O mercado da Internet das Coisas (IoT, na sigla em inglês) começa a decolar. Os consumidores podem comprar versões conectadas de praticamente qualquer eletrodoméstico imaginável. O Gartner prevê que haverá 2,9 bilhões de dispositivos IoT conectados em ambientes de casa inteligente de consumidores em 2015[1].
No entanto, apesar do crescimento na aceitação do público para a casa inteligente, estudos recentes parecem concordar que “segurança” não é uma palavra frequentemente associada a aparelhos de IoT, deixando os consumidores potencialmente expostos. Analisamos recentemente 50 dispositivos para casas inteligentes disponíveis atualmente e avaliamos seu desempenho em termos de segurança.
O cenário da casa conectada
Para nossa pesquisa, analisamos dispositivos de IoT nas seguintes categorias:
- Termostatos inteligentes
- Fechaduras inteligentes
- Lâmpadas inteligentes
- Detectores de fumaça inteligentes
- Aparelhos de gerenciamento de energia inteligentes
- Hubs inteligentes
Nossas conclusões podem ser aplicadas também a outros dispositivos de IoT e produtos para casas inteligentes, como:
- Alarmes de segurança
- Câmeras de vigilância IP
- Sistemas de entretenimento (smart TV, set-top boxes, etc.)
- Roteadores de banda larga
- Dispositivos de armazenamento Network attached storage (NAS)
Dispositivos para casas inteligentes podem utilizar um serviço de nuvem de back-end para monitorar a utilização e permitir que os usuários controlem os sistemas remotamente. Os usuários podem acessar estes dados e controlar seu aparelho através de um aplicativo móvel ou portal de internet.
Nossa pesquisa constatou que muitos destes aparelhos e serviços continham diversos problemas básicos de segurança.
Autenticação fraca
Nenhum dos dispositivos empregava autenticação mútua ou exigia senhas fortes. Pior, alguns impediam que o usuário determinasse uma senha forte na interface de nuvem, restringindo a autenticação a um código PIN simples de quatro dígitos. Soma-se isso à falta de suporte à autenticação de dois fatores (2FA) e ausência de mitigação de ataques de força bruta contra senhas, e temos um alvo fácil para os atacantes.
Vulnerabilidades Web
Além da autenticação fraca, muitas interfaces de casas inteligentes sofrem com vulnerabilidades conhecidas de aplicação web. Um teste rápido com 15 conexões de nuvem de IoT revelou vulnerabilidades graves. E essa verificação foi bastante superficial. Descobrimos e relatamos dez vulnerabilidades relacionadas a via transversal, carregamento irrestrito de arquivos (execução de código remoto), inclusão remota de arquivo (RFI) e injeção de SQL. E não estamos falando apenas de lâmpadas inteligentes aqui: um dos dispositivos afetados era uma fechadura inteligente para porta, que conseguimos abrir remotamente pela internet sem ao menos saber a senha.
Ataques locais
Os atacantes que conseguirem acesso à rede residencial invadindo, por exemplo, uma rede wi-fi com criptografia fraca, têm mais vetores de ataque à disposição. Analisamos aparelhos que transmitem senhas localmente em texto claro ou não utilizam nenhuma autenticação. O uso de atualizações de firmware sem assinatura também é uma característica comum dos dispositivos de IoT. Essa falha de segurança permite a um atacante vasculhar a rede doméstica em busca de senhas de dispositivos de IoT. As credenciais roubadas podem ser usadas para executar outros comandos e até controlar completamente o dispositivo, com uma atualização de firmware maliciosa.
Potencial para ataques
Até o momento, não observamos nenhum ataque contra dispositivos de casas inteligentes, além dos aparelhos de informática como roteadores e dispositivos de armazenamento NAS. Atualmente, a maioria dos ataques IoT propostos é de provas de conceito e ainda não geraram lucro para os cibercriminosos. Isso não significa que eles não se voltarão contra dispositivos de IoT no futuro, quando a tecnologia se tornar mais popular.
Historicamente, sabemos que os atacantes são muito criativos e sempre inventarão novos métodos de ataque. Mesmo que seja só para fazer mal uso da tecnologia, chantagear o usuário ou manter uma âncora persistente em uma rede doméstica, eles estão sempre prontos e dispostos a atacar qualquer alvo que encontrem.
Assim, antes de se empolgar com seus novos projetos de automação inteligente para casa, pare e pense sobre como essas conveniências podem expor você e sua casa a ciberataques. Exija mais segurança dos fabricantes dos seus dispositivos de casa inteligente e de IoT – só assim as coisas vão começar a melhorar.
Se quiser saber mais sobre nossa análise de dispositivos de casa inteligente, você pode ler nosso estudo.
Mitigação
Infelizmente, é difícil para um usuário proteger seus dispositivos de IoT por conta própria, já que a maioria dos aparelhos não oferece um modo seguro de operação. Ainda assim, deve-se seguir as seguintes recomendações para garantir a redução do risco de um possível ataque:
- Utilize senhas fortes e exclusivas para contas de dispositivos e redes de Wi-Fi
- Altere as senhas padrão
- Utilize um método mais forte de criptografia quando instalar redes Wi-Fi, como WPA2
- Desative ou proteja o acesso remoto a dispositivos de IoT quando não for necessário
- Use conexões com fio ao invés de sem fio quando possível
- Utilize dispositivos em uma rede doméstica separada quando possível
- Seja cauteloso ao comprar dispositivos de IoT usados, já que podem ter sido adulterados
- Pesquise sobre as medidas de segurança do fornecedor
- Modifique os ajustes de privacidade e segurança do dispositivo de acordo com suas necessidades
- Desative recursos desnecessários
- Instale atualizações quando forem disponibilizadas
- Certifique-se de que uma queda de energia, por exemplo devido a jamming ou falha de rede, não resulte em um estado inseguro da instalação
- Verifique se os recursos inteligentes são mesmo necessários ou se um dispositivo comum seria suficiente
Como líder do setor de segurança, a Symantec ajuda diversos fabricantes de dispositivos de IoT a construir dispositivos seguros. Os fornecedores devem considerar os cinco seguintes princípios fundamentais no desenvolvimento de novos dispositivos:
- Modelo de confiança forte para IoT– como autenticação do dispositivo via SSL
- Proteger o código que ativa a IoT– por exemplo, assinatura digital de código
- Proteção eficaz baseada em host para IoT– por exemplo, proteção de endpoint e blindagem de sistema
- Gerenciamento seguro e eficaz para IoT– por exemplo, configuração e atualizações over-the-air
- Analítica de segurança para abordar ameaças novas e avançadas – por exemplo, detecção de anomalia
