Czy łatwo się włamać do inteligentnego domu?

"Inteligentny dom działa zgodnie z rytmem życia mieszkańców. Dostosowuje się do naszych potrzeb, dbając o bezpieczeństwo  i komfort. Pomaga obniżyć rachunki za prąd i kontrolować, co dzieje się w pomieszczeniach pod naszą nieobecność. Inteligentny dom masz zawsze przy sobie, niezależnie od tego, gdzie się znajdujesz"  - w ten sposób dostawcy tego typu rozwiązań zachwalają swą ofertę.

Jednak firmy zajmujące się bezpieczeństwem IT przestrzegają, by z rozmysłem podchodzić do wdrażana technologii inteligentnego domu. I przytaczają wyniki testów, jakie przeprowadzali próbując złamać zabezpieczania tego typu urządzeń. Rok temu firma Synack w swym raporcie stwierdziła, że większość dostępnego na rynku sprzętu służącego do tworzenia tzw. inteligentnych domów jest słabo zabezpieczona przed atakami cyberatakami.  Z jej testów, w których sprawdziła 16 popularnych produktów z tego segmentu wynikało, że w praktycznie w każdym przypadku zdołali złamać zabezpieczenia w niespełna 20 minut .

Najgorzej wypadły  kamery. Niektóre z modeli nawet nie szyfrowały wysyłanych danych, co umożliwiało intruzom stosunkowo łatwe podłączenie się do nich  i obserwowanie przez sieć domowników. Łatwo sobie wyobrazić jakie to niesie potencjalne zagrożenia dla użytkowników takie sprzętu.

Równie niepokojące wyniku przyniosły testy przeprowadzone w ubiegłym roku przez zespół ekspertów z Kaspersky Lab ds. zwalczania szkodliwego oprogramowania. I tak poddana testowi elektroniczna niania wykorzystywana do podglądu obrazu w pokoju dziecka miał poważne luki w zabezpieczeniach. Atakujący, który korzystał z tej samej sieci co właściciel sprzętu, mógł połączyć się z kamerą, oglądać zarejestrowane przez nią nagrania, jak również włączyć rejestrowanie dźwięku. Inne kamery tego samego producenta umożliwiały przestępcom uzyskanie haseł właściciela. Eksperyment pokazał także, że atakujący znajdujący się w tej samej sieci mógł uzyskać hasło umożliwiające dostęp do kamery z uprawnieniami administratora i zmodyfikować oprogramowanie systemowe (tzw. firmware) urządzenia, dostosowując je do własnych celów.

- Należy mieć świadomość, że powiązanie instalacji elektrycznej z alarmową, czujnikami dymu, kamerami itd. z dostępem do Internetu stwarza cyberprzestępcom możliwości włamań, które wcale nie muszą ograniczać się tylko do wykradania prywatnych informacji  – przestrzega  Michał Jarski, regional director CEE w firmie Trend Micro.

Eksperci z tej ostatniej firmy zauważają, że kamery monitoringu, czujniki ruchu, automatyczne zamki, gadżety związane z bezpieczeństwem IT chronią domy poprzez automatyczne zamykanie drzwi wejściowych i okien czy monitorowanie otoczenia za pomocą kamer. Dzięki połączeniu do Internetu wszystkie te urządzenia mogą być zdalnie sterowane przez właścicieli, tak samo jak i przez cyberprzestępców. Jeśli nie są w pełni chronione bardzo łatwo jest przejąć nad nimi kontrolę. W takiej sytuacji osoby niepożądane mogą wykorzystać system do uzyskania informacji o nieobecności właścicieli, wyboru najlepszego czasu na włamanie do domu, wyłączenie instalacji alarmowej, czy też otwarcie zamków bez użycia siły. Poszczególne domowe urządzenia mogą stać się wrotami, przez które przestępcy przenikną do systemu informatycznego dokonując kradzieży wirtualnych, ale i tych prawdziwych.

Jednak nie tylko kamery monitoringu mają słabe punkty. W przypadku sterowanych aplikacją ekspresów do kawy, eksperci Kaspersky Lab  nie musieli nawet korzystać z tej samej sieci co ofiara. Zbadany podczas eksperymentu ekspres wysyłał wystarczająco dużo niezaszyfrowanych informacji, aby atakujący mógł odkryć hasło do sieci Wi-Fi właściciela ekspresu.  

Każde połączone z siecią, sterowane przy użyciu aplikacji urządzenie prawie na pewno będzie posiadało co najmniej jeden problem związany z bezpieczeństwem.

Coraz bardziej popularne w gospodarstwach domowych stają się inteligentne lodówki. Urządzenia takie posiadają specjalny panel LCD, za pomocą którego można kupować żywność online. Lodówka może też pomóc utrzymać obraną dietę poprzez kontrolę zapasów produktów zapisanych w menu.  Eksperci z Trend Micro zwracają uwagę, że  takie  urządzeni a mogą być wykorzystywane przez cyberprzestępców do działań na szkodę użytkownika – mogą oni na przykład wykraść dane logowania do sklepów online i składać niechciane zamówienia. Urządzenia tego typu najczęściej wyposażone są w łatwe do złamania systemy operacyjne (np. Android), jednak producenci nie robią nic, aby odpowiednio przygotować je do pracy, zabezpieczyć przed niepowołanym użyciem. Nie wykonują również żadnych aktualizacji, które łatałyby nowo odkryte luki w bezpieczeństwie. W rezultacie wszystkie elementy inteligentnego domu stają się łatwym celem dla cyberprzestępców.  

Trend Micro przestrzega też, by uważać na inteligentne telewizory. Są one bowiem wyposażone w mikrofony i mają wbudowane kamery, które posiadają funkcje rozpoznawania głosu i twarzy użytkowników, co umożliwia automatyczną obsługę ustawień przypisanych konkretnym osobom. Jednak połączenie do sieci stwarza ryzyko wycieku prywatnych filmów i obrazów, a nawet wykorzystania tożsamości domowników na niepożądanych stronach – bez ich zgody, a nawet wiedzy. Eksperci Trend Micro alarmowali ostatnio o wykryciu w inteligentnych telewizorach aplikacji zainfekowanych backdoorem wykorzystującym starą lukę w zabezpieczeniach Androida. Większość dostępnych obecnie na rynku telewizorów smart nie pracuje na aktualnych, załatanych wersjach systemów operacyjnych, dzięki czemu atakujący mogą z powodzeniem wykorzystywać znane od dawna podatności do przeprowadzania ataków. Chodzi o urządzenia znajdujące się w ofercie nawet tak znanych producentów, jak Philips, Panasonic i Sharp.  

- Nasz eksperyment wykazał – co jest pocieszające – że producenci biorą pod uwagę kwestie cyberbezpieczeństwa podczas projektowania urządzeń z kategorii Internetu Rzeczy. Mimo to, każde połączone z siecią, sterowane przy użyciu aplikacji urządzenie prawie na pewno będzie posiadało co najmniej jeden problem związany z bezpieczeństwem. Przestępcy mogą wykorzystać kilka takich luk jednocześnie, dlatego tak ważne jest, aby producenci łatali wszystkie dziury – nawet te, które nie są krytyczne. Takie luki powinny zostać usunięte, zanim produkt trafi na rynek, ponieważ znacznie trudniej jest naprawić problem, kiedy urządzenie zostało już sprzedane tysiącom klientów – powiedział Wiktor Aljuszyn, badacz ds. bezpieczeństwa, Kaspersky Lab.

Czy w obliczu tych wszystkich zagrożeń należy zapomnieć o koncepcie inteligentnego domu? Kaspersky Lab zaleca zdroworozsądkowe podejście: by z namysłem wybierać sfery życia, które chce się uczynić nieco bardziej „smart”, pamiętając o potencjalnych zagrożeniach.  Radzi też, by wybierać te produkty, dla których opublikowano już kilka aktualizacji oprogramowania. Eksperci z Synack zalecają zaopatrzenie się w możliwie najnowocześniejszy i używaniu wszelkich możliwych zabezpieczeń, by nie być łatwym celem wedle zasady, że cyberprzestępca wybierze najsłabiej zabezpieczone punkty.