La sicurezza dell’Internet of Things è un tema molto discusso, e il discorso sulla sicurezza dell’Internet of Things ruota invariabilmente intorno al solito problema: l’IoT è insicura perché i sistemi in questione non vengono aggiornati in tempo – quando vengono aggiornati… – come i sistemi informatici tradizionali, e quindi restano vulnerabili. Da cui segue, tipicamente, la richiesta di legiferare in materia. Approccio sbagliato, però.
Sicurezza dell’Internet of things, la tesi da smontare
Ci vuole una voce scomoda e tipicamente contrarian come quella di Robert Graham, fondatore e proprietario di Errata Security, una società di Atlanta, Georgia, che si occupa di sicurezza informatica dal punto di vista “offensivo”, per provare a smontare quella tesi.
Secondo Graham, il problema di fenomeni come la botnet Mirai, utilizzata soprattutto per attacchi di Denial of Service distribuiti, non starebbe tanto nella mancanza di patch per correggere vulnerabilità nei dispositivi IoT (in questo caso, telecamere di sorveglianza) ma nel fatto che tali telecamere di sorveglianza devono, per definizione, essere esposte alla rete pubblica (per poter sorvegliare…): se quindi gli utenti non modificano la password di default per l’accesso e l’amministrazione delle telecamere, ogni eventuale vulnerabilità sfruttata diventa un problema secondario. E soprattutto il mercato è stato molto rapido a limitare la superficie di attacco disponibile mettendo in vendita videocamere per le quali le modalità di accesso dalla rete pubblica sono diverse: senza patch, dal momento che possiamo comprare una nuova telecamere, dritto dritto da Shenzen, Cina, ad una trentina di euro.
Il concetto di patching applicato all’IoT
Facciamoci due conti: se la ditta cinese che produce le telecamere a prezzi stracciati dovesse metter su il customer service per allertare gli utenti e preparare le patch, potrebbe ancora praticare quei prezzi? È piú facile mantenere i prezzi bassi e mettere in vendita nuove telecamere.
Ma il concetto stesso di patching applicato all’IoT potrebbe essere addirittura controproducente, sostiene Graham (e secondo me non ha tutti i torti): se una classe di sistemi IoT è vulnerabile e porta ad attacchi come Mirai – che vengono mitigati in tempi relativamente rapidi senza grossi danni – cosa succede se, in uno scenario di patching effettuato direttamente del vendor su sistemi IoT, un attaccante penetra l’infrastruttura di patching del vendor e invia il malware direttamente sui sistemi come se fosse un regolare aggiornamento? Si tratta di una cosa che peraltro è già successa – v. la vicenda del malware NotPetya (sul sito di Brian Krebs potete trovare diversi post su Mirai e questo articolo di Ellen Nakashima del Washington Post può essere una prima introduzione alla vicenda NotPetya).
L’uso di Nat, firewall e Ipv6 per mitigare i rischi
Infine, negli scenari futuri si parla di decine, centinaia di miliardi di oggetti IoT connessi in rete. I protocolli tradizionali di Internet (IPv4) non consentono tali numeri, e quindi o vi sarà un uso massiccio di NAT (Network Address Translation, già ampiamente in uso oggi) o finalmente il protocollo di prossima generazione (IPv6) diventerà universale: scenario assai probabile se il vostro frigorifero si collegherà ad internet via una rete 5G piuttosto che WiFi, senza quindi impattare sulla rete locale domestica. Sia l’uso del NAT che quello di IPv6 mitigano larga parte dei possibili attacchi ai sistemi IoT. Non parliamo poi dell’eventuale passaggio a idee e protocolli totalmente diversi (RINA, Recursive InterNetwork Architecture: spiegone di 280 slides).
Il modo migliore per rendere sicuro il mondo IoT, sostiene Graham e mi pare difficile dargli torto, consiste in una serie di pratiche gestionali che dovrebbero diventare routine: utilizzo di firewall per permettere solo connessioni valide (ed il NAT aiuta in questo caso), e separazione delle reti utilizzate per IoT dalle altre: tutte cose che può fare l’utente senza introdurre vincoli per i vendor. I soldi pubblici sono meglio spesi per educare gli utenti alla privacy e alla sicurezza.
A proposito, chi volesse vedere un po’ di oggetti IoT del prossimo futuro, può fare un salto nel reparto elettrodomestici di un qualsiasi grande centro commerciale: quasi la metà delle lavatrici in vendita si collegano alla rete domestica via WiFi, ed una buona parte delle altre utilizzano NFC per avere un qualche “colloquio” con la rete tramite uno smartphone. I frigoriferi wired sono meno comuni, ed in genere occupano solo la fascia molto high end del mercato, e si tratta di frigoriferi con touchscreen giganti sul frontale con su Android ed app come Giallo Zafferano per le ricette e Spotify per sentire la musica in cucina.
