Tingene slår tilbake

Vi har lenge hørt at tingenes internett (Internet of things, IoT) er en av de store trendene innenfor teknologi og IT. Det finnes allerede et enormt utvalg av produkter og ting som har sin egen IP-adresse. Vi fyller hjemmene våre med smarte dørlåser, lyspærer, stikkontakter, hvitevarer, kameraer, værstasjoner, enegi- og klimastyring osv. Bilene kobles på nett, og vi kler på oss IoT i form av klokker, treningscomputere og briller. Det er bare et tidsspørsmål før ørsmå sensorer smelter sammen med klær, møbler og alt annet vi kan tenke oss.

Dette gjør vi fordi smarte ting er bedre enn dumme ting. Hvem vil ikke ha en teknologi som lar deg overvåke huset når du er borte? Som sparer strøm ved smart energistyring, eller som kan oppdage vannlekkasje i kjelleren? Smarte ting er bra for oss.

Som regel.

Nylig har vi erfart flere store dataangrep, såkalte tjenestenekt-angrep der de kriminelle sender så mye data mot et nettsted, at de bryter sammen under belastningen. Slike angrep er svært vanlige, og de store tjenestetilbyderne har metoder for å stå i mot. Det som er nytt med angrepene som har skjedd i senere tid, er at de er veldig mye kraftigere enn det en har sett før, og at beskyttelsesmetodene ikke har hatt god nok effekt.

Sikkerhetsekspert Brian Krebs avslørte identiteten til noen av de som står bak omfattende datakriminalitet. Kort tid etterpå ble bloggen hans utsatte for et svært stort tjenestenekt-angrep. Bloggen lå på Akamai sine systemer, og de meldte at angrepet var nesten dobbelt så stort som det største de hadde registrert frem til da. Akamai, en av verdens største tjenestetilbydere, valgte til slutt å fjerne bloggen fra sine systemer fordi angrepene påvirket systemene deres.

21 oktober ble et annet, og svært stort, tjenesteangrep rettet mot en rekke amerikanske tjenester på nett, inkludert Twitter, Amazon, Tumblr, Reddit, Spotify og Netflix. Angrepene fikk store ringvirkninger, også i Norge.

Felles for disse angrepene er at de i hovedsak kommer fra IoT. Botnettet Mirai skal bestå av hele 500.000 enheter, blant annet webkamera og DVR-opptakere. Verktøyene som de kriminelle bruker, er altså i de tusen hjem. For ikke å si millioner. I følge Gartner Group vil det i 2020 være nær 21 milliarder IoT enheter på nett.

Sikkerhetsproblemene med IoT er mange. De kommer med standard passord, og er derfor enkle å bryte seg inn i dersom du ikke endrer det når du kobler det til nett. De utvikles i høyt tempo, og leveres med sårbarheter som kriminelle kan utnytte. De blir heller ikke oppdatert i like stor grad som vi er vant til fra mobiltelefoner, nettbrett og datamaskiner. De er med andre ord mange, de er sårbare og de blir brukt av kriminelle til å angripe kritiske samfunnstjenester og  tilbydere av digitale tjenester.

Problemet er anerkjent i sikkerhetsmiljøene, og mange mener at myndighetene må gripe inn med lovkrav til slike enheter. EU vurderer for eksempel en sikkerhetsmerking, slik at forbrukere skal ha kunnskap om hva de bringer inn i hjemmene sine.

NorSIS mener at i tillegg til dette, så må den enkelte gjøre mer for å beskytte seg selv og de rundt oss. Dette er netthygiene i praksis. Tenk over følgende:

• Vurder om enheten skal kobles til nett. Bare fordi den kan kobles til nett, betyr ikke at den må det.
• Skift standard passord. Velg et passord som er langt og vanskelig å gjette, og skriv det gjerne ned så du ikke glemmer det.
• Følg med på sikkerhetsoppdateringer. Dette må du i mange tilfeller gjøre selv fordi det ikke er noen form for automatisk oppdatering.
• Sørg for at enheten ikke kan kontaktes av hvem som helst på internett, eller at den kan sende datatrafikk hvor som helst. Dette kan kreve kunnskap om oppsett av brannmur.
• Dersom du ikke lenger bruker enheten, ta bort nettverkskoblingen.

https://sikkert.no/god-netthygiene/

Eksterne lenker:

https://motherboard.vice.com/read/we-need-to-save-the-internet-from-the-internet-of-things

https://krebsonsecurity.com/2016/10/europe-to-push-new-security-rules-amid-iot-mess/

https://www.arbornetworks.com/blog/asert/mirai-iot-botnet-description-ddos-attack-mitigation/