Letošní dvanácté vydání zprávy největších globálních hrozeb (Global Risk Report 2017) vycházející pod hlavičkou Světového ekonomického fóra se zaměřuje na pět kritických oblastí našeho života na Zemi.
Dlouhodobě sem patří ekonomické, geopolitické, environmentální, sociální a technologické pohrůžky. Za technologie dokument definuje celkem 12 okruhů (od vesmírných technologií přes 3D tisk až k umělé inteligenci), které rovněž řadí do tabulky podle poměru jejich negativních důsledků a možných přínosů. Z tohoto pohledu se na jednom z nejkritičtějších míst nachází právě Internet věcí (IoT), i když samotná zpráva jej takto neoznačuje a hovoří o bujení a všudypřítomné prezenci propojených čidel. Ty jsou vedle extrémního počasí, nedobrovolné migrace a přírodních katastrof zařazeny do první pětky letošních celosvětových hrozeb, a to jako potenciální základna rozsáhlých kyberteroristických útoků či masivního zcizování dat.
Napadená zařízení IoT mohou být použita k zahájení útoků DoS a DDoS. Čím více zařízení je útočníkem ohrožených, tím účinnější a destruktivnější bude útok. Nedávné říjnové ataky na DNS servery v USA, které vyřadily webové stránky takových firem jakými jsou Verizon, PayPal, Spotify, Twitter a mnohých dalších, byly vedeny přes tisíce nezabezpečených zařízení internetu věcí, domácí routery a IP kamery generující falešnou komunikaci, jež zahltila cílené servery. Jeden z útočníků přiznal, že k těmto útokům bylo zhruba použito sto tisíc zařízení internetu věcí. Všechny dostupné studie však hovoří o miliardách takových zařízení v krátké budoucnosti.
Není žádnou novinkou, že hackeři se do počítačové sítě mohou dostat přes čidla střežící domovní perimetrii – nebo taky přes chytrého plyšáka, inteligentní dětskou hračku. Fakt, že si vytopíme saunu povelem přes SMS je zároveň tvrdě vykoupen zvýšenou zranitelností našeho obydlí. Mnoho zařízení IoT přichází v současnosti na trh s nedostatečným nebo nulovým zabezpečením. Výrobci nemají často žádnou dřívější zkušenost s konektivitou svých výrobků. Proto lze očekávat, že zpočátku budou dělat až školácké chyby. Tuto dobu třeba nedávný report od McAffee nazývá Divokým Západem bezpečnosti a odhaduje její trvání nejméně na čtyři roky.
Příliš mnoho dat
Množství dat, jež generují přístroje IoT je ohromující. Zpráva americké Federální obchodní komise (Internet věcí: Soukromí a bezpečnost v propojeném světě) konstatuje, že méně než 10 tisíc domácností vygeneruje až 150 milionů diskrétních údajů denně. Ty vytvářejí další příležitosti pro hackery a navyšují riziko ohrožení citlivých informací.
Nechtěné veřejné profily
Nepochybně každý z nás už někdy smluvně souhlasil s podmínkami používané softwarové služby, aniž by si důkladně přečetl celý dokument a informoval se o dalším využívání svých osobních dat. Zákazníci platí dodavatelům za využívání služeb, monitorovat se ovšem nechávají bezplatně. Výše uvedená zpráva varuje před takovým zneužíváním nashromážděných údajů. Například, pojišťovny by mohly přes zařízení IoT schraňovat osobní informace o řidičských návycích svých klientů a podle nich určovat výpočet pojistných sazeb. K něčemu podobnému může rovněž docházet u zdravotního, resp. životního pojištění, díky tzv. fitness náramkům.
Odposlechy
Známý případ z Německa varuje. Přes nekódovaný bytový měřič energii dokázali hackeři hravě zjistit jaký TV kanál je v konkrétním čase sledován.
Důvěra spotřebitelů
Každý z těchto bezpečnostních incidentů zároveň snižuje důvěru spotřebitelů k těmto zařízením, generuje pokles prodejů a znemožňuje využití plného potenciálu IoT.
Zodpovědnost
Sporná je i zodpovědnost za bezpečnost. Kdo například zodpovídá za to, že dané zařízení pracuje se správnou verzi firmware – výrobce či jeho uživatel?
Standardy a protokoly
Sílu IT bezpečnosti určuje vždy její nejslabší článek, ať už jde o konkrétní zařízení či fyzické připojení. Osvětlení domu může mít jinou úroveň šifrování než ostatní vzdáleně připojené přístroje v domácnosti. Jedny mohou používat protokol Bluetooth, jiné Zigbee nebo Wi-Fi. Nebezpečí se zvyšuje tam, kde propojujeme zařízení od více výrobců. Komunikace přes větší počet protokolů, jež mnohé nejsou HTTP, zvyšuje komplexnost IoT systémů a tím i jejich zranitelnost. Každý autonomní systém může být zhlediska bezpečnosti neprůstřelný, to ale nemusí platit i pro celek.