Sikkerheden i vores IoT-enheder skal strammes op

En ny trussel mod både internettet og private borgere blev i sidste uge udstillet. Mindst en halv million internetforbundne apparater, hovedsageligt webkameraer, blev fjernkontrolleret af hackere. Som en sværm af droner indgik de i et storstilet oversvømmelsesangreb mod en kritisk del af internettet, som driver navneserverne (DNS). Store dele af internettet, herunder populære tjenester som Twitter, Netflix og Spotify, blev spærret for internetbrugere verden over – ikke bare ejerne af de anvendte apparater.

Det skriver Ingeniøren i en leder i dag.

Truslen fra alle de apparater, vi har koblet til internettet, skal tages alvorligt. Det var tredje gang inden for en måned, at hackere fjernstyrede et såkaldt botnet til at gennemføre angreb af hidtil usete dimensioner. Hackergruppen, som tog ansvaret, betragter det endda kun som en lille demonstration, lyder det.

Angrebet fik den kinesiske elektronikproducent Xiongmai til at tilbagekalde sine produkter. Elendig password-beskyttelse på kameraer og netværksharddiske bød hackerne inden for. Ganske symptomatisk skete tilbagekaldelsen dog kun i USA og ikke her i Europa.

Årsagen er enkel: Beskyttelsen af de europæiske forbrugere er forældet, mens der altid er frygt for sagsanlæg på den anden side af Atlanten. Når vi herhjemme køber netværksharddisk, smart-tv, webkamera eller et andet stykke elektronik, som vi slutter til internettet, har vi krav på, at produktet fungerer i to år. Brænder det sammen, kan vi benytte reklamationsretten til at gå ned i butikken og kræve det udbedret.

Det er på mere end høje tid, at myndigheder og politikere går sammen om at stramme op. Reklama­tionsretten skal udvides, så producenten i to år har pligt til at holde et internetforbundet produkts it-sikkerhed opdateret.

Læs hele lederen her.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (10)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Thomas Hedberg

Man kan mene hvad man vil om Microsoft, men de leverer som standard sikkerheds opdateringer til de fleste (alle?) af deres produkter i mindst 10 år fra release dato, så de er da det mindste problem i denne sammenhæng.

Til sammenligning var mit TV forældet før det forlod fabrikken. Fabrikanten gider ihvertfald ikke vedligeholde softwaren.

  • 8
  • 0
Bjarne Nielsen

Nu er det langt udenfor min kernekompetence, så jeg kan tage grusomt fejl, men var det ikke snak om, at der var tale om relativt få enheder i det seneste angreb, og det i virkeligheden var DNS serverne eller protokollen, som "gik i selvsving"?

Hvis det er sandt, så er det kun del at løsningen, at få kigget på det skrammel, som folk kan købe uden kende kvaliteten af det, som er inden i kassen - så bliver vi vel også nødt til at kigge på, om internettet er robust nok.

  • 3
  • 0
Chresten Christensen

En simpel måde at, reducerer IoT misbrug af internette er at lægge et gebyr på dem der forurener internette med misbrug og fejle brug. Den ISP der konstaterer misbrug, kan pålægge deres bruge, et gebyr for dette misbrug, og evt lukke for hele eller noget af forbindelse, jeg vil tro dette kan gøres indenfor de gældende regler. Dette vil give et incitament til at få rette disse IoT.
EX:
Der er et Ddos mod et site i gang, og det er mulig at find de originale IP add, hvor fra trafikken kommer, man kan så rette henvendelse, til den ISP der har ansvaret for de aktuelle IP add, og bede dem, tage overstående procedure i anvendelse.

  • 2
  • 0
Thomas Hedberg

Det var færre enheder end de oprindeligt troede. De snakker om ca. 100.000. En af de ting de gjorde var at sætte disse enheder igang med at spørge efter 12 cifrede random host navne på de domæner som de hostede. Dvs. at caching DNS serverne ude hos ISP'erne alle sammen sende de requests videre til Dyn.

Angrebet blev så forstærket af at de legitime forespørgsler timede ud og klienterne spurgte derfor igen - så de modtog også flere legitime forespørgsler end normalt.

  • 1
  • 0
Thomas Hedberg

Den her bliver sikkert upopulær, men personligt så jeg gerne, at der blev lovgivet på området. Blandt mange ting kunne jeg f.eks. sagtens forestille mig. at alt, der kan tilsluttes et netværk, skal være omfattet af bl.a. en mærknings ordning med en "bedst-før", en udløbs dato og krav til en sikkerheds certificering af kvalificeret 3rd part.

For at få sikkerhed og support til at blive et konkurrence parameter fabrikanterne imellem kunne man jo f.eks. kræve at 1/3 af pladsen på fronten af æsken blev brugt til:

  • Hvor lang tid producenten understøtter enheden.
  • Udløbs datoen for produktet.

Åbenlyse krav til at auto opdatering f.eks. skal være slået til som standard. Alternativt stopper produktet med at fungere ½ år efter sidste opdatering. Dertil kunne man også kræve en udløbsdatoen blev kodet ind produktet, så det stopper med at fungere og skal genaktiveres via administrations interfacet med hyppigere og hyppigere mellemrum – Bliver det ikke opdateret skal det stoppe med at kunne via en gateway.

Listen over tiltag der kunne tages er alen lang.. Ser meget frem til at EU kigger på produkt ansvar for produkter med software.

  • 1
  • 0
Bent Jensen

Den ISP der konstaterer misbrug, kan pålægge deres bruge, et gebyr for dette misbrug, og evt lukke for hele eller noget af forbindelse


Jeg vil tro at i stedet for et gebyr, så er en nedlukning, til virksomheden/brugeren kan dokumentere at de har styr på sagen nok det som virker bedst, også med hensyn til forebyggelser.

Når der er lukket for netflix og facebook til at den gamle Windows XP pc, er renset også sat bag lås og slå i firewall, så vil det virke, også præventiv, når historien breder sig.

IPS som levere til privat personer, burde også have et større ansvar for opsætning/hjælp ved deres kunder. Der hvor de har styr på firewall/router, burde der sættes op at til kun godkende enheder har adgang til net.
Producenter af IoT som smart TV bør så kunne dokumentere hvilke porte de bruger samt IP/Navn få der kan åbnes op kun for det, der er nødvendigt til opdatering.

Et virkende mai/sms til alle som har en internetforbindelse hvor der kunne sendes besked om advarsel om at du har en usikker enhed, ret det inden 7 dage, eller vi lukker for din forbindelse kunne også være en farbar vej :-)

TDC fik jo styr på deres mail server efter de fik alt trafik ud af huset. lukket ned i en lille uge.

Mennesker som ikke ved ret meget om sikkerhed og ikke gider det, vågner normalt lidt op, hvis de risikerer at blive ramt på hele deres digitale liv. Selvom jeg normalt ikke er for overvågning og lignende tiltag, er det her et sted hvor man kunne bruge det med en god begrundelse om vores alle sammen sikkerhed. Men det kan jo også misbruges til at lukke forbindelsen til nogen man er politiske uening med.

Men så længe det ikke er folketinget der bliver ramt igen og igen, så sker der intet :-( Ud over spil af penge på mere "overvågning" af os alle. En aktiv indsat her kunne vise at de ikke kun bruger pengene på julefrokosten.

  • 0
  • 0
Log ind eller Opret konto for at kommentere
Jobfinder Logo
Job fra Jobfinder

Call to action

En ny trussel mod både internettet og private borgere blev i sidste uge udstillet. Mindst en halv million internetforbundne apparater, hovedsageligt webkameraer, blev fjernkontrolleret af hackere. Som en sværm af droner indgik de i et storstilet oversvømmelsesangreb mod en kritisk del af internettet,
som driver navneserverne (DNS). Store dele af internettet, herunder populære tjenester som Twitter, Netflix og Spotify, blev spærret for internetbrugere verden over – ikke bare ejerne af de anvendte apparater. Det skriver Ingeniøren i en leder i dag. Truslen fra alle de apparater, vi har koblet til internettet, skal tages alvorligt. Det var tredje gang inden for en måned, at hackere fjernst...