Securitywatch: den egentlige grund til at jeg ikke har et sikkerhedskamera

Min partner og jeg fik for nylig en hund, som i årtusinder er det samme som at sige, at vi havde et barn. Nu havde vi allerede og har stadig andre kæledyr i vores hjem. Vores ondskab af yndig, lyserøde næse rotter kan variere i størrelse, men det har været en konstant i livene til min partner og mig selv i næsten et årti. Sagen ved rotter er, at de er lige så glade i et bur med deres rottevenner, som de er med dig. På den anden side er hunde ikke glade, når du er væk, og som et resultat er du heller ikke glad. Da vi fik hunden (hvis navn er Lulu og hun er den bedste hund ved enhver objektiv måling), foreslog min partner, at vi fik et webcam eller en video-babymonitor, så vi kunne holde øje med vores hundebarn, mens vi var på arbejde.

Jeg indrømmer, jeg blev fristet. Som jeg nævnte, fylder vores kæledyr børnenes roller for os, og jeg bruger en ikke-ubetydelig mængde tid på at græde over mine dyr, når jeg er på arbejde, især i somre i NYC, der kombinerer Death Valley's varme med den sygende fugtighed i en armhule. På trods af disse bekymringer var jeg ubehagelig. Min partner er meget klar over mine paranoiske tendenser, og efter at vi havde snakket om det, er vi enige om: Vi har ikke et sikkerhedskamera i vores hus.

Det er ikke, som du måske tror, ​​fordi jeg er bange for, at hackere ser mine intime øjeblikke eller efterretningsbureauer hører mine ord, selvom det er reelle trusler. Nej, min bekymring er, at en hvilken som helst internet tilgængelig enhed på mit netværk kunne kapres og omdannes til et våben til masseødelæggelse online.

De uhyggelige hacks er virkelige, men kan undgås

Vi kommer til min frygt, men først skal jeg erkende, at ja, uhyggelige ting sker med IoT-enheder, og det kan være rigtig dårligt. På egen hånd er det en gyldig grund til at hestituere før du får et internetforbundet kamera eller babymonitor.

Historier bugner af mennesker, der hører stemmer fra creepers, der kommer gennem deres babymonitor, eller opdager, at nogen har brugt kameraet på deres computer til at tage pinlige billeder. En særlig lumsk praksis kaldes "sextortion", hvor en angriber truer med at frigive pinlige fotos taget fra et kapret webcam (som han måske måske ikke har) medmindre offeret leverer seksuelt eksplicit materiale. Dette er afskyeligt af sig selv, og det faktum, at unge mennesker ofte er målene for disse angreb, er beklageligt.

Det er normalt sværere at angribe dette afskyelige, fordi de kræver målretning mod et specifikt individ, men den dårlige stamtavle på mange Internet of Things-enheder, herunder nogle sikkerhedskameraer og tilsluttede babymonitorer, gør dem lettere at mærke. Hvis du vil finde et mål, kan du se på Shodan - en søgemaskine med enheder, der er tilsluttet internettet. At angribe en bestemt person vil sandsynligvis involvere fysisk adgang til enheden eller omhyggeligt konstruerede phishing-angreb, men Shodan kan sandsynligvis forbinde dig med et uvidende, hvis noget tilfældigt, offer.

Disse grove, invasive angreb er en reel trussel, men de kan også afhjælpes uden megen teknisk know-how. Et enkelt stykke tape på tværs af en linse eller tør vaskeklud, der smides over en enhed, kan gøre et kamera helt blindt. Babymonitorer kan afbrydes - eller endnu bedre, ikke tilladt at oprette forbindelse til internettet i første omgang. Jeg kan håndtere det alene.

Hvad der virkelig skræmmer mig

Der var en Black Hat-præsentation, der altid hænger sammen med mig. I det demonstrerede præsentanten, hvordan han kunne tage kontrol over et tilsluttet sikkerhedskamera. Det er skræmmende, men hvad der fik mig var programlederens pointe om, at disse kameraer bare var små Linux-computere, og at de kunne bruges til at gøre alt, hvad en angriber ønskede. Han hævdede også, at langt de fleste af kameraerne på markedet havde store mangler.

Et par år senere begyndte smarte hjem-enheder at ramme hylderne, og jeg hørte fortsat fra sikkerhedsfirmaer, at de virkelig var bekymrede. De havde den samme bekymring som Black Hat-præsentanten; at det måske er muligt at kapre en smart enhed og bruge den til alle slags uærlige formål.

Ikke længe efter blev disse frygt virkelighed, og det var værre end forventet. Mirai-malware skannede automatisk internettet for tilgængelige forbindelser og brugte derefter et batteri angreb til at bryde ind i IOT-enheden, alt uden input fra et menneske. Mirai målrettede enheder, der kører indlejrede versioner af Linux, fra tv'er til routere og var i stand til at samle et betydeligt botnet. Det var stort nok til at tage en DNS-udbyder ned, hvilket igen fik websteder som GitHub, Netflix og Twitter til at være utilgængelige.

Mirai var bare et eksempel, men det er vendt tilbage igen og igen. Ifølge Wikipedia er der blevet opdaget varianter af Mirai-malware flere gange i løbet af det sidste år, med nogle observationer så sent som i februar 2019.

Mirai var begrænset til kun en håndfuld enheder, men det var stadig brutalt effektivt. Hvad der ville være værre, er et endnu mere avanceret angreb - måske mindre automatiseret, måske ikke - der kunne springe fra en inficeret lyspære til min router og derefter igen til enhver enhed på netværket. Dette ville gøre IoT-enheden til et strandhoved eller fodfæste, så angriberen eller malware kunne "dreje" ind i det mere værdifulde netværk.

Der er givetvis forbedringer i tilsluttede kameraer og babymonitorer, og IoT mere generelt, men industrien er stadig nødt til at gøre mere. Virksomheder skal sikre, at deres enheder har overlevet et batteri af test for at undersøge for svagheder, og i det mindste bør omfatte en mekanisme til opdatering eller udskiftning af enheder, der viser sig at være sårbare. Sælgere skal antage, at deres enheder vil blive angrebet, indbygge sikkerhedsfunktioner og huske, at deres produkter ikke altid er brugervenlige, nogle af dem mangler skærme eller nogen form for interface.

Besætning Immunitet

Der er også nogle forholdsregler, der er tilgængelige for almindelige mennesker. Du kan se på at købe IoT-sikkerhedsenheder som Bitdefender Box, eller routere med indbygget sikkerhedssoftware. (Denne sidste er vigtig, når du overvejer, at en router, ligesom en IoT-enhed, bare er en computer, der kan bruges til det onde.) Du kan sikre dig, at dine enheder er opdaterede med de nyeste softwarepatcher, og ændre eventuelle standard adgangskoder. Alligevel går det kun så langt. Der er næsten ingen måde at fortælle fra at se på en boks, om sikkerhedskameraet indeni bruger underskrevet kode i sine opdateringer, eller om det har hardkodede legitimationsoplysninger, der er usynlige for brugeren og en potentiel bagdør for angribere.

Det er bemærkelsesværdigt, hvor meget af dette råd og meget af sikkerhed generelt er indhyllet i ideen om personlig sikkerhed og ansvar. Du skal beskytte din maskine og dine personlige oplysninger. Som det var tilfældet med Mirai, kan et vellykket angreb på mig hurtigt blive et angreb på min familie, mine venner, mit samfund og folk, jeg aldrig vil kende. Det vil ikke kun skabe problemer med min internetudbyder, det betyder, at jeg uforvarende har skadet folkene omkring mig.

Dette minder mig om begrebet besætningsimmunitet. Det er når en høj nok procentdel af en befolkning enten er immun eller vaccineret mod en bestemt sygdom, som ingen bliver syge. Befolkningen beskytter hinanden ved at gøre det umuligt for smitte at sprede sig. At sætte et sikkerhedskamera i mit hus er ikke bare en risiko for mig, det kan også gøre andre lidt mindre sikre.

Lulu, den bedste hund, kæmper stadig med at være behagelig alene. Vi har for nylig fået hende et kassedæksel, fordi hunde tilsyneladende naturligt drages til en mørk, sikker, hule. I stedet trak hun dækslet gennem stængerne, ballede det op og sov på det. Jeg kæmper stadig også, men jeg ved, at løsningen er mere træning for hende og for os, ikke et kamera, der bare vil fortælle mig, hvad jeg allerede ved.

• Hacking Hue: Researchers Worm into the Internet of Things Hacking Hue: Researchers Worm into the Internet of Things
• Rede: Blame svage adgangskoder, ikke os til uhyggelige kamerahændelser Rede: Blame svage adgangskoder, ikke os til uhyggelige kamerahændelser
• SecurityWatch: Lav virksomheder, ikke kunder, lider af dataovertrædelser SecurityWatch: Gør virksomheder, ikke kunder, lider af dataovertrædelser

Uanset hvilken lille sikkerhed, et sikkerhedskamera ville give mig, er det ikke værd at være en del af et ødelæggende angreb. Det lægger min egen ro i sindet over andre, og det er ikke en handel, jeg er villig til at udøve. IoT-teknologien forbedres, og der er bedre værktøjer til at beskytte disse enheder, men det er stadig ikke nok for mig at føle mig komfortabel endnu. Jeg er begyndt at tænke på enhederne på mit netværk som mit ansvar, for min skyld og for andre, og for mig er disse enheder en risiko, som jeg endnu ikke er villig til at tage.