चीजों और उनके समाधान के इंटरनेट के छह हमले के सतहों

- Apr 14, 2018-

गार्टनर की नवीनतम रिपोर्ट के मुताबिक, करीब 20% कॉर्पोरेट संगठनों ने पिछले तीन वर्षों में कम से कम एक आईओटी-आधारित हमले को देखा है। इन खतरों के जवाब में, गार्टनर ने भविष्यवाणी की है कि 2018 तक वैश्विक आईओटी सुरक्षा खर्च 1.5 अरब डॉलर तक पहुंच जाएगा, जो 2017 में 1.2 अरब डॉलर की तुलना में 28% की वृद्धि होगी।

आईओटी उपकरणों की सुरक्षा के लिए आईओटी उपकरणों पर हमला करने और आईओटी उपकरणों के सुरक्षा जोखिम को कम करने के लिए हैकर्स की लागत में वृद्धि करना आवश्यक है। हम हमले का सामना करते हुए छह उपकरणों पर सुरक्षा मूल्यांकन विश्लेषण करेंगे, और काउंटरमेशर प्रदान करेंगे।

हमला सतह 1: हार्डवेयर इंटरफेस

भंडारण मीडिया, प्रमाणीकरण विधियों, एन्क्रिप्शन विधियों, संचार विधियों, डेटा इंटरफेस, परिधीय इंटरफेस, इंटरफ़ेस डिबग करना, और चीजें टर्मिनल उपकरणों के इंटरनेट के इंसान-कंप्यूटर इंटरैक्शन इंटरफ़ेस सभी हमला हुआ सतहों हो सकते हैं। कई निर्माताओं आईओटी उत्पादों में हार्डवेयर डिबगिंग इंटरफेस बनाए रखते हैं। उदाहरण के लिए, आप CPU की चलने की स्थिति को नियंत्रित कर सकते हैं, मेमोरी सामग्री को पढ़ और लिख सकते हैं, सिस्टम की जेड इंटरफ़ेस डिबग कर सकते हैं, और सिस्टम की जानकारी और एप्लिकेशन डिबग सीरियल पोर्ट देख सकते हैं। दोनों इंटरफ़ेस एक्सेस डिवाइस में आम तौर पर उच्च सिस्टम अनुमतियां होती हैं, जिससे प्रमुख सुरक्षा जोखिम होते हैं। इसके अलावा वहाँ I2C, SPI, यूएसबी, सेंसर, एचएमआई, और अधिक हैं। वहाँ भी कई आंतरिक, बाहरी, निरंतर, और अस्थिर भंडारण अनुप्रयोग हैं जो कि हार्डवेयर डिवाइसों जैसे एसडी कार्ड, यूएसबी वाहक, ईपीरोम, ईईपीआरएम, फ्लैश, एसआरएएम, डीआरएएम, एमसीयू मेमोरी आदि के इस्तेमाल में शामिल हैं, जो भी हो सकते हैं हार्डवेयर हमले की सतहें

उत्तरदायी उपाय: आईओटी उपकरणों को डिजाइन की शुरुआत में विचार करने की आवश्यकता है ताकि सुनिश्चित किया जा सके कि हमलावर प्रासंगिक संसाधनों से प्राप्त नहीं कर सकते हैं और छेड़छाड़ कर सकते हैं। वर्तमान में, शाखा कंपनी मोबाइल टर्मिनल के विश्वसनीय टर्मिनल निष्पादन माहौल के TEE को सफल कार्यान्वयन से सीखती है और ट्रस्टज़ोन टेक्नोलॉजी को कॉर्टेक्स-एम श्रृंखला में स्थानांतरित करती है। चिप प्लेटफॉर्म में, यह स्रोत सुरक्षा से डिवाइस सुरक्षा सुनिश्चित करने के लिए चिप स्तर से माना जाता है।

हमले की सतह 2: जानवर बल

वर्तमान में, चीजों के टर्मिनलों के अधिकांश इंटरनेट एकल-सीपीयू + सेंसर वास्तुकला + संचार मॉड्यूल हैं, और सॉफ्टवेयर डिजाइन ज्यादातर फ़ंक्शन के स्तर को पूरा करने पर जोर देते हैं। लेकिन हमने कहा कि स्टार्टअप सुरक्षा और जड़ प्रमुख सुरक्षा सभी डिवाइस सुरक्षा के आधार हैं सभी व्यावसायिक तर्क और उपकरण व्यवहार इन दो सुरक्षा कार्यों पर आधारित हैं। हैकर्स क्रूरता की दरार उपकरणों की बहुत संभावनाएं हैं, डिवाइस की जानकारी प्राप्त करते हैं, संचार डेटा प्राप्त करते हैं, और यहां तक कि डिवाइस छवि को दूरस्थ रूप से बदलें और एक योग्य टर्मिनल के रूप में इसे छिपाने के लिए।

Countermeasures: सुरक्षा कुंजी की सुरक्षा शुरू और सुरक्षा को सुरक्षा चिप SE का उपयोग करके गारंटी दी जा सकती है। यह चीजें सुरक्षा के इंटरनेट को हल करने का सबसे प्रभावी उपाय है और तकनीकी स्तर पर चीजों के टर्मिनल के एक सुरक्षा-अनुपूरक इंटरनेट के रूप में है।

हमला सतह 3: सॉफ्टवेयर दोष

सॉफ़्टवेयर दोष मुख्य रूप से सॉफ्टवेयर कीड़े, सिस्टम कमजोरियों, कमजोर पासवर्ड, सूचना लीक और इतने पर प्रकट होते हैं।

उदाहरण के लिए, चीजों (आईओटी) के ज्यादातर उपकरण वर्तमान में एम्बेडेड लिनक्स सिस्टम का उपयोग करते हैं। एक हमलावर विभिन्न असुरक्षित कमजोरियों के माध्यम से सिस्टम कमजोरियों का फायदा उठाने और सिस्टम से संबंधित सेवाओं के लिए प्रमाणीकरण पासवर्ड प्राप्त कर सकता है।

उदाहरण के लिए, कमजोर पासवर्ड की उपस्थिति आम तौर पर निर्मित निर्माता या उपयोगकर्ता पासवर्ड की बुरी आदतों के कारण होती है। यह मोबाइल इंटरनेट के युग में एक ही कारण है।

उदाहरण के लिए, अधिकांश आईओटी डिवाइस निर्माताओं सूचना सुरक्षा को महत्व देते नहीं हैं, जिसके परिणामस्वरूप लीक की गई जानकारी के कारण लक्ष्य पर हमलावर के हमले की बहुत सुविधा होती है। उदाहरण के लिए, जब किसी विशिष्ट विक्रेता पर एक कैमरा सुरक्षा परीक्षण किया जाता है, तो यह पाया जाता है कि हार्डवेयर मॉडल, हार्डवेयर संस्करण संख्या, एक सॉफ्टवेयर संस्करण संख्या, एक सिस्टम प्रकार, एक लॉगिन उपयोगकर्ता नाम और एक एन्क्रिप्टेड पासवर्ड और पासवर्ड जनरेशन एल्गोरिथ्म प्राप्त किया जा सकता है। हमलावर ब्रूट बल के माध्यम से सादा पाठ प्राप्त कर सकते हैं।

उदाहरण के लिए, डेवलपर्स की सुरक्षा कोडिंग क्षमताओं की कमी होती है और इनपुट पैरामीटर को सख्ती से फिल्टर और मान्य नहीं करते हैं, जिसके परिणामस्वरूप रिमोट कोड निष्पादन या कमांड इंजेक्शन के कारण एक खतरनाक फ़ंक्शन कहा जाता है।

Countermeasures: एक ओर, सॉफ्टवेयर दोष, उत्पाद विकास प्रक्रिया में सुरक्षा विकास प्रक्रिया को मजबूत करने की जरूरत है, और दूसरी ओर, सुरक्षा प्रबंधन प्रक्रिया। उत्पाद विकास प्रक्रिया के दौरान, सुरक्षा कोडिंग मानकों को कमजोरियों की घटना को कम करने और संभावित खतरों को कम करने के लिए अनुसरण करने की आवश्यकता है। चीजों के इंटरनेट को दुनिया भर में अद्वितीय पहचान में चीजों के इंटरनेट से जुड़ा होना चाहिए। आईओटी डिवाइस में उपकरणों के बीच का कनेक्शन विश्वसनीय और प्रमाणीकृत होना चाहिए। कोई पिछला या पीछे वाला कोड नहीं है उपयोगकर्ता प्रमाणीकरण के लिए, उपयोगकर्ता को पहली बार सेट किया जाना चाहिए जब उपकरण कॉन्फ़िगर किया जाता है और उपयोग किया जाता है, और एक मजबूत पासवर्ड नीति सेट की जानी चाहिए। वितरण से डिबग संस्करण कोड निकालें, JTAG इंटरफ़ेस और COM पोर्ट को हटा दें, और असुरक्षित सेवाओं जैसे एसएसएच और टेलनेट को बंद करें।

हमला सतह 4: प्रबंधन दोष

प्रबंधन दोषों की वजह से समस्याएं सुरक्षा के लिए सबसे बड़ी और सबसे असुरक्षित समस्याएं हैं। यद्यपि यह तकनीकी में परिलक्षित होता है, जैसे कि कमजोर पासवर्ड, जैसे डिबगिंग इंटरफेस, जैसे उपकरण लॉग जानकारी की रिसाव, लेकिन बिना किसी अपवाद के सुरक्षा विकास प्रबंधन में एक दोष है।

उदाहरण के लिए, जब उत्पाद डिज़ाइन किया जाता है, तो यह कुछ रास्तों के प्रमाणीकरण प्रमाणीकरण या अनुमति प्रबंधन को ध्यान में नहीं लेता है। कोई उच्चतम प्रणाली प्राधिकरण के साथ उपकरण के नियंत्रण प्राधिकरण को प्राप्त कर सकता है

उदाहरण के लिए, डीबगिंग को सुविधाजनक बनाने के लिए, डेवलपर्स कोड में कुछ विशिष्ट खातों की प्रमाणीकरण कड़ी मेहनत कर सकते हैं। कारखाने छोड़ने के बाद इन खातों को हटाया नहीं गया था। जब तक हमलावर इस हार्ड कोडित जानकारी प्राप्त करता है, तब तक वह डिवाइस पर नियंत्रण हासिल कर सकता है।

उदाहरण के लिए, डेवलपर्स के उपयोगकर्ता प्रमाणीकरण एल्गोरिथम या कार्यान्वयन प्रक्रिया के प्रारंभिक डिज़ाइन में दोष हैं। उदाहरण के लिए, यदि कोई कैमरा एक यूआरएल पथ है जिसमें एक सत्र सेट करने के लिए अनुमति की आवश्यकता नहीं है, तो हमलावर को केवल यूजरनाम फील्ड को व्यवस्थापक में सेट करना होगा, और फिर लॉगिन प्रमाणन पृष्ठ दर्ज करें। पाया गया कि सिस्टम को व्यवस्थापक विशेषाधिकारों के लिए सीधे प्रमाणीकरण की आवश्यकता नहीं है।

उत्तरदायी उपाय: कंपनी प्रबंधन प्रक्रियाओं सहित उत्पाद की विभिन्न प्रक्रियाओं में सूचना नेटवर्क सुरक्षा की ज़रूरत है। IoT उपकरण सुरक्षा जोखिम को कम करने के लिए उपकरणों पर उपकरण लगाए जाने से पहले व्यावसायिक उत्पाद सुरक्षा परीक्षण किया जाता है।

हमले की सतह 5: संचार

संचार इंटरफ़ेस डिवाइस को संवेदक नेटवर्क, क्लाउड बैकेंड और मोबाइल डिवाइस एपीपी आदि के साथ संवाद करने देता है। हमले की सतह फर्मवेयर या चालक कोड को अंतर्निहित संचार के लिए लागू किया जा सकता है।

उदाहरण के लिए, मैन-इन-द-मध्य आक्रमण में आम तौर पर दो प्रकार के बायपास और कॉन्टैटेनेशन होते हैं। हमलावर संचार के दोनों छोर पर लिंक के बीच में है और डेटा एक्सचेंज के रूप में कार्य करता है। आक्रमणकर्ता मध्यस्थ के माध्यम से उपयोगकर्ता प्रमाणीकरण जानकारी और डिवाइस नियंत्रण जानकारी प्राप्त कर सकता है और फिर पुनरावृत्ति का उपयोग कर सकता है। डिवाइस के नियंत्रण पाने के लिए मोड या वायरलेस रिले मोड। उदाहरण के लिए, मानव-इन-द-मध्य हमलों के माध्यम से HTTPS डेटा को डिक्रिप्ट करके, कई संवेदनशील जानकारी प्राप्त की जा सकती है।

उदाहरण के लिए, वायरलेस नेटवर्क संचार इंटरफ़ेस में कुछ ज्ञात सुरक्षा समस्याएं हैं। एक हमले के बिंदु से, यह वायरलेस चिप पर एक आक्रमण और यहां तक कि शारीरिक क्षति, डॉस, सुरक्षा सत्यापन बायपास, या कोड निष्पादन कर सकता है।

उदाहरण के लिए, कुछ अंतर्निहित टीसीपी / आईपी संचार कमजोरियों, हार्डवेयर कार्यान्वयन कमजोरियों और ईथरनेट डिवाइस इंटरफ़ेस जैसे वाईफाई इंटरफेस के लिए अन्य हमले वैक्टर हैं।

उदाहरण के लिए, बेतार संचार ब्लूटूथ (और बीएलई), ज़िगबी, ज़्ववे, एनएफसी, आरएफआईडी, लोरा, वायरल हार्ट, और इतने पर।

उत्तरदायी उपायों: चीजों के इंटरनेट, विशिष्ट आवेदन परिदृश्यों की एक किस्म और संचार तरीकों की विविधता के लिए टर्मिनल उपकरणों की एक विस्तृत श्रृंखला है। निरंतर परिवर्तन की प्रक्रिया में, यह कमजोर और सबसे कठिन समस्या को दूर करने के लिए है। अंतर्निहित सुरक्षा तंत्र कमजोरियों का शोषण करने में कठिनाई को बढ़ा सकता है। विक्रेताओं वृद्धिशील पैचिंग के माध्यम से उपयोगकर्ताओं को अपडेट पुश कर सकते हैं। उपयोगकर्ताओं को समय-समय पर फर्मवेयर अद्यतन करने की आवश्यकता है

हमला सतह 6: बादल पर हमला

हाल के वर्षों में, आईओटी उपकरणों को धीरे-धीरे बादल के माध्यम से प्रबंधित किया गया है हमलावर मोबाइल टर्मिनल एपीपी में बादल कमजोरियों, कमजोरियों का फायदा उठाने और उपकरणों और क्लाउड के बीच संचार डेटा का विश्लेषण कर सकते हैं। डिवाइस नियंत्रण अधिकारों को प्राप्त करने के लिए जाली डेटा को फिर से चलाने के हमलों के लिए उपयोग किया जा सकता है।

Countermeasures: विक्रेता द्वारा प्रदत्त समग्र सुरक्षा समाधान को तैनात करने की सिफारिश की गई है। उदाहरण के लिए, यदि वर्तमान आईएफएए प्रौद्योगिकी समाधान चीजों के इंटरनेट पर लागू होती है, तो यह डेटा सुरक्षा की सुरक्षा करते समय सुरक्षित पहचान प्रमाणन कर सकता है। एक अन्य उदाहरण यह है कि अली के आईसीए गठबंधन ने इस क्षेत्र में कुछ उपयोगी काम भी किए हैं।