Рассмотрены существующие уязвимости системы "Умный дом". Определены характерные уязвимости информационной безопасности некоторых устройств, входящих в систему "Умный дом". Предложены методы повышения информационной безопасности систем "Умный дом".
Концепция "Интернет вещей" базируется на повсеместном внедрении следующих технологий: беспроводные сети, облачные вычисления, межмашинное взаимодействие. Данная концепция набирает популярность, потому что направлена, в первую очередь, на повышение комфорта каждого человека начиная от смартфона, который может проверять почту и сигнализировать о новых сообщениях в социальных сетях и заканчивая беспилотным автомобилем.
По мере того, как IoT все больше проникает в повседневную жизнь людей, возрастают и риски информационной безопасности. В реалиях современного информационного пространства риски, связанные с использованием технологий IoT, актуальны для всех пользователей.
С точки зрения информационной безопасности "Интернет вещей" несет в себе риски, связанные, в первую очередь, с личными данными человека. Например, сенсоры в системе "Умный дом" отслеживают передвижения человека по дому и корректируют освещение, служба такси при вызове получает данные о местоположении от смартфона, с которого осуществляется вызов, "умные часы контролируют пульс и могут вызвать "скорую", если человеку будет плохо, браузер собирает информацию о страницах, которые посещал человек и т.д. Вся эта информация накапливается и предоставляется различным сервисам, облегчающим жизнь человека. Добавление к этим данным сведений о банковских реквизитах, медицинских данных формирует достаточно полное досье на человека.
В ходе анализа технологии концепции "Интернет вещей" более подробно рассматриваются уязвимости системы "Умный дом". Умный дом – это автоматизированное строение современного типа, организованное для удобства людей при помощи высокотехнологичных устройств. Это может быть не только жилой дом, но также и государственное учреждение, стадион и даже аэропорт.
В умном доме одно устройство может управлять поведением других устройств по заранее выработанным алгоритмам. Главной особенностью интеллектуального здания является объединение отдельных устройств в единый управляемый комплекс.
При анализе уязвимостей системы "Умный дом" было выявлено следующее:
Управление компонентами системы "Умный дом" должно вестись только после аутентификации пользователя и его дальнейшей авторизации. Ввиду того, что управление наиболее часто производится со смартфона или с другого портативного устройства, соединяющегося посредством беспроводной связи, возникает угроза перехвата идентификационных и (или) аутентификационных данных третьими лицами. Перехват может быть реализован через внедрение вредоносного программного обеспечения в устройства системы "Умный дом", использование существующих уязвимостей программного обеспечения устройств, прослушивание канала связи управляющего устройства (например, смартфона пользователя системы "Умный дом") с устройствами системы "Умный дом" и т.д. Отсутствие механизма аутентификации санкционированного пользователя подтверждается существованием программных средств, с помощью которых можно получить несанкционированный доступ к устройствам системы "Умный дом".
Примерами таких программных средств являются Shodan и Censys. Их практическое применение представлено в статье "IoT Privacy and Security Challenges for Smart Home Environments", п. 4.3 "Vulnerability Example".
Полноценных антивирусных систем, обеспечивающих комплексную защиту от вредоносного программного обеспечения, разработанных специально для систем умного дома, не существует. Более того, программный код, свойственный вирусам для систем "Умного дома", не опознается большинством сканеров сигнатур.
Рассмотрим основные уязвимости в программном обеспечении систем "Умного дома", которыми пользуются злоумышленники для внедрения вредоносных программ:
• отсутствие возможности блокировки подключений неавторизованных устройств;
• отсутствие контроля над широковещательной рассылкой датаграмм в сети "Умного дома";
• отсутствие проверки подлинности управляющей программы, передающей пакеты в сеть "Умного дома".
Использование симметричных криптографических систем, дистанционное управление устройствами (например, со смартфона), обновление программного обеспечения устройств, преимущественное использование беспроводной связи для коммуникации устройств друг с другом – все это требует наличия защищенных каналов связи в системе "Умный дом". Недобросовестная реализация протоколов защиты информации на одном из устройств может привести к компрометации всех данных, циркулирующих в системе. Так, каналам связи свойственны следующие уязвимости:
– канал Bluetooth является крайне ненадежным и легко может принять файл с вирусом от злоумышленника, не запросив аутентификационных данных;
– по каналу Wi-Fi злоумышленник может авторизоваться во внутренней сети Wi-Fi "Умного дома" и внедрить вредоносное программное обеспечение;
– уязвимости HTTP-канала, по которому устройства из системы "Умный дом" связываются с внешней сетью Интернет, хорошо изучены и могут позволить злоумышленнику получить контроль над "Умным домом", даже не находясь в его локальной сети;
– через канал GSM злоумышленник может отправить управляющие команды "Умному дому", подменив свой номер номером санкционированного пользователя;
– если сеть "Умного дома" также находится и в другой локальной сети, то вредоносное ПО также может быть внедрено из последней.
Разные компании разрабатывают аналогичные устройства с возможным использованием своих собственных внутренних (нестандартизированных) протоколов обмена данными. Ввиду этого, внедрение устройств от разных производителей в систему "Умный дом" влечет за собой потенциальное наличие уязвимостей информационной безопасности (например, некорректная реализация защищенного соединения между двумя устройствами).
Такая проблема может быть решена приобретением готовой системы у одного производителя. Однако, во-первых, компаний, производящих полноценную систему "Умный дом", на данный момент на рынке представлено мало; во-вторых, как показали недавние исследования независимой организации AVTEST в области информационной безопасности IoT, у многих производителей уровень защищенности систем "Умный дом" находится на низком уровне.
Устройства системы "Умный дом" обладают различным функционалом и набором выполняемых задач. Соответственно, устройства имеют и различные уязвимости:
– Smart TV. Большинство современных Smart-телевизоров оснащены камерами. При недостаточной защищенности системы "Умный дом" злоумышленники могут использовать данные камеры для слежения за пользователями данной системы и помещением в целом;
– Smart fridges. Холодильники в "Умном доме" проверяют срок годности продукции, анализируют хранящуюся в нем пищу и составляют список продуктов, которые необходимо будет купить хозяину дома. Получив контроль над этими данными, нарушитель может узнать, в какое время в доме находятся люди, а когда их нет, способствуя тем самым своему последующему проникновению в дом;
– Smart Cars. Согласно последним исследованиям, злоумышленники могут получить контроль над операционными системами "умных" устройств. Таким образом, они могут осуществлять управление всеми компонентами системы;
– система автоматизированного управления домом. Она является главной системой "Умного дома", обеспечивая контроль, в том числе, за дверьми, окнами, внешними и внутренними камерами, а также сигнализациями. Получив контроль над ней, нарушитель может абсолютно бесследно произвести физическое проникновение на территорию дома.
На основе проведенного анализа уязвимостей системы "Умный дом" рекомендуется следующее:
– устанавливать пароль высокой сложности на профиль администратора системы;
– своевременно обновлять ПО устройств системы "Умный дом" до последней версии;
– внедрять системы слежения за несанкционированным доступом в систему "Умный дом";
– настраивать сети VPN для системы "Умный дом";
– устанавливать межсетевые экраны (файрволы) на границе локальной сети системы "Умный дом", а также настраивать антивирусное ПО под свои потребности;
– использовать решения для системы "Умный дом" от одного производителя для избежания потенциальных уязвимостей.
1. Борисов М.В., Иванов А.П. Актуальные угрозы информационной безопасности интернета вещей // Современные тенденции развития науки и технологий. 2017. № 1–1. С. 23–25.
2. Shodan: поисковик сетевых устройств в сети Интернет. URL: https://www.shodan.io.
3. Кусакин И.И. Программно-аппаратный комплекс автоматизированного контроля целостности инфраструктуры жилых помещений для социального обеспечения // XV Междунар. телекоммуникационная конф. молодых ученых и студентов "Молодежь и наука": тез. докл. В 3 ч. М.: НИЯУ МИФИ. 2012. Ч. 3. С. 156–157.
4. Censys: поисковик сетевых устройств в сети Интернет. URL: https://censys.io.
5. IoT Privacy and Security Challenges for Smart Home Environments. Базель, Швейцария, 2016. URL: https://www.mdpi.com/2078-2489/7/3/44/htm (дата обращения: 04.12.2020).
6. Касперски К. Записки исследователя компьютерных вирусов. С-Пб.: Питер, 2006. 216 с.
7. Аристов М.С. Антивирусный программно-аппаратный комплекс для систем автоматизированного здания // XIV Междунар. телекоммуникационная конф. молодых ученых и студентов "Молодежь и наука": тез. докл. В 3 ч. М.: НИЯУ МИФИ, 2011. Ч. 3. С. 151–152.
8. AV-TEST: Test: Smart Home Kits Leave the Door Wide open – for Everyone. URL: https://www.avtest.org/en/news/test-smart-home-kits-leave-the-door-wide-open-foreveryone (дата обращения: 04.12.2020).
9. Безопасный умный дом: сложная технология, полезная каждому. URL: http://news.ifmo.ru/ru/startups_and_business/startup/news/5832/ (дата обращения: 04.12.2020).