This is the new shit. Internet of Things. Știți voi, de la becu’ pe care-l aprindeți remote la budă înainte de-a vă duce să vă cufuriți și iarba pe care vreți s-o udați la timp până la patul pe care-l zgâlțâiți de la distanță cu aplicație de Android. Nu mă înțelegeți greșit. Sunt maxim de leneș și îmi place să mă și joc cu chestii de genul ăstora. Numa’ că, știind niște treburi, sunt și nițel mai precaut. Și mă gândesc că o expansiune a dispozitivelor de genul ăsta o să fie mană cerească atât pentru NSA cât și pentru orice hackeraș voyeour. Pe lângă faptul c-o să fie bucuria giganților care de care mai dornic să-și prindă clienții într-un ecosistem propriu (unul din motivele pentru care scuip și mârâi când văd/aud de Apple).
Ei, în contextul ăsta am citit pe “El Reg” un articolaș azi-dimineață cât stăteam pe budă (meh, mi-am aprins becul singur deocamdată). Articolaș care spune că fiecare jucărie din “IoT” are cam 25 de vulnerabilități în medie. Și chestii nasoluțe, nu copilării. Mai un heartbleed uitat pe acolo, mai o interfață de web vulnerabilă la XSS sau chiar și parole puse de formă.
Și tot în contextul ăsta țineam zilele trecute o prezentare pe la una din clasele de CCNA legată de IPv6. Și prin prezentare se vorbea de faptul că din cauza IoT vom avea nevoie de IPv6. Azi dimineață, aducându-mi aminte de slide-ul respectiv m-a bușit râsul. Păi fix asta aș vrea, să-mi scot jucăriile vulnerabile cu IP-uri publice pe internet. Și sper că realizați cam cât de rapid vor fi reparate vulnerabilitățile respective. Atât de repede încât la fiecare din ele reparată vor mai răsări pe interneți încă coișpe “Things” vulnerabile. Totodată realizați și cam care este nivelul celor care vor începe să adopte în masă jucării de genul ăsta. Până la un moment doar geekșii se jucau cu treburi de gen. Mai un Raspberry Pi, mai o altă treabă, măcar ăștia știau cam ce fac. Pe măsură ce piața va exploda de treburi de gen, nivelul tehnic al “adoptatorilor” se va prăbuși drastic.
Și atunci merită să stai cu popcornul în brațe să vezi ce se va întâmpla.
Referitor la default password, eu am cam mult timp liber și mai încerc pe shodan, nu e mica mirarea câte camere Web sunt cu default.. chiar tragic de amuzant.. si la chestii importante gen aziluri, supermarket uri sau case de schimb valutar..
… si-apoi sa vezi spam trimis direct de frigider ….
Zilele trecute vorbeam cu un prieten referitor exact la subiect, era incantat omul (fan Apple, evident) ca a anuntat compania sufletului un nou framework ce vizeaza aspectul din subiect.
Problema pe care o vad eu nu tine de spam de pe frigider sau de tonele de oua pe care le poate comanda un binevoitor din doua click-uri, ci chestii mai interesante, gen modificari low level posibil posibile in firmware-urile unor astfel de device-uri sau controlul unor functii mai sensibile (gen valve apa, relee curent, modificari senzori fum / miscare etc).
Abia asa o sa devina cu adevarat interesant. Vii acasa din concediu si constati ca ai 25 de cafele facute de catre expresorul inteligent (90% dintre ele direct pe gresia din bucatarie, restul de 10% prin sertare), 75 de grade in casa la sfarsit de iulie ca urmare a controlului inteligent al centralei termice, o mica piscina in baia de sus si tot asa.
Atunci sa te tii!
Uite asa mi-aduc aminte de asta: https://www.youtube.com/watch?v=eWEjvCRPrCo
Sa aveti un week-end asa cum va doriti!
Legat de IPv6 si IP-urile publice, exact ce te opreste sa tii un firewall in fata. “Things”-urile din IoT nu trebuie neaparat sa comunice cu nava mama peste internet, ci intre ele, in casa. Iar daca ai nevoie sa iti faca o cafea cand te intorci de la birou, poti foarte frumos sa te tunelezi pana acasa. Evident, atunci cand devine comercial, tot sistemul asta trebuie integrat si facut un wizard de doua clickuri. Nu vad o problema prea mare decat din prisma ecosistemelor.
Sunt de acord cu tine, însă asta putem face noi, ăștia capabili să ne protejăm rețeaua. Un utilizator normal nu va avea nici o problemă în a-și tine jucăriile neprotejate.
iti deschizi un biznis de securizat casele uamenilor :lol:
si-l inchizi a doua, poate a treia zi.
Problema nu este ca nu vor / nu stiu sa le securizeze, ci ca nici prin cap nu le trece ca ar trebui sa faca asta. Intr-un procent ingrijorator de mare.
Si, daca nu stii ca ai nevoie de un serviciu, nici prin gand nu-ti va trece sa apelezi la acel serviciu. Decat – eventual – cand va fi foarte sau prea tarziu.
Problema si mai mare este ca toti promoterii unor astfel de idei / device-uri / framework-uri nu pun problema securizarii pe mai nicaieri (cel mult prin vreo nota de subsol de la vreun manual neinteresant pentru utilizator sau prin cine stie ce paragraf din EULA).
Cati dintre voi ati vazut in vreo reclama la vreo camera IP (just an example) vreo notificare: “Atentie la securitate, altfel va treziti in pula goala pe net!”?
Și dacă va exista un producător care să facă o astfel de notificare tot ăla va ieși în pierdere. John Q. Public va cumpăra cameră IP de la un alt producător care nu spune nimic, nu de la ăla la care “există riscul” să apară în pula goală pe net.
daca ai un biznis, nu te opreste nimeni sa-ti faci reclama
Ete na. Routere wireless au beneficiat de o explozie în ultimii 4-5 ani, la început erau o groază de bâlbe la capitolul securitate iar acum totul este OK, chiar și la cei mai chineji dintre ei.
O să vedeți ce bine o să stea aparatele inteligente în spatele NAT-urilor (hint: toate fac asta deja), că oricum nu își permite nici dracu’ mai mult de un IP public acasă.
Iar aici șoc și groază: becul inteligent este vulnerabil la XSS (să zicem), da’ poate fi accesat doar de către mine și dușul dăștept.
Port-forwarding anyone? Va fi una dintre functiile pe care le va dori implementate tot melteanu’, indiferent daca are sau nu cea mai mica idee despre ce inseamna si implica asta …