20 февраля 2016

[аналитика] Носимая угроза: IEEE выявил основные риски фитнес-трекеров

По мере того, как продажи IoT-устройств растут с каждым годом на десятки процентов, ИБ-эксперты настоятельно рекомендуют производителям фитнес-трекеров и разработчикам соответственного ПО сконцентрироваться на безопасности.

В отчете, выпущенном Центром безопасной разработки при IEEE, исследователи отметили шесть основных проблем носимой электроники с точки зрения безопасности, предложив разработчикам ряд рекомендаций в связи с обеспечением безопасности устройств.

Отчет, получивший название «WearFit: Security Design Analysis of a Wearable Fitness Tracker» (PDF), подчеркивает, что изъяны в носимых устройствах – серьезная угроза безопасности. В IEEE отмечают, что растущая популярность носимых устройств и огромное количество конфиденциальных данных, которыми их владельцы делятся с разработчиками соответствующих приложений и сервисов, превращает их в весьма привлекательную цель для злоумышленников.

Данный отчет, в основном, посвящен фитнес-браслетам, умеющим анализировать пульс, отслеживать физическую активность, использовать данные различных датчиков (например, акселерометров), а также загружать пользовательские данные на централизованный сервер.

При этом фитнес-трекеры подвержены тем же угрозам, что и более привычные устройства: SQL-инжектам, фишингу, подделке межсайтовых запросов и атакам переполнения буфера.

«Большинство кибератак нацелено на ПО, вне зависимости от аппаратной части. Будь то носимое устройство, смартфон или сервер, используемый для хостинга приложения, все они используют схожие программные системы, – подчеркнул Джейкоб Вест (Jacob West), один из соавторов отчета и старший сотрудник по вопросам архитектуры ИБ-продуктов в NetSuite. – В носимых устройствах, таким образом, содержатся привычные нам уязвимости».

В подготовке отчета участвовали другие члены IEEE, в том числе Synopsis, Hewlett Packard Enterprise, NetSuite, а также Тадаеши Коно (Tadayoshi Kohno) из Университета Вашингтона. В отчете также сгруппированы возможные векторы атак и предложены подходящие решения для противостояния угрозам.

«Наша цель – показать производителям, что для отражения атак недостаточно просто исправлять баги и патчить уязвимости, следует также избегать расхожих ошибок в проектировании и программировании устройства, – сказал Вест. – Нам кажется, половину проблем, с которыми мы сталкиваемся сегодня, можно было решить еще на этапе проектирования».

Одной из основных угроз является DoS-атака, проводимая при помощи вредоносной прошивки. В результате устройство становится непригодным для использования, сжигает ресурс батареи и закрывает доступ к аккаунту пользователя. Такая прошивка может также повлиять на работу основного устройства, к которому подключен фитнес-трекер (например, смартфона или ноутбука).

Также значительной угрозой можно назвать обмен данными о физическом состоянии пользователя со сторонними организациями. С одной стороны, многие сервисы охотно заключают партнерства с рекламодателями или, например, страховыми компаниями, предоставляя им данные без ведома пользователей. С другой стороны, производителям носимых устройств необходимо пресекать возможность фальсификации данных или манипуляции информацией о состоянии здоровья.

Кроме того, нужно оперировать данными согласно желанию пользователя: например, он может свободно обмениваться обновлениями в соцсетях, но может и ограничить публикацию данных. Если производитель не учтет это, последствиями для клиента могут быть разглашение конфиденциальной информации о здоровье, навязчивая реклама или преследование со стороны нежелательных особ.

Проблемы в отношении клиентских данных могут иметь далеко идущие последствия. Помимо утечки информации, уязвимости в носимых устройствах могут стать причиной атак на веб-сайты, кражи учетных данных. Также через баги в носимой электронике злоумышленник может получить несанкционированный доступ к привязанному устройству – смартфону или планшету – или даже к стороннему серверу.

Одной из основных проблем в создании действительно безопасного устройства, по мнению авторов отчета, является сложность экосистемы носимых устройств: нужно, чтобы корректно функционировали не только само устройство и ПО, но и остальные части инфраструктуры – компьютеры, смартфоны, сети. Любой из этих элементов может быть уязвим.

Чтобы избежать этих проблем, следует начать с надежной аутентификации. «Если пользователь прошел аутентификацию, действительно безопасная система не позволит ему сменить ID без повторного прохождения аутентификации», – пишут в отчете. Авторы полагают, что наилучшим решением является поддержка протокола сквозной аутентификации OAuth 2.0 – например, при помощи Facebook или Google.

Эксперты предложили и другие меры, к примеру, использование надежных паролей и безопасной системы восстановления пароля. Кроме того, специалисты советуют установить принудительную повторную аутентификацию после 15 минут простоя. Наконец, в отчете говорится о том, что фитнес-браслеты и соответствующие приложения должны проходить аутентификацию во время подключения к другому устройству. Таким образом, считают в IEEE, будут пресечены попытки вызвать переполнение буфера.

Таким же образом разделение инструкций данных и функций контроля поможет избежать внедрения вредоносного кода через уязвимости, содержащиеся в стороннем оборудовании. В большинстве случаев хакеры атакуют уязвимые программные, а не аппаратные компоненты, и в этом отношении носимые устройства – не исключение.

В октябре тема безопасности носимых устройств активно обсуждалась повсюду: исследователь из Fortinet продемонстрировал уязвимость в Fitbit, которую он смог эксплуатировать по беспроводной связи через Bluetooth. Эксперт заявил, что смог внедрить вредоносный код в FitBit Flex, а затем инфицировать подключенные к браслету устройства.

Источник