Al lavoro per rilasciare sul mercato sempre più diffusi sistemi di monitoraggio delle abitazioni, come videocamere e dispositivi di allarme connessi alla Rete, i produttori di sistemi di sicurezza della casa non sembrano considerare i rischi che l’espansione prevista per l’IoT porta con sé.
A dirlo sono i risultati di una ricerca condotta da Hp Fortify sui sistemi di sicurezza per la casa connessi a Internet, secondo cui i proprietari delle abitazioni in cui questi stessi sistemi sono stati implementati non sono gli unici a monitorare le proprie dimore.
Basata su Hp Fortify on Demand, l’indagine ha esaminato 10 dei dispositivi IoT più comuni avvalendosi di una combinazione di test manuali e strumenti automatizzati per valutare dispositivi e relativi componenti in base ai criteri Owasp Internet of Things Top 10 e alle vulnerabilità specifiche associate a ciascuna delle 10 categorie principali.
Il risultato non è incoraggiante, considerato che la totalità dei sistemi di sicurezza per la casa connessi all’Internet of Things esaminati presenta livelli di sicurezza inadeguati.
Sotto la lente di Hp Fortify on Demand, la connettività e l’accesso alla rete necessari per il monitoraggio da remoto dei nuovi sistemi di sicurezza.
Obiettivo: stabilire se questi dispositivi di protezione accrescono la sicurezza delle nostre case o se, invece, le espongono a un rischio maggiore semplificando l’accesso elettronico tramite prodotti IoT poco sicuri.
L’esame dei relativi componenti applicativi mobile e cloud dei sistemi di sicurezza considerati ha, infatti, evidenziato la completa assenza di password complesse richieste per l’accesso, mentre la totalità dei sistemi esaminati presenta sicurezza inadeguata nell’autenticazione a due fattori.
Poco rassicurante, inoltre, la considerazione secondo cui, la maggior parte dei sistemi che includono interfacce Web personalizzate basate su cloud e mobile richiedono una password alfanumerica di appena sei caratteri e non prevedono il blocco degli account dopo un determinato numero di tentativi di accesso non riusciti.
Facilmente vulnerabile, anche la privacy delle immagini video utilizzate in numerosi sistemi di sicurezza per la casa costituisce un’ulteriore fonte di preoccupazione.
Tutti i sistemi esaminati hanno, infatti, rilevato problemi di harvesting degli account, una tecnica illegale che, per l’appunto, sfrutta carenze applicative, come enumerazione degli accessi, policy di password inefficaci e mancanza di funzionalità di blocco degli account.
L’assenza di una crittografia delle trasmissioni correttamente configurata lascia, infine, vulnerabili agli attacchi numerose connessioni al cloud, tanto che il consiglio di Hp è di adottare dispositivi da remoto non solo per praticità e accessibilità ma anche valutando il livello di rischio a cui siamo disposti a esporre le nostre case e famiglie.
Da qui l’utile suggerimento a implementare una rete domestica sicura prima di aggiungere dispositivi connessi a Internet non sicuri optando per funzionalità di sicurezza supplementari quali password complesse, blocco degli account e autenticazione a due fattori per accrescere la sicurezza della propria esperienza IoT.
