Securitywatch: de echte reden waarom ik geen beveiligingscamera heb

Mijn partner en ik hebben onlangs een hond gekregen, wat voor millenials ongeveer hetzelfde is als zeggen dat we een kind hadden. Nu hadden en hadden we al andere huisdieren in ons huis. Ons kattenkwaad van schattige ratten met een roze neus kan in grootte variëren, maar het is al bijna tien jaar een constante in het leven van mijn partner en mijzelf. Het ding met ratten is dat ze net zo gelukkig zijn in een kooi met hun rattenvrienden als met jou. Honden daarentegen zijn niet blij als je weg bent en daardoor ook niet. Toen we de hond kregen (wiens naam Lulu is en ze is de beste hond volgens alle objectieve metingen), stelde mijn partner voor dat we een webcam of video-babyfoon zouden krijgen, zodat we ons hondje in de gaten konden houden terwijl we aan het werk waren.

Ik geef toe, ik werd verleid. Zoals ik al zei, onze huisdieren vervullen de rol van kinderen voor ons, en ik besteed een niet onbelangrijke hoeveelheid tijd aan het piekeren over mijn dieren wanneer ik aan het werk ben, vooral tijdens NYC-zomers, die de hitte van Death Valley combineren met het ziekmakende vochtigheid van een oksel. Ondanks die zorgen voelde ik me ongemakkelijk. Mijn partner is zich zeer goed bewust van mijn paranoïde neigingen, en nadat we erover hadden gesproken, zijn we het erover eens: we zullen geen bewakingscamera in ons huis hebben.

Het is niet, zoals je misschien denkt, omdat ik bang ben dat hackers kijken naar mijn intieme momenten of inlichtingendiensten mijn woord horen, hoewel dat echte bedreigingen zijn. Nee, mijn zorg is dat elk op internet toegankelijk apparaat in mijn netwerk kan worden gekaapt en kan worden omgezet in een wapen voor online massavernietiging.

De griezelige hacks zijn echt maar vermijdbaar

We zullen mijn angsten onder ogen zien, maar eerst moet ik erkennen dat, ja, enge dingen gebeuren met IoT-apparaten, en het kan echt slecht zijn. Op zichzelf is het een geldige reden om te twijfelen voordat je een web-verbonden camera of babyfoon koopt.

Verhalen zijn er in overvloed van mensen die de stemmen horen van klimplanten die door hun babyfoon komen, of ontdekken dat iemand de camera in hun computer heeft gebruikt om gênante foto's te maken. Een bijzonder verraderlijke praktijk wordt 'sextortion' genoemd, waarbij een aanvaller gênante foto's dreigt te maken die zijn genomen met een gekaapte webcam (die hij al dan niet heeft), tenzij het slachtoffer expliciet seksueel materiaal aanbiedt. Dit is op zichzelf walgelijk en het feit dat jongeren vaak het doelwit zijn van deze aanvallen is betreurenswaardig.

Aanvallen die zo gruwelijk zijn, zijn meestal moeilijker uit te voeren omdat ze gericht moeten zijn op een specifiek individu, maar de slechte beveiligingsstambomen van veel Internet of Things-apparaten, waaronder enkele beveiligingscamera's en aangesloten babyfoons, maken ze gemakkelijker markeringen. Als u een doel wilt vinden, kunt u een kijkje nemen op Shodan - een zoekmachine van apparaten die met internet zijn verbonden. Een specifieke persoon aanvallen zou waarschijnlijk fysieke toegang tot het apparaat of zorgvuldig geconstrueerde phishing-aanvallen met zich meebrengen, maar Shodan kan u waarschijnlijk in contact brengen met een ongewild, of enigszins willekeurig, slachtoffer.

Deze grove, invasieve aanvallen vormen een reële bedreiging, maar ze kunnen ook worden beperkt zonder veel technische knowhow. Een eenvoudig stuk tape over een lens of droog washandje dat over een apparaat wordt gegooid, kan een camera volledig blind maken. Babyfoons kunnen worden losgekoppeld - of beter nog, mogen in de eerste plaats geen verbinding maken met internet. Ik kan dat alleen aan.

Wat maakt me echt bang

Er was een Black Hat-presentatie die me altijd bijbleef. Daarin demonstreerde de presentator hoe hij de controle kon nemen over een verbonden beveiligingscamera. Dat is eng, maar wat mij opviel was het punt van de presentator dat deze camera's slechts kleine Linux-computers waren en konden worden gebruikt om alles te doen wat een aanvaller wilde. Hij beweerde ook dat de overgrote meerderheid van de camera's op de markt grote gebreken had.

Een paar jaar later begonnen smart home-apparaten in de schappen te komen en ik hoorde steeds van beveiligingsbedrijven dat ze zich echt zorgen maakten. Ze hadden dezelfde bezorgdheid als de presentator van Black Hat; dat het misschien mogelijk is om een ​​slim apparaat te kapen en voor allerlei gemene doeleinden te gebruiken.

Niet lang daarna werden die angsten werkelijkheid en het was erger dan verwacht. De Mirai-malware scande automatisch het internet op beschikbare verbindingen en gebruikte vervolgens een batterij aanvallen om in het IOT-apparaat in te breken, allemaal zonder input van een mens. Mirai richtte zich op apparaten met ingesloten Linux-versies, van tv's tot routers, en was in staat een aanzienlijk botnet samen te stellen. Het was groot genoeg om een ​​DNS-provider neer te halen, waardoor sites als GitHub, Netflix en Twitter niet meer beschikbaar waren.

Mirai was slechts één voorbeeld, maar het is steeds weer teruggekomen. Volgens Wikipedia zijn varianten van de Mirai-malware het afgelopen jaar verschillende keren opgemerkt, met enkele waarnemingen zo recent als februari 2019.

Mirai was beperkt tot slechts een handvol apparaten, maar het was nog steeds brutaal efficiënt. Wat nog erger is, is een nog geavanceerdere aanval - misschien minder geautomatiseerd, misschien niet - die van een geïnfecteerde gloeilamp naar mijn router kan springen en vervolgens op zijn beurt naar elk apparaat in het netwerk. Dit zou van het IoT-apparaat een beachhead of voet aan de grond maken, zodat de aanvaller of malware in het waardevollere netwerk kunnen "draaien".

Toegegeven, er zijn verbeteringen geweest in aangesloten camera's en babyfoons, en IoT meer in het algemeen, maar de industrie moet nog meer doen. Bedrijven moeten ervoor zorgen dat hun apparaten een reeks tests hebben doorstaan ​​om te zoeken naar zwakke punten, en op zijn minst een mechanisme voor het bijwerken of vervangen van apparaten die kwetsbaar worden geacht, omvatten. Leveranciers moeten ervan uitgaan dat hun apparaten worden aangevallen, beveiligingsfuncties inbouwen en niet vergeten dat hun producten niet altijd door de gebruiker kunnen worden onderhouden, sommige hebben geen scherm of een andere interface.

Kudde-immuniteit

Er zijn ook enkele voorzorgsmaatregelen beschikbaar voor gewone mensen. U kunt kijken naar de aanschaf van IoT-beveiligingsapparaten zoals de Bitdefender Box of routers met ingebouwde beveiligingssoftware. (Deze laatste is belangrijk als je bedenkt dat een router, zoals een IoT-apparaat, gewoon een computer is die kan worden gebruikt voor het kwaad.) Je kunt ervoor zorgen dat je apparaten up-to-date zijn met de nieuwste softwarepatches en wijzigen eventuele standaardwachtwoorden. Toch gaat dat alleen zo ver. Er is bijna geen manier om aan een doos te zien of de beveiligingscamera binnen ondertekende code gebruikt in zijn updates, of dat het gecodeerde referenties heeft die onzichtbaar zijn voor de gebruiker en een potentiële achterdeur voor aanvallers.

Het is opmerkelijk hoe veel van dat advies, en veel van de beveiliging in het algemeen, ligt in het idee van persoonlijke veiligheid en verantwoordelijkheid. U moet uw machine en uw persoonlijke gegevens beschermen. Zoals het geval was met Mirai, kan een succesvolle aanval op mij snel veranderen in een aanval op mijn familie, mijn vrienden, mijn gemeenschap en mensen die ik nooit zal kennen. Dat zal niet alleen wat problemen veroorzaken met mijn ISP, het betekent dat ik onbewust de mensen om me heen pijn heb gedaan.

Dit doet me denken aan het concept van kudde-immuniteit. Dat is wanneer een voldoende hoog percentage van een populatie immuun is of gevaccineerd tegen een bepaalde ziekte dat niemand ziek wordt. De bevolking beschermt elkaar door verspreiding van besmettingen onmogelijk te maken. Een bewakingscamera in mijn huis plaatsen is niet alleen een risico voor mij, het kan anderen ook een beetje minder veilig maken.

Lulu, de beste hond, worstelt nog steeds om alleen op zijn gemak te zijn. We hebben haar onlangs een kratdekking gegeven, omdat honden blijkbaar van nature aangetrokken worden door een donkere, veilige kuil. In plaats daarvan trok ze het deksel door de tralies, legde het op en sliep erop. Ik heb het ook nog steeds moeilijk, maar ik weet dat de oplossing meer training voor haar en voor ons is, geen camera die me gewoon vertelt wat ik al weet.

• Hacking Hue: onderzoekers wormen het internet der dingen aan Hacking Hue: onderzoekers wormen het internet der dingen aan
• Nest: schuldige zwakke wachtwoorden, niet wij voor griezelige camera-incidenten Nest: schuldige zwakke wachtwoorden, niet wij voor griezelige camera-incidenten
• SecurityWatch: maak bedrijven, geen klanten, lijd voor datalekken SecurityWatch: maak bedrijven, geen klanten, lijd voor datalekken

Welke kleine zekerheid een beveiligingscamera me ook geeft, het is niet de moeite waard om deel uit te maken van een verwoestende aanval. Het zet mijn eigen gemoedsrust boven anderen, en dat is geen ruil die ik wil doen. IoT-technologie verbetert en er zijn betere tools om deze apparaten te beschermen, maar het is nog steeds niet voldoende voor mij om me op mijn gemak te voelen. Ik ben begonnen de apparaten op mijn netwerk te beschouwen als mijn verantwoordelijkheid, in mijn belang en voor anderen, en voor mij zijn deze apparaten een risico dat ik nog niet wil nemen.