Proteggere Internet delle cose

Con un computer desktop o un dispositivo mobile intelligente, aggiungere la protezione di sicurezza è facile. Basta installare una suite di sicurezza o un'app antivirus e il gioco è fatto. È facile proprio perché i dispositivi in ​​questione eseguono sistemi operativi avanzati in grado di gestire comunicazioni multitasking e tra processi. L'intero modello di protezione si rompe quando si tratta di molti dispositivi collegati che compongono ciò che chiamiamo Internet of Things (IoT).

PC e smartphone hanno molta potenza di elaborazione; costano anche molti dollari. Un produttore che desidera aggiungere connettività Internet a una bambola oa una presa a muro deve spendere il meno possibile, altrimenti il ​​prodotto non sarà competitivo. Questi dispositivi non hanno nemmeno un sistema operativo in quanto tale. Tutto il codice è incorporato nel firmware e non è possibile inserire un antivirus nel firmware.

In caso di problemi di sicurezza o altri bug, il produttore sovrascrive semplicemente il firmware con una nuova versione. Sfortunatamente, i truffatori possono usare quella capacità di aggiornamento del firmware integrata per scopi nefasti. Che ne dici di sostituire il firmware della tua smart door lock con una nuova versione che fa tutto ciò che dovrebbe, ma si apre anche al comando del truffatore? Questo tipo di attacco è comune e i risultati sono generalmente spiacevoli. C'è qualche speranza?

Arxan Inside

Alla recente conferenza RSA a San Francisco, ho parlato con Patrick Kehoe, CMO di Arxan Technologies, e Jonathan Carter, Project Lead per il progetto di reverse engineering e prevenzione delle modifiche del codice dell'azienda (piuttosto un boccone!). In parole povere, ciò che fa il team di Carter è aiutare gli sviluppatori di app a inserire la sicurezza direttamente nel firmware.

Carter ha spiegato che alcuni attacchi contro i dispositivi IoT si concentrano sull'intercettazione e la manipolazione o la duplicazione del traffico di rete tra il dispositivo e un server o uno smartphone. Ma la protezione di Arxan è più profonda. "Ci concentriamo sull'attività all'interno del dispositivo mobile, all'interno del dispositivo IoT", ha dichiarato Carter. "Quello che facciamo dietro le quinte, impediamo in primo luogo al cattivo di intercettare il traffico. Questo non è a livello di rete, questo è all'interno delle app stesse. In fase di esecuzione possiamo rilevare se qualcuno ha tentato di infettare il codice del firmware ".

Quando uno sviluppatore compila il codice utilizzando la tecnologia di Arxan, l'autoprotezione è integrata direttamente nel firmware. I suoi componenti monitorano il codice attivo (e reciprocamente) per rilevare e prevenire qualsiasi modifica. A seconda dell'attacco e delle scelte dello sviluppatore, il codice di guardia può chiudere un'app compromessa, riparare il danno, inviare un avviso o tutti e tre.

Non puoi copiarmi!

Naturalmente, se un utente malintenzionato riesce a sostituire completamente il firmware, tutto quel codice di protezione scompare, insieme al resto del firmware originale. È qui che entra in gioco la tecnologia di offuscamento di Arxan. In poche parole, durante la creazione del codice firmware, la tecnologia di Arxan utilizza molti trucchi diversi per rendere estremamente difficile lo smontaggio e il reverse engineering del firmware.

Perché questo è importante? In un tipico attacco di sostituzione del firmware, i truffatori devono mantenere attive le funzioni del firmware esistenti. Se una bambola parlante hacker smette di parlare, è probabile che la butti via prima che i cattivi possano usarla per entrare nella tua rete. Se la tua serratura intelligente non è aperta, sentirai l'odore di un topo.

Carter ha sottolineato che i produttori hanno altri motivi per proteggere il firmware dall'ingegneria inversa. "Si preoccupano della clonazione o della contraffazione di dispositivi IoT", ha spiegato. "Alcuni produttori sono preoccupati di vendere anche un solo dispositivo in Cina. Prima di saperlo, appare un knockoff a una frazione del prezzo."

"Armiamo il codice", ha continuato Carter, "ma gli sviluppatori dovrebbero comunque seguire le linee guida di codifica sicure. Devono evitare attacchi di overflow del buffer e altre vulnerabilità classiche. Preoccupiamoci delle violazioni dell'integrità".

Tu sei me

Carter ha sottolineato un dispositivo IoT con potenziale di attacco a cui non avevo nemmeno pensato. In questi giorni, i visitatori dei parchi a tema Disney ricevono una banda magica che consente loro di sbloccare la camera d'albergo, entrare nel parco e persino fare acquisti. Si qualifica sicuramente come un dispositivo IoT. Se i Beagle Boys hackerano la tua Magic Band, potrebbero ripulire la tua camera d'albergo e poi andare a una cena elegante al Blue Bayou… la tua sorpresa! "Certo, " rifletté Carter, "la Disney è pazza per la sicurezza." Purtroppo, non potevo convincerlo a elaborare.

Devo dire che sono preoccupato che non saremo in grado di proteggere l'IoT. Non sono uno sviluppatore di firmware, ma per me l'approccio di Arxan, che mette la protezione all'interno del firmware necessario di ogni dispositivo, sembra un approccio eminentemente praticabile.