Securitywatch: a verdadeira razão de eu não ter uma câmera de segurança

Meu parceiro e eu recentemente adquirimos um cachorro, que para os millenials é o mesmo que dizer que tivemos um filho. Agora, já tínhamos, e ainda temos, outros animais de estimação em nossa casa. Nossa travessia de adoráveis ​​ratos de nariz rosa pode variar em tamanho, mas tem sido uma constante na vida de meu parceiro e de mim há quase uma década. O problema dos ratos é que eles são tão felizes em uma gaiola com seus amigos ratos quanto estão com você. Os cães, por outro lado, não ficam felizes quando você se vai e, como resultado, você também não está feliz. Quando adquirimos o cachorro (cujo nome é Lulu e ela é o melhor cachorro em todas e quaisquer medidas objetivas), meu parceiro sugeriu que tivéssemos uma webcam ou um monitor de bebê para que pudéssemos acompanhar nossa criança canina enquanto estávamos no trabalho.

Eu admito, fiquei tentado. Como mencionei, nossos animais de estimação desempenham o papel de crianças para nós, e passo uma quantidade não insignificante de tempo preocupando-me com meus animais quando estou no trabalho, especialmente durante os verões de Nova York, que combinam o calor do Vale da Morte com a repugnância. umidade de uma axila. Apesar dessas preocupações, eu estava desconfortável. Meu parceiro está muito bem ciente das minhas tendências paranóicas e, depois de conversarmos sobre isso, estamos de acordo: não teremos uma câmera de segurança em casa.

Não é, como você pode pensar, porque tenho medo de hackers assistindo meus momentos íntimos ou agências de inteligência ouvindo cada palavra minha, embora essas sejam ameaças reais. Não, minha preocupação é que qualquer dispositivo acessível da Internet em minha rede possa ser invadido e transformado em uma arma de destruição em massa online.

Os truques assustadores são reais, mas evitáveis

Chegaremos aos meus medos, mas primeiro devo reconhecer que, sim, coisas assustadoras acontecem com dispositivos de IoT, e isso pode ser muito ruim. Por si só, é um motivo válido para hestitar antes de obter uma câmera ou um monitor de bebê conectado à Web.

Há muitas histórias de pessoas ouvindo as vozes de trepadeiras que passam pelo monitor de bebê ou descobrindo que alguém usou a câmera no computador para capturar imagens embaraçosas. Uma prática particularmente insidiosa é chamada "sextortion", em que um atacante ameaça divulgar fotos embaraçosas tiradas de uma webcam seqüestrada (que ele pode ou não ter), a menos que a vítima forneça material sexualmente explícito. Isso é nojento por si só, e o fato de os jovens frequentemente serem os alvos desses ataques é deplorável.

Os ataques hediondos geralmente são mais difíceis de realizar, porque exigem o direcionamento de um indivíduo específico, mas a baixa linhagem de segurança de muitos dispositivos da Internet das Coisas, incluindo algumas câmeras de segurança e monitores de bebê conectados, torna essas marcas mais fáceis. Se você deseja encontrar um alvo, pode dar uma olhada no Shodan - um mecanismo de busca de dispositivos conectados à Internet. Atacar uma pessoa específica provavelmente envolveria acesso físico ao dispositivo ou ataques de phishing cuidadosamente construídos, mas a Shodan provavelmente pode conectá-lo a uma vítima involuntária, embora um tanto aleatória.

Esses ataques invasivos e graves são uma ameaça real, mas também podem ser mitigados sem muito conhecimento técnico. Um simples pedaço de fita adesiva através de uma lente ou pano seco jogado sobre um dispositivo pode tornar a câmera completamente cega. Os monitores do bebê podem ser desconectados - ou melhor ainda, não têm permissão para se conectar à Internet em primeiro lugar. Eu posso lidar com isso sozinho.

O que realmente me assusta

Houve uma apresentação do Black Hat que sempre ficou comigo. Nele, o apresentador demonstrou como ele poderia assumir o controle de uma câmera de segurança conectada. Isso é assustador, mas o que me motivou foi o argumento do apresentador de que essas câmeras eram apenas pequenos computadores Linux e poderiam ser usadas para fazer qualquer coisa que um invasor quisesse. Ele também afirmou que a grande maioria das câmeras no mercado apresentava grandes falhas.

Alguns anos depois, dispositivos domésticos inteligentes começaram a chegar às prateleiras, e eu fiquei ouvindo das empresas de segurança que elas estavam realmente preocupadas. Eles tinham a mesma preocupação que o apresentador do Black Hat; que pode ser possível seqüestrar um dispositivo inteligente e usá-lo para todos os tipos de propósitos nefastos.

Pouco tempo depois, esses medos se tornaram realidade e foram piores que o esperado. O malware Mirai examinou automaticamente a Internet em busca de conexões disponíveis e, em seguida, usou uma bateria de ataques para invadir o dispositivo IOT, tudo sem a entrada de um ser humano. A Mirai direcionou dispositivos executando versões incorporadas do Linux, de TVs a roteadores, e conseguiu montar uma rede de bots considerável. Era grande o suficiente para derrubar um provedor de DNS, o que, por sua vez, fez com que sites como GitHub, Netflix e Twitter estivessem indisponíveis.

Mirai foi apenas um exemplo, mas voltou várias vezes. De acordo com a Wikipedia, variantes do malware Mirai foram detectadas várias vezes no ano passado, com alguns avanços recentes em fevereiro de 2019.

Mirai estava limitado a apenas alguns dispositivos, mas ainda era brutalmente eficiente. O pior seria um ataque ainda mais avançado - talvez menos automatizado, talvez não - que poderia pular de uma lâmpada infectada para o meu roteador e, em seguida, para todos os dispositivos da rede. Isso tornaria o dispositivo IoT um ponto de apoio ou ponto de partida, para que o invasor ou o malware pudesse "girar" para a rede mais valiosa.

Concedido, houve melhorias nas câmeras conectadas e nos monitores de bebês e na Internet das Coisas em geral, mas a indústria ainda precisa fazer mais. As empresas devem garantir que seus dispositivos tenham sobrevivido a uma bateria de testes para investigar pontos fracos e, no mínimo, devem incluir um mecanismo para atualizar ou substituir dispositivos considerados vulneráveis. Os fornecedores precisam assumir que seus dispositivos serão atacados, incorporar recursos de segurança e lembrar que seus produtos nem sempre podem ser reparados pelo usuário, alguns deles sem telas ou qualquer tipo de interface.

Imunidade de rebanho

Existem algumas precauções disponíveis para as pessoas comuns também. Você pode comprar dispositivos de segurança da Internet das coisas, como a Bitdefender Box, ou roteadores com o software de segurança incorporado. (Este último é significativo quando você considera que um roteador, como um dispositivo de IoT, é apenas um computador que pode ser usado para o mal.) Você pode garantir que seus dispositivos estejam atualizados com as últimas correções de software e alterar quaisquer senhas padrão. Ainda assim, isso só vai tão longe. Quase não há como saber, olhando para uma caixa, se a câmera de segurança interna usa código assinado em suas atualizações ou se possui credenciais codificadas que são invisíveis para o usuário e um backdoor em potencial para os invasores.

É notável como muitos desses conselhos e grande parte da segurança em geral estão relacionados à idéia de segurança e responsabilidade pessoal. Você precisa proteger sua máquina e suas informações pessoais. Como foi o caso de Mirai, um ataque bem-sucedido a mim pode rapidamente se transformar em um ataque à minha família, meus amigos, minha comunidade e pessoas que nunca conhecerei. Isso não só causará alguns problemas no meu provedor de serviços de Internet, como também magoei as pessoas ao meu redor sem querer.

Isso me lembra o conceito de imunidade de rebanho. É quando uma porcentagem alta o suficiente de uma população é imune ou vacinada contra uma doença específica que ninguém fica doente. A população se protege, tornando impossível a propagação de contágios. Colocar uma câmera de segurança em minha casa não é apenas um risco para mim, também pode tornar os outros um pouco menos seguros.

Lulu, o melhor cachorro, ainda está lutando para se sentir à vontade sozinho. Recentemente, conseguimos uma cobertura para ela, porque os cães aparentemente são naturalmente atraídos para um esconderijo escuro e seguro. Em vez disso, ela puxou a tampa através das barras, enrolou-a e dormiu nela. Ainda estou lutando também, mas sei que a solução é mais treinamento para ela e para nós, não uma câmera que apenas me diga o que eu já sei.

• Hacking Hue: Pesquisadores invadem a Internet das Coisas Hacking Hue: Pesquisadores invadem a Internet das Coisas
• Ninho: Responsabilize senhas fracas, não nós por incidentes assustadores de câmera Ninho: Responsabilize senhas fracas, não nós por incidentes assustadores de câmera
• SecurityWatch: faça corporações, não clientes, sofrer por violações de dados SecurityWatch: faça corporações, não clientes, sofrer por violações de dados

Qualquer pequena garantia que uma câmera de segurança me daria não vale a pena fazer parte de um ataque devastador. Está colocando minha própria paz de espírito acima dos outros, e isso não é um negócio que estou disposto a fazer. A tecnologia IoT está melhorando e existem ferramentas melhores para proteger esses dispositivos, mas ainda não é suficiente para eu me sentir confortável. Comecei a pensar nos dispositivos da minha rede como minha responsabilidade, por minha causa e pelos outros, e para mim, esses dispositivos são um risco que ainda não estou disposto a correr.