapatkan informasi rahasia, yang di masa depan dapat membantu menerapkan serangan jarak jauh atau mendapatkan kontrol lokal atas perangkat.

Salah satu tantangan keamanan ekosistem IoT adalah bahwa komponennya didistribusikan di ruang angkasa dan sering dipasang di lokasi publik atau tidak aman. Ini memungkinkan penyerang untuk mendapatkan akses ke perangkat dan mengendalikannya secara lokal atau menggunakannya untuk mengakses seluruh jaringan.

Seorang penyerang dapat menyalin pengaturan (jaringan IP, alamat MAC, dll.) Dan meletakkan perangkatnya di tempat yang asli untuk mendengarkan atau mengurangi kinerja jaringan. Ini dapat meretas pembaca RFID, mengatur bookmark perangkat keras, menginfeksi malware, mencuri data yang diperlukan, atau secara fisik menonaktifkan perangkat IoT.

Solusi untuk masalah ini adalah solusi mempersulit akses fisik ke perangkat. Mereka dapat dipasang di area yang dilindungi, di ketinggian atau menggunakan lemari yang dilindungi perusak.

9. Pengaturan default tidak aman

Perangkat atau sistem dilengkapi dengan pengaturan default yang tidak aman atau tidak dapat membuat sistem lebih aman dengan membatasi pengguna dari mengubah konfigurasi.

Setiap produsen ingin mendapatkan lebih banyak dan membelanjakan lebih sedikit. Perangkat ini dapat diimplementasikan dengan banyak fungsi pintar, tetapi tidak mungkin untuk mengkonfigurasi keamanan.

Misalnya, tidak mendukung pengecekan kata sandi untuk keandalan, tidak mungkin membuat akun dengan berbagai hak - administrator dan pengguna, tidak ada pengaturan untuk enkripsi, masuk dan memberi tahu pengguna tentang peristiwa keamanan.

8. Ketidakmampuan untuk mengontrol perangkat

Kurangnya dukungan keamanan untuk perangkat yang digunakan dalam produksi, termasuk manajemen aset, manajemen pembaruan, dekomisioning aman, pemantauan sistem, dan respons.

Perangkat IoT paling sering berupa kotak hitam. Mereka belum menerapkan kemampuan untuk memantau status pekerjaan, untuk mengidentifikasi layanan mana yang berjalan dan dengan apa yang berinteraksi.

Tidak semua produsen memberikan pengguna perangkat IoT kontrol penuh atas sistem operasi dan menjalankan aplikasi, serta memeriksa integritas dan legitimasi perangkat lunak yang diunduh atau menginstal tambalan pembaruan pada OS.

Selama serangan, firmware perangkat dapat dikonfigurasi ulang sehingga hanya dapat diperbaiki dengan mem-flash perangkat sepenuhnya. Kerugian yang serupa digunakan, misalnya, oleh malware Silex .

Solusi untuk masalah ini dapat berupa penggunaan perangkat lunak khusus untuk mengelola perangkat Internet hal-hal, misalnya, solusi cloud AWS, Google, IBM, dll.

7. Transfer dan penyimpanan data tidak aman

Kurangnya enkripsi atau kontrol akses ke data sensitif di mana saja di ekosistem, termasuk selama penyimpanan, selama transmisi atau selama pemrosesan.

Perangkat Internet of Things mengumpulkan dan menyimpan data lingkungan, termasuk berbagai informasi pribadi. Kata sandi yang dikompromikan dapat diganti, tetapi data yang dicuri dari perangkat biometrik - sidik jari, retina, biometri wajah - no.

Pada saat yang sama, perangkat IoT tidak hanya dapat menyimpan data dalam bentuk yang tidak dienkripsi, tetapi juga mengirimkannya melalui jaringan. Jika transmisi data secara jelas di jaringan lokal dapat dijelaskan, maka dalam kasus jaringan nirkabel atau transmisi Internet, itu dapat menjadi milik siapa pun.

Pengguna sendiri dapat menggunakan saluran komunikasi aman untuk transfer data, tetapi produsen perangkat harus berhati-hati mengenkripsi kata sandi yang tersimpan, biometrik, dan data penting lainnya.

6. Perlindungan privasi yang tidak memadai

Informasi pribadi pengguna yang disimpan pada perangkat atau ekosistem yang digunakan secara tidak aman, tidak tepat atau tanpa izin.

Item TOP-10 ini menggemakan yang sebelumnya: semua data pribadi harus disimpan dan dikirim dengan cara yang aman. Tetapi paragraf ini mempertimbangkan privasi dalam arti yang lebih dalam, yaitu dari sudut pandang melindungi rahasia privasi.

Perangkat IoT mengumpulkan informasi tentang apa dan siapa yang mengelilinginya, termasuk ini juga berlaku untuk orang yang tidak menaruh curiga. Data pengguna yang dicuri atau diproses secara tidak benar dapat mendiskreditkan seseorang secara tidak sengaja (misalnya, ketika kamera lalu lintas yang dikonfigurasi secara tidak tepat mengekspos pasangan yang tidak setia), dan dapat digunakan dalam pemerasan.

Untuk mengatasi masalah tersebut, Anda perlu tahu persis data apa yang dikumpulkan oleh perangkat IoT, aplikasi seluler, dan antarmuka cloud.

Anda perlu memastikan bahwa hanya data yang diperlukan untuk berfungsinya perangkat yang dikumpulkan, untuk memeriksa apakah ada izin untuk menyimpan data pribadi dan apakah itu dilindungi, dan apakah kebijakan penyimpanan data ditentukan. Kalau tidak, jika kondisi ini tidak diamati, pengguna mungkin memiliki masalah dengan hukum.

5. Penggunaan komponen yang tidak aman atau usang

Menggunakan komponen atau pustaka perangkat lunak yang usang atau tidak aman yang dapat membahayakan perangkat Anda. Ini termasuk konfigurasi yang tidak aman dari platform sistem operasi dan penggunaan perangkat lunak pihak ketiga atau komponen perangkat keras dari rantai pasokan yang dikompromikan.

Satu komponen yang rentan dapat meniadakan semua keamanan yang dikonfigurasi.
Pada awal 2019, pakar Paul Marrapiz mengidentifikasi kerentanan dalam utilitas iLnkP2P P2P, yang diinstal pada lebih dari 2 juta perangkat yang terhubung ke jaringan: kamera IP, monitor bayi, bel pintu pintar, dan DVR.
Kerentanan pertama CVE-2019-11219 memungkinkan penyerang untuk mengidentifikasi perangkat, yang kedua adalah kerentanan otentikasi di iLnkP2P CVE-2019-11220 - untuk mencegat lalu lintas di tempat yang bersih, termasuk aliran video dan kata sandi.

Selama beberapa bulan, Paul berpaling tiga kali ke produsen dan dua kali ke pengembang utilitas, tetapi tidak pernah menerima tanggapan dari mereka.

Solusi untuk masalah ini adalah memantau pelepasan tambalan keamanan dan memperbarui perangkat, dan jika tidak keluar ... ganti pabrikannya.

4. Kurangnya mekanisme pembaruan yang aman

Ketidakmampuan untuk memperbarui perangkat dengan aman. Ini termasuk kurangnya validasi firmware pada perangkat, kurangnya pengiriman yang aman (tanpa enkripsi selama transmisi), kurangnya mekanisme untuk mencegah rollbacks dan tidak adanya pemberitahuan tentang perubahan keamanan karena pembaruan.

Ketidakmampuan untuk memperbarui perangkat itu sendiri adalah kelemahan keamanan. Kegagalan untuk menginstal pembaruan berarti bahwa perangkat tetap rentan untuk waktu yang tidak terbatas.

Tetapi di samping itu, pembaruan itu sendiri dan firmware mungkin juga tidak aman. Misalnya, jika saluran terenkripsi tidak digunakan untuk menerima perangkat lunak, file pembaruan tidak dienkripsi atau tidak diperiksa integritasnya sebelum instalasi, tidak ada perlindungan anti-rollback (perlindungan terhadap pengembalian ke versi sebelumnya yang lebih rentan), atau tidak ada pemberitahuan tentang perubahan keamanan karena pembaruan.

Solusi untuk masalah ini juga ada di pihak produsen. Tetapi Anda dapat memeriksa apakah perangkat Anda mampu memperbarui sama sekali. Pastikan file pembaruan diunduh dari server terverifikasi melalui saluran terenkripsi, dan perangkat Anda menggunakan arsitektur instalasi pembaruan aman.

3. Antarmuka ekosistem yang tidak aman

Antarmuka web yang tidak aman, API, cloud atau antarmuka seluler di ekosistem di luar perangkat, yang memungkinkan Anda untuk membahayakan perangkat atau komponen terkait. Masalah umum termasuk kurangnya otentikasi atau otorisasi, enkripsi kurang atau lemah, dan kurangnya penyaringan input dan output.

Menggunakan antarmuka web yang tidak aman, API, cloud dan antarmuka seluler memungkinkan Anda untuk kompromi perangkat atau komponen terkait bahkan tanpa menghubungkannya.

Misalnya, Barracuda Labs melakukan analisis aplikasi seluler dan antarmuka web dari salah satu kamera "pintar" dan menemukan kerentanan yang memungkinkan untuk mendapatkan kata sandi untuk perangkat Internet benda:

• Aplikasi seluler mengabaikan validitas sertifikat server.
• Aplikasi web rentan terhadap skrip lintas situs.
• Dimungkinkan untuk memotong file di server cloud.
• Pembaruan perangkat tidak dilindungi.
• Perangkat mengabaikan validitas sertifikat server.

Untuk perlindungan, perlu mengubah pengguna dan kata sandi default, pastikan bahwa antarmuka web tidak tunduk pada skrip lintas situs, injeksi SQL, atau serangan CSRF.
Juga, perlindungan terhadap serangan kata sandi oleh brute force harus diimplementasikan. Misalnya, setelah tiga upaya memasukkan kata sandi secara tidak benar, akun tersebut harus diblokir dan memungkinkan pemulihan kata sandi hanya melalui pengaturan ulang perangkat keras.

2. Layanan jaringan tidak aman

Layanan jaringan yang tidak perlu atau tidak aman berjalan pada perangkat itu sendiri, terutama terbuka untuk jaringan eksternal, membahayakan kerahasiaan, integritas, keaslian, aksesibilitas informasi atau memungkinkan kendali jarak jauh yang tidak sah.

Layanan jaringan yang tidak perlu atau tidak aman membahayakan keamanan perangkat, terutama jika mereka memiliki akses ke Internet.

Layanan jaringan tidak aman mungkin rentan terhadap buffer overflow dan serangan DDoS. Port jaringan terbuka dapat dipindai untuk mengetahui kerentanan dan layanan koneksi yang tidak aman.

Salah satu vektor serangan dan infeksi perangkat IoT yang paling populer sejauh ini adalah penghitungan kata sandi pada layanan Telnet yang tidak dinonaktifkan dan SSH . Setelah mendapatkan akses ke layanan ini, penyerang dapat mengunduh perangkat lunak berbahaya ke perangkat atau mendapatkan akses ke informasi berharga.


1. Kata sandi yang lemah, dapat ditebak atau hard-coded

Penggunaan kredensial yang mudah dipecahkan, tersedia untuk umum atau tidak dapat diubah, termasuk backdoors dalam perangkat lunak tertanam atau perangkat lunak klien yang menyediakan akses tidak sah ke sistem yang digunakan.

Anehnya, sampai saat itu, kerentanan terbesar adalah penggunaan kata sandi yang lemah, kata sandi standar atau kata sandi yang bocor ke jaringan.
Meskipun jelas perlu menggunakan kata sandi yang kuat, beberapa pengguna masih tidak mengubah kata sandi default. Pada Juni 2019, malware Silex memanfaatkan ini, yang dalam waktu satu jam berubah menjadi batu bata sekitar 2000 perangkat IoT.
Dan sebelum itu, botai dan cacing terkenal Mirai berhasil menginfeksi 600 ribu perangkat Internet, menggunakan basis data 61 kombinasi standar kata sandi.

Solusinya adalah mengubah kata sandi!

Kesimpulan

Ketika pengguna membeli perangkat IoT, mereka terutama berpikir tentang kemampuan "pintar" mereka, bukan tentang keamanan.

Memang, dengan cara yang sama, ketika membeli mobil atau microwave, kami berharap perangkat ini " aman dalam desain " untuk digunakan.

Selama keamanan IoT tidak diatur oleh hukum (sejauh ini, undang-undang tersebut hanya dalam proses awal ), produsen tidak akan menghabiskan uang tambahan untuk itu.
Ternyata satu-satunya cara untuk memotivasi produsen adalah tidak membeli perangkat yang rentan.

Dan untuk ini kita perlu ... memikirkan keselamatan mereka.