211service.com
Protezione dell'Internet delle cose e del tuo posto di lavoro
Più dispositivi sono a rischio di attacco. L'esperto di sicurezza informatica Ken Munro discute le vulnerabilità a cui prestare attenzione e come stare al sicuro.
26 febbraio 2020
Prodotto in collaborazione con Sicurezza Microsoft
In questo episodio, esaminiamo la necessità di proteggere l'Internet delle cose, gli spazi di lavoro fisici e i prodotti realizzati dalle aziende. Dagli aerei ai giocattoli per bambini alle piattaforme petrolifere, più dispositivi connessi sono vulnerabili agli attacchi come mai prima d'ora. Ken Munro è un ricercatore sulla sicurezza dell'Internet delle cose, un penetration tester e uno scrittore con due decenni di esperienza nel settore della sicurezza. È anche il fondatore della società di servizi di sicurezza Pen Test Partners.
Munro aiuta a esporre le vulnerabilità negli elementi che utilizziamo ogni giorno e discute alcune delle competenze più importanti che gli esperti di sicurezza informatica possono avere, perché le aziende sono a rischio di violazioni della sicurezza fisica e qualcosa che chiama difetti supersistemici.
Business Lab è ospitato da Laurel Ruma, direttrice di Insights, la divisione di pubblicazione personalizzata di MIT Technology Review. Lo spettacolo è una produzione di MIT Technology Review, con l'aiuto della produzione da Collective Next. La musica è di Merlean, di Epidemic Sound.
Mostra note e collegamenti
Ken Munro , su Twitter
Ken Munro , Partner per il test della penna
Orologi Kids Tracker: CloudPets, sfruttando atleti e dirottando reality TV, Blog sulla sicurezza dei partner di test della penna
Pensi di aver avuto una violazione? Le 5 migliori cose da fare, Blog sulla sicurezza dei partner di test della penna
Sicurezza dell'Internet delle cose, una presentazione TEDx di Ken Munro
Trascrizione completa
Lauro Ruma: Da MIT Technology Review, sono Laurel Ruma, e questo è Business Lab, lo spettacolo che aiuta i leader aziendali a dare un senso alle nuove tecnologie che escono dal laboratorio e nel mercato.
Le minacce alla sicurezza sono ovunque. Ecco perché Microsoft Security ha oltre 3.500 esperti di criminalità informatica che monitorano costantemente le minacce per aiutare a proteggere maggiormente la tua azienda a microsoft.com/cybersecurity .
Il nostro argomento oggi è la sicurezza informatica, ma più in particolare l'importanza di proteggere l'Internet delle cose, il luogo di lavoro fisico e i prodotti. Oh, e hackerare aerei, barche e automobili. Tre parole per te: piattaforma petrolifera telecomandata. Il mio ospite è Ken Munro, che è un esperto ricercatore di sicurezza di Internet delle cose, tester di penetrazione e scrittore con due decenni di esperienza nel settore della sicurezza. È il fondatore e un partner di Pen Test Partners e potresti anche aver visto alcuni dei suoi exploit con auto senza chiavi, giocattoli per bambini, aerei e parleremo di più di ciò che lo tiene sveglio la notte: i difetti supersistemici. Ken, grazie per esserti unito a me su Business Lab.
Ken Munro: Oh grazie.
Alloro: Prima di tutto, puoi dirmi come ti sei interessato alla sicurezza, ma in particolare nel contesto dei dispositivi e dell'Internet delle cose?
Ken: Mi piacerebbe dirti che ho avuto una giovinezza sprecata male, ma è molto più noioso. Ho passato del tempo dopo aver studiato in un'università guardando i ristoranti. E ricordo che ho trovato un lavoro dove gestivo un ristorante, e un pomeriggio annoiato quando era tranquillo, ho iniziato a giocare con il sistema del punto vendita, molto, molto vecchio. Dopo un po' di confusione potresti mandarlo in crash su DOS, la prima versione di DOS. Poi ho scoperto che potevo stampare le mie dichiarazioni di ammortamento del mutuo, così potevo ottenere i miei pagamenti, che era una cosa strana da stampare su un assegno del ristorante. Ma dopo è arrivato uno dei miei capi e ha detto: 'Penso che forse sei nella carriera sbagliata'. Che è stato un bel modo per licenziarmi, suppongo, ma che mi ha portato all'antivirus e poi ai firewall e alla sicurezza informatica più in generale.
Alloro: Quindi, oltre alla curiosità, quali sono alcune delle competenze che gli esperti di cybersecurity devono possedere oltre, ovviamente, le loro eccellenti capacità tecniche?
Ken: Curiosità, in realtà è un'ottima parola, perché quando guardo a quello che facciamo come penetration tester, hacker etici, se vuoi. Sta cercando di pensare nel modo in cui le persone che hanno sviluppato il sistema non l'hanno fatto. Sta cercando di pensare a tutti i possibili errori che sono stati commessi, alle cose che sono state trascurate, e solo a frugarle, grattarsi quei pruriti per vedere se riesci a trovare un errore commesso.
Hai menzionato quelli che chiamiamo difetti supersistemici: è molto comune che troviamo nelle API [interfacce di programmazione delle applicazioni]. Quindi l'API che trovi su un'app mobile forse per un dispositivo intelligente, e scopriamo così spesso che gli sviluppatori mentre autenticano correttamente i loro utenti, spesso dimenticano di autorizzarli correttamente. E con questo intendo dire che accedi, crei il tuo account, accedi, dì che sei tu. Ma lo sviluppatore da qualche parte lungo la linea ha dimenticato di controllare che ogni richiesta provenisse da te, il che significa che puoi potenzialmente saltare negli account di altri, eseguire azioni per loro conto e abbattere la segregazione.
Alloro: Se mi trovo in quella situazione, e io sono te, un tester di penna in un'azienda e poi devo andare a dirlo a qualcuno, penso che abbiamo un errore qui, come si svolge quella conversazione? A chi dici qualcosa?
Ken: Parliamo di ricerca indipendente. Lavoriamo molto a nostre spese, acquistiamo prodotti e li guardiamo, cercando di trovare delle vulnerabilità. In parte, è per una buona pratica, un buon esercizio, ma è anche utile perché migliora lo stato di sicurezza. Quindi, se troviamo una vulnerabilità, la prima cosa che vogliamo fare è informarne il produttore. Vogliamo dirglielo in privato, in modo confidenziale in modo che possano risolverlo.
Ma molto spesso il problema è che il primo contatto che fai arriva alle persone sbagliate o arriva a un'organizzazione che semplicemente non è abituata a gestire le vulnerabilità: è la prima volta per loro. Quindi, come si comportano con qualcuno completamente freddo che si avvicina e dice: 'Ehi, abbiamo trovato una vulnerabilità nelle tue cose'. La maggior parte delle persone lo prende come una critica percepita, che non è affatto l'intenzione. Ma se qualcuno dice: hai un bug nel tuo prodotto, la prima cosa che fai è alzare le mani, ehi, ehi, aspetta, aspetta. No, no, no, no. Dobbiamo difendere il nostro marchio. E questo di solito è il primo problema è che le persone non prendono bene le critiche costruttive, il che rende la vita molto difficile per un ricercatore di vulnerabilità.
Alloro: Ma devi anche avere quel tipo di tatto speciale, giusto? Il modo in cui comunichi i problemi a queste diverse aziende con prodotti o milioni e miliardi di dollari investiti in specifici...
Ken: Sì. La penso come una partita a scacchi in realtà. Perché so che se ci adoperiamo in modo aggressivo, probabilmente si rialzeranno e invece di correggere la vulnerabilità, probabilmente faranno qualcosa che non vogliamo vedere. Diventeranno aggressivi, inizieranno a cercare di sgridarci o occasionalmente abbiamo ricevuto minacce legali che erano infondate ma sono irritanti e costose da difendere.
Quindi si tratta di farsi sentire dalle persone giuste nell'organizzazione che capiscono la sicurezza, che comprendono il potenziale impatto sul proprio marchio se qualche altra persona non etica l'ha trovato. Ottenere loro, lusingarli, lavorare con loro, dando loro gli strumenti di cui hanno bisogno in modo che possano risolverlo rapidamente. E poi la vulnerabilità è stata risolta e tutti stanno meglio.
Alloro: Quando ti trovi in una situazione, in realtà devi avere una controparte nell'organizzazione e stiamo vedendo che non necessariamente tutte le organizzazioni hanno qualcuno come un CISO, o ci sarà qualcuno nominato responsabile della sicurezza. Come calpesti attentamente quelle acque, che tipo di abilità e tecniche di comunicazione usi per trasmettere i tuoi punti?
Ken: Come fai a trovarli? Questo può essere un vero problema. Forse in primo luogo inizi con un modulo di contatto e probabilmente andrà a qualcuno che non comprende la sicurezza informatica. Finirà nel posto sbagliato. Abbiamo avuto alcuni problemi molti, molti anni fa con Fitbit ai tempi, e abbiamo iniziato con il modulo di contatto ed è andato nell'etere. Non è successo niente. Abbiamo provato a telefonare all'assistenza, ma era l'assistenza clienti e semplicemente non è stata risolta.
E tutto stava andando un po' storto. E poi, per un completo colpo di fortuna, un amico di un amico ha iniziato come esperto di sicurezza interno, ed è un po' un disastro ferroviario che sta per accadere. E in modo proattivo ha preso il telefono e ha preso contatto, ha detto: 'Ehi Ken, penso che conosciamo qualcuno, conosciamo lo stesso ragazzo. Ho sentito che stavi cercando di segnalare una vulnerabilità.' E da quella che avrebbe potuto essere una situazione molto difficile in cui c'è una vulnerabilità, non viene riparata, il fornitore non sta ascoltando. In realtà, è stato rapidamente abbreviato e il prodotto è stato riparato molto rapidamente. Il firmware viene aggiornato in poco più di una settimana, ed è stata una vera storia di successo per tutti.
Alloro: È eccellente. Immagino sia quello di cui vogliamo saperne di più. Destra?
Ken: Sì. Vorrei solo che succedesse ogni volta.
Alloro: Be', probabilmente è anche questo che rende il tuo lavoro così interessante. Come stai pensando all'attuale carenza di professionisti della sicurezza? In tutto il settore, quali sono alcune cose che cerchi o vorresti poter agitare una bacchetta magica e aggiustare? Come si risolve la pipeline professionale della sicurezza?
Ken: Accidenti, questa è una domanda profonda. È risaputo che c'è una carenza di abilità. Penso che una delle vere sfide nello spazio dei test di penna, dove le persone hackerano eticamente, sia che spesso viene trascurato quanto sia importante essere in grado di comunicare. Voglio dire, ottime capacità tecniche sono essenziali, ma in realtà sono quelle capacità comunicative che spesso vengono dimenticate, perché se i risultati delle tue scoperte non vengono comunicati nel modo giusto, al pubblico giusto, alla persona giusta, allora in realtà, le cose non si aggiustano.
Anche se abbiamo un programma accademico: prendiamo persone, le istruiamo, hanno abilità grezze, le trasformeremo in tester di penna a tutti gli effetti. Quello che sto veramente cercando è quella capacità di comunicazione. Se non riesci a comunicare le cose straordinarie che hai trovato, direi che avresti potuto anche non preoccuparti di trovarle.
Alloro: Va solo in quel vecchio detto, beh, il mio vecchio detto: la tecnologia è facile, le persone sono difficili.
Ken: Totalmente.
Alloro: Questo è il tipo di abilità che, a quanto pare, la maggior parte delle aziende ora si sta rendendo conto che puoi insegnare tecnologia, giusto? Puoi insegnare a programmare. Puoi insegnare queste abilità. Alcune persone hanno ovviamente un'abilità innata per farle, ma la comunicazione è ciò che è fondamentale, per portare effettivamente l'intera organizzazione su quel livello e in realtà è un fattore di differenziazione competitivo.
Ken: Sì, in realtà è una vera sorpresa. Incoraggio davvero fortemente le persone a pensare a chi stanno parlando. Quindi stai facendo qualcosa di interessante e intelligente e molto intelligente e tecnico, ma in realtà pensando al pubblico, alla persona che lo riceve, pensa a come lo riceverà e al modo in cui risolverà il problema più velocemente.
Alloro: Sì, è tutta una questione di utenti, giusto? Oppure i tuoi clienti e in un certo senso sono tuoi clienti perché stai cercando di sviluppare questa relazione in un modo o nell'altro con un perfetto sconosciuto e facendogli conoscere alcune notizie particolarmente negative.
Pensi che, poiché la sicurezza sta diventando sempre più importante all'interno dell'organizzazione, non sia più una funzione di back-office che la gente la veda forse come una professione più interessante, perché è un po' allo scoperto, le persone ne parlano . Non è più nascosto dietro una specie di tenda nera.
Ken: Sì, è stato fantastico vedere il profilo più che è stato portato nell'industria informatica, però. Stanno cominciando ad apparire i corsi di livello più universitario, il che è fantastico, che sta migliorando l'offerta di individui. Ma penso che molte organizzazioni, in particolare quelle che hanno subito violazioni di alto profilo, abbiano forse imparato a proprie spese che l'unico modo per affrontare davvero il cyber è inserirlo nel business. Se lo inserisci come una sussidiaria del dipartimento IT, sarà davvero solo un ripensamento. Considerando che se lo infili nel business e rendi qualcuno veramente responsabile, che sappia veramente come valutare il rischio e comunicare il rischio, se è seduto al livello esatto, è seduto al consiglio, allora penso che vedrai un cambiamento di mentalità all'interno dell'organizzazione.
Insegno un po' a livello di consiglio, ed è stato fantastico vedere come riuscire a convincere il CEO a iniziare a pensare alla loro sicurezza personale, alla loro sicurezza personale, alla sicurezza della loro famiglia. Iniziano a pensare alle password, iniziano a pensare all'aggiornamento dei sistemi, iniziano a pensare all'insegnamento alle persone e all'improvviso vedi che il cambiamento di mentalità si diffonde dall'alto dell'azienda fino alle persone. Quindi, invece di tentare di irrompere la sicurezza in un'organizzazione, in realtà si blocca dall'alto e pervade tutto ciò che fa l'azienda.
Alloro: Decisamente più un approccio incentrato sulla sicurezza. E quando come parte di tutto, non la consideri un'intrusione così tanto nel tuo lavoro quotidiano.
Vorrei inquadrare la nostra discussione in un modo che parli di come una violazione della sicurezza informatica può verificarsi ovunque, ovviamente con i dipendenti, i prodotti e persino l'edificio fisico degli uffici in cui si trova la tua azienda. Puoi parlare del motivo per cui la sicurezza fisica è fondamentale per le aziende a cui pensare?
Ken: Oh mio Dio. Quando inizi a migliorare la tua sicurezza informatica, inizi a migliorare le tue difese, così inizi a scoprire che è sempre più difficile penetrare nella tua organizzazione da Internet. E si spera che anche se qualcuno lo penetra da remoto, hai alcuni strumenti che avvisano te e un team di persone di segnalarlo effettivamente. Diventa sempre più difficile penetrare nel perimetro dell'organizzazione. Ed è allora che i tipi fisici di attacco a rischio più elevato iniziano a diventare interessanti. Quando iniziamo a parlare di ingegneria sociale, quando il nostro compito è quello di bluffare per entrare in un'organizzazione, di piantare una backdoor fisicamente all'interno dell'organizzazione o di rubare dati fisicamente. La roba dei film, giusto?
Ma spesso trovi che questi due campi sono in realtà piuttosto strettamente collegati. Mi piace cercare l'IT ombra in un'organizzazione. Mi piace cercare il sistema di gestione degli edifici. L'HVAC, la cosa che controlla i tuoi ascensori, che li controlla in salita e in discesa. La tecnologia che controlla le luci del tuo cancello. La tecnologia che controlla le tue serrature elettroniche, i tuoi controlli di accesso. Come mai? Perché questi sistemi spesso si trovano al di fuori del tuo reparto IT convenzionale. Forse l'hanno messo le persone nelle strutture. Forse il subappaltato ha affidato a una terza parte che ha accesso remoto, il che è stato fatto male. Suona inverosimile? Bene, ci sono state molte grandi violazioni che sono avvenute esattamente attraverso quella strada.
Quindi, se siamo ingegneria sociale e trovo i tuoi controllori di gestione degli edifici su Internet pubblico, non è difficile da fare. Vai in ufficio, apri le serrature delle porte elettronicamente, a distanza, e le porte spalancate. Dentro di te.
Alloro: Stai scoprendo che la tua azienda è un mix uniforme di vulnerabilità di violazione dei dati e fisiche, o le persone si concentrano e pensano prima ai dati e poi a quelli fisici in seguito?
Ken: Mi piace pensarlo come un mix di entrambi. Penso che alcune delle organizzazioni più lungimiranti e lungimiranti si rendano conto che si tratta di una combinazione. Devi affrontare entrambi. Sì, puoi mettere in squadra l'organizzazione, puoi attaccarla da remoto e puoi assicurarti che sia ben configurata per rilevare e rispondere alle violazioni informatiche, ma allo stesso tempo devi coprire anche il lato fisico .
La mia esperienza è stata che quando lavori con il lato fisico dell'azienda, inizi ad aiutare l'organizzazione a costruire ponti tra il suo reparto IT e il suo team di strutture. E una volta che stanno parlando, una volta che il team di sicurezza fiscale ha parlato con il team di sicurezza informatica, ne ottieni qualcosa di davvero interessante. Ottieni squadre che iniziano a lavorare insieme in modo cooperativo, non vedendo come uno è in una scatola e gli altri, beh, un altro è da qualche parte completamente diverso.
Alloro: Quindi quali sono alcune delle nozioni di base che le aziende possono guardare quando pensano alle vulnerabilità e magari a fare le cose da sole prima di coinvolgere qualcuno come te per aiutarli?
Ken: Oh, diretto. Numero uno, quindi cosa mangiamo fuori? Ci occupiamo di password non abbastanza complesse, riutilizzate, predefinite o vuote. Risolvi quelli e renderai la nostra vita molto più difficile. Il prossimo grande, patching. So che è così noioso, ma in realtà le patch mancanti, le vulnerabilità esposte, le patch sono lì per correggere le vulnerabilità. Ripari le patch, mi rendi la vita difficile. E l'ultima cosa che guardo sono le persone. Quindi puoi incolpare le persone per aver fatto clic sui collegamenti nelle e-mail e per aver risposto ai phishing, oppure puoi insegnarle e formarle. Possono essere il tuo peggior nemico della sicurezza, oppure possono essere un altro paio di occhi che guardano, individuano, riferiscono, si sentono istruiti e potenziati. Quindi il mio consiglio prima di avvicinarti a terzi, sistemare le password, sistemare le patch e insegnare alla gente il cyber.
Alloro: Igiene di sicurezza di base. In che modo le aziende collaborano con i partner per garantire che i componenti dei loro prodotti siano sicuri? Quindi quella catena di approvvigionamento di terze parti, potrebbe essere qualsiasi prodotto, ma sto pensando in fondo a un'auto costruita a Detroit e dotata di un'unità GPS di un fornitore diverso e un centro di intrattenimento di un terzo. E questa è letteralmente una descrizione molto semplice dei fornitori di terze parti in un'auto, ma penso che sia ciò a cui pensiamo quando pensiamo all'hackability. Quindi, quando esaminiamo l'intero ecosistema di fornitori di terze parti, da dove inizieresti se fossi un venditore di automobili o un'azienda?
Ken: Quindi è fantastico mettere in ordine la propria casa e sistemare la propria sicurezza. Ma così spesso che l'attaccante si sposterà nella parte più vulnerabile, e quella sarà probabilmente la tua catena di approvvigionamento. Perché è la tua organizzazione, sono i tuoi dati, sono i tuoi clienti. Prendi queste informazioni e la relativa sicurezza informatica molto sul serio. Ma non appena inizi a muoverti nella catena di approvvigionamento, non sono più i loro dati. Quindi la prima cosa da fare è iniziare a fare domande.
Iniziando a porre domande, inizierai molto rapidamente ad apprezzare quanto siano maturi i tuoi fornitori in termini di sicurezza informatica. Vedo spesso organizzazioni che ci viene chiesto di controllare e dire: 'Beh, non potremmo assolutamente condividere queste informazioni con te per motivi informatici' e ti rendi conto che è solo una cortina fumogena. Il tuo fornitore dovrebbe essere molto felice di condividere con te i propri processi di sicurezza, perché avere solo un processo informatico non significa esporre vulnerabilità. Dimostrare che sono un'organizzazione matura che prende la sicurezza informatica e la sicurezza dei dati che stanno elaborando per te dovrebbe essere un processo aperto. Poni domande, controlla i tuoi fornitori, parla con loro di sicurezza. E più di ogni altra cosa, un consiglio che puoi trarre da questa piccola intervista, inserire la sicurezza informatica nei termini di approvvigionamento contrattuale. Il che significa che A, stanno pensando seriamente al cyber prima di firmare il tuo contratto, e B, se va storto, hai diritto di regresso. Davvero, davvero importante. Incorpora il cyber nel tuo approvvigionamento.
Alloro: Diresti che le aziende controllano spesso i loro fornitori di terze parti? È questo un nuovo modo di pensare che le aziende devono avere davvero, come hai detto, integrarsi in ogni parte del modo in cui lavorano con i fornitori esterni?
Ken: Qualche volta. Quindi ho fatto un po' di sensibilizzazione e ho insegnato nella professione legale proprio su questo concetto. L'ho fatto per alcuni anni ormai, e quest'anno appena trascorso, ho detto, guarda, qualcuno ha davvero incorporato il cyber nei loro contratti? E una mano si è alzata tra il pubblico, e ho sentito un po' di bagliore. Hanno detto: 'Sì, abbiamo seguito il tuo consiglio. Abbiamo incorporato la top 10 del progetto di sicurezza delle applicazioni web aperte nei nostri contratti di sviluppo di terze parti.' Quindi si iscrivono contrattualmente per fornire codice che non è vulnerabile alla top 10 di OWASP [Open Web Application Security Project] e ho pensato che fosse una grande vittoria. Un piccolo passo. Quindi, per favore, fatelo tutti. Incorpora semplici termini di sicurezza informatica nei contratti e rende la vita molto più semplice in caso di problemi.
***
Alloro: La sicurezza informatica non riguarda solo l'arresto delle minacce che vedi. Si tratta di fermare quelli che non puoi vedere. Ecco perché la sicurezza di Microsoft impiega oltre 3.500 esperti di criminalità informatica e utilizza l'intelligenza artificiale per anticipare, identificare ed eliminare le minacce in modo che tu possa concentrarti sulla crescita del tuo business e la sicurezza di Microsoft può concentrarsi sulla protezione. Ulteriori informazioni su microsoft.com/cybersecurity .
***
Alloro: Quindi, facendo un passo indietro e guardandolo da lontano, in che modo le normative e gli standard di sicurezza possono effettivamente aiutare le aziende? Spesso probabilmente si sentono come se fossero in questo da soli, ma ci sono agenzie o dipartimenti come il NIST [National Institute of Standards and Technology] che possono aiutare.
Ken: Si ci sono. Quindi la regolamentazione è sorprendentemente carente nel cyberspazio. È qualcosa per cui faccio pressioni e faccio campagne da diversi anni ormai, in particolare nello spazio dell'IoT di consumo [Internet delle cose]. È una specie di selvaggio West. Continuiamo a trovare vulnerabilità molto serie giorno dopo giorno nei prodotti IoT di consumo. E i miei sentimenti, anche se non sono un grande sostenitore della regolamentazione perché preferisco di gran lunga le dinamiche del libero mercato, nello spazio IoT dei consumatori penso che ci sia stata una forte argomentazione a favore della regolamentazione. Sono stato molto contento di vedere che in California è stata promulgata la legge 327 del Senato, entrata in vigore il primo gennaio di quest'anno. E ciò che mi ha reso super felice è stato che l'introduttore dei progetti di legge ha citato alcuni dei nostri lavori su una bambola Bluetooth per bambini vulnerabile chiamata My Friend Cayla come l'ispirazione e il catalizzatore dietro quel regolamento. E anche se il regolamento è piuttosto semplice, penso che sia davvero un buon passo nella giusta direzione. Ed è triste, ma in particolare nell'IoT dei consumatori, penso che abbiamo bisogno di una regolamentazione.
Abbiamo avuto alcuni successi anche nel Regno Unito. Abbiamo appena terminato la consultazione e il governo si è impegnato a introdurre alcune normative di base per proteggere i consumatori dai produttori di prodotti intelligenti che non giocano al sicuro con i nostri dati e la nostra privacy.
Alloro: Puoi parlare un po' della mia amica Cayla? È stato un esperimento interessante.
Ken: Quindi My Friend Cayla è una bambola per bambini parlante interattiva in cui mi sono imbattuto per la prima volta circa cinque anni fa. Ora ha utilizzato un'app mobile per ascoltare le parole che il bambino stava dicendo alla bambola, elaborarle in testo e quindi rispondere a una serie di domande. Così il bambino ha potuto fare una chat interattiva con un carrello, il che è stato molto divertente. Ora ho visto questa bambola, mi sono reso conto che comunicava tramite Bluetooth con il telefono cellulare. Quindi quello che volevo sapere era, quanto era sicura quella connessione Bluetooth? E il problema era che non lo era davvero.
Quindi, quando colleghi il tuo cellulare al tuo veicolo in modo da poter telefonare, inserisci un PIN, giusto? PIN a sei cifre. E questo crea una connessione relativamente sicura. Il problema con My Friend Cayla è che quando si connette al tuo telefono, non c'è alcun PIN, il che significa che chiunque si trovi nelle vicinanze può unirsi e connettersi. Quindi, di nuovo, l'hacker che è in me sta pensando, mi chiedo se posso far giurare il bambolotto di questo ragazzo innocente? Quindi ci siamo resi conto che potevamo manomettere l'app mobile e che la bambina avrebbe potuto dire tutto ciò che voleva al carrello, e lei avrebbe risposto subito. Quindi l'ho registrata per te proprio qui.
Registrazione: Ehi, calmati o ti butto via il [beep].
Alloro: È stupefacente.
Ken: Ma peggio ancora, poiché non c'era la crittografia sulla connessione Bluetooth, chiunque nelle vicinanze poteva connettersi al microfono nella bambola e ascoltare i tuoi bambini, o l'altoparlante nella bambola e parlare con tuo figlio. Quindi stiamo parlando di persone nella casa accanto, persone in strada fuori. Così le persone potrebbero insinuarsi nei tuoi figli attraverso questa bambola o, peggio, potrebbero spiare le tue conversazioni a casa tua perché hai messo una bambola intelligente e l'hai data a uno dei tuoi figli. E non so voi, ma ci sono conversazioni che non vorrei che i miei vicini ascoltassero. Destra? Quindi, ancora una volta, la nostra privacy è stata completamente invasa da una bella idea di una bambola interattiva per bambini.
Ora, una buona notizia è che l'abbiamo segnalato al venditore che lo ha respinto di mano e ci ha accusato di aver messo in scena uno scherzo, ma fortunatamente il regolatore tedesco delle telecomunicazioni si è reso conto che ciò violava alcune leggi sulla privacy dei consumatori e sullo spionaggio rimaste subito dopo il Secondo [ World] War, e dall'oggi al domani hanno bandito la bambola. Era illegale possedere quella bambola in Germania. Quindi ci sono buone notizie per venirne fuori
Alloro: E un buon esempio di come la regolamentazione può aiutare in quei casi specifici. Per restare in tema di dispositivi consumer e unirci ad un'altra tendenza molto in voga, che è quella di portare il proprio dispositivo al lavoro, o BYOD, cosa succede quando la macchina da caffè Wi-Fi al lavoro è connessa e potrebbe essere un ignaro punto di partenza per un hacker per lanciare effettivamente un attacco sul posto di lavoro? Quali sono altri dispositivi vulnerabili che le aziende potrebbero non pensare di prendere in considerazione?
Ken: Sì, quindi il BYOD è spesso considerato come smartphone e tablet utilizzati per lavorare. Per me è roba intelligente entrare nell'area di lavoro. La mia prima ricerca sull'IoT è stata su un bollitore abilitato Wi-Fi e abbiamo scoperto che una volta connesso alla rete, potevo stare in strada fuori, connettermi al bollitore e rubare la tua password Wi-Fi da esso. Quindi sì, potrei hackerare la tua casa. E se lo portavi in ufficio per fare una tazza di tè o un caffè, potresti anche rubare la password Wi-Fi aziendale. Quindi il BYOD è una vera preoccupazione per me in questo momento. Abbiamo iniziato a guardare ai frigoriferi intelligenti un po' di tempo fa, quindi, ancora una volta, è difficile acquistare beni, beni di consumo, elettrodomestici, da mettere nei tuoi uffici che non sono più intelligenti.
Abbiamo guardato un frigorifero intelligente Samsung con un grande schermo grande sulla porta. È stato davvero divertente. Quindi aveva una fotocamera all'interno e un grande schermo all'esterno. E l'idea era che potevi vedere cosa c'è dentro senza aprire la porta. E sto pensando, perché non apro la porta? Certamente. Ma comunque, quello che abbiamo scoperto, quindi per essere intelligente doveva connettersi a Internet, per parlarti di cose e prodotti in scadenza, che uscivano oltre la loro data di scadenza, doveva essere in grado di inviarti un'e-mail. E abbiamo scoperto che potresti passare davanti al frigorifero di qualcuno e rubare la tua password Gmail da un frigorifero. Che è sciocco, giusto?
Ma stiamo vedendo anche dispositivi Bluetooth. Abbiamo visto macchine da caffè intelligenti che erano completamente vulnerabili. Quindi puoi fare cose pazze come fermare la macchina del caffè. Ma poi abbiamo iniziato a vedere i dispositivi che possono essere utilizzati come supporto nella tua organizzazione. Quindi abbiamo iniziato a vedere, ancora una volta, tornare alla tecnologia ombra, essere resa intelligente, in modo che le strutture che le persone possano amministrare, non so, le linee del cancello o l'HVAC dal proprio telefono cellulare, utilizzando un'app. E poi scopriamo che ci sono vulnerabilità nell'app, l'API anche nel prodotto smarts e puoi usarla come backdoor nell'organizzazione. Quindi il BYOD nel contesto dei dispositivi intelligenti sta rendendo le aziende più vulnerabili.
Alloro: Sto anche pensando ad alcuni uffici molto luminosi con televisori intelligenti come impostazioni predefinite per le chiamate in conferenza e persino lavagne intelligenti, giusto?
Ken: Sì. Ricordi una storia di qualche tempo fa sulle smart TV Samsung che hanno mostrato di ascoltarti? Ti ricordi quello?
Alloro: O si.
Ken: Sì, beh, quello era il nostro lavoro. Qualche scintilla luminosa aveva notato nei termini delle condizioni ... Chi legge i termini e le condizioni della tua TV, giusto? Nessuno fa. Ma qualche scintilla l'aveva letto e aveva visto una frase che diceva qualcosa del tipo: 'Non dire niente di sensibile intorno alla tua TV. E ora che ha avuto un po' di copertura. L'abbiamo capito, perché a casa avevo una smart TV Samsung con controllo vocale. Così quella sera sono andato a casa, ho preso la mia TV, l'ho portata nel mio ufficio il giorno dopo, gran parte della confusione di mia moglie, e l'abbiamo collegata ad alcuni prodotti per l'annusamento. Abbiamo installato alcune tecnologie e abbiamo iniziato ad ascoltare il traffico Internet inviato dalla TV. Quindi mi chiedo se c'è qualcosa di più in questo. E abbiamo scoperto che non solo la TV ti ascoltava, ma inviava anche ciò che stavi dicendo in chiaro, non crittografato, su Internet pubblico a terze parti all'estero. Ed è stato davvero spiacevole.
Alloro: Incredibile. Il tuo lavoro è solo, si infiltra in ogni angolo, che penso sia questo il punto, giusto? Man mano che diventiamo più intelligenti e vogliamo fare le cose più velocemente da qualsiasi luogo e in qualsiasi momento, in realtà dobbiamo pensare prima alla sicurezza e al modo in cui la stiamo stratificando praticamente in ogni azione.
Ken: Penso che sia per ragioni di efficienza, economia e solo lavoro intelligente. Penso che la tecnologia stia entrando in tutto ciò che facciamo e il problema è che viene affrettata senza pensare a sufficienza alla sicurezza. Quindi stiamo rendendo le cose intelligenti e rendendole vulnerabili.
Alloro: Quindi posso collegarlo ai difetti supersistemici? Quindi, quando lo facciamo e poi abbiamo la distribuzione di massa di qualsiasi cosa, che si tratti di un'app o di un televisore, cosa succede allora? Come si fa quindi a tornare indietro sulla vulnerabilità quando è ovunque?
Ken: Abbiamo parlato brevemente della sicurezza delle API, quindi ogni volta che crei qualcosa di intelligente, probabilmente lo collegherai a un'app mobile. Questo è probabilmente lo scopo di renderlo intelligente, quindi semplifichi l'amministrazione da remoto in modo da poter vedere le tue cose a casa, nel tuo ufficio, la tua CCTV da qualsiasi parte del mondo. E per farlo avrai bisogno di un'API.
E questo grosso problema che continuiamo a trovare è che tutti i prodotti intelligenti hanno API e non sono sufficientemente sicuri. Quindi non è come dire forse l'hacking di un dispositivo. Una cosa è andare su un dispositivo intelligente nella casa o nell'ufficio di una persona e hackerarne uno. Quello che mi infastidisce davvero è quando abbiamo scoperto che da remoto possiamo hackerare tutti i dispositivi e all'improvviso inizi a pensare a un veicolo intelligente e scopri una vulnerabilità nell'API che ti consente di fermare tutti i veicoli di quella flotta che utilizza l'app. Quindi stai fermando intere flotte di veicoli.
E questo è ciò che intendiamo per supersistemico. Si applica a interi ecosistemi di dispositivi. Spesso tornando a un unico fornitore di piattaforme che forse ha fornito servizi a moltissimi marchi e fornitori diversi. Una vulnerabilità colpisce tutto.
Alloro: Quante volte al giorno qualcuno menziona, Sei sicuro che non stiamo vivendo in un episodio di Specchio nero ?
Ken: Beh, stranamente, una delle mie prime uscite in TV è stata con il produttore di Specchio nero . L'ho presentato alla mia amica Cayla molti, molti anni fa. È un ragazzo molto, molto brillante. Sì.
Alloro : E da allora lo ha perseguitato. Sì.
Ken: Credo di si. Questo è il problema che abbiamo è che stiamo solo correndo. Stiamo andando troppo veloci. Non fraintendermi. Ci sono alcuni fornitori là fuori che prendono molto sul serio la sicurezza e lo fanno davvero bene, e li lodo. Il problema è che sono un'eccezione alla regola. Vorrei che tutti i fornitori si impegnassero allo stesso modo, ed è per questo che sono rattristato dal fatto che penso che la regolamentazione sia l'unico modo perché a meno che non costringiamo i produttori a iniziare a giocare come i bravi ragazzi, non credo che ci sarà alcun incentivo commerciale finanziario che lo facciano. Non c'è modo di etichettare i prodotti. Non c'è modo di capire quali prodotti siano più sicuri degli altri, motivo per cui purtroppo penso che la regolamentazione sia la risposta.
Alloro: Interessante. Quindi saresti quasi come l'etichettatura del commercio equo e solidale per la sicurezza.
Ken: Sì, c'è stato un bel po' di lavoro su questo in vari paesi. So che negli Stati Uniti c'è stato del lavoro e sicuramente anche in Europa, ma la sfida è come fornire un'unica etichetta che ti dica quanto è sicuro o meno un prodotto? Questa è una cosa davvero difficile da fare perché la sicurezza ha molte sfaccettature. Pensi al dispositivo smart medio, avrà dei chip lì. Ci sarà un po' di firmware lì dentro. Avrà alcune cose in radiofrequenza come Wi-Fi o Bluetooth, forse ZigBee o Z-Wave. Avrà un'API, avrà un'app mobile. Avrà un'infrastruttura cloud. Avrà una piattaforma telematica. È così complesso che rende l'etichettatura davvero molto difficile.
Alloro: Cosa succede nei settori altamente regolamentati? Ho letto un pezzo sui satelliti. Come si hackera un satellite o si protegge un satellite?
Ken: È stato fatto, e infatti sono molto coinvolto nel villaggio aerospaziale e aerospaziale Defcon. Abbiamo fatto la nostra prima uscita nell'estate dell'anno scorso e nel corso dell'anno successivo abbiamo riscontrato un certo interesse da parte di produttori e operatori di satelliti. E speriamo di costruire una piattaforma a Defcon per persone, ricercatori, parti interessate per aiutare a garantire la sicurezza dei satelliti, il che penso sia fantastico. Coinvolge l'intera comunità per aiutare l'intero settore a migliorare la propria sicurezza informatica.
Ora c'è un esempio di industria regolamentata, penso che mi piacerebbe essere un buon esempio. Quindi negli Stati Uniti, i dispositivi sanitari intelligenti, sicuramente un sottoinsieme di questi sono regolamentati e approvati dalla Food and Drug Administration. E questa è stata una delle prime aree in cui è stata introdotta la regolamentazione che ha fatto davvero la differenza. E mi congratulo con quel mercato per aver fatto grandi passi avanti verso la sicurezza informatica. Come mai? Bene, perché stiamo parlando di dispositivi per la vita o la morte. Stiamo parlando di dispositivi che ci tengono in vita. Quindi, ancora una volta, un ottimo caso per introdurre standard, migliorare il gioco di tutti e dimostrare che in realtà possiamo creare dispositivi sicuri che ci tengono al sicuro e ci tengono in vita.
Alloro: Mi sento come se avessimo sentito una storia un paio di anni fa sui pacemaker che venivano hackerati. Quindi questo sembra un buon motivo per regolamentare.
Ken: Sì, è stato davvero fantastico che la FDA si sia fatta avanti. È stata una mancanza di attenzione ai dettagli, forse per dare a molti produttori il beneficio del dubbio, penso che probabilmente non hanno pensato abbastanza profondamente alla sicurezza informatica. Vai a procurarti alcuni componenti; vai a cercare un po' di sviluppo e troppo spesso si fanno supposizioni sul fatto che i dispositivi siano cyber sicuri. E penso che in realtà ciò che il regolamento ha fatto è stato incoraggiare le persone e costringerle a fare effettivamente quelle domande difficili, per assicurarsi che gli sviluppatori che stai utilizzando diventino cyber e si assicurino che i chipset che stai utilizzando siano ragionevoli funzionalità di sicurezza come un ambiente di esecuzione affidabile, archiviazione sicura, una buona fonte di entropia, tutte quelle cose utili che se non fai le domande o specifichi nel tuo approvvigionamento, non otterrai.
Alloro: Allora raccontami una storia su uno dei tuoi exploit preferiti di test con la penna.
Ken: Oh mio Dio. Da dove comincio?
Alloro: Beh, ho dato un suggerimento all'inizio dell'episodio con la piattaforma petrolifera.
Ken: Ah, quindi più recentemente abbiamo iniziato a guardare al marittimo. Quindi abbiamo esaminato la spedizione. È un'area che ha ricevuto poca attenzione dall'industria informatica negli ultimi anni. E il motivo è principalmente che le navi erano offline. Avevi Wi-Fi a terra e 4G quando sei a terra, ma non appena quella nave salpa, sei effettivamente offline.
Sì. Quindi puoi ottenere un telefono satellitare ma sono costosi e potresti utilizzare satcom a banda larga della flotta, ma sono spaventosamente costosi nell'utilizzo dei dati. Quindi, a tutti gli effetti, una nave, una volta salpata, era offline. E tutto è cambiato due, tre, quattro anni fa con l'avvento del VSAT.
All'improvviso le satcom sono diventate convenienti e ciò significava che le navi potevano iniziare a essere monitorate per l'efficienza, l'utilizzo del carburante, la routine, tutte queste cose importanti che fanno risparmiare denaro a tutti. E significava anche che la tua squadra: potevi assumere la squadra migliore perché volevano piani dati, volevano l'accesso ai social media e potevi darglielo. Quindi hai le persone migliori che lavorano sulle navi migliori, offrendo la migliore efficienza. Fantastico.
Ma lungo la strada, nessuno ha pensato al cyber. Quindi le navi venivano collegate a Internet senza pensare alla sicurezza di quella nave. Quindi quello che abbiamo fatto negli ultimi due anni è lavorare su navi con operatori lungimiranti che dicono: OK, diamo un'occhiata.
E un ottimo esempio è stato un impianto di perforazione esplorativo che abbiamo esaminato. Era un'organizzazione che avrebbe fatto l'esplorazione delle prime fasi. C'era un impianto semovente e aveva la connettività VSAT satellitare, e ci è stato chiesto di cercare di vedere se in teoria potevamo interrompere la sua capacità di perforare. E ciò che abbiamo riscontrato è stata una mancanza di effettiva segregazione tra le varie reti. Quindi potremmo perforare reti di controllo, potremmo accedere alle reti aziendali, potremmo accedere alle reti degli equipaggi, potremmo vedere Internet, potremmo vedere tutto.
E mentre l'organizzazione ha fatto alcuni passi abbastanza ragionevoli per proteggere le cose, quello che succede è in realtà che l'equipaggio in funzione spesso interrompe quella segregazione. Come mai? Perché voglio trasmettere Spotify in streaming quando lavoro con la testa del trapano, quindi installano un router Wi-Fi in modo da poter avere Spotify sulle mie cuffie mentre sono là fuori sul ponte. E poi abbiamo scoperto cose casuali come l'accesso remoto collegato, accessibile dalla rete Internet pubblica. E ciò che essenzialmente è successo è che abbiamo scoperto tramite Internet pubblico senza alcuna autenticazione, potremmo assumere il controllo del motore e di altri sistemi critici su navi e impianti di perforazione in tutto il mondo.
Spegnere letteralmente i motori, accenderli, influenzare lo sterzo, potenzialmente far schiantare navi interferendo con i sistemi di navigazione, se lo volevamo. Ora, c'è stata pochissima attività criminale in questo spazio, ma sta iniziando a emergere. Stiamo iniziando a vedere emergere casi legali, dove se poi analizzi i documenti del tribunale, vedrai le prove degli attacchi.
Un paio di anni fa c'è stato un attacco contro un superyacht chiamato Lady May su cui l'FBI ha indagato e sembrava che alcuni dei sistemi di controllo della nave fossero stati manomessi da persone sconosciute, forse potenze straniere. Questo è già stato fatto sulla stampa, ma ci sono sempre più storie aneddotiche e storie che iniziano a fare la stampa del settore su navi che subiscono cose come ransomware sui sistemi di navigazione o hack diretti e deliberati.
Alloro: Terrificante.
Ken: Sì. La cosa triste è che la maggior parte di questo si legge come la sceneggiatura di hacker , il film, quindi sì. hacker Più di 20 anni fa il predetto raccontava il futuro.
Alloro: Non fa spesso fantascienza. Senti, Ken, grazie mille per esserti unito a me per questa fantastica conversazione su Business Lab. Lo apprezzo molto.
Ken: Grazie. Bello parlare con te.
Alloro: Era Ken Munro, fondatore e partner di Pen Test Partners, con cui ho parlato da Cambridge, Massachusetts, sede del MIT e del MIT Technology Review, che si affaccia sul fiume Charles. Inoltre, grazie al nostro partner, Microsoft Security.
Questo è tutto per questo episodio di Business Lab. Sono la tua ospite, Laurel Ruma. Sono il direttore di Insights, la divisione di pubblicazione personalizzata di MIT Technology Review. Siamo stati fondati nel 1899 presso il Massachusetts Institute of Technology e puoi trovarci in stampe sul web e in dozzine di eventi dal vivo ogni anno in tutto il mondo. Per ulteriori informazioni su di noi e sullo spettacolo, visita il nostro sito Web all'indirizzo technologyreview.com.
Questo programma è disponibile ovunque tu abbia i tuoi podcast. Se ti è piaciuto questo episodio, speriamo che ti prenderai un momento per valutarci e recensirci. Business Lab è una produzione di MIT Technology Review. Questo episodio è stato prodotto da Collective Next. Grazie per aver ascoltato.
Le minacce alla sicurezza sono ovunque. Ecco perché Microsoft Security ha oltre 3.500 esperti di criminalità informatica che monitorano costantemente le minacce per proteggere la tua azienda. Altro a microsoft.com/cybersecurity .