Efter fund af kæmpe IoT-fejl: Sådan beskytter du dine data på nettet

Dansk it-sikkerhedsfirma har fundet en stor sikkerhedsbrist i Internet of Things-netværkskommunikationen. Læs her, hvordan du sikrer dine IoT-enheder bedst muligt.

Alt for mange personer og organisationer sikrer ikke deres Internet of Things-enheder ordentligt på nettet, som det danske sikkerhedsselskab FortConsult for nyligt har beskrevet over for Computerworld.

Det kan du læse mere om her: Dansk sikkerhedsfirma slår alarm: "Jeg har fundet et atomkraftværk, hvor man kunne hæve strålingsniveauet og et fængsel, hvor fængselsdørene kan åbnes fra en server."

Og der er ellers nok at sikre.

For det forventes, at der inden for de næste fem års tid vil være op mod 100 milliarder enheder som eksempelvis sensorer i biler, skraldespande og lygtepæle, der alle kontrolleres af hver deres dedikerede server.

Hvis kommunikationen fra enheden/sensoren/lygtepælen til de dedikere kontrolservere ikke er krypteret, kan det lade sig gøre at opsnappe data og i værste fald manipulere med disse data.

Sikkerhedseksperten Lucas Lundgren fra FortConsult er manden bag fundet af en decideret svaghed i opsætningen af IoT-protokollen MQTT på minimum 45.000 servere i verden, som hver især kan kontrollere op mod tusindvis af sensorer og enheder.

Her fortæller han, hvordan du bedst muligt kan dæmme op for at få uønsket besøg på din kontrolserver af en hacker, som har lagt sig imellem din enhed/sensor og din kontrolserver.

Er det kritisk?
Først og fremmest skal du gøre op med dig selv, om kommunikationen mellem enhed og server er kritisk.

"Du skal gøre dig klart, hvad det egentlig er, du lægger ud på nettet. Drejer det sig om automatisk fodring af fisk, kan du måske nøjes med et brugernavn og password, som enheden kan autentificere sig med hos kontrolserveren," forklarer Lucas Lundgren.

Han erkender, at hvis nogen gætter brugernavn og password, kan disse folk overtage ens fodringsmaskine og dermed slå Nemo hjemme i akvariet ihjel, da fisk har en tendens til at blive ved med at spise uden at mærke mæthed.

Er ens enheder og sensorer derimod tilknyttet et kraftværk eller et andet sikkerhedskritisk anlæg, anbefaler Lucas Lundgren på det kraftigste, at der udover brugernavn og password også skal tilknyttes datakryptering mellem sensor/IoT-enhed og kontrolserveren.

"For at styrke sikkerheden yderligere kan du tilføje en IoT-gateway, som kan håndtere krypteringen og kommunikationen mellem forskellige enheder. En sådan gateway vil også virke som en firewall, hvor du kan konfigurere en IP-adresse-whitelistning," forklarer Lucas Lundgren.

Med en IP-adresse-whitelistening mener han, at man kan sætte sin IoT-gateway op til, at den kun tillader bestemte IP-adresser adgang til ens sensor/enhed og kontrolserveren.

Flere dilemmaer i spil
Årsagen til denne IP-adresse-whitelisting er, at ligeså snart en enhed kobler sig op på nettet, kan den findes ved hjælp af scannere.

Det betyder så, at ingen sensorer eller IoT-enheder kan gemme sig, men du kan altså selv i høj grad styre, hvem der har adgang til data.

Samtidig opstiller den kommende IoT-æra ifølge Lucas Lundgren en række dilemmaer angående sikring af ens IoT-netværk.

"Mange sensorer i dag er så små, at de ikke har CPU-kraft til at kunne håndtere kryptering. Derfor må man nøjes med brugernavn og password som adgangskontrol. Samtidig kan det i mange tilfælde slet ikke betale sig at sætte en dyr gateway op foran en billig sensor," lyder det fra it-sikkerhedseksperten.

Lucas Lundgren forklarer, at han har set denne problemstilling fikset i et laboratorium ved, at man opdeler kommunikationen i klartekst og kryptering, så kun de mest vitale data i en kommunikation bliver krypteret.

"Der ligger afgjort et marked for at producere små chips, der er intelligente nok til at kunne håndtere kryptering og de samme funktioner som IoT-gatewayen med eksempelvis IP-adresse-whitelisting, da enhver sensor med en IP-adresse jo også er eksponeret for DDoS-angreb," siger han.

Læs også: 
[b]Gør det selv-IoT, del 1: Sådan bygger du en dims, der kan aktivere andre dimser over internettet[/b]

[b]Dansk sikkerhedsfirma slår alarm: "Jeg har fundet et atomkraftværk, hvor man kunne hæve strålingsniveauet og et fængsel, hvor fængselsdørene kan åbnes fra en server"[/b]




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Hewlett-Packard ApS
Udvikling og salg af software, hardware, konsulentydelser, outsourcing samt service og support.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Strategiske it-sikkerhedsdage 2021

God it-sikkerhed er blevet en strategisk disciplin der kombinerer ledelse, adfærd, processer og teknologi. Men hvor lægger du niveauet? Hvad er vigtigt for forretningen og den drift? Hvad er knapt så vigtigt? Hvordan indtænker du it-sikkerheds-indsatsen strategisk? Hvad gør du, når skaden er sket? Bliv klogere på ”Strategiske it-sikkerhedsdage 2021: Trusler, tendenser og værktøjer”.

26. januar 2021 | Læs mere


Fuel your IT with the best-kept secret in IBM

It takes massive computing power to accurately calculate weather forecasts – and to secure that people and businesses are able to access detailed information about whether it is going to rain, shine, storm, or snow. In this seminar, you will have the chance to hear the British Met Office describe how they do exactly that.

28. januar 2021 | Læs mere


Sandheden om Schrems II – erhvervslivets nye Cuba-krise

Konsekvenserne af Schrems II kan meget vel gå hen og blive en af de største udfordringer for danske virksomheder i 2021. Så tjek ind på denne onlinebriefing, hvor den hemmelige Schrems II gæst, ComplyCloud og Datatilsynet giver dig indsigt i, hvad dommen i virkeligheden handler om, og hvilke menneskelige hensyn der ligger bag.

29. januar 2021 | Læs mere






Premium
Test: Kæmpestort gaming-headset er perfekt til dine lange Teams-møder - men har også nogle besværligheder
Længe før vi andre blev slået hjem til hjemmekontorets endeløse webmøder har gamerne gennemskuet behovet for komfortabelt grej. Så vi tog danske EPOS top gamingheadset med på arbejde. Læs testen her.
Computerworld
Biden sender skjult besked til kode-folket: "Hvis du læser dette, har vi brug for din hjælp”
En stående invitation er blevet opdaget i kildekoden på Det Hvide Hus' hjemmeside. Men den er kun til de eksperter, der selv kan finde den.
CIO
Podcast: Hos Viking Life-Saving Equipment er it gået fra at være backend til at være noget, som kunderne spørger aktivt efter
Podcast, The Digital Edge: Viking leverer en stadig større del af deres produkt som en tjeneste. Som en del af tjenesten tager Viking ansvar for sikkerheden ved at levere, dokumentere og vedligeholde det nødvendige sikkerhedsudstyr. Hør hvordan Henrik Balslev senior digital director hos Viking har løftet den opgave.
White paper
Gratis whitepaper: Hvad er EDI, og hvordan kan det styrke min forretning?
Overvejer du EDI, og ønsker du at undersøge, om EDI er den rette investering for din virksomhed? Har en af dine kunder eller leverandører for nyligt bedt dig om at udveksle elektroniske dokumenter (EDI)? Så hent dette whitepaper og få et overblik over, hvad EDI er, og hvilke fordele producenter og grossister som dig kan se frem til, når du investerer i EDI til din forretning.