Liệu những nghi ngại về an ninh trong quá khứ của IoT có quay lại?

Bản ghi bảo mật của IoT từ lâu đã là nguồn thảo luận trong giới bảo mật, nhưng cuộc tấn công từ phần mềm độc hại Mirai vào tháng 10 năm 2016 là dấu mốc khiến phần còn lại của thế giới chú ý đến.

Đây là đòn tấn công bảo mật quy mô lớn thành công đầu tiên trên IoT, sử dụng phần mềm độc hại để biến các thiết bị IoT dễ bị tấn công thành một đội quân botnet có khả năng hạ các trang web cao cấp, như Netflix, Twitter và Reddit thông qua nhiều cuộc tấn công DDoS có quy mô lớn.

Mirai không phải là một phần mềm độc hại phức tạp, nó chỉ quét các khối lớn của internet để mở các cổng Telnet trên các thiết bị IoT và sau đó thử tổng cộng 61 mật khẩu mặc định nhằm giành quyền kiểm soát càng nhiều thiết bị càng tốt.

Đó là một chiến thuật đáng lo ngại, với gần 400.000 thiết bị kết nối ở giai đoạn đỉnh điểm - quá đủ để gây sát thương lớn. Hơn nữa, nó cũng đặt ra những câu hỏi nghiêm túc về việc tại sao ngay cả khi phần mềm độc hại thô lỗ có thể dễ dàng vượt qua các biện pháp bảo mật IoT yếu.

Những sai lầm từ quá khứ

Cuộc tấn công của phần mềm độc hại Mirai có vẻ đã là một kịch bản tồi tệ nhất, nhưng thực tế không may là một số lượng đáng kể các thiết bị IoT (Gartner dự đoán có 8,4 tỷ sử dụng trong năm 2017, tăng lên 20,4 tỷ vào năm 2020) có thể bị ảnh hưởng bởi loại tấn công này.

Kết quả là, nhiều thiết bị hiện có mật khẩu và thông tin xác thực mặc định, sử dụng cấu hình không an toàn và nổi tiếng là khó nâng cấp.  Nói một cách ngắn gọn, những thiết bị này cực kỳ dễ dàng để thỏa hiệp.

Sự xuất hiện của các giao thức cấp thấp mới như KRACK cũng cho phép những kẻ tấn công dễ dàng vượt qua, xâm nhập cơ sở hạ tầng IoT và tiêm mã độc hoặc các dữ liệu đã qua xử lý trong các thiết bị dễ bị tấn công.

Như vậy có thể có những tác động nghiêm trọng. Ví dụ: nếu các thiết bị cần đồng bộ hóa với ứng dụng đám mây, mã độc hoặc dữ liệu đã qua xử lý có thể được sử dụng để lây nhiễm trên đám mây hoặc gửi trở lại các cài đặt hoặc phản hồi không chính xác, và hậu quả không thể lường trước được.

May mắn thay, các nhà sản xuất và nhà cung cấp IoT đang dần dần bắt đầu nhận thức những rủi ro bảo mật đi kèm với thiết bị dễ bị ảnh hưởng và bảo vệ cơ sở hạ tầng.

Nhưng với rất nhiều thiết bị kém bảo vệ hiện có (và vẫn đang trong sản xuất), một đánh giá toàn diện về vấn đề an ninh, từ nhiều góc độ khác nhau, vẫn là một điều cần thiết trước khi thực hiện bất kỳ cài đặt nào.

Ba lĩnh vực chính cho bảo mật IoT

Cân nhắc về phần mềm: Trước khi cài đặt bất kỳ thiết bị mới nào, điều quan trọng là phải đảm bảo rằng nhà sản xuất đã tuân thủ các biện pháp bảo mật phần mềm nghiêm ngặt ngay từ đầu. Cốt lõi của điều này chính là khả năng xử lý thiết bị từ xa và khả năng có thể đối phó với các mối đe dọa trên mạng và các tiến bộ phần mềm.

Cân nhắc về phần cứng: Bảo mật vật lý là một lĩnh vực quan trọng khác khi đánh giá các thiết bị IoT mới. Một cái gì đó đơn giản như tích hợp các thiết bị chuyển mạch vật lý cho phép người dùng tắt các tính năng nhất định nếu cần thiết (chẳng hạn như nút tắt tiếng cho các thiết bị có micrô). Việc tích hợp các biện pháp chống giả mạo trong các thành phần của thiết bị cũng giảm thiểu tối đa khả năng chúng bị truy cập trái phép.

Cân nhắc về mạng: Các giao thức bảo mật như HTTPS nên được sử dụng cho bất kỳ trao đổi dữ liệu nào giữa thiết bị IoT và các giải pháp lưu trữ hoặc quản lý phụ trợ. Phương thức xác thực mạnh cũng rất quan trọng và người dùng nên cân nhắc thay đổi ngay lập tức bất kỳ thông tin xác thực mặc định nào thành các lựa chọn thay thế với chữ và chữ số khi sử dụng lần đầu.

Với rất nhiều công nghệ mới ra đời, các nhà sản xuất và nhà cung cấp đã quên mất tầm quan trọng của an ninh trong suốt giai đoạn bùng nổ IoT trong vài năm qua. Tuy nhiên, bây giờ thời kỳ trăng mật đã kết thúc và mối đe doạ gây ra bởi các loại phần mềm độc hại nguy hiểm mới, chẳng hạn như Mirai, trở nên phổ biến hơn, tất cả cần bắt đầu thực hiện một cách nghiêm túc hơn.

Các nguyên tắc bảo mật cơ bản, chẳng hạn như những nguyên tắc nêu trên, sẽ đồng hành cùng người dùng trên chặng đường dài hướng tới việc bảo vệ và chống lại các mối đe dọa trên mạng.

Trương Khánh Hợp