Mengapa 98% Lalu Lintas IoT Tidak Terenkripsi — Seruan Tindakan Segera
Menurut Laporan Ancaman Unit 42 Palo Alto Networks tahun 2020, sebuah angka mengerikan yaitu 98 persen lalu lintas IoT bepergian tanpa enkripsi. Mike Nelson, VP Keamanan IoT di DigiCert, mengatakan dirinya terkejut dengan angka tersebut.
Laporan Z-Scaler dari tahun lalu juga mengikuti tren ini, mencatat bahwa 91 persen lalu lintas IoT tidak terenkripsi.
Lalu lintas yang tidak terenkripsi berarti penyerang dapat melakukan serangan Man-in-The-Middle (MiTM), menyadap atau mengubah data antara perangkat dan jaringan.
Produsen sering buru-buru meluncurkan perangkat ke pasar, mengabaikan keamanan dasar dalam desain. Perusahaan kemudian menerapkan perangkat yang rentan ini ke dalam jaringan yang sebenarnya aman. Penyerang dapat menemukan titik akhir yang terbuka melalui alat seperti Shodan, mendapatkan landasan.
IoT berkembang dengan cepat. McKinsey meramalkan 43 miliar perangkat terhubung pada tahun 2023. Jika tren 98 persen tidak terenkripsi saat ini berlanjut, kriminal siber akan memiliki bufet besar data untuk dieksploitasi.
Orang sering membayangkan hackan yang aneh—boneka atau deringen—namun bahaya nyata terletak pada implementasi perusahaan besar. Satu perangkat yang terbuka dapat menjadi gerbang ke jaringan sensitif.
Pada tahun 2017, sebuah kasino di Las Vegas menjadi korban pelanggaran berbasis ikan hias. Sensor IoT yang terhubung dengan tangki mengirim data ke server jarak jauh di Finlandia. Penyelidikan terungkap bahwa hacker telah menggunakan tangki untuk mengeksfiltrasi 10 GB database high-roller kasino.
Insiden tersebut menyoroti tiga masalah kritis: (1) data yang disimpan kasino tidak terenkripsi, memungkinkan penyerang menangkapnya dengan mudah; (2) kontrol akses yang tidak memadai memungkinkan penyerang bergerak dari perangkat IoT ke data yang sangat sensitif; (3) sensor tangki ikan terintegrasi ke dalam jaringan luas kasino, menyediakan jalur langsung ke informasi kritis.
Pelanggaran semacam ini dapat berkisar dari kerugian finansial dan paparan data pelanggan hingga serangan terhadap infrastruktur kritis, yang berpotensi menyebabkan pemadaman listrik, kegagalan internet, dan penutupan sistem kesehatan nasional.
Mencapai Enkripsi 100 Persen
Semua data rahasia—baik saat disimpan atau saat transit—harus dienkripsi. Bahkan satu aliran data yang tidak terenkripsi adalah kerentanan yang dapat dieksploitasi penyerang.
Mengenkripsi data seluler yang selalu bergerak di seluruh hub, gateway, dan cloud adalah hal yang kompleks, namun penting untuk melindungi jaringan IoT perusahaan yang bergantung pada banyak titik akhir yang bertukar data.
Infrastruktur Kunci Publik (PKI) dengan sertifikat digital menawarkan solusi yang scalable, memungkinkan autentikasi saling dan enkripsi akhir-ke-akhir di seluruh implementasi IoT skala besar. Perusahaan terkemuka sedang mengadopsi PKI untuk mengamankan jaringan mereka.
Meskipun kemajuan sedang berlangsung, industri harus mempercepat. Produsen perlu menyematkan enkripsi, autentikasi, dan integritas ke dalam produk mereka sejak awal. Perbaikan bertahap tidak cukup.
Enkripsi skala perusahaan adalah masa depan keamanan IoT. Saat produsen terkemuka mengimplementasikan PKI, sisa industri harus mengikutinya—dan segera.
Penulis adalah Mike Nelson, VP Keamanan IoT di DigiCert.
Tentang penulis
Mike Nelson adalah VP Keamanan IoT di DigiCert, penyedia keamanan digital. Dalam peran ini, Mike mengawasi pengembangan strategis pasar perusahaan untuk berbagai industri infrastruktur kritis yang mengamankan jaringan dan perangkat Internet of Things (IoT) yang sangat sensitif, termasuk kesehatan, transportasi, operasi industri, dan implementasi jaringan listrik cerdas serta kota cerdas.
Mike sering berkonsultasi dengan organisasi, berkontribusi pada laporan media, berpartisipasi dalam badan standar industri, dan berbicara di konferensi industri tentang bagaimana teknologi dapat digunakan untuk meningkatkan keamanan siber untuk sistem kritis dan orang yang bergantung padanya.
Mike telah menghabiskan karirnya di IT kesehatan termasuk waktu di Departemen Kesehatan dan Layanan Manusia AS, GE Healthcare, dan Leavitt Partners – sebuah perusahaan konsultasi kesehatan boutique. Passion Mike untuk industri ini berasal dari pengalaman pribadinya sebagai penderita diabetes tipe 1 dan penggunaan teknologi terhubung dalam pengobatannya.
