100mphLider
41piorunówNa kanwie dzisiejszych wydarzen zwiazanych z atakiem hackerskim na lodowki sklepowe w calej Polsce ... pozdrawiam wszystkich, ktorzy maja piece podlaczone do smarthome i inne urzadzenia sterowane przez internet.
#polskiedomy #smarthome #cyberbezpieczenstwo #technologia #internet
Litera S w IoT oznacza bezpieczenstwo
@Ragnarokk litera A w volvo oznacza Aerodynamiczny
@100mph przecież większość tych domowych urządzeń jest dostępne przez chmurę producenta i nie ma panelu admina wystawionego do neta. Na shodanie swojej lodówki LG nie znajdziesz.
@FoxtrotLima - brak panelu admina dostępnego z internetu nie oznacza braku ekspozycji. Shodan pokazuje głównie usługi, które da się znaleźć i rozpoznać z zewnątrz a urządzenie sterowane przez chmurę może w ogóle nie nasłuchiwać połączeń przychodzących, a mimo to zależeć od aplikacji, API i infrastruktury producenta. Bezpieczeństwo trzeba więc oceniać dla całego produktu, nie tylko samego sprzętu.
Najważniejsze zagrożenia:
* Problemy w chmurze lub API producenta - błędy uwierzytelniania i kontroli dostępu mogą ujawnić dane albo pozwolić przejąć konto czy sterowanie urządzeniem. Urządzenie nie musi być bezpośrednio widoczne w internecie.
* Przejęcie konta użytkownika - wyłudzone, powtórnie używane lub słabe hasło do aplikacji może dać dostęp do urządzeń i danych przypisanych do konta.
* Wyciek danych - urządzenie może wysyłać do chmury informacje o użytkowaniu, harmonogramach, lokalizacji albo stanie domu; ryzyko dotyczy zarówno transmisji, jak i przechowywania danych.
* Niebezpieczne aktualizacje lub nieaktualne oprogramowanie - luki w firmware, bibliotekach, aplikacji lub usłudze chmurowej mogą pozostać niezałatane, zwłaszcza gdy producent zakończył wsparcie.
* Przejęcie urządzenia przez sieć lokalną - atakujący, który już dostał się do domowej sieci, może szukać słabo zabezpieczonego urządzenia lub wykorzystać je jako punkt wejścia do innych sprzętów. To inne ryzyko niż bezpośredni dostęp z internetu.
* Awaria lub przejęcie usługi producenta - może przerwać zdalne sterowanie, ujawnić dane albo - zależnie od projektu - umożliwić nieuprawnione wydawanie poleceń. Zależność od chmury to także ryzyko dostępności, nie tylko poufności.
* Botnet lub nadużycie zasobów - zainfekowane urządzenie może zostać użyte do ataków na innych, nawet jeśli właściciel nie wystawił mu publicznego panelu. NIST wymienia zarówno ryzyko botnetów, jak i problem niewystarczającego monitorowania oraz aktualizacji w urządzeniach IoT.
@koszotorobur dzięki za ten ai slop
@FoxtrotLima Nawet jeśli coś słucha tylko lokalnie, to poza wymienionymi powyżej opcjami, "fajnym" patentem na atak jest XSS na jakąś stronkę, który osadza tam skrypt robiący intranet CSRF (atak, gdzie JS preparuje request na 192.168.X.X albo inny lokalny adres, i robi tam niecne rzeczy).
@FoxtrotLima - nie ma za co - zawsze do usług jeśli widzę, że trzeba trochę więcej informacji dla nieświadomków wcisnąć, oczywiście za leniwy jestem by sam pisać, ważne, że z grubsza się info zgadza :smirk:
@FoxtrotLima a co tam się nie zgadza? Z tego co czytam, to raczej wszystko ok i przykłady też ok. Może tylko pierwszy się dubluje z przedostatnim, chociaż nie do końca.
Pytam, bo jak tam widzisz błędy, to powinienem je też widzieć, bo za kilka tygodni mam egzamin z podstaw cyberbezpieczeństwa.


















