Kerentanan aplikasi membuat perangkat IoT terbuka untuk diserang
Perangkat IoT kembali menjadi hadiah populer di musim liburan ini. Singkatan dari Internet of Things, IoT lebih dari sekadar kata kunci. Tren menunjukkan perubahan besar dalam cara produk dibuat dan digunakan, karena konektivitas jaringan ditambahkan ke produk yang sebelumnya tidak dimaksudkan untuk memiliki fungsi ini.
Jadi, kulkas Anda yang mengirimi Anda pesan teks saat Anda kehabisan susu:IoT. Termostat Anda yang menyediakan grafik penggunaan di ponsel Anda:ya, IoT. Pada dasarnya, perangkat konsumen apa pun yang dapat terhubung ke jaringan selain komputer, ponsel, tablet, atau router dianggap sebagai perangkat IoT, kata Fleming Shi, CTO dari Barracuda Networks.
Keamanan telah menjadi perhatian besar dengan perangkat IoT. Meskipun perbaikan telah dilakukan, jenis kerentanan baru tetap ada. Misalnya, tim Barracuda Labs baru-baru ini menggunakan kamera keamanan IoT untuk membantu menggambarkan ancaman baru:penyusupan kredensial IoT, yang menggunakan kerentanan aplikasi web dan seluler untuk menyusup ke perangkat IoT.
kompromi kredensial IoT
Penyerang dapat menggunakan kerentanan dalam aplikasi web dan aplikasi seluler yang digunakan oleh perangkat IoT tertentu untuk memperoleh kredensial, yang kemudian dapat digunakan untuk melihat umpan video, mengatur/menerima/menghapus alarm, menghapus klip video yang disimpan dari penyimpanan cloud, dan membaca informasi akun . Penyerang juga dapat menggunakan kredensial untuk mendorong pembaruan firmware mereka sendiri ke perangkat, mengubah fungsinya, dan menggunakan perangkat yang disusupi untuk menyerang perangkat lain di jaringan yang sama.
Detailnya
Untuk menggambarkan ancaman ini, Barracuda Tim Labs baru-baru ini melakukan penelitian pada kamera keamanan yang terhubung dan mengidentifikasi beberapa kerentanan di aplikasi web dan ekosistem aplikasi seluler kamera:
Aplikasi seluler mengabaikan validitas sertifikat server
Skrip lintas situs (XSS) di aplikasi web
Penjelajahan file di server awan
Tautan pembaruan perangkat kontrol pengguna
Pembaruan perangkat tidak ditandatangani
Perangkat mengabaikan validitas sertifikat server
Dengan menggunakan kerentanan ini, tim dapat melakukan serangan berikut untuk mendapatkan kredensial dan membahayakan perangkat IoT, semuanya tanpa koneksi langsung ke perangkat itu sendiri.
Memperoleh kredensial dari aplikasi seluler
Jika penyerang dapat mencegat lalu lintas ke aplikasi seluler dengan menggunakan jaringan yang disusupi atau tidak bersahabat, mereka dapat dengan mudah memperoleh kata sandi pengguna. Begini cara kerjanya:
1. Korban terhubung ke jaringan yang disusupi/bermusuhan dengan ponsel.
2. Aplikasi kamera yang terhubung akan mencoba terhubung ke server vendor melalui https.
3. Jaringan yang tidak bersahabat/disusupi akan mengarahkan koneksi ke server penyerang, yang akan menggunakan sertifikat SSL-nya sendiri dan mem-proxy komunikasi ke server vendor.
4. Server penyerang sekarang menyimpan hash MD5 tanpa garam dari kata sandi pengguna.
5. Penyerang juga dapat merusak komunikasi antara server vendor dan aplikasi.
Memperoleh kredensial dari aplikasi web
Jenis serangan ini bergantung pada fungsionalitas yang memungkinkan pengguna untuk berbagi akses perangkat ke kamera yang terhubung dengan pengguna lain. Untuk berbagi perangkat, penerima harus memiliki akun yang valid dengan vendor IoT, dan pengirim perlu mengetahui nama pengguna penerima, yang kebetulan berupa alamat email.
1. Penyerang akan menyematkan eksploitasi XSS dalam nama perangkat dan kemudian membagikan perangkat tersebut dengan korban.
2. Setelah korban masuk ke akunnya menggunakan aplikasi web, eksploitasi XSS akan mengeksekusi dan membagikan token akses (yang disimpan sebagai variabel di aplikasi web) dengan penyerang.
3. Dengan token akses itu, penyerang dapat mengakses akun korban dan semua perangkatnya yang terdaftar.
Melalui penelitian ini, tim Barracuda Labs berhasil mengkompromikan perangkat IoT (kamera yang terhubung) tanpa koneksi langsung ke perangkat itu sendiri. Ini membuat hidup lebih mudah bagi penyerang. Tidak ada lagi pemindaian di Shodan untuk perangkat yang rentan.
Sebaliknya, serangan akan dilakukan terhadap infrastruktur vendor. Ini adalah ancaman yang juga dapat memengaruhi jenis perangkat IoT lainnya, apa pun fungsinya, karena memanfaatkan cara perangkat berkomunikasi dengan cloud.
Lagi pula, bug tidak melekat pada produk, melainkan pada proses, keterampilan, dan kesadaran pengembang. Saat akses dan kontrol akses untuk perangkat IoT beralih ke layanan cloud, kerentanan juga memungkinkan jenis serangan yang ditemukan oleh tim Barracuda Labs.
Pelajaran untuk produsen IoT
Vendor yang membuat solusi IoT perlu melindungi semua aspek aplikasi yang digunakan untuk menjalankan perangkat tersebut. Perangkat IoT adalah sensor yang didistribusikan di rumah, sekolah, dan kantor, dan merupakan titik masuk potensial bagi penyerang. Setiap jaringan pelanggan adalah pembuka bagi inti server dan pelanggan lain.
Firewall aplikasi web, salah satu perlindungan paling penting yang harus diterapkan vendor IoT, dirancang untuk melindungi server dari lalu lintas HTTP di lapisan 7. Produsen juga perlu meningkatkan perlindungan terhadap serangan lapisan jaringan dan phishing.
Keamanan cloud juga penting, memberikan visibilitas, perlindungan, dan perbaikan aplikasi IoT dan infrastruktur yang mereka jalankan. Potensi paparan gerakan lateral besar dan kompleks, jadi mengambil tindakan pencegahan keamanan yang tepat adalah kuncinya.
Cara melindungi diri Anda sebagai konsumen
Saat membeli perangkat IoT, konsumen perlu memikirkan keamanan, selain kenyamanan dan, harga. Berikut adalah beberapa tips untuk dipertimbangkan:
Meneliti produsen perangkat — Beberapa perusahaan yang memproduksi perangkat IoT memahami keamanan perangkat lunak. Sebagian besar adalah perusahaan yang sudah ada yang keahliannya terletak pada pembuatan produk fisik yang sedang terhubung atau perusahaan rintisan yang mencoba membawa perangkat ke pasar secepat mungkin. Dalam kedua kasus tersebut, perangkat lunak yang tepat dan langkah-langkah keamanan jaringan sering diabaikan.
Cari kerentanan yang ada di perangkat vendor lain — Jika satu perangkat memiliki kerentanan, kemungkinan perangkat lain dengan fitur serupa dari perusahaan yang sama juga rentan. Pada akhirnya, vendor yang memiliki riwayat perangkat aman kemungkinan besar akan membuat perangkat aman di masa mendatang.
Evaluasi tanggapan terhadap kerentanan masa lalu — Jika vendor responsif terhadap orang yang melaporkan kerentanan dan dengan cepat menyelesaikannya dengan pembaruan firmware, ini menjadi pertanda baik bagi pandangan mereka tentang keamanan dan produk masa depan yang mereka buat.
Sayangnya, jumlah informasi yang tersedia tentang postur keamanan perangkat IoT sangat rendah. Idealnya, kita perlu mendapatkan dunia di mana semua produk IoT dinilai dengan peringkat keamanan, seperti halnya mobil. Konsumen harus diberi tahu sebelum mereka berinvestasi di perangkat IoT.
Penulis blog ini adalah Fleming Shi, CTO dari Barracuda Networks
