Sikring af tingenes internet og din arbejdsplads

Flere enheder er i fare for angreb. Cybersikkerhedsekspert Ken Munro diskuterer de sårbarheder, man skal være opmærksom på, og hvordan man forbliver sikker.

Ved

• MIT Technology Review Insights arkiv side

26. februar 2020

Fremstillet i samarbejde med Microsoft Sikkerhed

I denne episode ser vi på behovet for at sikre tingenes internet, fysiske arbejdspladser og de produkter, virksomheder laver. Fra fly til børnelegetøj til olieplatforme, flere tilsluttede enheder er sårbare over for angreb end nogensinde før. Ken Munro er en internet-of things-sikkerhedsforsker, penetrationstester og skribent med to årtiers erfaring i sikkerhedsindustrien. Han er også grundlæggeren af ​​sikkerhedstjenestefirmaet Pen Test Partners.

Munro hjælper med at afsløre sårbarhederne i genstande, vi bruger hver dag, og han diskuterer nogle af de vigtigste færdigheder, som cybersikkerhedseksperter kan have, hvorfor virksomheder er i fare for fysiske sikkerhedsbrud, og noget han kalder supersystemiske fejl.

Business Lab er vært for Laurel Ruma, direktør for Insights, den tilpassede udgivelsesafdeling af MIT Technology Review. Showet er en produktion af MIT Technology Review, med produktionshjælp fra Collective Next. Musik er af Merlean, fra Epidemic Sound.

Vis noter og links

Ken Munro , på Twitter

Ken Munro , Pen Test Partners

Kids Tracker Watches: CloudPets, udnyttelse af atleter og kapring af reality-tv, Pen Test Partners sikkerhedsblog

Tror du, du har haft et brud? Top 5 ting at gøre, Pen Test Partners sikkerhedsblog

Internet of Things Sikkerhed, en TEDx-præsentation af Ken Munro

Fuld udskrift

Laurel Ruma: Fra MIT Technology Review hedder jeg Laurel Ruma, og dette er Business Lab, showet, der hjælper virksomhedsledere med at forstå nye teknologier, der kommer ud af laboratoriet og ind på markedet.

Sikkerhedstrusler er overalt. Det er derfor, Microsoft Security har over 3.500 cyberkriminalitetseksperter, der konstant overvåger for trusler for at hjælpe med at beskytte din virksomhed mere på microsoft.com/cybersecurity .

Vores emne i dag er cybersikkerhed, men mere specifikt vigtigheden af ​​at sikre tingenes internet, din fysiske arbejdsplads og dine produkter. Åh, og hacking af fly, både og biler. Tre ord til dig for: fjernstyret olieplatform. Min gæst er Ken Munro, som er en ekspert internet-of-things sikkerhedsforsker, penetrationstester og skribent med to årtiers erfaring i sikkerhedsindustrien. Han er grundlæggeren og partneren hos Pen Test Partners, og du har måske også set nogle af hans bedrifter med nøgleløse biler, børnelegetøj, fly, og vi vil tale mere om, hvad der holder ham vågen om natten: supersystemiske fejl. Ken, tak fordi du sluttede dig til mig på Business Lab.

Ken Munro: Åh tak.

Laurel: Først og fremmest, kan du fortælle mig, hvordan du blev interesseret i sikkerhed, men specifikt i forbindelse med enheder og tingenes internet?

Ken: Jeg ville elske at fortælle dig, at jeg havde en misbrugt ungdom, men det er langt mere kedeligt. Jeg brugte tid på at kigge på restauranter, efter at jeg havde studeret på et universitet. Og jeg kan huske, at jeg fik et job, hvor jeg ledede en restaurant, og en kedelig eftermiddag, da det var stille, begyndte jeg at lege med salgsstedet, meget, meget gammel. Efter lidt roderi kunne du crashe det til DOS, tidlig version af DOS. Jeg opdagede så, at jeg kunne udskrive mine amortiseringsopgørelser på realkreditlån, så jeg kunne få mine betalinger, hvilket var en underlig ting at udskrive på en restaurantcheck. Men en af ​​mine chefer kom bagefter og sagde: 'Jeg tror måske, du er i den forkerte karriere.' Hvilket var en god måde at fyre mig på, formoder jeg, men det førte mig ind i antivirus og derefter til firewalls og cybersikkerhed mere generelt.

Laurel: Så bortset fra nysgerrighed, hvad er nogle af de færdigheder, som cybersikkerhedseksperter skal have såvel som, selvfølgelig, deres fremragende tekniske evner?

Ken: Nysgerrighed, det er faktisk et rigtig godt ord, for når jeg ser på, hvad vi laver som penetrationstestere, etiske hackere, hvis man vil. Det forsøger at tænke på den måde, som de mennesker, der udviklede systemet, ikke gjorde. Forsøger at tænke på alle de mulige fejl, der er blevet begået, ting, der var blevet overset, og bare stikke i dem, klø i de kløer for at se, om du kan finde en fejl begået.

Du nævnte det, vi kalder supersystemiske fejl - det er en meget almindelig fejl, vi finder i API'er [applikationsprogrammeringsgrænseflader]. Så den API, du finder på en mobilapp til måske en smart enhed, og vi oplever så ofte, at udviklere, mens de godkender deres brugere korrekt, glemmer de ofte at godkende dem korrekt. Og med det mener jeg, at du logger ind, du opretter din konto, du logger ind - fortæller, at du er dig. Men udvikleren glemte et sted langs linjen at tjekke, at hver anmodning kom fra dig, hvilket betyder, at du potentielt kan hoppe ind på andres konti, udføre handlinger på vegne af dem og nedbryde adskillelsen.

Laurel: Hvis jeg er i den situation, og jeg er dig, en pennetester i et firma, og jeg skal så gå og fortælle nogen, jeg tror, ​​vi har en fejl her, hvordan foregår den samtale? Hvem siger du overhovedet noget til?

Ken: Lad os tale om uafhængig forskning. Vi laver meget arbejde for egen regning, køber produkter og kigger på dem og ser på, om vi kan finde sårbarheder. Dels er det for god øvelse, god motion, men det er også nyttigt, fordi det forbedrer sikkerhedstilstanden. Så hvis vi finder en sårbarhed, er det første, vi vil gøre, at fortælle producenten om det. Vi vil gerne fortælle dem det privat, fortroligt, så de kan ordne det.

Men så ofte er problemet, at den første kontakt, du laver, når de forkerte mennesker, eller den når til en organisation, der bare ikke er vant til at håndtere sårbarheder – det er første gang for dem. Så hvordan håndterer de en, der er helt kold, der kommer op og siger: 'Hej, vi har fundet en sårbarhed i dine ting.' De fleste opfatter det som opfattet kritik, hvilket slet ikke er meningen. Men hvis nogen sagde, du har en fejl i dit produkt, er det første, du gør, at række hænderne op, Hej, hey, vent på, hæng på. Nej nej nej nej. Vi skal forsvare vores brand. Og det er normalt det første problem er, at folk ikke tager godt imod konstruktiv kritik, hvilket gør livet meget svært for en sårbarhedsforsker.

Laurel: Men man skal også have den slags specielle takt, ikke? Den måde du kommunikerer problemer på til disse forskellige virksomheder med produkter eller millioner og milliarder af dollars investeret i specifikke ...

Ken: Ja. Jeg tænker faktisk på det som et spil skak. For jeg ved, at hvis vi går aggressivt for hårdt ind, vil de nok bakke op, og i stedet for at få rettet sårbarheden, vil de nok gøre noget, som vi ikke vil se. De bliver aggressive, begynder at prøve at råbe os ned, eller nogle gange har vi haft juridiske trusler, som var grundløse, men som er irriterende og dyre at forsvare.

Så det handler om at blive hørt af de rigtige mennesker i organisationen, som forstår sikkerhed, som forstår den potentielle indvirkning på deres brand, hvis en anden ikke-etisk person har fundet det. At få dem, forkæle dem, arbejde med dem, give dem de værktøjer, de har brug for, så de kan ordne det hurtigt. Og så er sårbarheden rettet, og alle har det bedre.

Laurel: Når du er i en situation, skal du faktisk have en modpart i organisationen, og vi ser, at det ikke nødvendigvis er enhver organisation, der har sådan en som en CISO, ellers vil der være nogen, der har ansvaret for sikkerheden. Hvordan betræder du omhyggeligt disse vande – hvilken slags kommunikationsevner og -teknikker bruger du til at bringe på tværs af dine pointer?

Ken: Hvordan finder du overhovedet dem? Det kan være et reelt problem. Måske starter du i første omgang med en kontakt-os-formular, og den vil sandsynligvis gå til nogen, der ikke forstår cybersikkerhed. Det kommer til at ende det forkerte sted. Vi havde et par problemer for mange, mange år siden med Fitbit dengang, og vi startede på kontakt-os-formularen, og det gik bare i æteren. Intet skete. Vi forsøgte at ringe til support, men det var kundesupport, og det blev bare ikke rigtigt behandlet.

Og det hele gik lidt galt. Og så ved et eller andet held, startede en ven af ​​en ven som deres interne sikkerhedsekspert, og det er lidt af et togvrag, der skal ske. Og proaktivt tog telefonen og tog kontakt og sagde: 'Hej Ken, jeg tror, ​​vi kender nogen, vi kender den samme fyr. Jeg hørte, du forsøgte at rapportere en sårbarhed.' Og fra hvad der kunne have været en meget vanskelig situation, hvor der er en sårbarhed, bliver den ikke rettet, leverandøren lytter ikke. Faktisk blev det meget hurtigt genvejet, og produktet blev rettet meget hurtigt. Firmwaren er opdateret på lidt over en uge, og det var en sand succeshistorie for alle.

Laurel: Det er fremragende. Det er vel det, vi gerne vil høre mere af. Ret?

Ken: Ja. Jeg ville bare ønske det skete hver gang.

Laurel: Nå, det er nok også det, der gør dit job så interessant. Hvordan tænker du om den nuværende mangel på sikkerhedseksperter? Bare på tværs af branchen, hvad er det for nogle ting, du leder efter, eller du ville ønske, at du kunne vifte med en tryllestav og ordne? Hvordan ordner du den sikkerhedsprofessionelle pipeline?

Ken: Gosh, det er et dybt spørgsmål. Det er velkendt, at der er mangel på færdigheder. Jeg tror, ​​at en af ​​de virkelige udfordringer i penne-testområdet, hvor folk hacker etisk, er, at det ofte overses, hvor vigtigt det er at være i stand til at kommunikere. Jeg mener, fantastiske tekniske færdigheder er essentielle, men faktisk er det disse kommunikationsevner, der ofte glemmes, for hvis resultaterne af dine resultater ikke kommunikeres på den rigtige måde, til det rigtige publikum, den rigtige person, så faktisk, ting bliver ikke rettet.

Mens vi har et akademiprogram – vi tager folk, vi coacher dem, de har rå færdigheder, vi forvandler dem til fuldgyldige pennetestere. Det, jeg virkelig leder efter, er den kommunikationsevne. Hvis du ikke kan kommunikere de fantastiske ting, du har fundet, vil jeg påstå, at du lige så godt ikke har gidet at finde dem.

Laurel: Går bare ind på det gamle ordsprog, ja, mit gamle ordsprog - teknologi er let, folk er svære.

Ken: Helt.

Laurel: Det er den slags færdigheder, som det ser ud til, at de fleste virksomheder nu indser, at du kan undervise i teknologi, ikke? Du kan undervise i kodning. Du kan lære disse færdigheder. Nogle mennesker har åbenbart en medfødt evne til at gøre dem, men kommunikationen er det afgørende, for faktisk at bringe hele din organisation op på det ene niveau og faktisk er en konkurrencedygtig differentiator.

Ken: Ja, det er faktisk en rigtig overraskelse. Jeg opfordrer virkelig kraftigt folk til at tænke over, hvem de taler til. Så du laver noget sejt og klogt og meget smart og teknisk, men tænker faktisk på publikum, den person, der modtager det, tænk på, hvordan de vil modtage det, og hvordan det vil få det problem løst hurtigst.

Laurel: Ja, det handler om brugere, ikke? Eller dine kunder og i en eller anden forstand er de din kunde, fordi du forsøger at udvikle dette forhold på den ene eller anden måde med en fuldstændig fremmed og fortælle dem nogle særligt dårlige nyheder.

Tror du, at fordi sikkerhed bliver vigtigere i organisationen, er det ikke længere en back-office-funktion, at folk måske ser på det som et mere interessant erhverv, fordi det ligesom er ude i det fri, folk taler om det . Det er ikke længere gemt bag en slags sort gardin.

Ken: Ja, det har dog været fantastisk at se den mere profil, der er blevet bragt til cyberindustrien. Jo flere kurser på universitetsniveau begynder at dukke op, hvilket er fantastisk, hvilket forbedrer udbuddet af enkeltpersoner. Men jeg tror, ​​at mange organisationer, især dem, der har været udsat for højprofilerede brud, måske har lært på den hårde måde, at den eneste måde at håndtere cyber på er at få det ind i virksomheden. Hvis du lægger det ind som et datterselskab af IT-afdelingen, så kommer det egentlig kun til at være en eftertanke. Hvorimod hvis du bager det ind i virksomheden og gør nogen virkelig ansvarlig, som virkelig forstår at vurdere risiko og kommunikere risiko, hvis de sidder på det nøjagtige niveau, de sidder i bestyrelsen, så tror jeg, du vil se et tankeskifte i organisationen.

Jeg underviser lidt på bestyrelsesniveau, og det har været fantastisk at se, hvordan man kan få den administrerende direktør til at begynde at tænke på deres personlige sikkerhed, på deres personlige sikkerhed, på deres families sikkerhed. De begynder at tænke på adgangskoder, de begynder at tænke på at opdatere systemer, de begynder at tænke på at undervise folk, og lige pludselig ser man, at mindset-ændringen trænger igennem lige fra toppen af ​​virksomheden og ned gennem folket. Så i stedet for at forsøge at ramme sikkerheden ind i en organisation, fryser den faktisk lige fra toppen og gennemsyrer alt, hvad virksomheden laver.

Laurel: Helt sikkert mere en tilgang med sikkerhed først. Og når du som en del af alting ikke tænker på det som et indgreb så meget i dit daglige arbejde.

Jeg vil gerne indramme vores diskussion på en måde, der taler om, hvordan et cybersikkerhedsbrud kan ske overalt – naturligvis med medarbejdere, produkterne og endda den fysiske kontorbygning, som din virksomhed befinder sig i. Kan du tale om, hvorfor fysisk sikkerhed er kritisk for virksomheder at tænke på?

Ken: IH, du godeste. Efterhånden som du begynder at forbedre din cybersikkerhed, så begynder du at forbedre dit forsvar, så du begynder at opdage, at det er sværere og sværere at trænge ind i din organisation fra internettet. Og forhåbentlig, selvom nogen trænger ind i det eksternt, har du nogle værktøjer, der gør dig og et team af mennesker opmærksom på det. Det bliver stadig sværere at trænge ind i organisationens omkreds. Og det er, når de højere risiko, fysiske typer angreb begynder at blive interessante. Når vi begynder at tale om social engineering, når vores job er at bluffe os ind i en organisation, at plante en bagdør fysisk inde i organisationen eller at stjæle data fysisk. Filmens ting, ikke?

Men ofte oplever man, at de to lejre faktisk er ret tæt forbundet. Jeg kan godt lide at lede efter skygge-IT i en organisation. Jeg kan godt lide at lede efter bygningsstyringssystemet. HVAC'en, den ting, der styrer dine elevatorer, som styrer dem, der går op og ned. Teknikken, der styrer dine gatelys. Teknikken, der styrer dine elektroniske dørlåse, dine adgangskontroller. Hvorfor? Fordi disse systemer ofte sidder uden for din konventionelle it-afdeling. Måske har folk i faciliteterne lagt det ind. Måske har underleverandøren udliciteret til en tredjepart, som har fjernadgang, hvilket er blevet dårligt gjort. Lyder det langt ude? Nå, der har været masser af store brud, der er sket gennem præcis den rute.

Så hvis vi er social engineering, og jeg finder dine bygningsstyringscontrollere på det offentlige internet, er det ikke svært at gøre. Gå op til kontoret, tryk dørlåsene elektronisk, fjernt, og dørene åbnes på vid gab. I går.

Laurel: Oplever du, at din virksomhed er en ensartet blanding af disse databrudssårbarheder såvel som de fysiske, eller er folk fokuseret på og tænker på data først og så det fysiske senere?

Ken: Jeg kan godt lide at tænke på det som en blanding af begge dele. Jeg tror, ​​nogle af de mest fremsynede og fremsynede organisationer indser, at det er en kombination. Du skal tage fat på begge dele. Ja, du kan holde organisationen sammen, du kan angribe den eksternt, og du kan sikre dig, at den er godt sat op til at opdage og reagere på cyberbrud, men samtidig skal du også dække den fysiske side .

Min erfaring har været, at når du arbejder med den fysiske side af virksomheden, begynder du at hjælpe organisationen med at bygge bro mellem dens IT-afdeling og dens faciliteter. Og når først de taler, når først skattesikkerhedsteamet taler med cybersikkerhedsteamet, får du nogle virkelig interessante ting rystet ud af det. Du får teams, der begynder at arbejde sammen, uden at se som en er i en boks og andre, ja, et andet er et helt andet sted.

Laurel: Så hvad er nogle af de grundlæggende ting, som virksomheder kan se på, når de tænker på sårbarheder og måske bare selv gør tingene, før de henter nogen ind som dig for at hjælpe dem?

Ken: Åh, ligetil. Nummer et, så hvad spiser vi ude på? Vi spiser ude med adgangskoder, der ikke er komplekse nok, genbrugte, standard eller tomme. Du ordner dem, og du vil gøre vores liv meget sværere. Næste store, patching. Jeg ved, det er så kedeligt, men faktisk mangler patches, udsatte sårbarheder, patches er der for at rette sårbarheder. Hvis du fikser patches, gør du mit liv svært. Og det sidste, jeg kigger på, er menneskerne. Så du kan enten bebrejde folk for at klikke på links på e-mails og svare på phishes, eller du kan lære dem og træne dem. De kan enten være din værste fjende af sikkerhed, eller de kan være endnu et par øjne, der ser, ser, rapporterer, føler sig uddannet og bemyndiget. Så mit råd, før du kommer i nærheden af ​​at få tredjeparter ind, så få ordnet adgangskoderne, ordne dine patches, og lær folk om cyber.

Laurel: Grundlæggende sikkerhedshygiejne. Hvordan arbejder virksomheder med partnere for at sikre, at komponenterne i deres produkt er sikre? Så den tredjeparts forsyningskæde – det kunne være et hvilket som helst produkt, men jeg tænker egentlig på en bil, der er bygget i Detroit og har en GPS-enhed fra en anden leverandør og et underholdningscenter fra en tredje. Og det er bogstaveligt talt en meget grundlæggende beskrivelse af tredjepartsleverandørerne i en bil, men jeg tror, ​​det er det, vi tænker på, når vi tænker på hackbarhed. Så når vi ser på hele økosystemet af tredjepartsleverandører, hvor ville du så starte, hvis du er en bilsælger eller en hvilken som helst virksomhed?

Ken: Så det er dejligt at sætte sit eget hus i stand og ordne sin egen sikkerhed. Men så ofte, at angriberen vil flytte til den mest sårbare del, og det vil sandsynligvis være din forsyningskæde. Fordi det er din organisation, det er dine data, det er dine kunder. Du tager disse oplysninger og cybersikkerheden meget alvorligt. Men så snart du begynder at bevæge dig ind i forsyningskæden, er det ikke længere deres data. Så den første ting at gøre er at begynde at stille spørgsmål.

Bare ved at begynde at stille spørgsmål, vil du meget hurtigt begynde at forstå, hvor modne dine leverandører er med hensyn til cybersikkerhed. Jeg ser ofte organisationer, som vi bliver bedt om at revidere, og siger: 'Jamen, vi kunne umuligt dele den information med dig af hensyn til cyber,' og du indser, at det bare er et røgslør. Din leverandør burde være meget glad for at dele deres sikkerhedsprocesser med dig, for blot at have en cyberproces betyder det ikke at afsløre sårbarheder. At vise, at de er en moden organisation, der tager cybersikkerhed og sikkerheden af ​​de data, de behandler for dig, burde være en åben proces. Stil spørgsmål, audit dine leverandører, tal med dem om sikkerhed. Og mere end noget andet, et råd, du kan tage med fra dette lille interview, læg cybersikkerhed ind i dine kontraktlige indkøbsbetingelser. Hvilket betyder, at A, de tænker seriøst over cyber, før de underskriver din kontrakt, og B, hvis det går galt, har du en regresret. Virkelig, virkelig vigtigt. Integrer cyber i dit indkøb.

Laurel: Ville du sige, at virksomheder faktisk undersøger deres tredjepartsleverandører ofte? Er dette en ny måde at tænke på, som virksomheder virkelig skal have, som du sagde, integreres i alle dele af den måde, de arbejder med eksterne leverandører på?

Ken: Sommetider. Så jeg har opsøgende og undervist i advokatbranchen om netop dette koncept. Jeg har gjort det i et par år nu, og dette år er bare gået, sagde jeg, se, er der faktisk nogen, der har indlejret cyber i deres kontrakter? Og en hånd gik op i publikum, og jeg mærkede lidt glød. De sagde: 'Ja, vi tog dit råd. Vi har integreret det åbne webapplikationssikkerhedsprojekt top 10 i vores tredjepartsudviklingskontrakter.' Så de tilmelder sig kontraktligt til at levere kode, der ikke er sårbar over for OWASP [Open Web Application Security Project] top 10, og jeg troede, det var en kæmpe gevinst. Et lille skridt. Så vær venlig alle sammen, gør det. Integrer simple cybersikkerhedsvilkår i kontrakter, og det gør bare livet så meget nemmere, hvis der er et problem.

***

Laurel: Cybersikkerhed handler ikke kun om at stoppe de trusler, du ser. Det handler om at stoppe dem, du ikke kan se. Det er grunden til, at Microsoft-sikkerhed beskæftiger over 3.500 cyberkriminalitetseksperter og bruger kunstig intelligens til at hjælpe med at forudse, identificere og eliminere trusler, så du kan fokusere på at vækste din virksomhed, og Microsoft-sikkerhed kan fokusere på at beskytte den. Lær mere på microsoft.com/cybersecurity .

***

Laurel: Så hvis man træder tilbage og ser på det på afstand, hvordan kan sikkerhedsbestemmelser og standarder faktisk hjælpe virksomheder? Ofte føler de sikkert, at de er i dette alene, men der er agenturer eller afdelinger som NIST [National Institute of Standards and Technology], der kan hjælpe.

Ken: Ja der er. Så regulering mangler overraskende i cyberspace. Det er noget, jeg har lobbyet for og kampagne omkring i en årrække nu, især inden for forbruger-IoT [tingenes internet]. Det er noget af et vilde vesten. Vi bliver ved med at finde meget alvorlige sårbarheder dag efter dag i forbruger-IoT-produkter. Og mine følelser, selvom jeg ikke er en stor fortaler for regulering, fordi jeg meget foretrækker dynamik på det frie marked, synes jeg i forbruger-IoT-området, at der var et meget stærkt argument for regulering. Jeg var meget glad for at se i Californien, at Senatets lovforslag 327 blev vedtaget, trådte i kraft den første januar i år. Og det, der gjorde mig super glad, var, at lovforslagets indleder citerede noget af vores arbejde med en sårbar børne-Bluetooth-dukke kaldet My Friend Cayla som inspirationen og katalysatoren bag denne regulering. Og selv om reguleringen er ret grundlæggende, synes jeg, det er et rigtig godt skridt i den rigtige retning. Og det er trist, men især inden for forbruger-IoT tror jeg, at vi har brug for regulering.

Vi har også haft nogle succeser i Storbritannien. Vi har netop afsluttet høringen, og regeringen har forpligtet sig til at indføre nogle grundlæggende regler for at beskytte forbrugerne mod producenter af smarte produkter, som ikke leger sikkert med vores data og vores privatliv.

Laurel: Kan du tale lidt om min ven Cayla? Det var et interessant eksperiment.

Ken: Så My Friend Cayla er en interaktiv talende børnedukke, som jeg først faldt over for omkring fem år siden. Nu brugte hun en mobilapp til at lytte til ord, barnet sagde til dukken, bearbejde dem til tekst og derefter besvare en række spørgsmål. Så barnet kunne få en interaktiv snak med en dukke, hvilket var rigtig sjovt. Nu jeg så denne dukke, indså jeg, at hun kommunikerede via Bluetooth til mobiltelefonen. Så hvad jeg ville vide var, hvor sikker var den Bluetooth-forbindelse? Og problemet var, det var det egentlig ikke.

Så når du tilslutter din mobiltelefon til dit køretøj, så du kan foretage telefonopkald, indtaster du en PIN-kode, ikke? Sekscifret pinkode. Og det skaber en forholdsvis sikker forbindelse. Problemet med My Friend Cayla er, at når hun opretter forbindelse til din telefon, er der ingen pinkode overhovedet, hvilket betyder, at alle i nærheden kan deltage og oprette forbindelse. Så igen tænker hackeren i mig, jeg spekulerer på, om jeg kan få denne uskyldige børnedukke til at bande? Så vi indså, at vi kunne pille ved mobilappen, og barnet kunne sige, hvad det ville, til dukken, og hun ville bande med det samme. Så jeg har optaget hende for dig lige her.

Indspilning: Hej, rolig, ellers sparker jeg [bipet] ud af dig.

Laurel: Det er fantastisk.

Ken: Men værre end det, fordi der ikke var nogen kryptering på Bluetooth-forbindelsen, kunne alle i nærheden oprette forbindelse til mikrofonen i dukken og lytte til dine børn, eller højttaleren i dukken og tale med dit barn. Så vi taler om folk i nabohuset, folk på gaden udenfor. Så folk kunne krybe på dine børn gennem denne dukke eller endnu værre, de kunne spionere på dine samtaler i dit hus, fordi du satte en smart dukke og gav den til et af dine børn. Og jeg ved ikke med dig, men der er samtaler, jeg ikke ville have, at mine naboer skulle lytte til. Ret? Så igen, vores privatliv blev fuldstændig invaderet af en god idé om et barns interaktive dukke.

Gode ​​nyheder for dette er, at vi har rapporteret det til leverandøren, der afviste det uden videre og beskyldte os for at iscenesætte en prank, men heldigvis indså den tyske telekommunikationsmyndighed, at dette overtrådte nogle forbrugerbeskyttelses- og spionlove, der var tilbage fra lige efter den anden [ Verdenskrig, og natten over forbød de dukken. Det var ulovligt at eje den dukke i Tyskland. Så der er gode nyheder at komme ud af det

Laurel: Og et godt eksempel på, hvordan regulering kan hjælpe i de specifikke tilfælde. For at blive ved emnet om forbrugerenheder og slutte sig til en anden meget populær trend, som er at bringe din egen enhed på arbejde, eller BYOD, hvad sker der, når Wi-Fi-kaffemaskinen på arbejdet er tilsluttet og kan være et intetanende startpunkt for en hacker til rent faktisk at iværksætte et angreb på arbejdspladsen? Hvad er nogle andre sårbare enheder, som virksomheder måske ikke tænker at overveje?

Ken: Ja, så BYOD opfattes ofte som smartphones og tablets, der bruges til at udføre arbejde. For mig er det smarte ting, der kommer ind i arbejdsområdet. Mit allerførste stykke forskning i IoT var på en Wi-Fi-aktiveret fyrfad, og vi opdagede, at når først du har oprettet forbindelse til dit netværk, kunne jeg stå på gaden udenfor, oprette forbindelse til elkedlen og stjæle din Wi-Fi-adgangskode fra det. Så ja, jeg kunne hacke dit hus. Og hvis du tog den med på kontoret for at lave en kop te eller en kop kaffe, kan du også stjæle din virksomheds Wi-Fi-adgangskode. Så BYOD er ​​en reel bekymring for mig lige nu. Vi begyndte at kigge på smarte køleskabe for et stykke tid tilbage, så igen er det svært at købe varer, forbrugsvarer, hårde hvidevarer, at stille på dine kontorer, som ikke er smarte længere.

Vi kiggede på et Samsung smart køleskab med en fantastisk stor skærm på døren. Det var virkelig sjovt. Så den havde et kamera på indersiden og en stor skærm på ydersiden. Og tanken var, at man kunne se, hvad der er indeni uden at åbne døren. Og jeg tænker, hvorfor åbner jeg ikke bare døren? Sikkert. Men alligevel, hvad vi opdagede, så for at være smart, var det nødvendigt at oprette forbindelse til internettet, for at fortælle dig om ting og produkter, der udløber, og som gik ud efter deres forfaldsdato, var det nødvendigt at kunne sende dig en e-mail. Og vi opdagede, at du kunne køre forbi nogens køleskab og stjæle din Gmail-adgangskode fra et køleskab. Hvilket er dumt, ikke?

Men vi ser også Bluetooth-enheder. Vi har set smarte kaffemaskiner, der var fuldstændig sårbare. Så du kan gøre nogle skøre ting som at stoppe kaffemaskinen med at virke. Men så begyndte vi at se enheder, der kan bruges som en piggyback ind i din organisation. Så vi begyndte igen at se tilbage til skyggeteknologien, blive gjort smarte, så faciliteter, folk kan administrere, jeg ved ikke, gate-linjerne eller HVAC fra deres mobiltelefon ved hjælp af en app. Og så opdager vi, at der er sårbarheder i appen, API'et i smarts-produktet også, og det kan du bruge som en bagdør ind i organisationen. Så BYOD i forbindelse med smarte enheder gør virksomheder mere sårbare.

Laurel: Jeg tænker også på nogle meget skinnende kontorlokaler med smart-tv som standardkonferenceopkald og endda smarte whiteboards, ikke?

Ken: Ja. Kan du huske en historie for lidt siden om Samsung-smart-tv'er, der viste sig at lytte til dig? Kan du huske den?

Laurel: Oh yeah.

Ken: Ja, det var vores arbejde. Nogle lysende gnister havde bemærket i vilkårene for betingelser ... Hvem læser vilkårene og betingelserne for dit tv, ikke? Det gør ingen. Men en eller anden lysende gnist havde læst det og så en sætning derinde, der sagde noget med virkningen af: 'Sig ikke noget følsomt omkring dit tv. Og nu fik det en lille smule dækning. Vi tog det op, for jeg havde et Samsung-smart-tv med stemmestyring derhjemme. Så jeg tog hjem den aften, hentede mit tv, tog det med ind på mit kontor næste dag, meget af min kones forvirring, og vi koblede det til nogle sniffeprodukter. Vi fik nogle teknologier på der og begyndte at lytte til internettrafikken, som tv'et sendte. Så mon ikke der er noget mere i det her. Og vi opdagede, at tv'et ikke kun lyttede til dig, det sendte også, hvad du sagde i almindelig tekst, ukrypteret, over det offentlige internet til tredjeparter i udlandet. Og det var virkelig ubehageligt.

Laurel: Utrolig. Dit arbejde er bare, infiltrerer hvert hjørne, hvilket jeg tror, ​​det er hele pointen, ikke? Efterhånden som vi bliver mere kloge og ønsker at gøre tingene hurtigere fra hvor som helst til enhver tid, skal vi faktisk først tænke på sikkerhed, og hvordan vi lægger det sammen i stort set alle handlinger.

Ken: Jeg tror, ​​det er af hensyn til effektivitet, økonomi og bare at arbejde smart. Jeg tror, ​​at teknologien kommer ind i alt, hvad vi laver, og problemet er, at den bliver hastet ind uden tilstrækkelig omtanke om sikkerhed. Så vi gør tingene smarte og gør tingene sårbare.

Laurel: Så kan jeg forbinde det med de supersystemiske fejl? Så når vi gør det, og så har vi massedistribution af hvad som helst, hvad enten det er en app eller et fjernsyn, hvad sker der så? Hvordan tilbagesporer man så sårbarheden, når den er overalt?

Ken: Vi talte kort om API-sikkerhed, så hver gang du laver noget smart, kommer du sandsynligvis til at koble det op til en mobilapp. Det er sandsynligvis formålet med at gøre det smart, så du gør det nemt at fjernadministrere, så du kan se dine ting derhjemme, på dit kontor, dit CCTV hvor som helst i verden. Og for at gøre det skal du bruge en API.

Og dette store problem, vi bliver ved med at finde, er, at alle de smarte produkter, de har API'er, og de er ikke tilstrækkeligt sikre. Så det er ikke som måske sige at hacke én enhed. Det er én ting at gå op til én smart enhed i én persons hjem eller kontor og hacke én af dem. Det, der virkelig generer mig, er, da vi opdagede, at vi eksternt kan hacke alle enheder, og pludselig begynder du at tænke på et smart køretøj, og du opdager en sårbarhed i API'et, der giver dig mulighed for at stoppe alle køretøjer i den flåde der bruger appen. Så du bringer hele flåder af køretøjer til standsning.

Og det er det, vi mener med supersystemisk. Det gælder på tværs af hele økosystemer af enheder. Kommer ofte tilbage til en enkelt platformsudbyder, der måske har leveret tjenester til mange forskellige mærker og leverandører. Én sårbarhed påvirker alt.

Laurel: Hvor mange gange om dagen nævner nogen, Er du sikker på, at vi ikke lever i en episode af Sort spejl ?

Ken: Nå, mærkeligt nok var en af ​​mine første udflugter på tv med producenten af Sort spejl . Jeg introducerede ham for min ven Cayla for mange, mange år siden. Han er en meget, meget dygtig fyr. Ja.

Laurel : Og det har forfulgt ham lige siden. Ja.

Ken: Det tror jeg. Det er problemet, vi har, at vi bare skynder os. Vi kører for hurtigt. Misforstå mig ikke. Der er nogle leverandører derude, som tager sikkerhed meget seriøst og gør det rigtig godt, og jeg roser dem. Problemet er, at de i høj grad er undtagelsen fra reglen. Jeg ville ønske, at hver leverandør var lige så engageret, og det er derfor, jeg er ked af, at jeg tror, ​​regulering er den eneste måde, fordi medmindre vi tvinger producenterne til at begynde at spille som de gode, tror jeg ikke, der vil være nogen økonomisk kommerciel incitament. for dem at gøre det. Der er ingen mulighed for produktmærkning. Der er ingen måde at finde ud af, hvilke produkter der er mere sikre end de andre, og derfor tror jeg desværre, at regulering er svaret.

Laurel: Interessant. Så du ville næsten være som fairtrade-mærkning for sikkerhed.

Ken: Ja, der har været en del arbejde med det i forskellige lande. Jeg ved, at der i USA har været en del arbejde og bestemt også i Europa, men udfordringen er, hvordan giver du en enkelt etiket, der fortæller dig, hvor sikkert et produkt er eller ej? Det er en virkelig svær ting at gøre, fordi sikkerhed er så mange facetter. Hvis du tænker på den gennemsnitlige smartenhed, vil den have nogle chips på der. Den kommer til at have noget firmware derinde. Det kommer til at have nogle radiofrekvens-ting som Wi-Fi eller Bluetooth, måske ZigBee eller Z-Wave. Det kommer til at have en API, det vil have en mobilapp. Det kommer til at have en cloud-infrastruktur. Det kommer til at have en telematikplatform. Det er så komplekst, at det gør mærkning virkelig, virkelig svært.

Laurel: Hvad sker der i stærkt regulerede brancher? Jeg læste et stykke om satellitter. Hvordan hacker man en satellit eller sikrer en satellit?

Ken: Det er blevet gjort, og faktisk er jeg meget involveret i Defcons luftfarts- og rumfartslandsby. Vi havde vores første udflugt i sommeren sidste år, og i løbet af det næste år har vi haft en vis interesse fra satellitproducenter og -operatører. Og vi håber på at bygge en platform hos Defcon for mennesker, forskere, interesserede parter for at hjælpe med at sikre sikkerheden af ​​satellitter, hvilket jeg synes er fantastisk. Det involverer hele samfundet for at hjælpe hele industrien med at forbedre deres cybersikkerhed.

Nu er der et eksempel på en reguleret branche, jeg tror, ​​jeg gerne vil fremstå som et godt eksempel. Så i USA er smarte sundhedsudstyr, bestemt en delmængde af dem, reguleret og godkendt af Food and Drug Administration. Og det var et af de allerførste områder, hvor der blev indført regulering, som har gjort en reel forskel. Og jeg lykønsker det marked for at tage store skridt hen imod cybersikkerhed. Hvorfor? Nå, fordi vi taler om liv-og-død-enheder. Vi taler om enheder, der holder os i live. Så igen, en god sag til at bringe standarder ind, forbedre alles spil og vise, at vi faktisk kan lave sikre enheder, der holder os sikre og holder os i live.

Laurel: Jeg føler, at vi hørte en historie for et par år siden om, at pacemakere blev hacket. Så det virker som en god grund til regulering.

Ken: Ja, det var virkelig fantastisk, at FDA gik op der faktisk. Var det en mangel på opmærksomhed på detaljer, måske for at give mange af producenterne fordelen af ​​tvivlen, tror jeg nok, det var de bare ikke rigtig tænkte dybt nok over cybersikkerheden. Du går og henter nogle komponenter; man går og henter noget udvikling, og alt for ofte bliver der lavet antagelser om, hvorvidt enheder er cybersikre. Og jeg tror faktisk, hvad forordningen har gjort, er, at den har opmuntret folk og tvunget folk til rent faktisk at gå hen og stille de svære spørgsmål, for at sikre, at de udviklere, du bruger, får cyber og sikre, at de chipsæt, du bruger, har rimelige sikkerhedsfunktioner som et tillidsudførelsesmiljø, sikker opbevaring, god kilde til entropi, alle de nyttige ting, som du ikke får, hvis du ikke stiller spørgsmålene eller specificerer i dit indkøb.

Laurel: Så fortæl mig en historie om en af ​​dine yndlings-pen-testbedrifter.

Ken: IH, du godeste. Hvor skal jeg starte?

Laurel: Nå, jeg gav lidt et hint i begyndelsen af ​​episoden med olieplatformen.

Ken: Ah, så på det seneste er vi begyndt at se på det maritime. Så vi har kigget på fragt. Det er et område, der virkelig har haft lidt opmærksomhed fra cyberindustrien i de sidste par år. Og grunden til det er primært fartøjer, der var offline. Du havde shore Wi-Fi og 4g, når du er i kysten, men så snart det fartøj sejlede, er du faktisk offline.

Ja. Så du kan få en sat-telefon, men de er dyre, og du kunne bruge flådebredbåndssatcoms, men de er skræmmende dyrt dataforbrug. Så for alt i verden var et fartøj, når det først sejlede, offline. Og det hele ændrede sig for to, tre, fire år siden med fremkomsten af ​​VSAT.

Pludselig blev satcoms overkommelige, og det betød, at skibene kunne begynde at blive overvåget for effektivitet, brændstofforbrug, rutine, alle disse vigtige ting, der sparer alle penge. Og det betød også, at dit mandskab – du kunne ansætte det bedste mandskab, fordi de ville have dataplaner, de ville have adgang til sociale medier, og du kunne give dem det. Så du har de bedste folk, der arbejder på de bedste skibe og leverer den bedste effektivitet. Fantastisk.

Men undervejs var der ingen, der tænkte på cyber. Så skibe blev koblet til internettet uden tanke på fartøjets sikkerhed og sikkerhed. Så det, vi har lavet i løbet af de sidste par år, er at arbejde på fartøjer med fremsynede operatører, der siger, OK, lad os tjekke det her ud.

Og et godt eksempel var en efterforskningsborerig, vi så på. Det var en organisation, der ville udføre brøndudforskning på et tidligt stadium. Der var en selvkørende rig og havde satellit VSAT-forbindelse, og vi blev bedt om at se for at se, om vi i teorien kunne afbryde dens evne til at bore. Og det, vi fandt, var en mangel på effektiv adskillelse mellem de forskellige netværk. Så vi kunne bore kontrolnetværk, vi kunne få adgang til virksomhedsnetværk, vi kunne få adgang til besætningsnetværk, vi kunne se internettet, vi kunne se alt.

Og selvom organisationen havde taget nogle ret fornuftige skridt for at sikre ting, er det, der sker, faktisk, at besætningen i drift ofte nedbryder den adskillelse. Hvorfor? Fordi jeg vil streame Spotify, når jeg arbejder med borehovedet, så de installerer en Wi-Fi-router, så jeg kan få Spotify på mine hovedtelefoner, mens jeg er derude på dækket. Og så opdagede vi tilfældige ting, som f.eks. fjernadgang, der blev tilsluttet, tilgængelig fra det offentlige internet. Og hvad der i bund og grund skete er, at vi opdagede over det offentlige internet uden nogen godkendelse, vi kunne tage kontrol over motorer og andre kritiske systemer på skibe og rigge rundt om i verden.

Bogstaveligt talt at slukke for motorer, tænde for motorer, påvirke styretøjet, potentielt styrte skibe ved at forstyrre navigationssystemer, hvis vi ønskede det. Nu har der været meget lidt kriminel aktivitet i dette rum, men det begynder at dukke op. Vi begynder at se retssager dukke op, hvor hvis du så analyserer retspapirerne, vil du se beviser for angreb.

Der var et angreb mod en superyacht kaldet Lady May for et par år siden, som blev undersøgt af FBI, og det så ud til, at visse af kontrolsystemerne på fartøjet blev pillet ved af ukendte personer, muligvis udenlandske magter. Det har allerede gjort pressen, men der er et stigende antal anekdotiske historier og historier, der begynder at få industrien til at presse om fartøjer, der enten oplever ting som ransomware på navigationssystemerne eller direkte og bevidste hacks.

Laurel: Frygtindgydende.

Ken: Ja. Det triste er, at det meste af dette læses som manuskriptet til hackere , filmen, så ja. hackere 20-plus år siden forudsagt fortalte fremtiden.

Laurel: Arbejder ikke ofte med science fiction. Se, Ken, mange tak for at deltage i denne fantastiske samtale på Business Lab. Jeg sætter virkelig pris på det.

Ken: Tak skal du have. Dejligt at tale til dig.

Laurel: Det var Ken Munro, grundlægger og partner hos Pen Test Partners, som jeg talte med fra Cambridge, Massachusetts, hjemsted for MIT og MIT Technology Review, med udsigt over Charles River. Også tak til vores partner, Microsoft Security.

Det var det for denne episode af Business Lab. Jeg er din vært, Laurel Ruma. Jeg er direktør for Insights, den tilpassede udgivelsesafdeling af MIT Technology Review. Vi blev grundlagt i 1899 på Massachusetts Institute of Technology, og du kan finde os i print på nettet og ved snesevis af live-begivenheder hvert år rundt om i verden. For mere information om os og showet, tjek venligst vores hjemmeside på technologyreview.com.

Dette show er tilgængeligt overalt, hvor du får dine podcasts. Hvis du kunne lide denne episode, håber vi, at du vil bruge et øjeblik på at bedømme og anmelde os. Business Lab er en produktion af MIT Technology Review. Denne episode blev produceret af Collective Next. Tak for at lytte.

Sikkerhedstrusler er overalt. Det er derfor, Microsoft Security har over 3.500 cyberkriminalitetseksperter, der konstant overvåger for trusler for at hjælpe med at beskytte din virksomhed. Mere kl microsoft.com/cybersecurity .

skjule