Quando la telecamera fa l’intrusione: come difendersi dai rischi dell’IoT

di Alvise Biffi - Imprenditore, business angel, Vice Presidente Assolombarda con delega ad Organizzazione Marketing e sviluppo e Consigliere delegato per la Cyber Security di Piccola Industria Confindustria

93 milioni (Report Osservatorio Internet of Things del Politecnico di Milano). Era questo, secondo il Politecnico di Milano, il numero di connessioni IOT attive in Italia nel 2020. Ma facciamo un passo indietro, cosa vuol dire IOT? L’acronimo sta per “Internet of Things”, parliamo quindi di oggetti che utilizzano una connessione per interconnettersi allo scopo di scambiare informazioni, raccoglierle e/o elaborarle. All’interno di questa classificazione, quindi, rientrano tutti gli oggetti che ci circondano nella vita quotidiana e che sono stati resi “intelligenti” grazie ad una connessione (es. Smartwatch, Telecamere, dispositivi audio e video, macchinari, elettrodomestici, lampioni). 

La tecnologia IOT è un abilitatore di infrastrutture intelligenti che rendono possibili servizi di qualità superiore e facilitano la fornitura di funzionalità avanzate (come ad es. la manutenzione predittiva). Le opportunità derivanti dall’IOT sono la frontiera dell’innovazione, ma come tutti gli avanzamenti tecnologici. insieme alle opportunità, ci sono anche nuovi rischi da gestire. 

Si nasce e si diventa 

È importante fare una distinzione tra oggetti che nascono come dispositivi connessi ed oggetti che lo diventano nel corso della vita. Lascio l’approfondimento sugli oggetti “boomer”(vale a dire non connessi nativamente) a futuri articoli e inizio dai “nativi interconnessi”, sottolineando come sia opportuno applicare subito il principio di “security by design” perché a breve sarà obbligatorio, secondo i requisiti previsti dalle certificazioni dettate dall’applicazione del CyberSecurity Act Europeo; tale approccio pone attenzione alla sicurezza dei dispositivi come requisito necessario dalle fondamenta del progetto, a partire dal design hardware e proseguendo con uno sviluppo del software secondo rigorose guideline di sviluppo sicuro, al fine di ridurre al minimo i rischi di vulnerabilità che potrebbero esporre i dispositivi ad attacchi, con conseguente compromissione del sistema ospitante. Purtroppo questo tipo di approccio non è ancora così diffuso: per questo la normativa europea è stata varata ,forzando i produttori ed indicando dei parametri minimi adeguati al rischio, che saranno verificati da enti regolatori a garanzia degli utenti. 

Rischi

Il rischio di interconnettere alle proprie reti (domestiche, aziendali o industriali) un dispositivo che non presenta sistemi di sicurezza al suo interno non fa altro che esporci a innumerevoli rischi. Si pensi ad esempio alle telecamere di videosorveglianza: se non adeguatamente progettate, gestite e manutenute, da strumento di sicurezza possono velocemente diventare strumento di intrusione dando accesso alle immagini direttamente a ladri, malintenzionati o “voyeur”. Non è una battuta: se fate un giro su http://isecam.com vedrete che non parliamo di un rischio “potenziale” ma di una realtà concreta. Infatti già oggi è possibile avere accesso a diverse migliaia di telecamere che vi aprono una finestra (anche in HD) attraverso cui potete sbirciare nelle vite altrui, senza alcuna fatica né particolare competenza informatica. Come è possibile? Semplice, non sono state progettate con logiche di security by design: sono uscite dalla fabbrica con le medesime credenziali di accesso remoto di default e nessuno le ha modificate nel processo di installazione, di conseguenza sono note al mondo intero e disponibili a chiunque.

Gli attacchi

Gli attacchi più comuni che interessano i dispositivi IOT sono senza dubbio quelli Denial of Service e Distributed Denial of Service (Dos e DDos). Scopriamo la definizione che ci fornisce l’Agenzia Nazionale per La Cybersicurezza: “attacco informatico che mira a compromettere la disponibilità di un sistema mediante esaurimento delle sue risorse di rete, elaborazione o memoria. Nella versione distribuita (DdoS),l’attacco proviene da un gran numero di dispositivi ed è diretto verso un target. Le botnet sono uno strumento per condurre un attacco DdoS (Glossario Computer Security Incident Response Team – Italia) ”Una riflessione: se consideriamo il numero sempre maggiore di dispositivi IOT presenti nelle nostre vite (molti dei quali privi di adeguate misure di sicurezza) e la natura dell’attacco citato poc’anzi, possiamo arrivare ad una conclusione inquietante: i nostri dispositivi possono essere/sono stati/saranno lo strumento utilizzato dai Cyber Criminali per portare a segno un attacco. In altre parole: il frigorifero potrebbe essere utilizzato per attaccare la CIA, come pure un sito di e-commerce nella settimana del blackfriday o anche un sito di CamGirl… in ogni caso sia voi (i proprietari) che i produttori del frigorifero avrete una brutta (o bruttissima, a seconda di quale sia il target dell’attacco) gatta da pelare sui risarcimenti per i danni conseguenti l’attacco…

Le contromisure

Abbiamo compreso come a rischio siano tutte le infrastrutture/prodotti dotate di sensori. Ma quali sono gli aspetti da valutare per garantire una maggior sicurezza?

Autentificazione e password

È importante impostare autenticazioni sicure per i dispositivi IoT come, ad esempio, stabilire password complesse (modificando sempre quelle di default, anche per i router) poiché molte volte gli attacchi si verificano a causa di un device che non ha le credenziali o che possiede ancora quelle di fabbrica (ampiamente note nel Dark web)

Connessioni sicure e criptate

Utilizzare crittografia end-to-end. I dispositivi IoT si connettono per la maggior parte in modalità wireless, si consiglia di utilizzare almeno una WPA 2.0 (Wi-Fi Protected Access 2);

Segmentazione e diversificazione della rete 

È consigliato gestire separatamente il traffico dei dispositivi IoT. Infatti, è consigliato per una gestione ottimale della banda e per garantirne una maggior affidabilità. 

Aggiornamenti ed eliminazione device obsoleti

È fondamentale aggiornare i dispositivi connessi per evitare che eventuali attacchi provengano da vulnerabilità già note, nel caso in cui l’aggiornamento non è più possibile, è consigliato dismettere i dispositivi obsoleti per non permettergli di diventare l’anello debole della nostra catena della sicurezza.

Aggiornamenti firmware

Il Firmware permette ai nostri dispositivi di funzionare e consente di interagire con altri componenti. E’ molto importante che sia sempre aggiornato per permettergli un corretto funzionamento e la copertura di eventuali “falle” preesistenti.

Conclusioni

Entro il 2025 molti ricercatori stimano che i dispositivi IOT sfioreranno i 30 miliardi. La tecnologia IoT è destinata ad essere sempre più pervasiva nelle nostre vite, non solo dal punto di vista personale ma soprattutto per i business delle aziende, che puntano sempre più sul potere dei dati. Dobbiamo però tenere sempre a mente che l’evoluzione comporta anche dei rischi di sicurezza. Cosa fare?

• Se siete utenti finali, quando comprate un oggetto IoT non limitatevi al prezzo, al colore ed alle funzionalità core per la decisione, verificate anche le caratteristiche di sicurezza. Per tornare agli esempi: oltre a controllare con chi chattano i vostri figli, verificate anche con chi si connette il vostro frigorifero… e se comprate delle telecamere IP chiedetevi se qualche decina di euro risparmiati valgono una diretta streaming mondiale della vostra camera da letto?! 

• Se siete produttori ricordatevi che la conoscenza è il primo passo verso un approccio alle tecnologie più sicuro e consapevole. Un mercato consapevole saprà valorizzare i prodotti con una miglior qualità anche di cybersecurity, caratteristica che nei prossimi anni non sarà esclusivamente un vincolo di compliance, ma un elemento di competitività importante per la leadership… non perdete il treno!