Digitális transzformáció, Ipar 4.0, IoT – de mi lesz a biztonsággal?

Hatalmas az érdeklődés a negyedik ipari forradalom iránt a teljes ipari szektorban: áttörést, fellendülést, virágkort vár az új korszaktól fél Európa (de ízsia és í‰szak-Amerika is). Vonzó ví­zió, hogy egy cég összes folyamatát digitalizálva minden eddiginél testre szabottabb termékeket kaphatunk.

Az Ipar 4.0, a big data és az IoT korszakában a gyártási folyamatok minden részleténél mért és mentett adatokat feldolgozhatjuk, vizualizálhatjuk és a döntés-előkészí­tésben hasznosí­thatjuk. Teleszórjuk az alapanyagokat chipekkel, a gyártósorokat szenzorokkal, kamerákkal, metací­mkézünk és indexelünk mindent. Hatalmas big datás megvalósí­tásokban adattudósok bányásszák a még hatékonyabb, még pontosabb, még valósabb idejű információkat, amelyeket a robotokba visszatáplálva olcsóbb gyártást, jobb minőséget remélünk elérni.

Mindez olyan IT-technológiák használatát feltételezi, amelyek akár már évek óta rendelkezésre állnak, de csak most érték el méretben, energiafogyasztásban és felfoghatóságban azt a szintet, hogy rendszert lehessen épí­teni belőlük. A rádiós adattároló chipek, a hálózatba kötött szenzorok, a számí­tógép vezérelt aktuátorok most kerültek/kerülnek a gazdaságosság határain belülre. Többek között azért, mert kivettek ebből-abból egy-egy erősebb titkosí­tási algoritmust, hiszen a nagy mintavételi frekvencián dolgozó szenzort sokkal olcsóbb olyan processzorral szerelni, amelynek a maximum hőleadása és -fogyasztása a legfeljebb 128 bites titkosí­tó kulcsok használatát teszi költséghatékonnyá. Ha egy erősebb algoritmussal, hosszabb kulccsal dolgozó egységet kellene használni, már nem biztos, hogy kifizetődő (értsd: pénzügyileg kényelmes) lenne.

Vessük ezt össze az elmúlt félév IoT-eszközeit érintő biztonsági incidenseivel! Egy Mirai névre keresztelt (japánul annyit tesz, jövő) károkozó Amerika fél keleti partjának internetes életét – köztük olyan meglehetősen ellenállónak, hibatűrőnek tervezett globális szolgáltatásokat is, mint a Twitter vagy Tumblr – lebéní­totta egy addig soha nem látott méretű DDoS (elosztott szolgáltatásbéní­tás) támadással. Nemsokára kiderült, hogy ez a károkozó internetre kötött, alacsony biztonsági szintű eszközöket (IP-kamerákat, otthoni routereket, szenzorokat, egyszóval IoT-s eszközöket) fertőzött meg, és a több százezer, szolgálatba vont berendezés együttes kapacitása mindenféle gonosz, többszöröző metódusokkal akkora erőt képviselt, hogy belerecsegett az internet. Aztán ezzel a károkozóval megtámadták az egyik legismertebb, online bűnözői csoportok felderí­tésére szakosodott újságí­ró weboldalát is. A malware szerzője ezek után szabadjára engedte a forráskódot, úgyhogy joggal feltételezhetjük, hogy lesznek még olyan bűnözők, akik akár kevésbé látványosan, kifejezetten pénzszerzési céllal, esetleg elterelésként, vagy akár konkrét zsarolásként is bevetik majd ezt a fegyvert. A legújabb fejlemény, hogy egy önjelölt, morálisan mindenképp ingoványos megmentő, a BrickerBot azzal próbálja elejét venni a globális infrastruktúra romba döntésének, hogy ő maga fertőzi meg az IoT-eszközöket, felülí­rva az oprendszert és egyéb kódokat: használhatatlanná téve, brickelve, téglásí­tja azokat. A végeredmény ugyanaz mindkét károkozónál: a védtelenül hagyott, vagy nem megfelelő védelemmel ellátott eszközeink teljesen használhatatlanok lesznek.

Egy kicsit továbbgondolva, nem állunk messze attól, hogy a bűnözők vagy esetleg valamelyik nem teljesen tisztességes versenytársunk bejuthasson az IoT-eszközökkel szuper optimálisra automatizált rendszerünkbe, és például selejt árut gyártasson vagy véletlenül más szí­nűre fessen autókat, túlmelegedő akkumulátort szereljen a mobiltelefonokba, időnként megzavarodó sávtartó automatikát ültessen egy komplett autószériánál, esetleg okosmérővel számlázott, de alkalmanként rosszul mérő villanyfogyasztást okozzon, és még sorolhatnánk a vérfagyasztó vagy csak szimplán kellemetlen lehetőségeket.

Szintén lehetne fejtegetni, hogy egy ilyen IoT-szenzoron keresztül mennyire nehéz (nem) bejutni például a teljes gyártási (gyűjtési, mérési) big data tárolónkba, és onnan mi minden értékes adathoz lehetne hozzáférni, nem beszélve arról, hogy egy zsarolóví­russal szemben a teljes adatvagyonunkat mennyire egyszerűen elveszthetjük, jobb esetben csak kiesést okozva, rosszabb esetben teljes leállást kockáztatva.

Vagyis ne csak a professzionális adatbányászt fizessük meg a rendszerek tervezésekor, hanem szánjunk forrásokat a védelemre is, ha már az összes tojásunkat egy kosárba tesszük!