IoT (Internet of Things): gevaren, valkuilen en beveiligingstips
IoT (Internet of Things) apparaten zijn niet meer weg te denken uit de samenleving. Zowel thuis als op het werk hebben we er mee te maken en moeten we er mee om gaan, het liefst op een gecontroleerde en veilige manier. Deze blog gaat in op een aantal gevaren van IoT apparaten en hoe je deze het best zou kunnen oplossen.
Door Rudy Baving
Allereerst een korte definitie van wat een IoT apparaat nou precies is:
“ Een ontwikkeling van het internet, waarbij alledaagse voorwerpen zijn verbonden met het netwerk en gegevens kunnen uitwisselen.”
IoT biedt veel voordelen voor verschillende groepen:
Commerciële groepen kunnen bedrijfsprocessen bijvoorbeeld veel efficiënter inrichten, kunnen uitgaven verminderen met betrekking tot opslag en vervoer van goederenkosten voor logistiek/opslag en kunnen klantgerichter verkopen.
Op sociaal en politiek vlak kunnen we bijvoorbeeld heldere en up to date informatievoorziening bewerkstelligen voor burgers en klanten, een beter zorgstelsel ontwerpen en een veiligere verkeersinfrastructuur maken voor iedere verkeersdeelnemer.
Op persoonlijke vlak kunnen we het algemene leven prettiger en veiliger maken door gebruik van nieuwe diensten.
IoT kan enorm veel voordelen opleveren voor het hedendaagse leven en industrie. IoT is hier, en het zal blijven (groeien).
Toch moeten we stilstaan bij een aantal dingen die verkeerd kunnen gaan bij onjuist gebruik van IoT.
Altijd aan
IoT bestaat uit apparaten die op een of andere manier zijn verbonden met het internet. Data tussen de verschillende apparaten wordt gedeeld met andere apparaten die deel uitmaken van hetzelfde netwerk EN met het internet. Denk bijvoorbeeld aan een Smart-TV, het is bijna onmogelijk om tegenwoordig nog een “domme” TV aan te schaffen. Of wat dacht je van je smartwatch, die minstens een keer per dag contact maakt met je smartphone? Om nog maar niet te spreken over al die “slimme” apparaten die we thuis verder hebben, je energiemeter, je mooie lampen die je op afstand kunt bedienen. Misschien heb je wel een elektrische auto en kijk je nu op je smartphone omdat je wilt weten of je nog naar de supermarkt kan met de restlading. 24 uur per dag, zeven dagen per week…..altijd aan, altijd data verzamelend, vele apparaten die data doorsturen om te worden verwerkt naar informatie waar we iets mee kunnen. We kunnen slechts gissen waar al die data ook nog voor dient.
Kwetsbaar voor aanval
Al die mooie apparaten kunnen kwetsbaar zijn voor een aanval. Veel IoT apparaten gebruiken het Universal-Plug and Play Protocol om zichzelf te verbinden aan het netwerk en / of het internet. Besef goed dat het Universal-Plug and Play Protocol een protocol is welk zonder toestemming van de gebruiker een verbinding kan openzetten op je router.
En wat dacht je van zwakke of zelfs default wachtwoorden gebruiken op je IoT apparaten? Klinkt niet echt als een handige zet, toch laten veel mensen deze wachtwoorden voor wat ze zijn. Gemak dient immers de mens.
Mirai BotNet aanval
Op 21 oktober 2016 zijn aanvallers erin geslaagd om een succesvolle DDOS aanval te plegen op het bedrijf Dyn. Dyn is verantwoordelijk voor een groot gedeelte van het DNS verkeer. Deze aanval was succesvol doordat de Mirai malware IoT apparaten infecteerde die een default wachtwoord hadden. Meer dan 100.000 apparaten werden geïnfecteerd en namen deel aan de aanval. Een aanval die 2x sterker was dan dat men ooit had vernomen, veel bedrijven waren urenlang niet bereikbaar. Twitter, CNN, NetFlix en Reddit waren de bedrijven die uiteindelijk het meeste last hadden van deze grootschalige aanval, die voorkomen had kunnen worden door het veranderen van het default wachtwoord op de apparaten.
Senrio Devil’s Ivy aanval
In 2017 werd door het securitybedrijf Senrio een kwetsbaarheid ontdekt in veel IoT apparaten, beter bekend als Devil’s Ivy. De werkwijze van een aanval om deze kwetsbaarheid uit te buiten is simpel en doeltreffend;
De aanvaller benadert een kwetsbaar apparaat, zoals een ip camera of slimme lamp. Door middel van het terugzetten van de fabrieksinstellingen neemt de aanvaller het apparaat over. Gebruikmakend van het apparaat breekt de aanvaller in op je router, of hij wacht tot er iemand inlogt op je router waarna hij door middel van sniffing het wachtwoord achterhaalt. Door de router over te nemen kan de aanvaller ook beveiligde IoT apparaten benaderen op je (bedrijfs) netwerk.
Maak je netwerk en je apparaten veilig!
- Isoleer waar mogelijk je IoT apparaten. Een mooie methode is om gebruik te maken van VLAN’s waardoor deze apparaten op hun “eigen” netwerk zitten en niet op je hoofdnetwerk.
- Zet het UPnP (Universal-Plug and Play Protocol) uit op je router.
- Koop IoT apparaten van gerenommeerde fabrikanten, je bent misschien wat duurder uit dan bij de Chinese webshops maar meestal is goedkoop duurkoop.
- Zorg dat je IoT apparaten geüpdatet kunnen worden en doe dit dan ook regelmatig.
- Verander de default wachtwoorden naar je eigen wachtwoorden, zorg dat deze sterk zijn en moeilijk te achterhalen.
- Zet op je WiFi Access Point een sterk wachtwoord, zorg ook dat de encryptie-methode sterk is.
- Weet wat er op je netwerk hoort en kom in actie wanneer je een apparaat tegenkomt dat afwijkend gedrag vertoont of dat je niet herkent.
Rudy Baving
Security Consultant / Security Trainer
TSTC ICT & Security Trainingen