Video: Wi-Fi. Формат кадра | Курс "Компьютерные сети" (September 2024)
Med en stationär dator eller smart mobil enhet är det enkelt att lägga till säkerhetsskydd. Installera bara en säkerhetssvit eller en antivirusapp så är du klar. Det är enkelt just för att enheterna i fråga har avancerade operativsystem som hanterar multitasking och interprocesskommunikation. Hela skyddsmodellen går sönder när det gäller de många anslutna enheter som utgör det vi kallar Internet of Things (IoT).
Datorer och smartphones har gott om processorkraft; de kostar också massor av dollar. En tillverkare som vill lägga till Internetanslutning till en docka eller ett vägguttag måste spendera så lite som möjligt, annars kommer produkten inte att vara konkurrenskraftig. Dessa enheter har inte ens ett operativsystem som sådan. All kod är inbäddad i firmware, och du kan inte bara sko ett antivirusprogram i firmware.
I händelse av ett säkerhetsproblem eller annat fel skriver skrivaren helt enkelt fast programvaran med en ny version. Tyvärr kan skurkar använda den inbyggda firmwareuppdateringsförmågan för besvärliga ändamål. Vad sägs om att byta ut ditt smarta dörrlåss firmware med en ny version som gör allt den ska, men som också öppnar för skurkens kommando? Denna typ av attack är vanligt, och resultaten är vanligtvis obehagliga. Finns det något hopp?
Arxan inuti
Vid den senaste RSA-konferensen i San Francisco talade jag med Patrick Kehoe, CMO för Arxan Technologies, och Jonathan Carter, projektledare för företagets projekt för omvänd teknik och förebyggande av kodmodifiering (ganska munfull!). I enklaste termer, vad Carter team gör är att hjälpa apputvecklare baka säkerhet direkt i firmware.
Carter förklarade att vissa attacker mot IoT-enheter fokuserar på att avlyssna och manipulera eller duplicera nätverkstrafik mellan enheten och en server eller en smartphone. Men Arxans skydd går djupare. "Vi fokuserar på aktiviteten inom mobilenheten, inom IoT-enheten", sa Carter. "Vad vi gör bakom kulisserna, vi hindrar den onda killen från att fånga upp trafiken i första hand. Detta är inte på nätverksnivå, det är inom apparna själva. Vid körtid kan vi upptäcka om någon har försökt smitta firmware-koden."
När en utvecklare sammanställer kod med Arxans teknik är självskydd inbyggt i firmware. Dess komponenter övervakar den aktiva koden (och varandra) för att upptäcka och förhindra ändringar. Beroende på attacken och utvecklarens val kan skyddskoden stänga av en komprometterad app, reparera skadan, skicka en varning eller alla tre.
Kan inte kopiera mig!
Om en angripare lyckas helt byta ut firmware försvinner naturligtvis all den skyddskoden tillsammans med resten av den ursprungliga firmware. Det är där Arxans dämpningsteknik kommer in. Enkelt uttryckt, under skapandet av firmwarekoden, använder Arxans teknik många olika knep för att göra isärtagning och omvänd teknik firmware extremt svår.
Varför är detta viktigt? I en typisk attack för firmware-utbyte måste skurkarna hålla de befintliga firmwarefunktionerna i funktion. Om en hackad pratdocka slutar prata, kommer du troligtvis att slänga den innan de onda kan använda den för att vika in i ditt nätverk. Om ditt hackade smarta dörrlås inte öppnas för dig luktar du en råtta.
Carter påpekade att tillverkare har andra skäl för att skydda firmware mot omvänd teknik. "De oroar sig för kloning eller förfalskning av IoT-enheter, " förklarade han. "Vissa tillverkare är oroliga för att sälja till och med en enhet i Kina. Innan de vet ordet av det visas en knockoff till en bråkdel av priset."
"Vi pansar koden, " fortsatte Carter, "men utvecklarna bör fortfarande följa säker kodningsriktlinjer. De måste ta bort buffertöverskridningsattacker och andra klassiska sårbarheter. Låt oss oroa oss för brott mot integriteten."
Du är jag
Carter påpekade en IoT-enhet med attackpotential som jag inte ens hade tänkt på. Idag får besökare i Disney-temaparker ett Magic Band som låter dem låsa upp hotellrummet, komma in i parken och till och med göra inköp. Det kvalificeras definitivt som en IoT-enhet. Om Beagle Boys hackar ditt Magic Band, kan de städa ut ditt hotellrum och sedan ta en fin middag på Blue Bayou… din godbit! "Självklart, " skrek Carter, "Disney är galen stor på säkerhet." Tyvärr kunde jag inte få honom att utarbeta.
Jag måste säga, jag har varit orolig för att vi inte kan säkra IoT. Jag är inte en firmwareutvecklare, men för mig Arxans inställning, att sätta skydd i varje enhets nödvändiga firmware, verkar som en mycket fungerande strategi.
