Güvensiz Nesnelerin İnterneti (IoT) Yaratıyor Muyuz? Güvenlik Zorlukları ve Endişeler

Nesnelerin İnterneti (IoT) yıllardır endüstrinin moda sözcüğüydü, ancak yavaş gelişme ve sınırlı ticarileşme, bazı endüstri gözlemcilerinin buna “Hiçbir Şeylerin İnterneti” adını vermeye başlamasına neden oldu.

Çifte kelime oyunu bir yana, IoT geliştirmenin başı belada. Çoğu sosyal olay için uygun olmayan geek şakalar üretmenin yanı sıra, yutturmaca yardımcı olmadı; ve aslında, yarardan çok zarar verdiğine inanıyorum. IoT ile ilgili birkaç sorun var, ancak tüm olumlu kapsam ve temelsiz yutturmaca, onsuz yapabileceğimiz bir sorun. Daha fazla dikkat çekmenin iyi tarafı açıktır: daha fazla yatırım, daha fazla VC finansmanı, daha fazla tüketici ilgisi.

Bununla birlikte, bunlar, bir dizi eksikliği acı bir şekilde belirgin hale getiren ek bir inceleme düzeyi ile birlikte gelir. Birkaç yıllık yükseliş tahminleri ve büyük vaatlerden sonra, IoT güvenliği en büyük endişe gibi görünüyor. 2015'in ilk birkaç haftası, gelişmekte olan bu sektöre pek iyi davranmadı ve olumsuz basının çoğu güvenlikle ilgiliydi.

haklı mıydı? Yıllarca süren yutturmacanın getirdiği sadece “korku, belirsizlik ve şüphe” (FUD) muydu? Her ikisinden de birazdı; Bazı sorunlar abartılmış olsa da, sorunlar gerçekten de çok gerçektir.

IoT için “IoT Yılı”ndan Annus Horribilis'e

Birçok yorumcu 2015'i "IoT yılı" olarak tanımladı, ancak şimdiye kadar basının kötü olduğu bir yıl oldu. Kabul, daha on ay var, ancak olumsuz raporlar birikmeye devam ediyor. Güvenlik firması Kaspersky kısa süre önce, “ Berbat Şeylerin İnterneti ” başlıklı, hiç de hoş olmayan bir başlıkla, IoT güvenlik zorluklarının lanetli bir eleştirisini yayınladı.

Kaspersky, IoT eleştirisine ve tartışmasına yabancı değil; firma bir süredir alarm zilleri çalıyor ve onları hacklenmiş akıllı ev, araba yıkama ve hatta polis gözetim sistemleri örnekleriyle destekliyor. Bir bilgisayar korsanı ister aracını ücretsiz olarak yıkamak isterse fitness takipçisini kullanarak birini takip etmek istesin, IoT güvenlik kusurları bunu mümkün kılabilir.

Wind River, Ocak 2015'te IoT güvenliği hakkında bir teknik inceleme yayınladı ve rapor, iç karartıcı bir girişle başlıyor. Başlığı Gümüş Mermiyi Aramak , sorunu sadece üç paragrafta özetliyor, birkaç noktaya yoğunlaştıracağım:

• Güvenlik, IoT için temel etkinleştirici olmalıdır.
• Şu anda cihazda IoT'de güvenliğin nasıl uygulanacağı konusunda bir fikir birliği yok.
• Yaygın ve gerçekçi olmayan bir beklenti, 25 yıllık güvenlik evrimini yeni IoT cihazlarına sıkıştırmanın bir şekilde mümkün olmasıdır.
• Tehditleri etkili bir şekilde azaltabilecek gümüş bir kurşun yoktur.

Ancak, bazı iyi haberler var; bilgi ve deneyim zaten burada, ancak IoT cihazlarının benzersiz kısıtlamalarına uyacak şekilde uyarlanmaları gerekiyor.

Ne yazık ki, sistem güvenliği geliştiricileri olarak burada başka bir sorunla, bir donanım sorunuyla karşılaşıyoruz.

ABD Federal Ticaret Komisyonu başkanı Edith Ramirez, bu yılın başlarında Las Vegas'taki Tüketici Elektroniği Fuarı'na hitaben yaptığı konuşmada, sensörleri günlük cihazlara yerleştirmenin ve onların yaptıklarımızı kaydetmelerine izin vermenin büyük bir güvenlik riski oluşturabileceği konusunda uyarıda bulundu.

Ramirez, IoT'nin geleceği için üç temel zorluğu özetledi:

• Her yerde veri toplama.
• Tüketici verilerinin beklenmedik kullanım potansiyeli.
• Artan güvenlik riskleri.

Şirketleri, güvenlik odaklı bir yaklaşım benimseyerek, IoT cihazları tarafından toplanan veri miktarını azaltarak ve şeffaflığı artırarak ve tüketicilere veri toplamayı devre dışı bırakma seçeneği sunarak gizliliği artırmaya ve güvenli IoT cihazları oluşturmaya çağırdı.

Ramirez, IoT cihazları geliştiricilerinin cihazlarını ve hizmetlerini siber saldırılardan nasıl koruyacaklarını düşünmek için zaman harcamadıklarını söylemeye devam etti.

Ramirez, "Birçok bağlı cihazın küçük boyutu ve sınırlı işlem gücü, şifrelemeyi ve diğer sağlam güvenlik önlemlerini engelleyebilir" dedi. "Ayrıca, bazı bağlı cihazlar düşük maliyetlidir ve esasen tek kullanımlıktır. Bu tür bir cihazda bir güvenlik açığı bulunursa, yazılımı güncellemek veya bir yama uygulamak, hatta tüketicilere bir düzeltme haberi almak bile zor olabilir.”

Ramirez birçok açıdan yerinde olsa da, İnternet'in yirmi yıl önce benzer bir aşamadan geçtiğini belirtmeliyim. Pek çok güvenlik endişesi vardı ve doksanlar internet kaynaklı kötü amaçlı yazılımların, DDoS saldırılarının, karmaşık kimlik avının ve daha fazlasının ortaya çıkmasına tanık oldu. Hollywood bazı filmlerde distopik bir geleceği tasvir etse de, sosyal ağlarda kedi yavruları ve şurada burada yüksek profilli bir güvenlik ihlaliyle karşılaştık.

İnternet hala güvenli değil, dolayısıyla IoT'nin de güvenli olmasını bekleyemeyiz. Ancak güvenlik, yeni zorluklarla başa çıkmak için sürekli gelişiyor, bunu daha önce gördük ve IoT ve sonraki bağlantılı teknolojilerle tekrar göreceğiz.

IoT Donanımı Bir Sorundur ve Olacaktır

Bazılarınız FTC patronunun bahsettiği donanım sorunlarının ele alınacağını düşünecek; evet, bazıları muhtemelen yapacak.

IoT pazarı büyüdükçe daha fazla yatırım göreceğiz ve donanım olgunlaştıkça daha iyi güvenlik elde edeceğiz. Intel ve ARM gibi yonga üreticileri, her yeni nesilde daha iyi güvenlik sunmaya hevesli olacaklar çünkü güvenlik bir pazar farklılaştırıcısı olabilir ve daha fazla tasarım kazancı elde etmelerine ve daha büyük bir pay elde etmelerine olanak tanır.

Teknoloji her zaman ilerler, öyleyse neden olmasın? Yeni üretim süreçleri genellikle daha hızlı ve daha verimli işlemcilerle sonuçlanır ve er ya da geç boşluk kapanacak ve böylece geliştiricilere daha iyi güvenlik özellikleri uygulamak için yeterli işlem gücü sağlayacaktır. Ancak bunun gerçekçi bir senaryo olduğundan pek emin değilim.

Her şeyden önce, IoT çipleri, küçük oldukları ve genellikle eski mimarilere dayandıkları için büyük para kazandırıcı olmayacaktır. Örneğin, birinci nesil Intel Edison platformu, temelde aynı CPU komut setini ve eski Pentium P54C tasarımının çoğunu kullanan Quark işlemcilere dayanmaktadır. Ancak yeni nesil Edison mikrobilgisayar, bugün birçok Windows ve Android tablette bulunan Atom Silvermont çekirdeklerine dayalı çok daha hızlı bir işlemciye dayanıyor. (Intel, 2014'te ~46 milyon Bay Trail SoC gönderdi.)

Görünüşte, IoT cihazlarında nispeten modern 64-bit x86 CPU çekirdekleri elde edebiliriz, ancak bunlar ucuza gelmeyecek, yine de en küçük ARM çekirdeklerinden önemli ölçüde daha karmaşık olacaklar ve bu nedenle daha fazla pile ihtiyaç duyacaklar. güç.

FTC'nin en büyük endişesi gibi görünen ucuz ve tek kullanımlık giyilebilir cihazlar, en azından yakın zamanda bu tür çipler tarafından desteklenmeyecek. Tüketiciler, akıllı buzdolapları veya dokunmatik ekranlı çamaşır makineleri gibi bazı akıllı ürünlerde Intel Atoms veya ARMv8 yongaları gibi daha güçlü işlemcilere sahip olabilir, ancak ekranı olmayan ve sınırlı pil kapasitesine sahip tek kullanımlık cihazlar için pratik değildir.

Çeşitli IoT cihazları için eksiksiz platformlar veya referans tasarımlar satmak, yonga üreticilerinin daha fazla gelir elde etmesine yardımcı olurken aynı zamanda daha fazla standardizasyon ve güvenlik sağlayabilir. Endüstrinin ihtiyaç duyduğu son şey, daha fazla standartlaştırılmamış cihazlar ve daha fazla parçalanmadır. Geliştiriciler daha az platforma sahip olacağından ve güvenlik için daha fazla kaynak ayrılacağından, bu mantıklı ve sağlam bir yaklaşım gibi görünebilir, ancak güvenlik ihlalleri daha fazla sayıda cihazı da etkiler.

Para Akıyor, Analistler Boğa Kalıyor, Neler Yanlış Gidebilir?

Teknoloji endüstrisindeki herhangi bir sorunla başa çıkmanın en yaygın yollarından biri, basitçe ona para atmaktır. Öyleyse, teknolojiden ziyade finansman açısından şu anda nerede durduğumuzu görelim.

Araştırma firmaları IDC ve Gartner'a göre, IoT, on yılın sonunda veri merkezi endüstrisini dönüştürecek kadar büyüyecek. Gartner, IoT pazarının 2020 yılına kadar 26 milyar kurulu birime sahip olmasını ve veri merkezlerinden donanım üreticilerine, geliştiricilere ve tasarımcılara kadar tüm taraflar için büyük fırsatlar yaratmasını bekliyor. IDC ayrıca, IoT endüstrisinin on yılın sonunda “milyarlarca cihaz ve trilyonlarca dolar” ile sonuçlanmasını bekliyor.

Gartner'ın Mayıs 2014'te yayınlanan en son IoT pazar tahmini, bazılarını daha önce ele aldığım potansiyel zorlukların bir listesini de içeriyor:

• Güvenlik: Artan otomasyon ve dijitalleşme, yeni güvenlik endişeleri yaratır.
• Kurumsal: Güvenlik sorunları güvenlik riskleri oluşturabilir.
• Tüketici Gizliliği: Gizlilik ihlali potansiyeli.
• Veri: Hem büyük veri hem de kişisel veri için çok sayıda veri üretilecektir.
• Depolama Yönetimi: Endüstrinin verilerle ne yapacağını uygun maliyetli bir şekilde bulması gerekiyor.
• Sunucu Teknolojileri: Sunuculara daha fazla yatırım yapılması gerekecek.
• Veri Merkezi Ağı: WAN bağlantıları, insan arabirimi uygulamaları için optimize edilmiştir, IoT'nin verileri otomatik olarak ileterek kalıpları önemli ölçüde değiştirmesi beklenir.

Tüm bu noktalar (ve daha fazlası), er ya da geç, genellikle önemli bir maliyetle ele alınmalıdır. Artık küçük IoT çiplerinden ve bu çiplere dayalı ucuz oyuncaklardan bahsetmiyoruz, bu altyapı. Bu, sunucu CPU'larında, pahalı DDR4 ECC RAM'de ve hatta daha büyük SSD'lerde çok fazla silikondur ve tümü pahalı sunucularda, daha da büyük veri merkezlerinde barındırılır.

Bu, buzdağının sadece görünen kısmı; endüstri, bant genişliği endişeleri, veri yönetimi ve gizlilik politikaları ve güvenlikle mücadele etmelidir. Peki, Gartner'ın IoT zorlukları listesinin başında yer alan güvenlik için ne kadar para kalıyor?

Halihazırda sektöre çok fazla para akıyor, VC'ler devreye giriyor ve yatırım hızı artıyor gibi görünüyor. Ayrıca, genellikle Google, Qualcomm, Samsung, Gemalto, Intel ve diğerleri gibi büyük oyuncuları içeren bir dizi satın alma vardı. Postscapes'te IoT ile ilgili yatırımların bir listesi var. Bu yatırımların, özellikle de VC'lerden gelenlerin çoğuyla ilgili sorun, "parlak" şeylere, potansiyel olarak muhteşem bir yatırım getirisi ile yakında pazarlanabilecek cihazlara odaklanma eğiliminde olmalarıdır. Bu yatırımlar, temelde IoT talebini takip etmesi gereken güvenlik veya altyapı için fazla bir şey yapmıyor.

Büyük oyuncular, VC destekli yeni şirketler ve oyuncak yapımcıları değil, ağır işleri yapmak zorunda kalacak. Çevik ve yenilikçi girişimler, benimsemeyi artırarak ve talep yaratarak kesinlikle büyük bir rol oynayacaktır, ancak her şeyi yapamazlar.

Şöyle düşünelim, küçük bir şirket bile bir araba veya on binlerce araba yapabilir ama otoyollar, yollar, benzin istasyonları ve rafineriler inşa edemez. Aynı küçük şirket, temel yol güvenliği standartlarını karşılamak için kullanıma hazır teknolojiyi kullanarak güvenli bir araç yapabilir, ancak aynı güvenlik standartlarını karşılayacak Segway benzeri bir araç yapamazdı, ne de başkası. Otomotiv güvenlik standartları bu tür araçlara asla uygulanamaz, insanları Segway'lerde işe giderken görmüyoruz, bu nedenle geleneksel teknoloji güvenlik standardının yetersiz güçlü IoT cihazlarına da uygulanmasını bekleyemeyiz.

Segway'lerini yoğun trafikte sürerken e-postalarını kontrol eden veya Candy Crush oynayanların olması çok güvenli gelmiyor, değil mi? Öyleyse neden IoT cihazlarının, çok daha güçlü donanım ve olgun işletim sistemleri ile diğer bağlı cihazlar kadar güvenli olmasını bekleyelim? Garip bir benzetme olabilir, ancak sonuç olarak, IoT cihazlarının tam teşekküllü bilgisayarlarla aynı güvenlik standartlarına uyması beklenemez.

Ama Bekleyin, O Kadar Çok IoT Güvenlik Bozgunu Yoktu…

Doğru, muhteşem IoT güvenlik ihlalleriyle ilgili çok fazla manşet görmüyoruz, ancak şunu söylememe izin verin: Android Wear hakkında güvenlikle ilgili kaç tane haber gördünüz? 1? 2? Hiçbiri? Vahşi doğada bir milyondan az Android Wear cihazı olduğu tahmin ediliyor, bu nedenle bilgisayar korsanları için ana hedef veya güvenlik araştırmacıları için bir konu değiller.

Şu anda sahip olduğunuz ve kullandığınız kaç IoT cihazına sahipsiniz? İşletmeniz kaç tane kullanıyor? “Hiçbir Şeylerin İnterneti” şakası buradan gelir, çoğu insanda yoktur. Rakamlar artmaya devam ediyor, ancak ortalama tüketici çok fazla satın almıyor, peki bu büyüme nereden geliyor? IoT cihazları piyasada ve rakamlar, tüketici pazarından ziyade işletmeler tarafından yönlendirilen bir patlama yaşıyor.

Verizon ve ABI Research, geçen yıl internete bağlı 1,2 milyar farklı cihaz olduğunu tahmin ediyor, ancak 2020 yılına kadar 5,4 milyar B2B IoT bağlantısı bekliyorlar.

Akıllı bileklikler, ekmek kızartma makineleri ve köpek tasmaları güvenlik açısından büyük bir endişe kaynağı değil, ancak Verizon'un en son IoT raporu biraz daha ilginç bir şeye odaklanıyor: kurumsal.

Verizon'un imalat sektöründeki makineden makineye (M2M) bağlantılarının sayısı 2013'ten 2014'e yüzde 204 arttı ve bunu finans ve sigorta, medya ve eğlence, sağlık, perakende ve ulaşım izledi. Verizon raporu, çeşitli sektörlerdeki IoT eğilimlerinin bir dökümünü içerir, bu nedenle işlerin ticari yönü hakkında fikir verir.

Raporun genel tonu iyimser, ancak aynı zamanda bir dizi güvenlik endişesini de listeliyor. Verizon, enerji endüstrisindeki güvenlik ihlallerini "düşünülemez" olarak nitelendiriyor, IoT güvenliğini üretimde "önemli" olarak tanımlıyor ve sağlık ve ulaşımda potansiyel riskleri gündeme bile getirmeyelim.

Güvenli Nesnelerin İnternetine Nasıl ve Ne Zaman Sahip Olacağız?

IoT güvenlik sorunlarının nasıl veya ne zaman çözülebileceği konusunda kesin bir yanıt sunmaya çalışmayacağım. Endüstri hala cevap arıyor ve gidilecek uzun bir yol var. Son araştırmalar, şu anda mevcut olan IoT cihazlarının çoğunun güvenlik açıklarına sahip olduğunu gösteriyor. HP, IoT cihazlarının yüzde 70'inin saldırılara açık olduğunu tespit etti.

Büyüme birçok fırsat sunarken, IoT hala olgun veya güvenli değil. Yükle başa çıkmak için daha fazla altyapının yanı sıra milyonlarca yeni cihaz, donanım uç noktası, milyarlarca kod satırı eklemek, son yirmi yılda deneyimlediğimiz hiçbir şeyin benzeri olmayan çok sayıda zorluk yaratır.

Bu yüzden iyimser değilim.

Endüstrinin, önümüzdeki birkaç yıl içinde, en azından yeterince hızlı olmamak üzere, IoT'ye çok fazla güvenlik dersi uygulayabileceğine inanmıyorum. Bana göre, İnternet analojisi bir yanılgıdır, çünkü doksanların interneti bu kadar farklı donanım türleriyle uğraşmak zorunda değildi. Güvenlik için şifreleme kullanmak ve saat döngülerini boşa harcamak, büyük x86 CPU'larda veya ARM SoC'lerde bir sorun değildir, ancak işlem gücünün bir kısmına ve çok farklı bir güç tüketimi zarfına sahip küçük IoT cihazlarıyla aynı şekilde çalışmayacaktır.

Daha büyük kalıba sahip daha ayrıntılı işlemciler, daha büyük ambalajlara ihtiyaç duyar ve daha fazla ısı dağıtmak zorundadır. Ayrıca daha fazla güce ihtiyaç duyarlar, bu da daha büyük, daha ağır ve daha pahalı piller anlamına gelir. Ağırlığı azaltmak ve hacmi azaltmak için üreticilerin egzotik malzemeler ve üretim teknikleri kullanmaya başvurması gerekecekti. Yukarıdakilerin tümü, daha fazla Ar-Ge harcaması, daha uzun pazara sunma süresi ve daha büyük bir malzeme listesi gerektirecektir. Önemli ölçüde daha yüksek fiyatlar ve birinci sınıf bir yapı ile bu tür cihazların tek kullanımlık olduğu düşünülemezdi.

Peki IoT'yi güvenli hale getirmek için ne yapılmalı? Çok fazla. Ve teknoloji devlerinden bireysel geliştiricilere kadar herkesin oynayacak bir rolü var.

Şimdi IoT güvenliğini iyileştirmek için neler yapılabilir, neler yapılıyor gibi birkaç temel noktaya göz atalım:

• İlk günden itibaren güvenliği vurgulayın
• Yaşam döngüsü, geleceğe hazırlık, güncellemeler
• Erişim kontrolü ve cihaz kimlik doğrulaması
• Düşmanını tanımak
• Güvenlik ihlallerine hazırlanın

Özellikle olgunlaşmamış teknolojiler ve az gelişmiş pazarlarla uğraşırken, ilk günden itibaren güvenliğe net bir şekilde vurgu yapmak her zaman iyi bir şeydir. Kendi IoT altyapınızı geliştirmeyi veya mevcut bir çözümü devreye almayı planlıyorsanız, araştırmanızı yapın ve mümkün olduğunca bilgi sahibi olun. Bu, kullanıcı deneyiminden ödün verme pahasına güvenliği artırma seçeneği sunulabileceğinden, değiş tokuşlar içerebilir, ancak doğru dengeyi kurduğunuz sürece buna değer. Bu anında yapılamaz, önceden planlamanız ve iyi planlamanız gerekir.

Pazara yeni ürün ve hizmetler sunma telaşında olan birçok şirketin uzun vadeli desteği gözden kaçırması muhtemeldir. Büyük liglerde bile her zaman olur, bu yüzden her zaman milyonlarca yama uygulanmamış ve güvenli olmayan bilgisayar ve mobil cihazla karşılaşırız. Çoğu şirketin uğraşamayacağı kadar eskiler ve tek kullanımlık IoT cihazlarıyla daha da kötü olması kaçınılmaz. Büyük telefon satıcıları yazılımlarını 2-3 yaşındaki telefonlarda güncellemezler, bu nedenle ağınızda yıllarca bulunabilecek 20 dolarlık IoT cihazlarında neler olacağını hayal edin. Planlı eskitme bunun bir parçası olabilir, ancak gerçek şu ki, eski cihazları güncellemek, kaynaklarıyla yapacak daha iyi işleri olduğu için üretici için pek finansal bir anlam ifade etmiyor. Güvenli IoT cihazlarının ya tasarım gereği güvenli ve en başından itibaren geçirimsiz olması ya da yaşam döngüleri boyunca hayati güncellemeler alması gerekir ve eminim ki hiçbir seçeneğin gerçekçi olmadığı konusunda hemfikirsinizdir, en azından henüz değil.

Güvenli erişim kontrolü ve cihaz kimlik doğrulaması uygulamak, gündeme getirilmesi gereken bariz bir şey gibi görünüyor, ancak burada ortalama bağlı cihazınızla ilgilenmiyoruz. Kullanıcı deneyiminden ödün vermeden veya gereksiz donanım eklemeden ucuz ve kompakt IoT cihazlarında uygulanabilecek erişim kontrolleri ve kimlik doğrulama yöntemleri oluşturmak göründüğünden daha zordur. Daha önce de belirttiğim gibi, gelişmiş şifreleme tekniklerinin çoğu pek iyi çalışmadığı için, işlem gücü eksikliği başka bir sorundur. Önceki bir gönderide, bir alternatife baktım, şifrelemeyi blok zinciri teknolojisi aracılığıyla dış kaynak kullanımı; Bitcoin blok zincirinden bahsetmiyorum, ancak birkaç endüstri lideri tarafından halihazırda incelenen benzer kripto teknolojilerinden bahsediyorum.

Si vis pacem, para bellum – barış istiyorsanız savaşa hazırlanın. IoT güvenliğiyle uğraşmadan önce tehditleri ve potansiyel saldırganları incelemek hayati önem taşır. Tehdit seviyesi tüm cihazlar için aynı değildir ve dikkate alınması gereken sayısız husus vardır; Birisi kızınızın oyuncak ayısını hacklemeyi mi tercih eder yoksa biraz daha ciddi bir şey mi? Veri riskini azaltmak, IoT cihazlarından mümkün olduğunca fazla kişisel veri tutmak, gerekli veri aktarımlarını uygun şekilde güvenceye almak vb. Ancak, tüm bunları yapmak için önce tehdidi incelemeniz gerekir.

Her şey başarısız olursa, en azından olası güvenlik ihlallerine hazırlıklı olun. Er ya da geç, sizin veya bir başkasının (tercihen bir rakip) başına gelecekler. Her zaman bir çıkış stratejiniz, mümkün olduğunca fazla veriyi güvence altına almanın ve güvenliği ihlal edilmiş verileri IoT altyapınızı mahvetmeden işe yaramaz hale getirmenin bir yolu olsun. Müşterileri, çalışanları ve sürece dahil olan herkesi bu tür ihlallerin riskleri konusunda eğitmek de gereklidir. Onlara bir ihlal durumunda ne yapmaları gerektiğini ve ihlalden kaçınmak için ne yapmaları gerektiğini öğretin.

Elbette, iyi bir sorumluluk reddi beyanı ve Hizmet Şartları, en kötü durum senaryosu ile uğraşmanız durumunda da yardımcı olacaktır.