Onderzoek: “Ongecodeerde IoT-transacties zijn makkelijke prooi voor hackers”

De tomeloze opkomst van Internet of Things-oplossingen heeft ook minder prettige kanten. Zo kijken cybercriminelen en hackers met grote interesse naar de talloze met internet verbonden hardware. Om die bijvoorbeeld in te zetten in botnets. Of om een voet tussen de deur te kunnen krijgen bij organisaties. Volgens de Amerikaanse security expert Zscaler kan er al veel worden gewonnen door het ‘simpelweg’ versleutelen van transacties van en naar IoT-hardware. Het bedrijf komt tot die conclusie na de analyse, gedurende een maand, van het IoT-dataverkeer in zijn security cloudplatform. Voor de geïnteresseerde: het rapport is gratis te downloaden via IoTJournaal (12 pagina’s, 2,2 Mb, PDF).

Hoe ziet het IoT-dataverkeer gedurende een maand in de Zscaler security-cloud er uit? Om te beginnen, gaat het om 270 verschillende soorten IoT-hardware (van printers tot IP-camera’s en medische apparatuur), afkomstig van 153 verschillende fabrikanten, die bij 1.051 organisaties opgesteld staan. Tezamen genereert die apparatuur in een maand tijd 56 miljoen transacties. Waarvan een aardig deel bestaat uit malware die zich in de apparaten heeft genesteld.

[Tekst loopt door onder de afbeelding.]

Ongecodeerde data

Het merendeel van de reguliere transactiedata die Zscalar een maand lang heeft geanalyseerd werd als gewone tekst (‘plain-text HTTP‘) verstuurd. En ook daarin zit ‘m het gevaar, zegt Zscaler. Een beetje cybercrimineel of hacker kan dat dataverkeer onderscheppen en zonder enige moeite ‘lezen’. Om er weer zijn of haar voordeel mee te doen. De oplossing is zowel simpel als complex: zorg voor versleuteling van het dataverkeer zodat de transacties niet meer zo makkelijk zijn te lezen. Of verstuur de data via een SSL-verbinding. Helaas ligt de verantwoordelijkheid daarvoor in de eerste plaats bij de producenten van de bewuste IoT-hardware. En die zijn niet altijd even contentieus als het gaat om updates van zaken als firmware, de software waarmee dit soort zaken doorgaans wordt geregeld.

Aanbevelingen

Andere oplossingen? Die zijn er. Uiteraard heeft Zscaler een kant-en-klaar advies: laat het IoT-dataverkeer via zijn security cloud lopen. Los van die commerciële boodschap, doet de security expert nog een paar, wat algemenere, mogelijke aanbevelingen:

* Verander direct de diverse standaard inloggegevens die door de fabrikant zijn ingesteld. Moedig werknemers ook aan om dat op hun eigen IoT-apparaten te doen (zoals wearables).

* Zet de IoT-hardware op een netwerk dat afgescheiden is van het bedrijfsnetwerk. En controleer het inkomend en uitgaand dataverkeer op dat IoT-netwerk.

* Beperk zoveel mogelijk de externe inlogmogelijkheden voor de IoT-hardware. Gooi ook netwerkpoorten dicht die niet worden gebruikt.

* Zorg voor geregelde updates van de firmware van de IoT-hardware.