211service.com
Sikre tingenes internett og arbeidsplassen din
Flere enheter står i fare for angrep. Nettsikkerhetsekspert Ken Munro diskuterer sårbarhetene du bør se etter, og hvordan du kan holde deg trygg.
26. februar 2020
Produsert i samarbeid med Microsoft Sikkerhet
I denne episoden ser vi på behovet for å sikre tingenes internett, fysiske arbeidsplasser og produktene bedrifter lager. Fra fly til barneleker til oljerigger, flere tilkoblede enheter er sårbare for angrep enn noen gang før. Ken Munro er en sikkerhetsforsker, penetrasjonstester og forfatter med to tiår med erfaring i sikkerhetsbransjen. Han er også grunnleggeren av sikkerhetstjenesteselskapet Pen Test Partners.
Munro hjelper til med å avsløre sårbarhetene i varer vi bruker hver dag, og han diskuterer noen av de viktigste ferdighetene som cybersikkerhetseksperter kan ha, hvorfor selskaper er i faresonen for fysiske sikkerhetsbrudd, og noe han kaller supersystemiske feil.
Business Lab er vert for Laurel Ruma, direktør for Insights, den tilpassede publiseringsavdelingen til MIT Technology Review. Showet er en produksjon av MIT Technology Review, med produksjonshjelp fra Collective Next. Musikken er av Merlean, fra Epidemic Sound.
Vis notater og lenker
Ken Munro , på Twitter
Ken Munro , Pen Test Partners
Kids Tracker Watches: CloudPets, utnytter idrettsutøvere og kaprer reality-TV, Pen Test Partners sikkerhetsblogg
Tror du at du har hatt et brudd? Topp 5 ting å gjøre, Pen Test Partners sikkerhetsblogg
Internet of Things Security, en TEDx-presentasjon av Ken Munro
Full utskrift
Laurel Ruma: Fra MIT Technology Review heter jeg Laurel Ruma, og dette er Business Lab, showet som hjelper bedriftsledere å forstå nye teknologier som kommer ut av laboratoriet og inn på markedet.
Sikkerhetstrusler er overalt. Det er derfor Microsoft Security har over 3500 eksperter på nettkriminalitet som kontinuerlig overvåker for trusler for å beskytte virksomheten din mer på microsoft.com/cybersecurity .
Temaet vårt i dag er cybersikkerhet, men mer spesifikt viktigheten av å sikre tingenes internett, din fysiske arbeidsplass og produktene dine. Å, og hacking av fly, båter og biler. Tre ord for deg for: fjernstyrt oljerigg. Min gjest er Ken Munro, som er en ekspert på internett-of-things-sikkerhetsforsker, penetrasjonstester og skribent med to tiårs erfaring i sikkerhetsbransjen. Han er grunnleggeren og en partner hos Pen Test Partners, og du har kanskje også sett noen av hans bedrifter med nøkkelløse biler, barneleker, fly, og vi skal snakke mer om hva som holder ham oppe om natten: supersystemiske feil. Ken, takk for at du ble med meg på Business Lab.
Ken Munro: Å takk.
Laurel: For det første, kan du fortelle meg hvordan du ble interessert i sikkerhet, men spesielt i sammenheng med enheter og tingenes internett?
Ken: Jeg vil gjerne fortelle deg at jeg hadde en misbrukt ungdom, men det er langt kjedeligere. Jeg brukte tid etter at jeg studerte ved et universitet på å se på restauranter. Og jeg husker jeg tok en jobb der jeg drev en restaurant, og en kjedelig ettermiddag da det var stille, begynte jeg å leke med kassasystemet, veldig, veldig gammelt. Etter litt rot kan du krasje den ut til DOS, tidlig versjon av DOS. Da oppdaget jeg at jeg kunne skrive ut mine amortiseringsoppgaver på boliglån, slik at jeg kunne få betalingene mine, noe som var rart å skrive ut på en restaurantsjekk. Men en av sjefene mine kom etterpå og sa: 'Jeg tror kanskje du er i feil karriere.' Jeg antar at det var en fin måte å sparke meg på, men det førte meg over til antivirus og deretter til brannmurer og cybersikkerhet mer generelt.
Laurel: Så, bortsett fra nysgjerrighet, hva er noen av ferdighetene som cybersikkerhetseksperter må ha, så vel som, selvfølgelig, deres utmerkede tekniske evner?
Ken: Nysgjerrighet, det er faktisk et veldig godt ord, for når jeg ser på hva vi gjør som penetrasjonstestere, etiske hackere, hvis du vil. Den prøver å tenke på den måten som menneskene som utviklet systemet ikke gjorde. Prøver å tenke på alle mulige feil som har blitt gjort, ting som har blitt oversett, og bare pirke i dem, klø på de kløene for å se om du kan finne en feil som er gjort.
Du nevnte det vi kaller supersystemiske feil – det er en veldig vanlig feil vi finner i APIer [applikasjonsprogrammeringsgrensesnitt]. Så API-en du finner på en mobilapp for kanskje en smartenhet, og vi opplever så ofte at utviklere mens de autentiserer brukerne sine på riktig måte, glemmer de ofte å autorisere dem riktig. Og med det mener jeg at du logger på, du oppretter kontoen din, du logger på – forteller at du er deg. Men utvikleren glemte et sted langs linjen å sjekke at hver forespørsel kom fra deg, noe som betyr at du potensielt kan hoppe inn på andres kontoer, utføre handlinger på vegne av dem og bryte ned segregeringen.
Laurel: Hvis jeg er i den situasjonen, og jeg er deg, en pennetester i et selskap, og jeg må si det til noen, jeg tror vi har en feil her, hvordan fungerer den samtalen? Hvem sier du egentlig noe til?
Ken: La oss snakke om uavhengig forskning. Vi gjør mye arbeid for egen kostnad, kjøper produkter og ser på dem, for å se om vi kan finne sårbarheter. Dels er det for god praksis, god trening, men det er også nyttig fordi det forbedrer sikkerheten. Så hvis vi finner en sårbarhet, er det første vi vil gjøre å fortelle produsenten om det. Vi ønsker å fortelle dem privat, konfidensielt, slik at de kan fikse det.
Men så ofte er problemet at den første kontakten du gjør når til feil personer, eller den kommer til en organisasjon som rett og slett ikke er vant til å håndtere sårbarheter – det er første gang for dem. Så hvordan takler de at noen helt forkjølet kommer opp og sier: 'Hei, vi fant en sårbarhet i tingene dine.' De fleste tar det som oppfattet kritikk, noe som slett ikke er intensjonen. Men hvis noen sa, du har en feil i produktet ditt, er det første du gjør å strekke opp hendene, hei, hei, vent på, heng på. Nei nei nei nei. Vi må forsvare merkevaren vår. Og det er vanligvis det første problemet er at folk ikke tar konstruktiv kritikk godt, noe som gjør livet veldig vanskelig for en sårbarhetsforsker.
Laurel: Men du må også ha den slags spesiell takt, ikke sant? Måten du kommuniserer problemer til disse forskjellige selskapene med produkter eller millioner og milliarder av dollar investert i spesifikke ...
Ken: Ja. Jeg tenker på det som et parti sjakk faktisk. Fordi jeg vet at hvis vi går inn for hardt aggressivt, vil de sannsynligvis rykke opp og i stedet for å fikse sårbarheten, vil de sannsynligvis gjøre noe vi ikke vil se. De vil bli aggressive, begynne å prøve å rope oss ned eller av og til har vi hatt juridiske trusler som var grunnløse, men som er irriterende og kostbare å forsvare.
Så det handler om å bli hørt av de rette personene i organisasjonen som forstår sikkerhet, som forstår den potensielle innvirkningen på merkevaren deres hvis en annen ikke-etisk person har funnet den. Få dem, overtale dem, jobbe med dem, gi dem verktøyene de trenger slik at de kan fikse det raskt. Og så er sårbarheten løst, og alle har det bedre.
Laurel: Når du er i en situasjon, må du faktisk ha en motpart i organisasjonen, og vi ser at ikke nødvendigvis alle organisasjoner har noen som en CISO, ellers vil det være noen som har ansvaret for sikkerheten. Hvordan tråkker du forsiktig på disse vannet – hva slags kommunikasjonsferdigheter og teknikker bruker du for å bringe frem poengene dine?
Ken: Hvordan finner du dem i det hele tatt? Det kan være et reelt problem. Kanskje du i utgangspunktet starter med et kontaktskjema, og det kommer sannsynligvis til å gå til noen som ikke forstår cybersikkerhet. Det kommer til å havne på feil sted. Vi hadde noen problemer for mange, mange år siden med Fitbit på den tiden, og vi startet med kontaktskjemaet og det gikk bare inn i eteren. Ingenting skjedde. Vi prøvde å ringe support, men det var kundestøtte, og det ble rett og slett ikke håndtert.
Og det hele gikk litt galt. Og så ved et eller annet lykketreff begynte en venn av en venn som deres interne sikkerhetsekspert, og det er litt av et togvrak i ferd med å skje. Og tok proaktivt telefonen og tok kontakt, sa: 'Hei Ken, jeg tror vi kjenner noen, vi kjenner den samme fyren. Jeg hørte at du prøvde å rapportere en sårbarhet.' Og fra det som kunne vært en veldig vanskelig situasjon der det er en sårbarhet, blir den ikke fikset, leverandøren lytter ikke. Faktisk ble det veldig raskt snarvei, og produktet ble fikset veldig raskt. Fastvaren er oppdatert på litt over en uke, og det var en virkelig suksesshistorie for alle.
Laurel: Det er utmerket. Det er vel det vi ønsker å høre mer av. Ikke sant?
Ken: Ja. Jeg skulle ønske det skjedde hver gang.
Laurel: Vel, det er nok det som gjør jobben din så interessant også. Hvordan tenker du om den nåværende mangelen på sikkerhetseksperter? Bare på tvers av bransjen, hva er noen ting du ser etter eller ønsker du kunne vifte med en tryllestav og fikse? Hvordan fikser du den profesjonelle sikkerhetsrørledningen?
Ken: Jøss, det er et dypt spørsmål. Det er velkjent at det er mangel på ferdigheter. Jeg tror at en av de virkelige utfordringene i penn-testområdet, der folk hacker etisk, er at det ofte blir oversett hvor viktig det er å kunne kommunisere. Jeg mener, fantastiske tekniske ferdigheter er viktige, men faktisk er det de kommunikasjonsferdighetene som ofte glemmes, for hvis resultatene av funnene dine ikke kommuniseres på riktig måte, til riktig publikum, rett person, så faktisk, ting blir ikke fikset.
Mens vi har et akademiprogram – vi tar folk, vi coacher dem, de har rå ferdigheter, vi vil gjøre dem om til fullverdige pennetestere. Det jeg virkelig ser etter er den kommunikasjonsevnen. Hvis du ikke kan kommunisere de fantastiske tingene du har funnet, vil jeg hevde at du like gjerne ikke har brydd deg med å finne dem.
Laurel: Går bare inn på det gamle ordtaket, vel, mitt gamle ordtak - teknologi er enkelt, folk er vanskelige.
Ken: Helt klart.
Laurel: Det er den typen ferdigheter som, ser det ut til, de fleste bedrifter nå innser at du kan undervise i teknologi, ikke sant? Du kan lære bort koding. Du kan lære disse ferdighetene. Noen mennesker har åpenbart en medfødt evne til å gjøre det, men kommunikasjonen er det som er avgjørende, for å faktisk bringe hele organisasjonen opp det samme nivået og faktisk er en konkurransedyktig differensiator.
Ken: Ja, det er en virkelig overraskelse. Jeg oppfordrer virkelig folk til å tenke på hvem de snakker til. Så du gjør noe kult og smart og veldig smart og teknisk, men tenker faktisk på publikum, personen som mottar det, tenk på hvordan de kommer til å motta det og hvordan det vil løse problemet raskest.
Laurel: Ja, det handler om brukere, ikke sant? Eller kundene dine, og på en eller annen måte er de kunden din fordi du prøver å utvikle dette forholdet på en eller annen måte med en helt fremmed og fortelle dem noen spesielt dårlige nyheter.
Tror du at fordi sikkerhet blir viktigere i organisasjonen, er det ikke lenger en backoffice-funksjon at folk kanskje ser på det som et mer interessant yrke, fordi det på en måte er åpent, folk snakker om det . Det er ikke lenger gjemt bak en slags sort gardin.
Ken: Ja, det har vært flott å se den større profilen som har blitt brakt til cyberindustrien. Jo flere kurs på universitetsnivå begynner å dukke opp, noe som er fantastisk, noe som forbedrer tilgangen på enkeltpersoner. Men jeg tror mange organisasjoner, spesielt de som har lidd av høyprofilerte brudd, kanskje har lært på den harde måten at den eneste måten å virkelig håndtere cyber på er å bake det inn i virksomheten. Hvis du legger det inn som et datterselskap av IT-avdelingen, så kommer det egentlig bare til å være en ettertanke. Mens hvis du baker det inn i virksomheten og gjør noen virkelig ansvarlige, som virkelig forstår hvordan man vurderer risiko og kommuniserer risiko, hvis de sitter på nøyaktig nivå, sitter de i styret, så tror jeg du vil se et tankeskifte i organisasjonen.
Jeg underviser litt på styrenivå, og det har vært flott å se hvordan om du kan få administrerende direktør til å begynne å tenke på deres personlige sikkerhet, på deres personlige sikkerhet, på sikkerheten til familien deres. De begynner å tenke på passord, de begynner å tenke på å oppdatere systemer, de begynner å tenke på å lære folk, og plutselig ser du at tankesettsendringene siver rett fra toppen av virksomheten og ned gjennom folket. Så i stedet for å prøve å ramme sikkerhet inn i en organisasjon, fryser den faktisk helt fra toppen og gjennomsyrer alt virksomheten gjør.
Laurel: Definitivt mer en sikkerhet-først-tilnærming. Og når du er en del av alt, tenker du ikke så mye på det som et inngrep i hverdagen din.
Jeg vil gjerne innramme diskusjonen vår på en måte som snakker om hvordan et cybersikkerhetsbrudd kan skje hvor som helst – åpenbart med ansatte, produktene og til og med den fysiske kontorbygningen som bedriften din befinner seg i. Kan du snakke om hvorfor fysisk sikkerhet er kritisk for bedrifter å tenke på?
Ken: Herregud. Når du begynner å forbedre cybersikkerheten din, begynner du å forbedre forsvaret ditt, slik at du begynner å finne ut at det er vanskeligere og vanskeligere å trenge inn i organisasjonen din fra internett. Og forhåpentligvis, selv om noen trenger inn i det eksternt, har du noen verktøy som varsler deg og et team av mennesker om å faktisk flagge det. Det blir stadig vanskeligere å trenge gjennom organisasjonens omkrets. Og det er da den høyere risikoen, fysiske angrepstypene begynner å bli interessante. Når vi begynner å snakke om sosial ingeniørkunst, når jobben vår er å bløffe oss inn i en organisasjon, å plante en bakdør fysisk inne i organisasjonen eller å stjele data fysisk. Saken til filmene, ikke sant?
Men ofte finner du at de to leirene faktisk er ganske nært knyttet. Jeg liker å lete etter skygge-IT i en organisasjon. Jeg liker å lete etter bygningsstyringssystemet. HVAC, det som styrer heisene dine, som styrer dem som går opp og ned. Teknologien som styrer portlysene dine. Teknologien som kontrollerer dine elektroniske dørlåser, dine tilgangskontroller. Hvorfor? Fordi disse systemene ofte sitter utenfor din konvensjonelle IT-avdeling. Kanskje folkene i anleggene har lagt det inn. Kanskje underleverandøren har kontrakt med en tredjepart som har ekstern tilgang, noe som har vært dårlig gjort. Høres langsiktig ut? Vel, det har vært mange store brudd som har skjedd gjennom akkurat den ruten.
Så hvis vi er sosial ingeniør og jeg finner bygningsadministrasjonskontrollerne dine på det offentlige internett, er det ikke vanskelig å gjøre det. Gå opp til kontoret, åpne dørlåsene elektronisk, eksternt, og dørene åpnes på vidt gap. Inn du går.
Laurel: Finner du ut at virksomheten din er en jevn blanding av sårbarhetene ved datainnbrudd så vel som de fysiske, eller er folk fokusert på og tenker på data først og så det fysiske senere?
Ken: Jeg liker å tenke på det som en blanding av begge. Jeg tror noen av de mest fremsynte og fremtidsrettede organisasjonene innser at det er en kombinasjon. Du må ta tak i begge. Ja, du kan slå sammen organisasjonen, du kan angripe den eksternt, og du kan sørge for at den er godt konfigurert for å oppdage og svare på cyberbrudd, men samtidig må du dekke den fysiske siden også .
Min erfaring er at når du jobber med den fysiske siden av virksomheten, begynner du å hjelpe organisasjonen med å bygge broer mellom IT-avdelingen og fasiliteterteamet. Og når de først snakker, når skattesikkerhetsteamet snakker med cybersikkerhetsteamet, får du noen virkelig interessante ting ut av det. Du får team som begynner å jobbe sammen, uten å se at en er i en boks og andre, vel, en annen er et helt annet sted.
Laurel: Så hva er noen av de grunnleggende tingene som bedrifter kan se på når de tenker på sårbarheter og kanskje bare gjør ting selv før de henter inn noen som deg for å hjelpe dem?
Ken: Å, rett på sak. Nummer én, så hva spiser vi ute på? Vi spiser ute på passord som ikke er komplekse nok, gjenbrukte, standard eller tomme. Du fikser dem, og du kommer til å gjøre livet vårt mye vanskeligere. Neste store, lapping. Jeg vet det er så kjedelig, men faktisk mangler patcher, utsatte sårbarheter, patcher er der for å fikse sårbarheter. Du fikser lapper, du gjør livet mitt vanskelig. Og det siste jeg ser på er menneskene. Så du kan enten klandre folk for å klikke på lenker på e-poster og svare på phishing, eller du kan lære dem og trene dem. De kan enten være din verste fiende av sikkerhet, eller de kan være et annet par øyne som ser, ser, rapporterer, føler seg utdannet og bemyndiget. Så mitt råd før du kommer i nærheten av å få tredjeparter inn, få orden på passordene, ordne opp oppdateringene dine og lær folk om cyber.
Laurel: Grunnleggende sikkerhetshygiene. Hvordan jobber bedrifter med partnere for å sikre at komponentene i produktet deres er sikre? Så den tredjeparts forsyningskjeden – det kan være et hvilket som helst produkt, men jeg tenker egentlig på en bil som er bygget i Detroit og har en GPS-enhet fra en annen leverandør, og et underholdningssenter fra en tredje. Og det er bokstavelig talt en veldig grunnleggende beskrivelse av tredjepartsleverandørene i en bil, men jeg tror det er det vi tenker på når vi tenker på hackbarhet. Så når vi ser på hele økosystemet av tredjepartsleverandører, hvor ville du begynne hvis du er en billeverandør eller et hvilket som helst selskap?
Ken: Så det er flott å sette i stand ditt eget hus og ordne opp i din egen sikkerhet. Men så ofte at angriperen vil flytte til den mest sårbare delen, og det kommer sannsynligvis til å være forsyningskjeden din. Fordi det er din organisasjon, det er dine data, det er dine kunder. Du tar den informasjonen og cybersikkerheten til den veldig alvorlig. Men så snart du begynner å bevege deg inn i forsyningskjeden, er det ikke lenger dataene deres. Så det første du må gjøre er å begynne å stille spørsmål.
Bare ved å begynne å stille spørsmål, vil du raskt begynne å sette pris på hvor modne leverandørene dine er når det gjelder cybersikkerhet. Jeg ser ofte organisasjoner vi blir bedt om å revidere og sier: 'Vel, vi kunne umulig dele den informasjonen med deg på grunn av cyber', og du skjønner at det bare er et røykteppe. Leverandøren din bør være veldig glad for å dele sikkerhetsprosessene sine med deg, for bare å ha en prosess med cyber betyr ikke å avsløre sårbarheter. Å vise at de er en moden organisasjon som tar cybersikkerhet og sikkerheten til dataene de behandler for deg, bør være en åpen prosess. Still spørsmål, revider leverandørene dine, snakk med dem om sikkerhet. Og mer enn noe annet, ett råd du kan ta med deg fra dette lille intervjuet, legg cybersikkerhet inn i dine kontraktsmessige anskaffelsesvilkår. Det betyr at A, de tenker seriøst på cyber før de signerer kontrakten din, og B, hvis det går galt, har du en regressrett. Virkelig, veldig viktig. Bygg inn cyber i anskaffelsen.
Laurel: Vil du si at selskaper faktisk vet deres tredjepartsleverandører ofte? Er dette en ny måte å tenke på som selskaper trenger å ha, som du sa, bare integreres i alle deler av måten de jobber med eksterne leverandører?
Ken: Noen ganger. Så jeg har oppsøkt og undervist i advokatbransjen om akkurat dette konseptet. Jeg har gjort det i noen år nå, og dette året er bare gått, sa jeg, se, har noen faktisk innebygd cyber i kontraktene deres? Og en hånd gikk opp i publikum, og jeg kjente litt glød. De sa: 'Ja, vi tok rådet ditt. Vi har innebygd sikkerhetsprosjektet for åpne nettapplikasjoner topp 10 i våre tredjeparts utviklingskontrakter.' Så de kontraktsmessig melder seg på for å levere kode som ikke er sårbar for OWASP [Open Web Application Security Project] topp 10, og jeg trodde det var en stor seier. Et lite skritt. Så vær så snill, alle sammen, gjør det. Bygg inn enkle cybersikkerhetsvilkår i kontrakter, og det gjør livet så mye enklere hvis det er et problem.
***
Laurel: Cybersikkerhet handler ikke bare om å stoppe truslene du ser. Det handler om å stoppe de du ikke kan se. Det er derfor Microsoft Security sysselsetter over 3500 nettkriminalitetseksperter og bruker AI for å hjelpe med å forutse, identifisere og eliminere trusler slik at du kan fokusere på å utvide virksomheten din, og Microsoft-sikkerhet kan fokusere på å beskytte den. Lær mer på microsoft.com/cybersecurity .
***
Laurel: Så hvis du går tilbake og ser på det på avstand, hvordan kan sikkerhetsforskrifter og standarder faktisk hjelpe bedrifter? Ofte føler de sannsynligvis at de er i dette alene, men det er byråer eller avdelinger som NIST [National Institute of Standards and Technology] som kan hjelpe.
Ken: Ja, det er det. Så regulering mangler overraskende i cyberspace. Det er noe jeg har drevet lobbyvirksomhet for og kampanjer rundt i en årrekke nå, spesielt i forbrukernes IoT [tingenes internett]. Det er noe av et ville vesten. Vi fortsetter å finne svært alvorlige sårbarheter dag etter dag i forbruker-IoT-produkter. Og følelsene mine, selv om jeg ikke er en stor forkjemper for regulering fordi jeg foretrekker frimarkedsdynamikk, tror jeg i IoT-området for forbrukere at det var et veldig sterkt argument for regulering. Jeg var veldig glad for å se at Senatets lovforslag 327 ble vedtatt i California, trådte i kraft første januar i år. Og det som gjorde meg superglad, var at innlederen av regningene siterte noe av arbeidet vårt med en sårbar Bluetooth-dukke for barn kalt My Friend Cayla som inspirasjonen og katalysatoren bak denne reguleringen. Og selv om regelverket er ganske grunnleggende, synes jeg det er et veldig godt skritt i riktig retning. Og det er trist, men spesielt innen forbruker-IoT tror jeg vi trenger regulering.
Vi har også hatt noen suksesser i Storbritannia. Vi har nettopp avsluttet konsultasjonen, og regjeringen har forpliktet seg til å innføre noen grunnleggende reguleringer for å beskytte forbrukere mot produsenter av smarte produkter som ikke spiller trygt med dataene våre og personvernet vårt.
Laurel: Kan du snakke litt om min venn Cayla? Det var et interessant eksperiment.
Ken: Så My Friend Cayla er en interaktiv snakkende barnedukke som jeg først snublet over for omtrent fem år siden. Nå brukte hun en mobilapp for å lytte til ordene barnet sa til dukken, behandle dem til tekst og deretter svare på en rekke spørsmål. Så barnet kunne ha en interaktiv prat med en dolly, noe som var kjempegøy. Nå jeg så denne dukken, skjønte jeg at hun kommuniserte over Bluetooth til mobiltelefonen. Så det jeg ville vite var, hvor sikker var den Bluetooth-tilkoblingen? Og problemet var at det egentlig ikke var det.
Så når du kobler mobiltelefonen til kjøretøyet slik at du kan ringe, legger du inn en PIN-kode, ikke sant? Sekssifret PIN-kode. Og det skaper en relativt sikker forbindelse. Problemet med My Friend Cayla er at når hun kobler til telefonen din, er det ingen PIN-kode i det hele tatt, noe som betyr at alle i nærheten kan bli med og koble til. Så igjen, hackeren i meg tenker, jeg lurer på om jeg kan få denne uskyldige barnevognen til å banne? Så vi innså at vi kunne tukle med mobilappen, og barnet kunne si hva de ville til dollyen, og hun ville banne med en gang. Så jeg har spilt inn henne for deg her.
Innspilling: Hei, roe ned ellers sparker jeg [pipet] ut av deg.
Laurel: Det er utrolig.
Ken: Men verre enn det, fordi det ikke var kryptering på Bluetooth-tilkoblingen, kunne alle i nærheten koble seg til mikrofonen i dukken og lytte til barna dine, eller høyttaleren i dukken og snakke med barnet ditt. Så vi snakker folk i nabohuset, folk på gaten utenfor. Så folk kunne krype på barna dine gjennom denne dukken eller enda verre, de kunne spionere på samtalene dine i huset ditt fordi du la en smart dukke og ga den til et av barna dine. Og jeg vet ikke med deg, men det er samtaler jeg ikke vil at naboene mine skal høre på. Ikke sant? Så igjen, personvernet vårt ble fullstendig invadert av en fin idé om en interaktiv dukke til et barn.
Nå er gode nyheter for dette, vel, vi rapporterte det til leverandøren som avviste det direkte og anklaget oss for å ha iscenesatt en spøk, men heldigvis innså den tyske telekommunikasjonsregulatoren at dette brøt med noen forbrukerpersonvern- og spionlover som var igjen fra like etter den andre [ Verdenskrig, og over natten forbød de dukken. Det var ulovlig å eie den dukken i Tyskland. Så det er gode nyheter å komme ut av det
Laurel: Og et godt eksempel på hvordan regulering kan hjelpe i de spesifikke tilfellene. For å holde deg på temaet forbrukerenheter og bli med på en annen veldig populær trend, som er ta med din egen enhet på jobb, eller BYOD, hva skjer når Wi-Fi-kaffemaskinen på jobben er tilkoblet og kan være et intetanende startpunkt for at en hacker faktisk skal sette i gang et angrep på arbeidsplassen? Hva er noen andre sårbare enheter som bedrifter kanskje ikke tenker å vurdere?
Ken: Ja, så BYOD blir ofte sett på som smarttelefoner og nettbrett som brukes til å utføre arbeid. For meg er det smarte ting som kommer inn i arbeidsområdet. Min aller første undersøkelse innen IoT var på en Wi-Fi-aktivert vannkoker, og vi oppdaget at når du koblet til nettverket ditt, kunne jeg stå på gaten utenfor, koble til vannkokeren og stjele Wi-Fi-passordet ditt fra den. Så ja, jeg kunne hacke huset ditt. Og hvis du tok den med til kontoret for å lage en kopp te eller en kopp kaffe, kan du også stjele bedriftens Wi-Fi-passord. Så BYOD er en virkelig bekymring for meg akkurat nå. Vi begynte å se på smarte kjøleskap for en stund tilbake, så igjen, det er vanskelig å kjøpe varer, forbruksvarer, hvitevarer, å sette inn på kontorene dine som ikke er smarte lenger.
Vi så på et Samsung smart kjøleskap med en flott stor skjerm på døren. Det var veldig morsomt. Så den hadde et kamera på innsiden, og en stor skjerm på utsiden. Og tanken var at du kunne se hva som er på innsiden uten å åpne døren. Og jeg tenker, hvorfor åpner jeg ikke bare døren? Sikkert. Men uansett, det vi oppdaget, så for å være smart trengte den å koble seg til internett, for å fortelle deg om ting og produkter som utløper, som gikk ut etter forfallsdatoen, måtte den kunne sende deg e-post. Og vi oppdaget at du kunne kjøre forbi noens kjøleskap og stjele Gmail-passordet ditt fra et kjøleskap. Hvilket er dumt, ikke sant?
Men vi ser også Bluetooth-enheter. Vi har sett smarte kaffemaskiner som var fullstendig sårbare. Så du kan gjøre noen gale ting som å stoppe kaffemaskinen. Men så begynte vi å se enheter som kan brukes som en piggyback inn i organisasjonen din. Så vi begynte å se, igjen, tilbake til skyggeteknologien, bli gjort smart, slik at fasiliteter folk kan administrere, jeg vet ikke, portlinjene eller HVAC fra mobiltelefonen ved hjelp av en app. Og så oppdager vi at det er sårbarheter i appen, API-en i smarts-produktet også, og du kan bruke det som en bakdør inn i organisasjonen. Så BYOD i sammenheng med smarte enheter gjør bedrifter mer sårbare.
Laurel: Jeg tenker også på noen veldig skinnende kontorlokaler med smart-TV som standard for telefonkonferanser og til og med smarte tavler, ikke sant?
Ken: Ja. Husker du en historie for en liten stund siden om Samsung smart-TVer som ble vist å lytte til deg? Husker du den?
Laurel: Å, ja.
Ken: Ja, det var vårt arbeid. Noen lysende gnister hadde lagt merke til i vilkårene ... Hvem leser vilkårene og betingelsene for TV-en din, ikke sant? Ingen gjør det. Men en lys gnist hadde lest den, og så en setning der inne som sa noe med effekten av: 'Ikke si noe følsomt rundt TV-en din. Og nå fikk det litt dekning. Vi tok opp det, fordi jeg hadde en Samsung smart-TV med stemmestyring hjemme. Så jeg dro hjem den kvelden, hentet TV-en min, tok den med inn på kontoret mitt dagen etter mye av forvirringen til min kone, og vi koblet den til noen snuseprodukter. Vi fikk noen teknologier der og begynte å lytte til Internett-trafikken som TV-en sendte. Så jeg lurer på om det er noe mer med dette. Og vi oppdaget at ikke bare TV-en lyttet til deg, den sendte også det du sa i ren tekst, ukryptert, over det offentlige internett til tredjeparter i utlandet. Og det var virkelig ubehagelig.
Laurel: Ikke til å tro. Arbeidet ditt er rettferdig, infiltrerer hvert hjørne, som jeg tror det er hele poenget, ikke sant? Ettersom vi blir mer smarte og ønsker å gjøre ting raskere fra hvor som helst og når som helst, må vi faktisk tenke på sikkerhet først og hvordan vi legger det inn i stort sett hver eneste handling.
Ken: Jeg tror det er av hensyn til effektivitet, økonomi og bare å jobbe smart. Jeg tror teknologien kommer inn i alt vi gjør, og problemet er at den blir hastet inn uten tilstrekkelig omtanke om sikkerhet. Så vi gjør ting smarte og gjør ting sårbare.
Laurel: Så kan jeg koble det til de supersystemiske feilene? Så når vi gjør det og så har vi massedistribusjon av hva som helst, enten det er en app eller et TV-apparat, hva skjer da? Hvordan går du tilbake til sårbarhet når den er overalt?
Ken: Vi snakket kort om API-sikkerhet, så hver gang du lager noe smart, kommer du sannsynligvis til å koble det til en mobilapp. Det er sannsynligvis hensikten med å gjøre det smart, slik at du gjør det enkelt å administrere eksternt slik at du kan se tingene dine hjemme, på kontoret, CCTV-en din fra hvor som helst i verden. Og for å gjøre det trenger du en API.
Og dette store problemet vi stadig finner er at alle de smarte produktene, de har APIer og de er ikke tilstrekkelig sikre. Så det er ikke som kanskje si å hacke én enhet. Det er én ting å gå opp til én smartenhet i en persons hjem eller kontor og hacke en av dem. Det som virkelig plager meg er da vi oppdaget at vi eksternt kan hacke alle enhetene, og plutselig begynner du å tenke på et smart kjøretøy og du oppdager en sårbarhet i API-en som lar deg stoppe alle kjøretøyene i den flåten som bruker appen. Så du stopper hele flåter av kjøretøy.
Og det er det vi mener med supersystemisk. Det gjelder på tvers av hele økosystemer av enheter. Kommer ofte tilbake til en enkelt plattformleverandør som kanskje har levert tjenester til mange forskjellige merker og leverandører. Én sårbarhet påvirker alt.
Laurel: Hvor mange ganger om dagen nevner noen, Er du sikker på at vi ikke lever i en episode av Svart speil ?
Ken: Vel, merkelig nok var en av mine første utflukter på TV med produsenten av Svart speil . Jeg introduserte ham for min venn Cayla for mange, mange år siden. Han er en veldig, veldig flink fyr. Ja.
Laurel : Og det har forfulgt ham siden. Ja.
Ken: Jeg tror det. Det er problemet vi har er at vi bare haster. Vi går for fort. Ikke misforstå meg. Det er noen leverandører der ute som tar sikkerhet veldig seriøst og gjør det veldig bra, og jeg berømmer dem. Problemet er at de er veldig unntaket fra regelen. Jeg skulle ønske at hver leverandør var like engasjert, og det er derfor jeg er trist over at jeg tror regulering er den eneste måten, for med mindre vi tvinger produsenter til å begynne å spille som de gode gutta, tror jeg ikke det kommer til å være noe økonomisk kommersielt insentiv. for at de skal gjøre det. Det er ingen mulighet for produktmerking. Det er ingen måte å finne ut hvilke produkter som er sikrere enn de andre, og derfor tror jeg dessverre regulering er svaret.
Laurel: Interessant. Så du ville nesten vært som fairtrade-merking for sikkerhet.
Ken: Ja, det har vært mye arbeid med det i forskjellige land. Jeg vet at det har vært en del arbeid i USA og absolutt også i Europa, men utfordringen er hvordan du gir en enkelt etikett som forteller deg hvor sikkert eller ikke et produkt er? Det er en veldig vanskelig ting å gjøre fordi sikkerhet er så mange fasettert. Du tenker på den gjennomsnittlige smartenheten, den kommer til å ha noen brikker der. Det kommer til å ha noe firmware der inne. Den kommer til å ha noen radiofrekvente ting som Wi-Fi eller Bluetooth, kanskje ZigBee eller Z-Wave. Den kommer til å ha et API, den kommer til å ha en mobilapp. Det kommer til å ha en skyinfrastruktur. Den kommer til å ha en telematikkplattform. Det er så komplekst at det gjør merking veldig, veldig vanskelig.
Laurel: Hva skjer i sterkt regulerte bransjer? Jeg leste et stykke om satellitter. Hvordan hacker du en satellitt eller sikrer en satellitt?
Ken: Det har blitt gjort, og faktisk er jeg veldig involvert i Defcons luftfarts- og romfartslandsby. Vi hadde vår første tur på sommeren i fjor, og i løpet av det neste året har vi hatt en viss interesse fra satellittprodusenter og -operatører. Og vi håper å bygge en plattform hos Defcon for mennesker, forskere, interesserte parter for å bidra til å sikre sikkerheten til satellitter, noe jeg synes er flott. Det involverer hele samfunnet for å hjelpe hele industrien med å forbedre cybersikkerheten deres.
Nå er det ett eksempel på en regulert bransje, jeg tror jeg vil fremstå som et godt eksempel. Så i USA er smarte helsetjenester, absolutt en undergruppe av disse, regulert og godkjent av Food and Drug Administration. Og det var et av de aller første områdene der regulering ble brakt inn som har gjort en reell forskjell. Og jeg gratulerer det markedet for å ta store skritt mot cybersikkerhet. Hvorfor? Vel, fordi vi snakker om liv-og-død-enheter. Vi snakker om enheter som holder oss i live. Så igjen, en flott sak for å bringe inn standarder, forbedre alles spill og vise at vi faktisk kan lage sikre enheter som holder oss trygge og holder oss i live.
Laurel: Jeg føler at vi hørte en historie for et par år siden om at pacemakere ble hacket. Så dette virker som en god grunn for regulering.
Ken: Ja, det var virkelig flott at FDA gikk opp der faktisk. Var det mangel på oppmerksomhet på detaljer, kanskje for å gi mange av produsentene fordelen av tvilen, tror jeg nok det var de rett og slett ikke tenkte dypt nok på cybersikkerheten. Du går og henter noen komponenter; du går og henter litt utvikling, og alt for ofte gjøres det antakelser om hvorvidt enheter er cybersikre. Og jeg tror faktisk at det reguleringen har gjort er at den har oppmuntret folk og tvunget folk til å stille de vanskelige spørsmålene, for å sikre at utviklerne du bruker får cyber og sørge for at brikkesettene du bruker har rimelige sikkerhetsfunksjoner som et miljø for utførelse av tillit, sikker lagring, god kilde til entropi, alle de nyttige tingene som du ikke kommer til å få hvis du ikke stiller spørsmålene eller spesifiserer i anskaffelsen.
Laurel: Så fortell meg en historie om en av dine favorittpenntesting.
Ken: Herregud. Hvor begynner jeg?
Laurel: Vel, jeg ga på en måte et hint i begynnelsen av episoden med oljeriggen.
Ken: Ah, så i det siste har vi begynt å se på maritime. Så vi har sett på frakt. Det er et område som egentlig har hatt lite oppmerksomhet fra cyberindustrien de siste årene. Og årsaken til det er først og fremst at fartøyer var offline. Du hadde Wi-Fi på land og 4g når du er i land, men så snart det fartøyet setter seil, er du faktisk offline.
Ja. Så du kan få en satellitttelefon, men de er dyre, og du kan bruke satellitttelefoner med bredbåndsflåte, men de er skremmende dyrt databruk. Så for all del, et fartøy, når det først seilte, var det offline. Og det hele endret seg for to, tre, fire år siden med fremkomsten av VSAT.
Plutselig ble satcoms overkommelig, og det betydde at fartøyene kunne begynne å bli overvåket for effektivitet, drivstoffutnyttelse, rutine, alle disse viktige tingene som sparer alle penger. Og det betydde også at mannskapet ditt – du kunne ansette det beste mannskapet fordi de ville ha dataplaner, de ville ha tilgang til sosiale medier og du kunne gi dem det. Så du har de beste folkene som jobber på de beste skipene, og leverer den beste effektiviteten. Fantastisk.
Men underveis var det ingen som tenkte på cyber. Så skip ble koblet til internett uten tanke på sikkerheten og sikkerheten til det fartøyet. Så det vi har gjort de siste par årene er å jobbe med fartøyer med fremtidsrettede operatører som sier: OK, la oss sjekke dette ut.
Og et godt eksempel var en leteborerigg vi så på. Det var en organisasjon som ville gjøre tidlig brønnutforskning. Det var en selvgående rigg og hadde satellitt-VSAT-tilkobling, og vi ble bedt om å se om vi i teorien kunne avbryte evnen til å bore. Og det vi fant var mangel på effektiv segregering mellom de ulike nettverkene. Så vi kunne bore kontrollnettverk, vi kunne få tilgang til bedriftsnettverk, vi kunne få tilgang til mannskapsnettverk, vi kunne se internett, vi kunne se alt.
Og selv om organisasjonen hadde gjort noen ganske fornuftige skritt for å sikre ting, er det som faktisk skjer at mannskapet i drift ofte bryter ned den segregeringen. Hvorfor? Fordi jeg vil streame Spotify når jeg jobber med borehodet, så de installerer en Wi-Fi-ruter slik at jeg kan få Spotify på hodetelefonene mine mens jeg er der ute på dekk. Og så oppdaget vi tilfeldige ting som fjerntilgang som ble koblet inn, tilgjengelig fra det offentlige internett. Og det som egentlig skjedde er at vi oppdaget over det offentlige internett uten noen form for autentisering, at vi kunne ta kontroll over motorer og andre kritiske systemer på skip og rigger rundt om i verden.
Bokstavelig talt slå av motorer, slå på motorer, påvirke styreutstyr, potensielt krasje skip ved å forstyrre navigasjonssystemer hvis vi ønsket det. Nå har det vært veldig lite kriminell aktivitet i dette rommet, men det begynner å dukke opp. Vi begynner å se rettssaker dukke opp, der hvis du analyserer rettspapirene, vil du se bevis på angrep.
Det var et angrep mot en superyacht kalt Lady May for et par år siden som ble undersøkt av FBI, og det så ut som om enkelte av kontrollsystemene på fartøyet ble tuklet med av ukjente personer, muligens utenlandske makter. Det har allerede gjort pressen, men det er et økende antall anekdotiske historier og historier som begynner å få industrien til å presse om fartøyer som enten opplever ting som løsepengevare på navigasjonssystemene eller direkte og bevisste hacks.
Laurel: Skremmende.
Ken: Ja. Det triste er at det meste av dette leses som manuset til hackere , filmen, så ja. hackere 20-pluss år siden forutsagt fortalte fremtiden.
Laurel: Handler ikke ofte med science fiction. Se, Ken, tusen takk for at du ble med meg på denne fantastiske samtalen på Business Lab. Jeg setter stor pris på det.
Ken: Takk skal du ha. Hyggelig å snakke med deg.
Laurel: Det var Ken Munro, grunnlegger og partner hos Pen Test Partners, som jeg snakket med fra Cambridge, Massachusetts, hjemmet til MIT og MIT Technology Review, med utsikt over Charles River. Takk også til vår partner, Microsoft Security.
Det var alt for denne episoden av Business Lab. Jeg er verten din, Laurel Ruma. Jeg er direktør for Insights, den tilpassede publiseringsavdelingen til MIT Technology Review. Vi ble grunnlagt i 1899 ved Massachusetts Institute of Technology, og du kan finne oss i utskrifter på nettet og på dusinvis av live-arrangementer hvert år rundt om i verden. For mer informasjon om oss og showet, vennligst sjekk ut nettstedet vårt på technologyreview.com.
Dette programmet er tilgjengelig uansett hvor du får podcastene dine. Hvis du likte denne episoden, håper vi at du tar deg tid til å vurdere og anmelde oss. Business Lab er en produksjon av MIT Technology Review. Denne episoden ble produsert av Collective Next. Takk for at du lyttet.
Sikkerhetstrusler er overalt. Det er derfor Microsoft Security har over 3500 eksperter på nettkriminalitet som kontinuerlig overvåker for trusler for å beskytte virksomheten din. Mer på microsoft.com/cybersecurity .