Zwiększanie bezpieczeństwa urządzeń internetu rzeczy dzięki rezygnacji ze statycznych danych uwierzytelniających
Internet rzeczy, określany czasem skrótem IoT, nie jest osobną i niezależną siecią – jest zbudowany z prostych urządzeń wykorzystujących jedynie pewne pasma i obszary właściwego internetu w celu udostępniania i przesyłania danych. Przykłady takich urządzeń obejmują inteligentne wyposażenie fabryk, bezprzewodowe urządzenia śledzące towary, inteligentne artykuły gospodarstwa domowego i biometryczne skanery pozwalające na walkę z cyberprzestępcami. Podłączanie tego rodzaju urządzeń do globalnej sieci doprowadziło do powstania i ujawnienia dużej liczby luk w zabezpieczeniach. Mówiąc prościej – urządzenia internetu rzeczy są niezwykle podatne na ataki hakerów i włamania. Poza szeregiem podatności wynikających ze stosowania serwerów WWW, wiele urządzeń tego rodzaju charakteryzuje się niezwykle słabymi możliwościami w zakresie uwierzytelniania, co prowadzi do sytuacji, w której jedno zaatakowane urządzenie może zaatakować inne urządzenia. Prowadzi to do powstawania botnetów złożonych z urządzeń-zombie powszechnie wykorzystywanych w atakach typu denial-of-service. Drugim problemem dotyczącym urządzeń IoT jest fakt, że często ich możliwości obliczeniowe nie pozwalają na uruchamianie oprogramowania szyfrującego i zabezpieczającego system. W praktyce oznacza to, że jeszcze do niedawna większość takich rozwiązań nie miała absolutnie żadnych zabezpieczeń.
Ataki i ich społeczny koszt
Niemal połowa przedsiębiorstw korzystających z urządzeń internetu rzeczy padła ofiarą ataków, które wywarły negatywny wpływ na ich przychody. Straty w wyniku działalności cyberprzestępców wynoszą obecnie przeszło 5 bilionów euro w skali roku, w związku z czym podmioty działające w branży IT zaczęły poważnie zajmować się tym problemem. Co więcej, w 2018 roku weszło w życie uchwalone przez Komisję Europejską ogólne rozporządzenie o ochronie danych (RODO), na podstawie którego przedsiębiorstwa niespełniające wymogów ochrony danych mogą podlegać ogromnym karom finansowym. Proces osiągania pełnego bezpieczeństwa wymaga jednak znacznie więcej niż wyłącznie groźby wysokich kar. W związku z tym zespół finansowanego przez Unię Europejską projektu ELIoT Pro opracował niezawodne rozwiązanie, które eliminuje jedną z najważniejszych podatności urządzeń internetu rzeczy – zapisane na stałe hasła, zastępując je hasłami jednorazowymi wykorzystywanymi w protokole uwierzytelniania administratora systemu IoT, a także w systemie uwierzytelniania i szyfrowania komunikacji pomiędzy urządzeniami. Opracowane protokoły charakteryzują się niezwykle niskim zapotrzebowaniem na zasoby, co pozwala na ich zastosowanie nawet w przypadku najprostszych urządzeń internetu rzeczy.
Stałe hasła to pieśń przeszłości
„Hasła i wszelkie inne statyczne dane uwierzytelniające, w tym dane biometryczne, muszą być odpowiednio chronione – w innych wypadkach wyciekają i stają się powszechnie wykorzystywanymi lukami w zabezpieczeniach”, wyjaśnia koordynator projektu Jack Wolosewicz. „Na wykorzystaniu powszechnie dostępnych danych uwierzytelniających opiera się 80 procent wszystkich ataków”. Aby rozwiązać ten problem, zespół postanowił wyeliminować potrzebę wykorzystywania tego rodzaju informacji, zastępując je tokenami jednorazowymi, które wygasają w ciągu 200 milisekund. Brak haseł oznacza brak jakiegokolwiek cennego łupu dla hakerów. Zastosowanie takiego rozwiązania całkowicie eliminuje ryzyko ataków phishingowych oraz ataków typu man-in-the-middle. Wdrożenie wyłącznie tego narzędzia eliminuje 80 % wszystkich zagrożeń związanych z komunikacją na linii człowiek-maszyna, na przykład między administratorem systemu i panelami kontrolnymi urządzeń IoT. Pozostałe 20 % eliminuje opracowany w ramach projektu lekki protokół szyfrowania, zapewniając doskonałe szyfrowanie nawet na najprostszych urządzeniach. Osiągnięcie tego celu było możliwe dzięki rozwiązaniu programowemu, które zabezpiecza transmisję danych i uwierzytelnianie urządzeń w ramach komunikacji na linii maszyna-maszyna. Kolejnym ważnym aspektem systemu ELIoT Pro jest możliwość samodzielnej naprawy realizowanej na podstawie analiz predykcyjnych opartych na sztucznej inteligencji. Dzięki temu system jest w stanie wykryć anomalie, w tym również cyberataki, a także przewidywać awarie urządzenia lub systemu. „Koncepcja ELIoT Pro sprawia, że opracowany przez zespół zestaw rozwiązań może zostać wykorzystany w całym segmencie sieci IoT, niezależnie od branży”, dodaje Wolosewicz. „Nasz system jest wykorzystywany w przemysłowych urządzeniach internetu rzeczy, w inteligentnych budynkach, domach i miastach. Na rynku nie istnieje drugie kompleksowe rozwiązanie porównywalne z naszym”. Zespół projektowy zawarł w związku z tym umowy z największymi podmiotami działającymi we wspomnianych sektorach. Obecnie badacze zamierzają skupić się na pozyskiwaniu nowych klientów, jednocześnie dbając o zwiększanie sprzedaży oraz marketing opracowanego przez siebie produktu.
Słowa kluczowe
ELIoT Pro, IoT, szyfrowanie, hasła, statyczne dane uwierzytelniające, bezpieczeństwo, internet rzeczy, hasło jednorazowe, token transakcyjny, sztuczna inteligencja, samonaprawa