IoT

Ботнеты атакуют IoT: новый подход к безопасности встраиваемых систем

Предпосылка разработки систем встроенной безопасности уже на этапе проектирования IoT-устройств давно назрела, но стала особенно актуальной, когда появились десятки миллионов уязвимых IoT-устройств, число которых постоянно растет.
1773
В избранное

Распространение ботнетов, ориентированных на Интернет вещей (IoT), стало реальной угрозой для таких сфер как домашняя автоматизация, интеллектуальные города и промышленные сети. Ботнеты, участвующие в децентрализованных хакерских атаках типа «отказ в обслуживании» (DDoS), известны довольно давно. Относительно недавно появились специфичные ботнеты для IoT.

Сегодня уже понятно, насколько разрушительным может быть их воздействие. При массовом подключении устройств к Интернету недостаточная степень защиты может парализовать устройства IoT. Рассмотрим ботнеты с точки зрения вирусной уязвимости систем безопасности устройств IoT, а также определим ключевые способы защиты устройств от них.

Ботнеты и потенциал их применения

Ботнет – это множество подключенных к сети и зараженных вредоносными программами устройств IoT. Злоумышленник имеет возможность дистанционного управления устройствами, может координировать такие действия как запуск атаки DDoS. Ботнеты также называют ботсетями или просто роботами и ботами, они могут использоваться для рассылки спама, кражи секретных паролей и распространения вирусов-вымогателей.

Ботнеты для IoT отличаются от аналогов на базе Windows тем, что они построены из взломанных IoT-устройств и могут распространяться на огромное количество устройств, используя обширную сеть IoT. Более того, в отличие от обычных ботнетов, которые, в основном, используются для рассылки спама, ботнеты IoT могут нанести гораздо больший ущерб, воздействуя на доступную для устройств IoT физическую среду.

Например, атака ботнетов IoT на светофоры может создать хаос в городе и разрушать интеллектуальную городскую инфраструктуру. Аналогичным образом хакеры способны увеличить температуру в умных домах и искусственно повысить спрос на нефть или газ.

В отличие от персональных компьютеров и серверов, которые защищены фильтрующими функциями файерволов и детекторами вредоносных программ, IoT-устройства становятся для ботнетов привлекательными целями, поскольку они обычно не используют такие расширенные функции безопасности.

Угроза для кибербезопасности, связанная с распространением ботсетей IoT была предсказана в 2016 году, но специалисты по безопасности в Интернете не уделили достаточно внимания этой проблеме. В то время эта угроза представлялась довольно ограниченной. Однако вскоре появился набор инструментов, позволяющих ботнетам пользоваться уязвимостью в незащищенных устройствах IoT. Атака Mirai в октябре 2016 года стала ключевым поворотным моментом в развитии IoT.

Mirai и еще один ботнет IoT, называемый Bashlight, использовали уязвимость в упрощенной версии операционной системы Linux, которая используется в таких встраиваемых устройствах как веб-камеры и цифровые видеорегистраторы (DVR), а затем загружали вредоносное ПО с сервера контроля и управления.

Затем они начали распространять это ПО на другие уязвимые устройства, непрерывно сканируя оставленные по умолчанию или неизмененные имена пользователей и пароли. Именно так они начали DDoS- атаку, заразив огромное количество подключенных устройств. Вредоносными программами Mirai было использовано более 50 000 IP-камер .

Ботнеты выявили недостатки в разработке встраиваемых систем

Распространение ботнета Mirai стало первым тревожным звонком, продемонстрировавшим уязвимость незащищенных сетевых устройств, когда их распространение достигло рекордно высокого уровня. Занимающаяся исследованиями рынка компания Gartner прогнозирует к 2020 году 20,8 млрд. подключенных к сети объектов IoT. Случай с Mirai также показал, как хакеры могут взять под контроль и использовать в ботсети любое уязвимое IoT-устройство.

Mirai и другие ботнеты IoT повысили требования к уровню безопасности для встраиваемых систем и выявили ключевые недостатки в их разработке:

  • выбор упрощенных схем IoT и недорогих компонентов неизбежно снижает уровень защиты встраиваемых устройств;
  • вычислительная мощность и объем памяти IoT-устройств рассчитаны лишь на решение функциональных задач, и это не позволяет уделять должное внимание безопасности;
  • сжатые сроки разработки иногда приводят к тому, что разработчики IoT вообще не уделяют внимания безопасности устройств;
  • для упрощения проектирования и сокращения затрат многие проекты IoT основаны на повторном использовании программных и аппаратных компонентов. Однако при этом в совершенно разных классах IoT-устройств учетные данные также предоставляются по умолчанию;
  • выявление заражения на встроенных устройствах изначально затруднено, поскольку им не хватает прозрачности ОС и упрощенного доступа. Поэтому, вместо того чтобы обращаться к самой ОС, мониторинг и обнаружение выполняются через громоздкие точки доступа, такие как веб-браузеры или приложения для смартфонов;
  • большинство встроенных систем работает на одном из вариантов Linux, который не защищен, пока не выполнена установка дополнений, и конфигурирование защиты. Хакеры в основном используют лазейки Linux в роутерах и телеприставках.

Ботнеты IoT уже атакуют веб-камеры, Wi-Fi-роутеры и приставки. Они были использованы для запуска DDoS-атак против игровых онлайн-сервисов. Хакеры также неудачно попытались использовать в качестве устройств для ботнета маршрутизаторы Deutsche Telekom.

Что дальше? Умные холодильники, лампочки, дверные замки и подключенные к сети автомобили? Наиболее успешные ботнеты, будучи внедренными в инфраструктуру банков, больниц и «умных зданий», могут вызвать и проблемы гораздо большего масштаба.

Основа защиты – надежная многоуровневая система безопасности

Как же создать надежную систему защиты от новой угрозы для подключенных к сети устройств? Как обеспечить безопасность на нескольких уровнях – от датчиков до узлов IoT, вплоть до облачных сервисов, чтобы обеспечить безопасность разных точек входа в сеть IoT? К основам безопасности для встраиваемых систем относятся:

  • разработка многоуровневой безопасности для встраиваемых систем, которая включает защиту узлов, хранилищ, сети и экосистемы в целом;
  • проектирование защищенных встраиваемых аппаратных средств.

Реализация многоуровневой системы безопасности

На рис. 1 представлена разработка многоуровневой защиты для встраиваемой системы, включающая защиту узлов, хранилищ, сети и экосистемы в целом. Эти апробированные методы для защиты от ботнетов IoTнеразрывно связаны с инфраструктурой безопасности, встроенной в изделие на весь жизненный цикл продукта.

Угрозы со стороны ботнетов IoT требуют многоуровневой системы безопасности для сетевых встраиваемых систем

Рис. 1. Угрозы со стороны ботнетов IoT требуют многоуровневой системы безопасности для сетевых встраиваемых систем

Узел

Чтобы убедиться, что IoT-устройства работают в известном и безопасном состоянии, и что их содержимое остается конфиденциальным, Необходимо использовать процесс защищенной загрузки с доверенной аппаратной проверкой,. Защищенная загрузка – краеугольный камень безопасности встраиваемых устройств, она является первой линией защиты от таких нарушителей безопасности, как ботнеты.

Однако при обновлении прошивки следует помнить, что хакеры могут использовать беспроводной вариант обновления для внедрения собственных вредоносных программ. Следовательно, чтобы гарантировать, что устройства IoT получают программный код только от надежных источников, необходима проверка подлинности.

Сеть

  • Подключайте IoT-устройства только в средах, использующих межсетевые экраны. Это позволит контролировать входящий трафик и выявлять угрозы на основе поведения, сигнатур, истории IP и перекрестного опроса данных, объединяемых с конечных точек IoT.
  • Пользуйтесь сервисами подавления DDoS-атак и инструментами, которые используют надежные сети передачи данных, принимая на себя основную нагрузку при атаке.
  • Обеспечьте безопасную связь между IoT-устройствами и другими системами, такими как облачные сервисы, используя зашифрованные ссылки на основе протоколов, подобных Transport Layer Security (TLS). Этот способ предотвращает атаки через посредника, захватывая и анализируя данные при переходах.
  • Организуйте аппаратную реализацию стеков TLS, такую как OpenSSL. Аппаратная реализация устраняет уязвимости программного обеспечения, создавая дополнительные уровни безопасности.

Безопасное хранение данных

Системы IoT требуют строгой аутентификации для определения и проверки идентификатора узла и устройства. Люди, как правило, приравнивают шифрование к безопасности, но когда дело доходит до защиты от кибер-угроз со стороны ботнетов, аутентификация является основным элементом обеспечения безопасности IoT.

Проектирование безопасного встроенного оборудования

Предпосылка разработки системы безопасности для встраиваемых устройств уже на начальном этапе проектирования давно назрела. Все должно начинаться с разработки оборудования, защищенного от несанкционированного доступа, которое предлагает комплексные решения безопасности, а не простой набор дополнений и исправлений ПО.

Традиционная аппаратная безопасность может включать несколько условий защиты:

  • аппаратный модуль безопасности (HSM), который требует базу данных для хранения, защиты и управления ключами. Это, в свою очередь, определяет начальные условия для  инфраструктуры и управления;
  • доверенный платформенный модуль (TPM), который интегрирует криптографические ключи в устройства. Однако он не очень подходит для недорогих приложений IoT;
  • стек безопасности, построенный на верхнем уровне микропроцессора или микроконтроллера. Но эта схема требует множества процессорных циклов для ускорения аутентификации приложения и прошивки. По этой причине аппаратные средства безопасности, построенные на основе центрального микропроцессора или микроконтроллера, имеют ограниченное применение во многих конструкциях IoT- при аутентификации они требуют интенсивных вычислительных операций, перегружающих систему и замедляющих работу чипсета.

Микроконтроллеры с системой безопасности, например, ATECC508A Microchip, обеспечивают аутентификацию узлов IoT и затрудняют для ботнетов вход в систему

Рис. 2. Микроконтроллеры с системой безопасности, например, ATECC508A Microchip, обеспечивают аутентификацию узлов IoT и затрудняют для ботнетов вход в систему

По вышеизложенным причинам традиционные для систем безопасности решения не подходят для встраиваемых систем. Вместо этого проблему уязвимости программного обеспечения решают хранением электронных ключей и ускорением процессов криптографии, для чего в конструкции встроенных IoT-устройств используют специальные процессоры безопасности. Этому способствуют аппаратная реализация стека хорошо известного транспортного уровня безопасности (TLS), такого как OpenSSL, что позволяет узлам IoT проводить автоматическую аутентификацию соединения с облаком.

Первым делом эти недорогие сопроцессоры, подключенные к хосту микропроцессора или микроконтроллера по интерфейсу I²C, облегчают функцию защищенной загрузки для защиты от поддельной прошивки. Хорошим примером реализации встроенной безопасности для IoT является типовой проект MAXREFDES143 компании Maxim. В нем узел промышленного зондирования защищен посредством аутентификации и уведомления веб-сервера. Алгоритм однопроводной аутентификации DeepCover Secure использует SHA-256 с интерфейсом 1-Wireи 512-битное пользовательское ЭСППЗУ, что делает возможным проверку подлинности данных на всех уровнях, от узла датчика до веб-сервера.

Эти криптографические микросхемы (рис. 2) - миниатюрные микроконтроллеры - используют аппаратное ускорение криптографических операций для выполнения надежной аутентификации, чтобы защитить закрытые ключи, сертификаты и другие конфиденциальные данные безопасности и таким образом обеспечить защиту от вторжения ботнета. Кроме того, они упрощают взаимную аутентификацию с облачными сервисами, например, Amazon Web Services (AWS), упрощая программную реализацию безопасности. Стоит отметить, что стандартный протокол TLS традиционно выполняет проверку подлинности и хранит закрытые ключи в программном обеспечении.

Заключение

Лавинообразное распространение подключаемых к Интернету IoT-устройств может столкнуться с неожиданной преградой. В настоящее время ботнеты IoT в основном ориентированы на веб-серверы и серверы приложений. Но они потенциально могут быть использованы для выполнения более разрушительных, чем те, что уже случались, атак. Например, они могут повлиять на физические измерения в «умном здании», вмешиваясь в операции наблюдения, создать хаос на улицах, нарушив систему работы светофоров.

Предпосылка разработки систем встроенной безопасности уже на этапе проектирования IoT-устройств давно назрела, но стала особенно актуальной, когда появились десятки миллионов уязвимых IoT-устройств, число которых постоянно растет. Пользователи IoT только открывают для себя темную сторону Интернета. А локомотив под названием IoT набирает ход. Настало время пересмотреть подход к проблеме безопасности встраиваемых устройств. Пора действовать.

Журнал: ELECTRONICS INFORMATION UPDATE, август 2017 г.
Производитель: Maxim Integrated
Наименование
Производитель
Описание Корпус/
Изображение
Цена, руб. Наличие
MAXREFDES143#
MAXREFDES143#
Maxim Integrated
Арт.: 2195351 ИНФО PDF AN RD
Доступно: 95 шт.
Выбрать
условия
поставки
MAXREFDES143# subsystem reference design secures industrial IoT systems using a DS2465 SHA-256 Coprocessor and DS28E15 SHA-256 authenticator with 1-Wire.
MAXREFDES143# от 6836,51
95 шт.
(под заказ)
Выбрать
условия
поставки
Производитель: Microchip Technology Inc.
Наименование
Производитель
Описание Корпус/
Изображение
Цена, руб. Наличие
ATECC508A-SSHDA-B
ATECC508A-SSHDA-B
Microchip Technology Inc.
Арт.: 2290630 PDF RD DT
Поиск
предложений
CRYPTO AUTHENTICATION, I2C, 5.5V, WSOIC8
ATECC508A-SSHDA-B от 4000 шт. от 66,28
-
Поиск
предложений
ATECC508A-SSHCZ-B
ATECC508A-SSHCZ-B
Microchip Technology Inc.
Арт.: 2399479 ИНФО PDF RD DT
Поиск
предложений
ИС для схем безопасности/ ИС для авторизации ECDH/ ECC 10 Kb 8ld SOIC SWI, Bulk.
ATECC508A-SSHCZ-B от 4000 шт. от 66,28
-
Поиск
предложений
ATECC508A-MAHCZ-S
ATECC508A-MAHCZ-S
Microchip Technology Inc.
Арт.: 2399554 PDF RD DT
Поиск
предложений
CRYPTO AUTHENTICATION DEVICE, I2C, UDFN8
ATECC508A-MAHCZ-S от 3000 шт. от 64,98
-
Поиск
предложений

Сравнение позиций

  • ()