Интернет плохих вещей: кто крадет голоса детей и могут ли хакеры остановить сердце или нажать на тормоз автомобиля

Кола, тостер, холодильник

Впервые похожую идею высказал Никола Тесла в 1926 году в интервью журналу Collier’s:

«Когда беспроводная связь будет успешно применяться, вся Земля превратится в огромный мозг, который фактически представляет собой совокупность вещей, соединенных в ритмичное целое. Мы сможем общаться друг с другом на любых расстояниях. Более того, с помощью телевидения и телефонии мы будем видеть и слышать собеседника, находящегося в тысячах миль от нас, так же как и при личной встрече. А инструменты, позволяющие нам делать это, <…> уместятся в кармане жилета».

Алан Тьюринг в 1950 году предлагал создавать обучающиеся машины, которые могли бы потом преподавать детям английский язык. Маршалл Маклюэн в 1964-м в книге «Понимание медиа» писал, что «все технологии прошлого, включая города, трансформируются в информационные системы».

Первым бытовым устройством, подключенным к сети, стала машина по продаже кока-колы в Школе информатики Университета Карнеги — Меллон.

Аппарат установили в 70-х годах. Колы пили много, а машины отнесли на третий этаж университета. Аспирантам было лень ходить за вожделенным напитком, ведь часто оказывалось, что газировки либо нет, либо она еще не успела охладиться. В 1982 году четверо учащихся установили внутрь машины специальные чипы и подключили ее к сети. Теперь любой студент университета знал, как долго кола охлаждается и осталась ли она в машине. У нее даже существует свой сайт, но он не обновляется с 2008 года, зато там написано, где стоит легендарный аппарат теперь.

В 1990-м интернетом пользовались 3 млн человек (за 10 лет их число вырастет в 100 раз), к нему были подключены 313 000 компьютеров, но об устройствах, управляемых через сеть, тогда речи не шло. Поэтому тостер, который подчинялся «онлайн-командам», представленный посетителям конференции Interop, стал на ней главным «героем». Правда, хлеб всё еще загружался вручную, и на следующей конференции был продемонстрирован маленький кран с такой функцией — и он тоже управлялся через интернет. Джон Ромки, один из создателей тостера, в 2017-м писал, что его детище теперь «ведет тихую частную жизнь» и «время от времени поджаривает хлеб» в Портленде, штат Орегон.

Следующим шагом был проект под названием «Кофейная банка в Trojan Room» — первая камера, подключенная к интернету. Сотрудники лаборатории компьютерных наук в Кембриджском университете в начале 1991 года решили, что люди из других концов здания не должны ходить за кофе впустую, и установили около капельной кофемашины камеру, которая раз в минуту передавала фото размером 128/128 пикселей на сервер. Когда в 1993-м интернет-браузер NCSA Mosaic научился показывать изображения, был открыт сайт кофемашины. Ее отключили от сети в августе 2001 года.

В 1993–1994 годах компания Билла Гейтса пыталась внедрить свои технологии Microsoft at Work (для связи офисной техники с компьютерами) и Cablesoft (для интерактивного телевидения). Проекты не стали коммерчески успешными из-за малого количества устройств, которые поддерживали эти технологии.

Первая беспроводная камера, подключенная к интернету, — WearCam, детище Стива Мэнна, долгое время экспериментировавшего с подобными гаджетами. В начале 1994 года, вдохновившись веб-страницей кофеварки, он решил создать свой проект. Стив ходил в очках, которые автоматически через разные промежутки времени делали фото того, что он видит. Устройство получилось довольно громоздким и выглядело подозрительно, но это была вторая камера в вебе и первый беспроводной девайс, транслировавший изображение в интернет. Проект закрылся осенью 1996 года.

И только в 1999-м на коммерческой презентации прототипа RFID-меток для магазинов (сейчас по этой технологии работают наклейки, которые пищат, если пытаешься что-то украсть) впервые используется термин «интернет вещей». Кевин Эштон назвал так способ обозначения товаров для их учета (он предлагался как альтернатива штрихкоду) только потому, что слово «интернет» было очень популярно.

В 1998 году неутомимый Стив Мэнн изобретает и патентует первые часы под управлением операционной системы (Linux), хотя технология «часов-компьютеров» была известна уже давно. В 2000-м LG выпускает первый холодильник, подключенный к интернету. Тогда же выходит первый смартфон Ericsson R380, а IBM презентует первые коммерческие часы под управлением всё той же Linux. В 2002 году Amazon выводит на рынок Ambient Orb — небольшой овальный девайс, который подключался к компьютеру и подсвечивался разными цветами, когда изменялся один из регулируемых параметров (индекс биржи, погода и любой другой, это указывалось в настройках). New York Times назвала устройство одной из «идей года».

С 2003 по 2004 год термин «интернет вещей» начинает часто упоминаться в СМИ и появляется на передовицах Forbes, The Guardian и Scientific American. В 2005-м Международный союз электросвязи публикует первый отчет об интернете вещей. В 2009 году при поддержке Еврокомиссии впервые проводится конференция Internet of Things, а компания Cisco заявляет о «рождении» интернета вещей — число подключенных к сети устройств превышает население Земли. Количество умных машин (за вычетом компьютеров и смартфонов) достигает миллиарда.

В 2017 году ко всемирной паутине всего было подключено уже 20 млрд устройств, а к интернету вещей — 8,4 млрд. По прогнозам экспертов, к 2020-му эти показатели вырастут до 31 млрд и 20 млрд соответственно, а к 2030-му таких девайсов будет уже 125 млрд.

Тем не менее технология пока далеко не совершенна. Суть концепции IoT в том, чтобы автоматизировать связь между гаджетами, исключить человека из этого процесса. Например, современные умные телевизоры подстраивают тон цвета на экране под интерьер, показывают кратчайший путь до работы и управляют другими устройствами, но им не хватает главного: мы говорим нашим электронным помощникам, что делать.

Телевизоры будущего научатся сами решать, когда включаться и отключаться, что именно вам сейчас лучше показать, и передавать данные другим умным устройствам — например, рассказывать, как долго вы смотрели любимые передачи, фитнес-трекеру, чтобы тот попытался заставить вас бегать.

Умные и уязвимые

О возможных проблемах с безопасностью таких систем эксперты говорили с самого начала. Уже в 2008 году Национальный разведывательный совет США называет интернет вещей одной из шести технологий, потенциально угрожающих интересам страны.

В мире умных устройств уязвимо всё: самолет, ближайшая больница или пылесос.

Специалист по кибербезопасности Микко Хиппонен предостерегает: скоро все девайсы будут выходить в интернет, а пользователи могут даже не замечать этого и не знать, зачем они используют доступ в сеть. Он же называет три главные угрозы — киберпреступники, политические хакеры и правительства.

Сетевого червя (вредоносную программу, которая сама распространяется по всемирной паутине) Stuxnet обнаружили белорусские эксперты в июне 2010 года. Судя по всему, его создали спецслужбы США и Израиля, но он каким-то образом вышел из-под контроля. Червь атаковал автоматизированные системы управления техническим процессом. Они есть почти везде: в аэропортах, в тюрьмах или на атомных станциях. Это первая вредоносная программа, которая могла физически уничтожить умное оборудование.

В 2016 году появился ботнет (сеть зараженных компьютеров) Mirai из умных устройств от разных производителей. Он объединял миллионы девайсов и позволил на несколько недель отключить сайт Брайана Кребса — журналиста, который пишет об информационной безопасности. А потом была проведена самая мощная в истории DDoS-атака (когда очень много устройств пытаются одномоментно зайти на тот или иной ресурс, и он перестает работать), и на время сервисы PayPal, GitHub, The New York Times и Airbnb вышли из строя.

В 2016-м хакеры взломали умные дома в Финляндии и оставили несколько зданий без отопления. В следующем году создан вредонос BrickBot. Он подключался к разным IoT-устройствам, атаковал их и выводил из строя без возможности восстановления.

Одним из главных вызовов умным системам эксперты называют уязвимость медицинского оборудования. Специалисты «Лаборатории Касперского» недавно нашли больше 27 тысяч возможных типов атак на устройства, подключенные к интернету, в том числе — на больничные аппараты по всему миру. И это не только медицинская техника, но еще и, например, системы отопления, освещения и кондиционирования. В последние два года около 90 % организаций здравоохранения столкнулись с проблемами безопасности.

В прошлом году выяснилось, что полмиллиона кардиостимуляторов фирмы St. Jude Medical имеют очень легко эксплуатируемые уязвимости, которые позволяют отключить их или изменить сердечный ритм.

Все они были отозваны из продажи. Почти в это же время вирус WannaCry парализовал работу компьютеров в 16 больницах Великобритании. А в марте нынешнего года исследователи обнаружили, что заражено оборудование азиатских фармацевтических компаний.

Еще одной проблемой остается незащищенность устройств для детей. Носок-трекер для младенцев от Owlet назван «худшим с точки зрения безопасности гаджетом в 2016 году». Он отслеживает дыхание и сердцебиение ребенка и при возникновении проблем издает сигнал тревоги. Впервые уязвимость обнаружил специалист по кибербезопасности Джонатан Здзиарски, обративший внимание на то, что в документации к Owlet был огромный раздел, в котором говорилось об отказе компании от ответственности в случае смерти детей из-за неисправности трекера. Изучив девайс, он выяснил: любой желающий может подключиться к устройству, «снять галочку» в настройках оповещений — и сделать «умный носок» бесполезным или даже опасным.

В прошлом году хакеры украли 800 тыс. аккаунтов и больше 2 млн записей голосов детей и их родителей у компании по производству умных игрушек CloudPets. Уязвимости многих смарт-часов для детей до сих пор позволяют взломать их, а потом следить за ребенком, слушать его разговоры или даже общаться с ним от лица родителей.

Небезопасны и многие другие используемые нами вещи — например, умные автомобили, которыми можно управлять через интернет. Впервые исследователи взломали Jeep Cherokee в 2015 году. Они смогли получить полный доступ к авто — от изменения громкости радио до принудительного увеличения скорости и блокировки тормозной системы.

Через год выяснилось, что приложения для контроля автомобилей имеют уязвимости, позволяющие отключить сигнализацию или завести машину. За год ни один производитель не исправил их, а некоторые даже не обновили софт.

Эксперты говорят: заражения автомобилей не очень масштабны только потому, что злоумышленники еще не придумали, как на этом заработать.

Журналистка издания Daily Mirror Нада Фархоуд бросила вызов этичному хакеру (так называют людей, взламывающих системы, чтобы лучше их защитить) Робу Шепланду. Она писала статью об уязвимостях умных устройств и предложила Робу «вскрыть» ее аккаунт в сервисе British Gas Hive Active Heating, который позволяет удаленно управлять отоплением в доме. Предварительно Нада установила в приложении новый пароль — но хакеру удалось выяснить, что он представляет собой комбинацию старых, уже имевшихся в базах взломщиков. Для получения email Шепланд использовал кнопки «Забыл пароль» в разных сервисах и поиск Google. Из приложения Роб узнал адрес своей «жертвы», дни рождения и историю ее отъездов из дома.

Сайт WikiLeaks опубликовал «слитые» документы ЦРУ, из которых следовало, что спецслужбы использовали телевизоры с доступом к интернету, чтобы следить за людьми по всему миру.

Остаются уязвимыми домашние камеры — за пару десятков долларов злоумышленники продают программы, позволяющие почти мгновенно получить доступ к миллионам таких устройств по всему миру.

В 2017 году количество DDoS-атак на организации возросло почти вдвое — в этом тоже «заслуга» IoT-устройств. На тот момент существовало более 7000 разных вредоносных программ для умных девайсов. Исследование показало, что среди зараженных устройств были не только кассы магазинов и приставки цифрового телевидения, но и промышленные аппараты, системы управления электропитанием и даже центр мониторинга сейсмической станции в Бангкоке.

За последние несколько лет ситуация изменилась и будет продолжать меняться. Если раньше уязвимы были только компьютеры, а потом к ним добавились смартфоны, то теперь потенциально можно взломать сотни разных устройств. А через десять лет к интернету будет подключено почти всё, и счет пойдет на десятки тысяч видов гаджетов.

Безопасность не продашь

Взломщики и вирусы лишь одно из многих зол. О других проблемах интернета вещей и о том, как нам с этим жить, рассказал Микко Хиппонен, эксперт по информационной безопасности, колумнист, спикер TEDxGlobal и автор закона, названного его именем, который гласит: если устройство позиционируется как «умное», значит его можно взломать.

«Нравится нам это или нет, на наших глазах происходит революция интернета вещей. Причин две: цена и польза. Чтобы подключить к сети тот или иной прибор, теперь не надо тратить баснословные деньги, технология подешевела, и производители снабжают свой продукт этой функцией, хотя во многих случаях потребителям она не нужна.

Например, бытовая техника могла бы собирать данные о том, как и когда она используется, или о местоположении клиентов. Эта информация чрезвычайно ценна для производителей. Самые примитивные аппараты, такие как тостеры, в конечном счете будут выходить в интернет, чтобы добыть данные. Потому что данные — это новая нефть.

Я не говорю, что подключение к интернету не приносит вообще никакой пользы. Представьте, что кофеварка приготовит ваш любимый напиток, пока вы спите, а стиральная машина запустится, когда работаете. Кроме того, умные дома отличаются повышенной безопасностью, и бдительная электроника сразу предупредит отсутствующего хозяина, если в квартире происходит что-то неладное. Еще одно преимущество — энергоэффективность, например система отопления, подстраивающаяся под ваши нужды и экономящая деньги. И это далеко не все плюсы интернета вещей, который позволил бы повысить качество жизни.

Поищите в Google картинки по запросу „умный дом“ — и вы увидите тысячи изображений гладких полированных квартир в ультрасовременном белом цвете. Проблема в том, что кибербезопасность в таких помещениях почти никогда не предусмотрена в дизайне, ведь она не помогает продавать, скажем, стиральные машины, в отличие от размера, цвета, цены, вместимости и количества программ стирки.

А поскольку безопасность не повышает продажи, производители не вкладывают в нее много денег и выпускают уязвимую продукцию. Мы уже видели, к чему это ведет.

Мы помним несколько ботнетов, специализирующихся на IoT-устройствах, причем большинство из них — подвиды Mirai. На счету первой такой атакующей сети больше 100 000 взломанных систем, но среди них нет компьютеров. Это была разная техника из наших домов.

Ботнет Mirai смог взломать устройства потому, что пользователи не меняли стандартные пароли на них. Хакеры написали вредоносное ПО, которое пробовало вводить известные логины и одинаковые ключи, указываемые по умолчанию, для электроники, найденной в интернете. А поскольку таких устройств слишком много, последствия были очень серьезными.

Это лишь одна из проблем безопасности IoT, которой уделяют недостаточно внимания. Среди других — нечастые обновления программ на устройствах (или полное их отсутствие), сбор слишком большого количества информации и низкий уровень ее защиты.

Поскольку поставщики оборудования хотят получать всё больше и больше данных о нас, даже „традиционную“ или „глупую“ технику в итоге подключат к интернету. Как только затраты на то, чтобы сделать устройства умными, упадут до нескольких центов за штуку, всё будет в сети, а корпорации получат вожделенную информацию, и их не волнует неприкосновенность и защита добытых личных сведений.

Распространение интернета вещей приведет к серьезным последствиям в вопросах слежки, сохранности наших данных и прав потребителей. Лишившись их, мы сами рискуем стать частью IoT. Вместо того чтобы управлять технологией, мы можем оказаться бессильны и будем зависеть от датчиков, баз данных, серверов, аналитических программ и алгоритмов в сети.

Представители компаний приходили на брифинги экспертов и специалистов в сфере интернет-технологий, и им снова и снова говорили, что данные — это новая нефть. Они смотрят на Google и Facebook, которые делают миллиарды на аналитике, и хотят собирать информацию. Само собой, часть полученных сведений полезна для самих компаний, потому что позволяет понять, где находятся их клиенты и когда они используют приобретенные продукты.

При этом многие люди пока не задумывались о последствиях утечки их личной информации к производителям устройств.

Форум Mobile Ecosystem провел опрос среди 5000 пользователей смартфонов и выяснил, что 62 % людей в мире заботит неприкосновенность их частной жизни, а 54 % переживают за безопасность своих домов. В США этот показатель составил 70 %, а во Франции — 69 %. По данным Gartner, почти две трети людей беспокоятся, что домашние умные девайсы могут подслушивать их разговоры.

А вот, возможно, еще более тревожный сигнал для индустрии технологий: большинство участников всё того же опроса Gartner не уверены, что им нужен умный дом. Затемнение и выключение света, контроль систем отопления и выполнение других бытовых задач — всё это не очень-то воодушевляет людей. Причем 75 % из 10 000 опрошенных предпочли бы сами выполнять эти нехитрые действия, без помощи всяких устройств.

Пользователи разочарованы технологиями и не понимают их. Это стало серьезной проблемой. Люди чувствуют себя бесправными, и им нужно больше информации о кибербезопасности.

Интернет не был создан для обеспечения конфиденциальности и оберегания личного пространства. Сначала мы придумали сеть — и лишь потом нам пришлось наверстывать упущенное, чтобы защитить ее. Мы до сих пор постоянно над этим работаем. К сожалению, интернет вещей тоже создается не для обеспечения безопасности людей. Но еще не поздно.

Мы должны серьезно отнестись к этой проблеме уже сейчас — до того, как решить ее станет слишком сложно, если вообще это будет в наших силах.

Революция интернета вещей происходит на наших глазах, нравится нам это или нет».

Как защитить свои гаджеты?

На вопросы ответил Виктор Чебышев, антивирусный эксперт «Лаборатории Касперского»:

«В России эта проблема достаточно актуальна. На рынке немало уязвимых устройств, производители которых нередко, стараясь поскорее выпустить продукт, оставляют много недоработок, упрощающих жизнь киберпреступникам.

И сами пользователи зачастую не заботятся о своей безопасности: не меняют пароль по умолчанию, не отслеживают выход обновлений для гаджетов и, соответственно, не устанавливают их.

На текущий момент у нас есть, например, решение Kaspersky OS — операционная система для подключенных к интернету устройств. Ее основная задача — обеспечить их защиту от вредоносного кода, вирусов и хакерских атак. Но это ПО не подходит обычным пользователям, уже купившим уязвимый девайс, поскольку его могут интегрировать только заводы-изготовители.

Главная опасность — потеря личных данных, логинов и паролей от различных систем, номеров кредитных карт в случае кибератак.

В группу риска попадают не только сами владельцы устройств, но и все подключенные к сети пользователи. Например, с помощью Mirai в свое время проводились самые мощные DDoS-атаки, при этом использовались разные девайсы: роутеры, IP-камеры, ТВ-приставки и другая домашняя техника.

Такие устройства не должны быть доступны из интернета напрямую, их следует защищать надежным сетевым экраном (программа или девайс, не дающие неавторизированным приборам подключиться к сети). Кроме того, пользователям нужно следить за обновлениями прошивок.

Возьмите за правило перед покупкой искать информацию об интересующем вас гаджете: возможно, истории о его взломе или уязвимостях уже есть в интернете.

Замените пароль, установленный по умолчанию, криптостойким, с использованием специальных символов, цифр и букв разного регистра (если позволяет устройство). В нем должно быть не меньше 6–8 знаков [эксперт по IT-безопасности Тимоти Кейт считает, что минимальная длина надежного ключа — 13 символов. — В. П.]. При составлении паролей мы не рекомендуем придерживаться какой-то определенной длины — лучше обратить внимание на «содержание». И еще нужно обязательно регулярно их менять.

Точно не стоит использовать: общеупотребительные слова и идиомы; комбинации символов, расположенных подряд на клавиатуре (например, qwerty или 123456789); персональные данные — имена, фамилии или адреса.

Еще специалисты «Лаборатории Касперского» рекомендуют подключать устройства к интернету, если сеть действительно нужна для их работы, и при этом пользоваться только теми функциями, которые вам необходимы».