شکست شرکت‌ها، در امنیت اینترنت اشیا

به گزارش کارگروه بین‌الملل سایبربان؛ پژوهشگران در اجلاس امنیتی RSA، در سال 2019، اعلام کردند که اینترنت اشیا، در خانه، محبوبیت روزافزونی دارد و به همین دلیل، حملات روی این دستگاه‌ها، نمایانگر اطلاعات ارزشمند آن هستند.

قیمت‌های پایین و رقابت شرکت‌های تولیدکننده محصولات اینترنت اشیا در بازار، 2 علت عمده‌ای هستند که این فناوری، امنیت سزاوارش را دریافت نمی‌کند. به گفته اِرِز یالون (Erez Yalon)، محقق شرکت چک‌مارکس (Checkmarx) برخلاف سال‌ها هشدار امنیتی اینترنت اشیا ازسوی جامعه امنیت اطلاعاتی، هیچ پیشرفتی در این زمینه، حاصل نشده است.

یالون اشاره کرد که حمله به ابزارهای هوشمند با تهاجماتی مانند مردمیانی، همچنان بسیار ساده است. در فوریه 2019، شرکت یادشده، مجموعه نواقصی را در ابزارهای هوشمند مصرف کنندگان پیدا کرد که به هکرها، اجازه راه‌اندازی حملات متعددی مانند حمله مرد میانی، یا انکار سرویس (DOS) را می‌دهند.

لیندزی اُدانل (Lindsey O’Donnell)، یکی از اعضای وبگاه تخصصی «Threatpost» گفتگویی با یالون، در مورد طرز فکر او از ادامه ظهور نواقص امنیتی اینترنت اشیا و تحت فشار بودن تولیدکنندگان برای تأمین ایمنی بهتر دستگاه‌های متصل خود، انجام داد که به شرح زیر است:

اُدانِل: سلام به همه. من این‌جا با اِرِز یالون، رئیس گروه تحقیقاتی تهدید امنیت شرکت چک‌مارکس هستم. اِرِز، برای حضورت متشکرم؛ نشست RSA چگونه پیش می‌رود؟

یالون: خیلی خوب و هیجان‌انگیز است.

اُدانِل: بله، همیشه سرگرم‌کننده است. برای افرادی که شما را نمی‌شناسند، لطفاً توضیحاتی درباره خودت و کارت بگویید.

یالون: البته. همانطور که گفتید، اسم من اِرِز یالون است. من رئیس گروه تحقیقاتی شرکت امنیت نرم‌افزاری چک‌مارکس هستم. من افتخار همکاری با پژوهشگران برتر را به‌صورت روزانه در چند تیم، در سراسر جهان دارم. ما تحقیقاتمان را درباره فرآورده‌های تولیدی خود، راه‌حل‌هایی برای بهتر کردن آن‌ها و اتفاقات آینده امنیتی در این حوزه، انجام می‌دهیم.

اُدانِل: بسیار خوب. در حوزه امنیتی، شما درباره امنیت اینترنت اشیا، مطالبی نوشته‌اید و تحقیقاتی انجام داده‌اید. به‌طور کلی، یک گزارش امنیتی –که چند ماه پیش درباره آن بحث کردید– مقیاس هوشمندانه‌ای از آسیب‌پذیری‌های موجود بود. من فکر می‌کنم که آن گزارش، به‌وسیله شرکت برق عمومی آلمان (AEG) تولید شد.
یالون: بله.

اُدانِل: برای شروع، لطفاً کمی به ما در مورد تحقیقات و ارتباط آن‌ها با روند امنیتی اینترنت اشیا بگویید.
 یالون: بله؛ مطمئناً. اینترنت اشیا، اساساً نرم‌افزاری است که چیز دیگری را اجرا می‌کند. دلیل تمرکز فعلی ما روی اینترنت اشیا، به‌طور کلی این است که هر زمان، ما یک دستگاه اینترنت اشیا را لمس می‌کنیم، کار آن تمام می‌شود.

اُدانِل: درست است.

یالون: ما منتظر پایان این روند هستیم؛ اما هنوز به هدفمان نرسیده‌ایم. این موضوع خاص -که شما به آن اشاره کردید- یک مقیاس هوشمند ارائه شده از سوی شرکت برق عمومی آلمان است که قرار بود استفاده از آن، برای هر شخصی که سعی دارد از سلامت خود محافظت کند، در دسترس و آسان باشد.

در واقع، این کار انجام می‌شود؛ اما هم‌زمان ما شاهد آسیب‌پذیری‌هایی در فناوری جاسازی شده در آن بودیم. شیوه به کارگیری بلوتوث و برنامه‌های کاربردی آن، به گونه‌ای بود که به نظر می‌رسید، توسط یک شرکت شخص ثالث نوشته شده است؛ نه برق عمومی آلمان. وقتی در مورد داده‌ها صحبت می‌کنیم، اطلاعات زیادی را می‌بینیم که در مقیاس هوشمند برای ما کمی عجیب هستند؛ به عنوان مثال: مکان دقیق کاربر، هویت واقعی دستگاه، شبکه و غیره.

اُدانِل:  این بسیار بدتر است.

یالون: بله؛ البته. وقتی ما ریشه واقعی فناوری را بررسی کردیم، متوجه شدیم که این کار، به‌طور ایمن، صورت نگرفته است و ما می‌توانیم دستگاه را خراب کنیم که به آن، حمله انکار سرویس (DoS) می‌گوییم. خُب، خیلی خطرناک نیست، اما بسیار مزاحم است. به ویژه وقتی که شما باتری را در می‌آورید، یا آن را خاموش می‌کنید، همه اطلاعات نصب شده روی آن، پاک خواهند شد و دیگر هوشمند، محسوب نمی‌شود.

اُدانِل: درست است.

یالون: این فقط یک مقیاس منظم است. هنگامی که ما درخواست‌های خود را بررسی کردیم و فهمیدیم اطلاعات شخصی زیادی داریم، به این نتیجه رسیدیم که باید کمی بیشتر در آن کنکاش کنیم. متوجه شدیم که بسیاری از اطلاعات منتقل شده به سرورها، رمزگذاری نشده‌اند و قابلیت شناسایی ازسوی هر فردی دارند. ما آن را اثر مرد میانی می‌نامیم.

اُدانِل: آیا این امر در مورد دستگاه‌های اینترنت اشیا و به‌خصوص در خانه‌های هوشمند معمول است؟ من فکر می‌کنم که در صورت نقض یا مشکل امنیتی آنها پیامدهای حریم خصوصی بزرگی دارند.

یالون: کاملاً. به نظرم، ما شاهد اثرات کمتر مرد میانی در برنامه‌های وب هستم. این حملات، به آرامی به تلفن همراه، راه یافتند و اکنون به اینترنت اشیا، وارد شده‌اند. برخی فناوری‌ها، مانند برنامه‌های وب و تلفن همراه، شروع به کسب استانداردها، یا راه‌هایی برای کاهش این مسائل کرده‌اند؛ اما در اینترنت اشیا، ما هنوز این موضوع را ندیده‌ایم.

در اینترنت اشیا، هر فردی تلاش می‌کند تا دستگاه خود را درست کند. به همین دلیل، ما بارها و بارها، شاهد اشتباهات قدیمی مشابه بودیم. مرد میانی، تنها یکی از این چالش‌ها است. وقتی دستگاهی دارید که مدام عملکرد و مکان شما را تحت نظر دارد، شاید مشکل‌ساز باشد.

اُدانِل: درست است؛ فرآیند شناسایی، افشا و رفع آسیب پذیری‌ها، برای تولیدکنندگان اینترنت اشیا، چگونه خواهد بود؟

یالون: من نمی‌توانم چیزی در این‌باره بگویم. اتفاقات فراوانی، میان متهم شدن به عملکرد نادرست و سپس بررسی و فهمیدن این که ما درست عمل کرده‌ایم، وجود دارند. ما مردمی داریم که فقط تلفن خود را برنمی‌دارند، یا ایمیلشان را پاسخ نمی‌دهند. همچنین تیم‌های واقعاً خوبی داریم که به‌سرعت واکنش نشان می‌دهند و همه چیز را درست می‌کنند. من نمی‌توانم واقعاً درباره راه‌های معمول به شما بگویم.

در این مورد خاص، AEG به ما یک پاسخ عمومی داد که آن‌ها واقعاً مراقب چیزی هستند که باید باشند. ما با سازنده نرم‌افزار، ارتباط برقرار کردیم و فهمیدیم که شرکتی شخصی ثالث در چین است. بدین معنی که آن‌ها تمام جزئیات و اطلاعات شخصی را در سروری در چین، نگهداری می‌کنند. ما با آن‌ها تماس گرفتیم و آن‌ها گفتند که هیچ مشکلی وجود ندارد و همه چیز درست است.

ما پس از چند هفته، متوجه شدیم که آن‌ها با تغییر ترافیک، آن را رمزگذاری کرده‌اند. ما فهمیدیم که آن‌ها، هنوز هم اطلاعات را می‌فرستند؛ اما همه رمزگذاری شده‌اند.

اُدانِل: جالب است.

یالون: آن‌ها راه جالبی برای گریز داشتند.

اُدانِل: من فکر می‌کنم که این نقطه نظر جالبی است؛ زیرا فروشندگان سخت‌افزار و نرم‌افزار بسیاری وجود دارند که به محصولات و راه‌حل‌های اینترنت اشیا روی می‌آورند. آیا شما نیز به دنبال فروشندگان چندگانه هستید؟ در مورد آسیب‌پذیری‌های امنیتی، چه مسئله‌ای مطرح می‌شود؟

یالون: بله. ما به دنبال فروشندگان چندگانه هستیم؛ به این دلیل که می‌خواهیم مشکلات حل شوند. ما نمی‌خواهیم فقط به آن‌ها بگوییم: «گوش گنید. ما یک مشکل داریم.» و سپس به کار خود ادامه دهیم. ما می‌خواهیم انسان‌های خوبی باشیم. درصورت توانایی می‌خواهیم مسئولیت‌پذیر باشیم. وقتی می‌بینیم که فروشنده اصلی، به اندازه کافی پاسخگو نیست، سعی می‌کنیم با شخص ثالث، تماس بگیریم. معمولاً این اشخاص ثالث، خدمات خود را به دیگران ارائه می‌دهند. به عنوان مثال، ما فهمیدیم؛ فروشنده‌ای که با AEG کار می‌کرد، با «Texas Instruments» و دیگران نیز کار می‌کند. بنابراین اگر ما بتوانیم به اهداف ژرف، دسترسی پیدا کنیم، می‌توانیم کار بهتری انجام دهیم.

اُدانِل: من یک سازنده اینترنت اشیا هستم. اولین اقدام شما، برای من، در حفظ دستگاهم، در ساده‌ترین سطح چیست؟

یالون: خب، دانش کافی وجود دارد. این چیزی نیست که هنوز حل، یا در موردش خوب فکر نشده باشد. اگر توسعه دهنده شما، تصمیم به عدم اجرای ترافیک رمزگذاری شده گرفت، این مربوط به فناوری نیست؛ بلکه عدم داشتن دانش، یا زمان کافی برای فکر کردن در مورد مشکلات، در معماری است. راه‌حل‌ها وجود دارند. به هر حال، نرم‌افزارها و دیگر قطعات، استانداردهای امنیتی دارند.

من فکر می‌کنم که دلیل آسیب‌پذیری اینترنت اشیا، امروزه احتمالاً سرعتی است که فروشندگان احساس می‌کنند برای تعمیر اشیا، به آن نیاز دارند. همچنین قیمت‌ها، باید بسیار رقابتی باشند. برای تأمین امنیت، همیشه بر سر بودجه می‌زنند.

اُدانِل: درست است. من فکر می‌کنم که ما شاهد دستگاه‌های بسیار ارزان اینترنت اشیا هستیم که قابلیت‌های بسیار خوبی ارائه می‌کنند؛ اما از سطح امنیتی مناسبی برخوردار نیستند. به نظر شما، آینده امنیت اینترنت اشیا، چه خواهد بود؟ آیا راه‌حل‌هایی را در افق، مشاهده می‌کنید، یا فقط مشکلات بیشتری دارید؟

یالون: قطعاً من مشکلات فراوانی را مشاهده می‌کنم. اینترنت اشیا، درحال حاضر، همه جا وجود دارد. من فکر نمی‌کنم که هیچکدام از ما، تصور زندگی بدون اینترنت اشیا را داشته باشیم. اینترنت اشیا، در ساعت‌های مچی و دیواری و تمام سرویس‌های خانگی، وجود دارد. مشکل این‌جا است که سطح آسیب‌پذیری در برابر مهاجمان، بسیار وسیع است. اگر فروشندگان، از ایمنی نرم‌افزار و اینترنت اشیا، اطمینان نداشته باشند، اوضاع بهتر نخواهد شد.

حتی اگر فروشندگان، مسئولیت کامل ایمنی محصولات را برعهده بگیرند، باز هم ما به عنوان کاربر باید بدانیم که خطر، همه جا وجود دارد. ما باید مطمئن شویم که می‌خواهیم این دستگاه‌ها، تمام خصوصیات شخصی را در مورد خودمان داشته باشند.

درحال حاضر، هرچند فروشندگان، کارهای غیرقانونی انجام نمی‌دهند، اما اطلاعاتی را که قرار نیست بدانیم از ما نمی‌گیرند. قطعاً در هر محصول، توافق‌نامه مجوز نهایی کاربر، وجود دارد؛ اما من فکر می‌کنم که کاربران باید دستگاه‌های اینترنت اشیایی را انتخاب کنند که توافق‌نامه مجوز برای توییت داشته باشند.

اُدانِل: درست است. من کنجکاوم که بدانم همان‌طور که شما گفتید؛ آیا قانون، یا فشاری ازسوی مشتری، روی فروشندگان اینترنت اشیا، در آینده، وجود خواهد داشت؟

یالون: بله.

اُدانِل: اِرِز، از حضورتان در این‌جا در کنفرانس RSA بسیار متشکرم.

یالون: باعث افتخار من بود.