Daiktų interneto užtikrinimas

Naudodamiesi staliniu kompiuteriu ar išmaniuoju mobiliuoju įrenginiu, lengvai pridėkite saugos apsaugą. Tiesiog įdiekite saugos rinkinį arba antivirusinę programą ir viskas. Tai padaryti nesunku būtent todėl, kad aptariamuose įrenginiuose veikia pažangios operacinės sistemos, kurios tvarko daugelio užduočių atlikimą ir tarpprocesinį ryšį. Visas šis apsaugos modelis sugenda, kai kalbama apie daugybę prijungtų prietaisų, kurie sudaro tai, ką mes vadiname daiktų internetu (IoT).

Kompiuteriai ir išmanieji telefonai turi daug duomenų apdorojimo galios; jie taip pat kainuoja daugybę dolerių. Gamintojas, norintis pridėti interneto ryšį prie lėlės ar sieninio lizdo, turi išleisti kuo mažiau lėšų, kitaip produktas nebus konkurencingas. Šie įrenginiai net neturi tokios operacinės sistemos. Visas kodas yra įdėtas į programinę-aparatinę įrangą, ir jūs negalite tiesiog įterpti antivirusinės programos į programinę-aparatinę įrangą.

Iškilus saugos problemoms ar kitoms klaidoms, gamintojas programinę-aparatinę įrangą tiesiog perrašo nauja versija. Deja, sukčiai gali naudoti tą įmontuotą programinės įrangos atnaujinimo galimybę netvarkingais tikslais. O kaip pakeisti jūsų išmaniosios durų užrakto programinę-aparatinę įrangą nauja versija, kuri daro viską, kas turėtų, bet kartu atveria ir kreivo komandą? Toks išpuolis yra dažnas, o rezultatai dažniausiai būna nemalonūs. Ar yra vilties?

„Arxan“ viduje

Neseniai vykusioje RSA konferencijoje San Fransiske kalbėjau su Patricku Kehoe, „Arxan Technologies“ bendro rinkos organizavimo vadovu, ir Jonathanu Carteriu, bendrovės atviruoju inžinerijos ir kodų modifikavimo prevencijos projekto vadovu (gana skurdžiu!). Paprasčiau tariant, tai, ką daro „Carter“ komanda, yra padėti programų kūrėjams iškeisti apsaugą tiesiai į programinę-aparatinę įrangą.

Carteris paaiškino, kad kai kurie išpuoliai prieš internetinius įrenginius yra nukreipti į tinklo srauto tarp įrenginio ir serverio ar išmaniojo telefono perėmimą ir manipuliavimą ar dubliavimą. Tačiau Arxano apsauga gilėja. „Mes sutelkiame dėmesį į veiklą mobiliajame įrenginyje, internetinio interneto įrenginyje“, - sakė D. Carteris. "Ką mes darome užkulisiuose, mes neleidžiame blogiukui įsiterpti į srautą. Tai nėra tinklo lygiu, tai yra pačių programų viduje. Vykdydami laiką galime nustatyti, ar kažkas bandė užkrėsti. programinės įrangos kodą “.

Kai programuotojas sukomponuoja kodą naudodamas „Arxan“ technologiją, savisauga yra integruota tiesiai į programinę-aparatinę įrangą. Jos komponentai stebi aktyvųjį kodą (ir vienas kitą), kad aptiktų ir užkirstų kelią pakeitimams. Atsižvelgiant į išpuolį ir kūrėjo pasirinkimus, apsaugos kodas gali išjungti pažeistą programą, atitaisyti žalą, išsiųsti įspėjimą ar visas tris.

Negaliu manęs nukopijuoti!

Žinoma, jei užpuolikui pavyksta visiškai pakeisti programinę-aparatinę įrangą, visas tas apsaugos kodas dings kartu su likusia originalia programinė įranga. Štai kur atsiranda „Arxan“ užmaršimo technologija. Paprasčiau tariant, kuriant programinės įrangos kodą, „Arxan“ technologija naudoja daugybę skirtingų gudrybių, kad programinės įrangos išardymas ir atvirkštinis inžinerija būtų labai sudėtingas.

Kodėl tai svarbu? Įprastoje programinės įrangos pakeitimo atakoje sukčiams reikia išlaikyti veikiančias programinės aparatinės įrangos funkcijas. Jei nulaužta kalbanti lėlė liaujasi kalbėti, greičiausiai ją išmesite, kol blogi vaikinai galės ją panaudoti kurmiams į savo tinklą. Jei jūsų įsilaužta išmanioji durų spyna jums neatsiras, užuosite žiurkę.

Carteris atkreipė dėmesį, kad gamintojai turi ir kitų priežasčių apsaugoti programinę-aparatinę įrangą nuo atvirkštinės inžinerijos. „Jie nerimauja dėl daiktų interneto prietaisų klonavimo ar klastojimo“, - aiškino jis. "Kai kurie gamintojai nerimauja dėl to, kad Kinijoje gali parduoti net vieną įrenginį. Prieš jiems žinant, pasirodo, kad kaina yra maža."

"Mes šarvojame kodą", - tęsė Carteris, "tačiau kūrėjai vis tiek turėtų laikytis saugios kodavimo gairių. Jie turi sustabdyti buferio perpildymo išpuolius ir kitus klasikinius pažeidžiamumus. Nerimaukime dėl vientisumo pažeidimų."

Tu esi aš

Carteris atkreipė dėmesį į daiktų internetą, galintį užpulti, apie kurį net negalvojau. Šiomis dienomis „Disney“ pramoginių parkų lankytojai gauna „Magic Band“, leidžiančią atrakinti viešbučio kambarį, įeiti į parką ir net apsipirkti. Tai neabejotinai laikoma internetine interneto įranga. Jei „Beagle Boys“ nulaužtų jūsų „Magic Band“, jie galėtų išvalyti jūsų viešbučio kambarį ir tada eiti išgalvotų vakarienių į „Blue Bayou“… jūsų vaišę! - Be abejo, - šyptelėjo Carteris, - „Disney yra beprotiškai didelis dėl saugumo“. Deja, aš negalėjau įkalbėti jo tobulėti.

Turiu pasakyti, kad aš jaudinausi, kad mes negalėsime užtikrinti daikto internete. Aš nesu programinės aparatinės įrangos kūrėjas, tačiau man Arxan požiūris, užtikrinantis apsaugą kiekvieno įrenginio būtinoje programinėje įrangoje, atrodo ypač veiksmingas metodas.