Το ICTPLUS.GR απευθύνθηκε σε ειδικούς ψηφιακής ασφάλειας, ζητώντας την αξιολόγησή τους για το νέο κύμα κυβερνοεπιθέσεων που στρέφεται πλέον όχι μόνο κατά υπολογιστών και πληροφοριακών συστημάτων, αλλά και κατά καθημερινών συσκευών που συνδέονται στο διαδίκτυο. Με αφορμή τις επιθέσεις σε επαγγελματικά ψυγεία στην Ελλάδα και σε εγκαταστάσεις λιανεμπορίου στην Ευρώπη, το ρεπορτάζ αναδεικνύει τους κινδύνους που δημιουργεί η ανεξέλεγκτη διασύνδεση του εξοπλισμού, από τις έξυπνες τηλεοράσεις και τις κάμερες ασφαλείας μέχρι τα συστήματα αυτοματισμού κατοικιών και επιχειρήσεων. Η κυβερνοασφάλεια έχει πλέον περάσει από την προστασία των ψηφιακών δεδομένων στην προστασία πραγματικών λειτουργιών και υποδομών. Μια παραβίαση δεν περιορίζεται απαραίτητα στην υποκλοπή πληροφοριών. Μπορεί να επηρεάσει τη λειτουργία μιας επιχείρησης, να προκαλέσει οικονομικές απώλειες, να θέσει σε κίνδυνο προϊόντα και να δημιουργήσει προβλήματα στην ασφάλεια ενός χώρου.
Μέχρι πρόσφατα, όταν γινόταν λόγος για κυβερνοεπίθεση, η σκέψη οδηγούνταν σχεδόν αυτόματα σε υπολογιστές, τραπεζικούς λογαριασμούς, προσωπικά δεδομένα και εταιρικά δίκτυα.
Σήμερα, ακόμη και ένα ψυγείο μπορεί να βρεθεί στο επίκεντρο μιας κυβερνοεπίθεσης. Και αυτή είναι η νέα διάσταση της ψηφιακής απειλής που καλούνται να αντιμετωπίσουν νοικοκυριά και επιχειρήσεις. Η διάσταση αυτή αναδείχθηκε με χαρακτηριστικό τρόπο στην Ελλάδα, μετά την καταγγελία ιδιοκτήτη κρεοπωλείου στην Κηφισιά ότι άγνωστοι απέκτησαν πρόσβαση στο σύστημα διαχείρισης των επαγγελματικών ψυγείων και επιχείρησαν να μεταβάλουν τις ρυθμίσεις θερμοκρασίας έως τους 150 βαθμούς Κελσίου. Η συγκεκριμένη τιμή αφορούσε την ηλεκτρονική ρύθμιση και όχι την πραγματική θερμοκρασία στο εσωτερικό των ψυγείων. Οι εργαζόμενοι διαπίστωσαν το πρόβλημα τις πρώτες πρωινές ώρες, ενώ χρειάστηκαν περίπου δύο ώρες μέχρι ο τεχνικός να ανακτήσει τον έλεγχο του συστήματος. Η επιχείρηση απενεργοποίησε προσωρινά την ασύρματη σύνδεση. Το περιστατικό αποκτά μεγαλύτερη σημασία καθώς ο τεχνικός που υποστηρίζει τις εγκαταστάσεις φέρεται να έχει ενημερώσει για ανάλογα προβλήματα και σε άλλες επιχειρήσεις. Δεν έχει, ωστόσο, τεκμηριωθεί ότι όλα τα περιστατικά έχουν κοινή προέλευση.
Ευρωπαϊκό μέτωπο κυβερνοεπιθέσεων με στόχο τις εγκαταστάσεις ψύξης
Η ελληνική υπόθεση δεν εμφανίζεται σε κενό. Την ίδια περίοδο έγιναν γνωστές επιθέσεις σε εγκαταστάσεις ψύξης καταστημάτων λιανικής σε διάφορες ευρωπαϊκές χώρες, μεταξύ των οποίων το Βέλγιο, το Λουξεμβούργο, η Σουηδία και η Ιρλανδία. Σύμφωνα με δημοσιεύματα του Reuters, περισσότερα από 100 καταστήματα αντιμετώπισαν προβλήματα σε ψυγεία και καταψύκτες, με ορισμένες επιχειρήσεις να αναγκάζονται να αποσύρουν τρόφιμα λόγω της αύξησης της θερμοκρασίας. Αντίστοιχα περιστατικά είχαν προηγηθεί στη Γαλλία, όπου η διαταραχή των συστημάτων ψύξης προκάλεσε σημαντικές απώλειες προϊόντων, ενώ αναφέρθηκαν ακόμη και πυρκαγιές. Το ανησυχητικό στοιχείο είναι ότι οι επιθέσεις δεν περιορίζονται στην κλοπή πληροφοριών ή στην απαίτηση λύτρων. Η δυνατότητα παρέμβασης σε συστήματα που ελέγχουν κρίσιμες λειτουργίες μιας επιχείρησης δημιουργεί ένα διαφορετικό πεδίο απειλής. Η ζημιά μπορεί να προκύψει από την αλλοίωση προϊόντων, τη διακοπή λειτουργίας, την απώλεια ελέγχου εγκαταστάσεων ή την πρόκληση κινδύνων για εργαζομένους και καταναλωτές.
Δεν έχει αποσαφηνιστεί εάν τα ευρωπαϊκά περιστατικά συνδέονται με έναν ενιαίο μηχανισμό επίθεσης ή εάν πρόκειται για διαφορετικές επιθέσεις που αξιοποιούν παρόμοιες αδυναμίες. Η διάσταση του φαινομένου, πάντως, έχει κινητοποιήσει και την Ευρωπαϊκή Επιτροπή, η οποία πραγματοποίησε συναντήσεις με κράτη-μέλη για την αντιμετώπισή του.
Έξυπνη τηλεόραση, ψυγείο, κάμερα: Πού βρίσκεται ο πραγματικός κίνδυνος
Το Internet of Things (IoT), δηλαδή το διαδίκτυο των πραγμάτων, αποτελεί πλέον βασικό στοιχείο της ψηφιακής καθημερινότητας. Συσκευές που μέχρι πριν από λίγα χρόνια λειτουργούσαν αυτόνομα συνδέονται σήμερα στο διαδίκτυο, επικοινωνούν με εφαρμογές και επιτρέπουν απομακρυσμένη παρακολούθηση και διαχείριση. Η ευκολία αυτή έχει και μια λιγότερο ορατή πλευρά: κάθε νέα σύνδεση δημιουργεί ένα επιπλέον σημείο που πρέπει να προστατευθεί.
Οι έξυπνες τηλεοράσεις διαθέτουν λειτουργικά συστήματα, εφαρμογές και πρόσβαση στο διαδίκτυο. Σε ορισμένα μοντέλα υπάρχουν επίσης κάμερες και μικρόφωνα. Εφόσον παραβιαστούν οι μηχανισμοί ασφαλείας τους, μπορούν να εκθέσουν δεδομένα ή να αποτελέσουν σημείο πρόσβασης στο οικιακό δίκτυο.
Οι κάμερες ασφαλείας και τα έξυπνα κουδούνια είναι ακόμη πιο ευαίσθητες περιπτώσεις. Η μη εξουσιοδοτημένη πρόσβαση μπορεί να αποκαλύψει εικόνες από το εσωτερικό μιας κατοικίας, τις κινήσεις των ενοίκων και τις ώρες απουσίας τους.
Τα έξυπνα ψυγεία και οι οικιακές συσκευές μπορεί να διαθέτουν δυνατότητες απομακρυσμένου ελέγχου. Η παραβίαση μπορεί να οδηγήσει σε διακοπή λειτουργίας, αλλοίωση ρυθμίσεων ή αξιοποίηση της συσκευής για πρόσβαση σε άλλα συστήματα.
Οι έξυπνοι φούρνοι, οι θερμοστάτες και τα συστήματα αυτοματισμού κτιρίων παρουσιάζουν διαφορετικό επίπεδο επικινδυνότητας, καθώς διαχειρίζονται λειτουργίες που συνδέονται με τη θερμοκρασία, την ενέργεια και την ασφάλεια ενός χώρου.
Το ζήτημα, επομένως, δεν είναι αν όλες αυτές οι συσκευές μπορούν να παραβιαστούν με τον ίδιο τρόπο. Είναι ότι η ασφάλειά τους εξαρτάται από διαφορετικά λογισμικά, κατασκευαστές, μηχανισμούς ενημέρωσης και συστήματα απομακρυσμένης διαχείρισης, τα οποία δεν έχουν πάντοτε το ίδιο επίπεδο προστασίας.
Το router αποτελεί κρίσιμο σημείο της αλυσίδας. Οι τεχνικές αδυναμίες και η ευθύνη των κατασκευαστών
Ιδιαίτερη σημασία αποκτά η ασφάλεια του δρομολογητή (router), μέσω του οποίου συνδέονται οι περισσότερες συσκευές ενός σπιτιού ή μιας μικρής επιχείρησης. Σύμφωνα με στοιχεία του κλάδου κυβερνοασφάλειας που έχουν επικαλεστεί σχετικά δημοσιεύματα, σημαντικό ποσοστό των επιθέσεων σε συνδεδεμένες συσκευές αφορά δρομολογητές. Τα συγκεκριμένα ποσοστά χρειάζονται αξιολόγηση με βάση τη μεθοδολογία και το πεδίο καταγραφής τους. Αναδεικνύουν, ωστόσο, τη σημασία της προστασίας του κεντρικού δικτυακού εξοπλισμού. Ένα ανεπαρκώς προστατευμένο router μπορεί να επιτρέψει σε έναν επιτιθέμενο να αποκτήσει πρόσβαση σε περισσότερες από μία συσκευές. Έτσι, η παραβίαση δεν περιορίζεται αναγκαστικά στο αρχικό σημείο εισόδου, αλλά μπορεί να επεκταθεί σε υπολογιστές, κινητά, κάμερες και άλλες ψηφιακές υποδομές.
Σημαντικό ρόλο παίζουν οι εργοστασιακοί κωδικοί που παραμένουν αμετάβλητοι, η απουσία ενημερώσεων ασφαλείας, η ενεργοποιημένη απομακρυσμένη διαχείριση χωρίς επαρκή έλεγχο και η έλλειψη διαχωρισμού μεταξύ των δικτυακών συσκευών.
Η τεχνική διάσταση του προβλήματος αφορά πρωτίστως την ασφάλεια από τον σχεδιασμό (Security by Design). Η προστασία δεν μπορεί να προστίθεται εκ των υστέρων, όταν έχει ήδη εγκατασταθεί ο εξοπλισμός και έχουν ενεργοποιηθεί οι δυνατότητες απομακρυσμένης πρόσβασης. Οι συσκευές πρέπει να διαθέτουν ισχυρή ταυτοποίηση χρηστών, κρυπτογράφηση επικοινωνιών, τακτικές ενημερώσεις λογισμικού και ελεγχόμενα δικαιώματα πρόσβασης. Εξίσου σημαντική είναι η δυνατότητα καταγραφής ύποπτων ενεργειών και η άμεση απομόνωση μιας συσκευής όταν εντοπιστεί παραβίαση. Ειδικά για τις επαγγελματικές εγκαταστάσεις, η απομακρυσμένη διαχείριση πρέπει να συνοδεύεται από μηχανισμούς ελέγχου και δυνατότητα ανάκτησης της λειτουργίας σε περίπτωση κυβερνοεπίθεσης.
Το πρόβλημα είναι ότι δεν διαθέτουν όλες οι συσκευές το ίδιο επίπεδο προστασίας. Παλαιότερος εξοπλισμός μπορεί να εξακολουθεί να λειτουργεί κανονικά, αλλά να μην υποστηρίζεται πλέον με ενημερώσεις ασφαλείας. Άλλες συσκευές προσφέρουν απομακρυσμένη διαχείριση χωρίς επαρκείς μηχανισμούς ελέγχου. Η ευθύνη, συνεπώς, δεν μπορεί να μεταφέρεται αποκλειστικά στον τελικό χρήστη. Οι κατασκευαστές οφείλουν να ενσωματώνουν την ασφάλεια στον σχεδιασμό των προϊόντων τους και να διασφαλίζουν την υποστήριξή τους σε όλη τη διάρκεια της προβλεπόμενης χρήσης τους.
Από το «έξυπνο σπίτι» στην επιχειρησιακή ασφάλεια. Η επόμενη ημέρα του Internet of Things
Η νέα πραγματικότητα δημιουργεί πρόσθετες υποχρεώσεις για κατασκευαστές, προμηθευτές τεχνολογικού εξοπλισμού, εγκαταστάτες και επιχειρήσεις. Σε ένα επαγγελματικό περιβάλλον, η προστασία των συστημάτων ψύξης, κλιματισμού, ενεργειακής διαχείρισης και αυτοματισμού πρέπει να εντάσσεται στην ίδια πολιτική ασφαλείας με τα πληροφοριακά συστήματα της επιχείρησης. Η απομόνωση των δικτύων, η παρακολούθηση της λειτουργίας τους και η ύπαρξη σχεδίου αντιμετώπισης περιστατικών δεν αποτελούν πλέον προαιρετικές τεχνικές επιλογές.
Αντίστοιχα, στα νοικοκυριά χρειάζεται να αλλάζουν οι προεπιλεγμένοι κωδικοί, να εγκαθίστανται οι διαθέσιμες ενημερώσεις, να ενεργοποιείται η ταυτοποίηση δύο παραγόντων όπου υποστηρίζεται και να χρησιμοποιείται ξεχωριστό δίκτυο για τις έξυπνες συσκευές. Για τις επιχειρήσεις, η ανάγκη είναι ακόμη πιο επιτακτική. Ένα περιστατικό που ξεκινά από μια συσκευή μπορεί να προκαλέσει διακοπή λειτουργίας, οικονομικές απώλειες, καταστροφή αποθεμάτων και ζητήματα ασφάλειας. Η κυβερνοασφάλεια πρέπει επομένως να αντιμετωπίζεται ως μέρος της συνολικής επιχειρησιακής διαχείρισης και όχι ως μια απομονωμένη τεχνική υπηρεσία. Η επέκταση του Internet of Things, η τεχνητή νοημοσύνη και ο αυτοματισμός θα αυξήσουν ακόμη περισσότερο τον αριθμό των συσκευών που επικοινωνούν μεταξύ τους και ελέγχονται απομακρυσμένα. Η εξέλιξη αυτή προσφέρει σημαντικά οφέλη στην παραγωγικότητα, στην εξοικονόμηση ενέργειας και στην καθημερινότητα, αλλά ταυτόχρονα διευρύνει την επιφάνεια κυβερνοεπίθεσης.
Η κυβερνοασφάλεια δεν μπορεί πλέον να αποτελεί αποκλειστική υπόθεση των τμημάτων πληροφορικής ή των μεγάλων οργανισμών. Αφορά τον κατασκευαστή μιας τηλεόρασης, τον εγκαταστάτη ενός συστήματος ψύξης, τον διαχειριστή ενός κτιρίου, τον ιδιοκτήτη ενός καταστήματος και τον απλό καταναλωτή. Το ψυγείο που αλλάζει μόνο του θερμοκρασία είναι κάτι περισσότερο από μια παράξενη είδηση. Είναι μια προειδοποίηση για το πώς η ψηφιακή παραβίαση μπορεί να μετατραπεί σε πραγματική οικονομική και λειτουργική ζημιά. Το κρίσιμο ερώτημα για την επόμενη ημέρα δεν είναι πόσες συσκευές θα συνδέονται στο διαδίκτυο, αλλά ποιος θα έχει τον έλεγχο αυτών των συσκευών και με ποιες εγγυήσεις ασφάλειας. Γιατί το έξυπνο σπίτι και η έξυπνη επιχείρηση δεν κρίνονται μόνο από τις δυνατότητες αυτοματισμού τους, αλλά κυρίως από το εάν παραμένουν υπό τον έλεγχο των νόμιμων χρηστών τους.
