‘Devices of the future’ zullen slim zijn of slimmer worden – en eigenlijk zijn ze dat nu al. Ze communiceren via internet met de hele wereld en ze zijn ontworpen om ons te amuseren en ons dagelijks leven te vergemakkelijken. Hoewel de meeste gebruikers al bekend zijn met IT-beveiliging voor computer, laptop en smartphone is het bewustzijn voor smart home-componenten onderbelicht.
Het Haunted House
Tot nu toe zijn gegevens over externe toegang tot IoT-apparatuur zeldzaam. Daarom heeft Sophos samen met Koramis een smart home-infrastructuur opgezet die als ‘honey pot’ op het internet werd geplaatst. Het huis vertegenwoordigt een doorsnee privéhuishouden met dertien verschillende IoT-apparaten en technologieën van verschillende leveranciers. Ze bevinden zich in een netwerk en zijn met het internet verbonden.
Drie testfasen
Binnen twee van de drie testfasen werden de technieken en het aantal toegangspogingen tot de geïmplementeerde componenten gevolgd. De eerste fase duurde zes weken met persoonlijke en veilige wachtwoorden. De tweede fase met eenzelfde opzet duurde drie weken. Het verschil: er werden standaardinstellingen voor apparaten gebruikt. Net zoals het zeer waarschijnlijk is bij huishoudens die IoT-apparaten gebruiken. Om deze resultaten in een grotere context te krijgen, paste een derde onderzoeksfase actieve internetscans toe voor open IoT-componenten. Hierbij werden zoekmachines als SHODAN en Censys ingezet. De resultaten van deze scans worden in zogenaamde heat maps gevisualiseerd.
De resultaten: niet verrassend maar alarmerend
De toegangspogingen waren hoger dan verwacht en vielen erg hoog uit. Uit bijna elk land wereldwijd werd er op zijn minst één keer geprobeerd om verbinding te leggen met een van de IoT-apparaten in het Haunted House. Terwijl er met veilige wachtwoorden werd gewerkt, werden dagelijks 1.500 toegangspogingen vastgelegd en zelfs 3.800 met de standaardinstellingen.
Wordt er gekeken naar de verschillende landen, staan China, de VS en Mexico in de top drie van de landen waar de toegangspogingen vandaan kwamen. Een gedetailleerde beschrijving van de van de Haunted House-studie inclusief resultaten is hier te te downloaden.
Pieter Lacroix, Managing Director Nederland bij Sophos
