A napokban rendezett, még zajló, az RSA szokásos évi biztonsági konferenciáján San Franciscóban mutatta be tegnap a Trend Micro két kutatója, Numaan Huq és Stephen Hilt azt a jelentést, mely szerint vizsgálatuk során kiderült, hogy a tíz legnagyobb amerikai városban több mint 178 millió olyan IoT-eszközt (vagyis olyan, internetkapcsolattal rendelkező kütyüt, szenzort, elektronikai berendezést, kamerát, routert, NAS-t, viselhető számítástechnikai eszközt, nyomtatót, egészségügyben használt terméket stb.) találtak, melyek nem elég biztonságosak, pontosabban potenciálisan nyitott kapuként tárulnak fel egy esetleges támadó előtt.

Kutatásuk nem sebezhetőségek feltárására irányult, de következtetéseik lényege az volt, hogy a szóban forgó IoT-eszközök a minimálisan elvárható biztonsági megoldásokkal sincsenek ellátva, és láthatóak az olyan egyszerű keresők számára is, mint a Shodan, melyet kifejezetten az IoT-készülékek feltérképezésére készítettek – ha ezt a mozaikot összerakjuk, akkor mindenképpen biztonsági kockázatok tárulnak fel: az eszközök kapcsolódnak hálózatokhoz, és ha könnyű a megtalálásuk, illetve a helyi rendszerbe történő bejutás, akkor egy támadó könnyedén túl tud lépni ezen az első lépcsőn, és az elsődleges manipuláció után más, kiemelten védendő adatokhoz is hozzá tud jutni.

Mindez a kutatók szerint nemcsak az IoT-eszközök saját biztonsági rendszerének elhanyagolására mutat rá, hanem azokra az implementációs hiányosságokra is, amelyek akkor tapasztalhatóak, amikor ezeket az eszközöket a helyi hálózatba kötik be, illetve amikor felelőtlenül, védelem nélkül engedik őket internetkapcsolathoz – csak egy egyszerű példa: ezeknél az IoT-eszközöknél elsődleges funkció a távirányítás, ám ez olyan csatornát nyit meg, melyet megfelelően le kell védeni, hogy más ne tudjon belelépni, de ezt gyakran elmulasztják.

A konkrét számok: a Shodanból kinyert adatok alapján a kutatók 2016 februárjában több mint 178 millió olyan eszközt találtak – 45,6 millió egyedi IPv4-es, illetve 256,5 ezer IPv6-os címen –, melyekhez elvileg hozzá lehet férni (meglepő módon ezek között a nagy felhőszolgáltatók is érintettek voltak, az Amazon, az Azure, az Akamai, valamint a CloudFlare).

A sérülékenységek lehetőségének többsége a tíz legnagyobb amerikai városhoz kötődött, a legtöbb látható és hozzáférhető valamilyen Linux-alapú rendszer, de a viszonylag alacsony arányt hozó Macet kivéve (ez nem meglepő: az IoT-ben az Apple nem igazán meghatározó) a többi platform is jelentős szerepet játszik.

A kutatók azt sem felejtették el megjegyezni, hogy egyes, kiterjedt és nagyon veszélyesnek tartott réseket a gyártók már befoltoztak. De azt is hozzátették, hogy az IoT területén a platformok, szoftverek, gyártók sokasága miatt a hagyományos informatikai szegmensekhez képest jelen pillanatban még inkább kaotikusnak nevezhető a helyzet biztonsági szempontból, mivel nem léteznek egységes biztonsági intézkedések.