La (in)sicurezza nell'era della IoT

Editor's Notes

• #14: Salute pubblica e sicurezza (servizi di emergenza e risposta alle calamità, telecamere sorveglianza, illuminazione stradale) Monitoraggio della qualità dell'aria e dell'acqua Rilevazione e monitoraggio crimine (sensori lettura targhe per verifica reati, presenza assicurazione) Trasporti (automobili “connesse”, programmazione trasporto pubblico) Gestione infrastrutture (sensori per monitorare prestazione di reti, cavidotti e tubature) Produttività umana (lavoro in mobilità)
• #21: frigorifero Samsung (mod.RF28HMELBSR).
• #31: (password di default exploit MS08-067 [Conficker])
• #36: Barnaby Michael Douglas Jack è il security researcher che in una famosa demo alla Black Hat Conference del 2010 dimostrò come fosse possibile exploitare gli ATM, facendo in modo che restituissero banconote senza specificare un conto bancario dal quale prelevare il denaro. Una settimana prima di una sua dimostrazione ad un'altra Black Hat Conference, dove avrebbe dovuto dimostrare la vulnerabilità che consentiva di avere il controllo remoto sul pacemaker, il ricercatore dichiarò in un'intervista alla Reuters che “ci sarebbero potute essere conseguenze letali”. Una settimana dopo “Barnes” venne trovato morto nel suo appartamento di San Francisco.
• #37: Le possiamo trovare in router, telefoni, stampanti, impianti di domotica, sistemi industriali, webcam, dispositivi medici, software di ogni genere… Siamo ancora in una fase embrionale di sviluppo della IoT ma le vulnerabilità sono già molto gravi I produttori non stanno facendo quanto possibile per rendere i dispositivi sicuri “by design” Trovare le vulnerabilità è sempre più facile, non serve essere “smanettoni” I “cattivi” sono sempre più motivati ($$$$). E' una battaglia che stiamo perdendo...
• #38: E la battaglia la stiamo perdendo a casa nostra, un ambiente che, sbagliando, riteniamo “trusted”. Un IoT device “bucato” può essere usato da ponte per arrivare sugli altri device di casa.
• #41: Le vulnerabilità più diffuse sono: presenza di device con credenziali di autenticazione di default pagine di autenticazione non cifrate (no ssl) errori di programmazione con conseguenti problemi di SQLi, CSRF, XSS, Remote Code Injection possibilità di accesso fisico ai device non protetto (es.chiavetta USB) presenza di backdoors, spesso a livello amministrativo password hardcoded o in plain text nel firmware banale reverse engineering del firmware
• #68: Nulla di buono purtroppo… secondo un'analisi della società di consulenza McKinsey, l'evoluzione della Internet of Things porterà ad un business stimabile in 11000 miliardi di € nel 2025. E quando l'interesse economico aumenta, di norma aumentano anche gli attacchi ai prodotti che lo generano. Si stima che gli “oggetti” maggiormente presi di mira saranno automobili, dispositivi medici e dispositivi indossabili (wearables).
• #69: James Clapper, direttore dell'intelligence USA, ha dichiarato che “smart devices incorporati nella rete elettrica, nei veicoli e negli elettrodomestici servono a migliorare l'efficienza, il risparmio energetico e la convenienza. Tuttavia, gli analisti del settore della sicurezza hanno dimostrato che molti di questi nuovi sistemi possono minacciare la riservatezza e l'integrità dei dati, o la continuità dei servizi. In futuro, i servizi di intelligence potrebbero utilizzare la IoT per l'identificazione, la sorveglianza, il monitoraggio, il rilevamento della posizione, l'esecuzione di targeting per il reclutamento, o per ottenere l'accesso a reti o credenziali degli utenti.”
• #70: Il primo problema è che quello dell'Internet of Things è un mercato ancora acerbo. Come la storia insegna, ogni tecnologia ha bisogno di tempo per diventare affidabile. Il secondo problema è che questa tecnologia si sta espandendo molto più velocemente che qualsiasi altra in passato. Inoltre il mercato sul quale appoggia questa tecnologia è ampio, verrebbe da dire quasi totale. Infatti l'Internet of Things ha la caratteristica di impattare su quasi ogni aspetto della nostra vita. I produttori devono accordarsi per delle regole di progettazione che implichino la sicurezza “by design”.
• #71: Pensiamo al mercato automobilistico: quando acquisto una macchina non devo preoccuparmi della sua sicurezza. Do per scontato che: se e quando serve l'airbag, funziona quando deve entrare in funzione l'ABS, funziona quando ho bisogno del sistema elettronico di stabilità (ESP), funziona quando serve la cintura di sicurezza, funziona E queste tecnologie presenti nelle nostre auto hanno una caratteristica in comune: sono attive di default. Vorrei che anche il mio router, la mia webcam, la mia stampante, il mio smartphone, il mio smartwatch, la mia smartv avessero delle caratteristiche di sicurezza attive di default...
• #72: Ma fino a quando non sarà così, devo pensarci io, devo avere consapevolezza (awareness) di ciò che sto utilizzando. Devo chiedermi: ho configurato il mio dispositivo al meglio delle sue possibilità, in modo tale da garantirmi la maggior sicurezza possibile? Questo vale per ciò che acquisto io… ma per tutto il resto? Di certo non è mia la responsabilità della sicurezza del pacemaker, della centrale idrica, del robot chirurgico o del microinfusore di insulina… Credo che finché non ci sarà un obbligo legale, nessun produttore prenderà troppo sul serio la questione.
• #73: L'unica cosa che credo sia utile e necessaria è quella di fare formazione, di rendere consapevoli le persone dei potenziali pericoli, sperando che la tecnologia (e soprattutto l'attenzione dei produttori) evolva… Ma alcuni consigli possono aiutare...
• #74: prima di acquistare un oggetto collegato ad internet, bisogna valutare attentamente le opinioni e le recensioni online: i pareri di chi ci è già passato sono importanti è sconsigliato comprare le novità: aspettare nuove versioni del prodotto, che correggono le vulnerabilità delle prime versioni riflettere su quali dati vogliamo affidare all'IoT: se abbiamo delle informazioni che riteniamo assolutamente personali, evitiamo di condividerle
• #75: prima di acquistare un oggetto collegato ad internet, bisogna valutare attentamente le opinioni e le recensioni online: i pareri di chi ci è già passato sono importanti è sconsigliato comprare le novità: aspettare nuove versioni del prodotto, che correggono le vulnerabilità delle prime versioni riflettere su quali dati vogliamo affidare all'IoT: se abbiamo delle informazioni che riteniamo assolutamente personali, evitiamo di condividerle
• #76: prima di acquistare un oggetto collegato ad internet, bisogna valutare attentamente le opinioni e le recensioni online: i pareri di chi ci è già passato sono importanti è sconsigliato comprare le novità: aspettare nuove versioni del prodotto, che correggono le vulnerabilità delle prime versioni riflettere su quali dati vogliamo affidare all'IoT: se abbiamo delle informazioni che riteniamo assolutamente personali, evitiamo di condividerle