Säkerhetsbrist i sakernas internet-enheter orsaken till stor DDoS-attack

Att använda sig av standardiserade inloggningar är inte vidare lämpligt när dessa enheter dessutom är skapade för att styras över nätet. Man borde kunna leverera dem liknande som routrar m.m. där de klistrar på en genererad kod på undersidan som man sedan får byta.

Ny teknik, då händer det sånt här. Helt otroligt vad folk blir emotionella över något som är löst om ett par produkt-generationer.

Du tror alltså på alvar att företag väljer att inte följa standarder och att de väljer lansera produkter med minimal testing, men att det inte har något att göra med prispress?

Personligen har jag egenintresse att alla de lagar och böter du föreslår införs, mer pengar till oss som jobbar med detta

Tror också det finns en relativt stor marknad för produkter med högre kvalité, även fast det innebär högre pris (Apple hade ju ett tag runt 50 % av intäkterna för laptops, det med <10 % av marknaden, resten av marknaden verkar köra racet mot absolut botten men det ändrades som tur var för ett par år sedan).

Men i många fall finns det tyvärr en väldigt stor marknad där enda parameter verkar vara lägsta pris.

Så min invändning var inte mot att man kanske måste införa regleringar, den riktades mot att sådana regleringar kommer medföra högre pris mot kund (och tror man något annat är man extremt naiv). Alla extrakostnader i form av mer testning och eventuella böter hamnar alltid på slutkunden, vem skulle annars betala detta???

För IoT skulle man kanske i vissa lägen kunna undvika just det artikeln handlar om genom att välja enklare maskinvara. Även om det absolut går att hacka mikrokontrollers och liknande är dels deras inbördes variation en försvårande egenskap. Men framförallt så blir förödelsen man kan orsaka med en väldigt simpel pryl mindre. För just routers/hemma-gateways är inte denna väg framkomlig och tyvärr är detta en klass enheter som av naturligt skäl sitter i nätverket på ett sätt som gör dem lätta att nå samt önskvärda att ha i botnät.

Det jag tror är att företag inte gärna spenderar pengar "i onödan". Idag finns ingen tillämplig certifiering som kräver hög säkerhet på uppkopplade prylar, därför är säkerhet inte hlg prio för tillverkarna, vilket resulterar i, som vi nyss såg, att viktiga samhällsfunktioner på diverse olika sätt kan slås ut.

Skall man hårddra det så innebär det att de säljer samhällsfarliga produkter, och hur länge får de hålla på med det? Nu när det är bevisat att enheter med dagens icke-tänk kring säkerhet kan användas i botnät för att slå ut DNS-servrar och dylikt lär det inte dröja länge innan det händer igen.

Vem som betalar eller inte är ointressant. För att återigen ta exemplet med routrar, så finns det billiga trådlösa routrar som ändå upofyller krav från FCC och liknande, och kunden köper ju dem så jag tror inte det är pengar som är det största problemet.

Dessutom har ju tillverkarna idag alltid möjlighet att nagga vinstmarginalen i kanten om de nu vill behålla sin marknadsandel. Gör de inte det dyker någon annan upp som inte är främmande fär tanken.

Men vad tror de när de låter varenda liten pryl bete sig som vilken klient som helst? Klart som korvspad att intresset för att hacka dessa prylar och joina dem i botnät är enormt. Men så är det idag. Man ska ha ut nytt och fräsigt fort som fan.. Säkerheten kan vara lite skit samma... Om ingen märker något räknas varje pryl som Fort Knox... Hårdare regler och hårdare straff till tillverkare som säljer de här prylarna.

Du tror inte det skulle gå att tillverka ännu billigare accesspunkter om man struntade i kraven från FCC?

Åter igen: är inte helt emot tanken på mer reglering kring detta, produkterna orsakar faktiskt skada för tredje person när de används för i bot-nät. Personligen har jag inte heller problem att betala lite mer för att dessa krav ska uppfyllas.

Min fråga var mest om den stora allmänheten är beredd att betala extrakostnaden. Om de inte är det (vilket jag tror är fallet) blir ju frågan om reglering i form av tvingande lagar än mer aktuell. Accesspunkter uppfyller idag de krav som ställs kring deras radio, detta då man helt enkelt inte får sälja produkten annars.

Men det går absolut att bygga billigare produkter om man kunde skita i alla krav. Och är övertygad om att dessa billigare produkter skulle sälja i drivor om det inte var olagligt att sälja dem.

Och det är inga större marginaler på de produkter artikeln handlar om. Så går inte riktigt att beskylla tillverkarna för att suga ut kunderna.

Jag tror också du underskattar hur många personer som aldrig någonsin byter ett lösenord på sina enheter.

Folk klagar på säkerhet men folk verkar klaga mer på smidighet och att det ska gå snabbt.

I mitt huvud brukar inte säkerhet och snabbhet gå bra ihop :/

Står det att man bör byta lösenord i manualen kanske det borde göras ^^

Ny teknik, då händer det sånt här. Helt otroligt vad folk blir emotionella över något som är löst om ett par produkt-generationer.

Vissa översättningar blir bara inte bra, hur man än gör.

Jag hade personligen föredragit IoT-enheter.

Men i många fall finns det tyvärr en väldigt stor marknad där enda parameter verkar vara lägsta pris.

Tror också det finns en relativt stor marknad för produkter med högre kvalité, även fast det innebär högre pris (Apple hade ju ett tag runt 50 % av intäkterna för laptops, det med <10 % av marknaden, resten av marknaden verkar köra racet mot absolut botten men det ändrades som tur var för ett par år sedan).

Håller med om att "Sakernas Internet-enheter" låter krystat men jag stör mig nog mer på att routrar och webbkameror nu klumpas in i begreppet "sakernas internet".

Min uppfattning är att IoT-branschen som den ser ut idag (dvs efter att "IoT" blev ett buzzword för 2-3 år sedan) lägger stor vikt vid säkerhet, och de jobbar inte med routrar och webbkameror. Snarare olika typer av sensorer som skickar data via Internet till en molnbaserad datacentral vilken innehåller all affärslogik, administration och stödfunktioner.

Routrar borde anses som en del av Internets infrastruktur, snarare än IoT-enheter. Webbkameror är ett gränsfall, men varför inte kalla dem för "Internetuppkopplade konsumentprodukter" istället? Tror det kommer närmare sanningen.

Och du tror att kunderna är beredda att betala betydligt mer för dessa prylar? För ingen tror ändå att det är gratis att utveckla, testa och underhålla prylarna.

Du tror inte det skulle gå att tillverka ännu billigare accesspunkter om man struntade i kraven från FCC?

Det samma kan man ju säga om CE-märkning och liknande också. Anser du att vi ska skrota alla certifieringar för att kunna köpa prylar några kronor billigare?

Visst , men då för du vara beredd på att du tappar wifi'n när grannen kör sin microvågsugn, och att det knastrar i bluetooth lurarna så fort någonting händer på mobilen. Har mormor pacemaker,, tja vill inte tänka på det. bara för att nämna några troliga exempel.
Folk skulle nog vara beredda på att betala för FCC certade routrar för att slippa de bekymren på de enheter dom har, och är nog ganska glada att grannen inte sitter och kör på billiga kina-kopior som är ocertifierade.

I framtiden så skulle iallafall jag vara glad om jag visste att min router/modem/webcamera/microvågsugn/vardagsrumslampa är någelunda säkrade mot botnät. Något som idag skulle kräva att man bygger en egen router av en dator och kopplar upp mellan internet/router för att skanna av trafiken med. Inte precis något min morsa skulle klara av. Så är exempelvis routern bottad,, tja då har man ingen aning om det, förutom att det kanske går lite slött ibland.

Detta handlar dock om mer än bara din personliga säkerhet, botnät hotar hela sämhället. Något att fundera på nästa gång en website inte går att nå.

Jo det är ju det jag säger. Kunderna har inga problem att pröjsa för AP:s, routrar osv, så jag tror inte att det spelar någon roll om priset går upp. Det är bara ofattbart att man låtit det bli vilda västern med det här från början.

Lika coolt som att slå sönder en busskur.

?

Vad jag pekar på är att om det saknas tvingande regler kommer en väldigt stor andel av köparna välja det billigaste, oavsett om det potentiellt orsakar skada.

Första posten kanske var otydlig, men ville peka på att det kommer kosta mer att tillverka produkter som saknar dessa svagheter och den kostnaden kommer hamna på slutkunderna. Att tro något annat är naivt.

Kan själv mycket väl tänka mig någon form av säkerhets/robusthets-certifiering av internetanslutna enheter. En sådan certifiering kommer höja priset på produkterna och enda sättet att i praktiken få någon relevans av en sådan certifiering är att förbjuda försäljning av produkter som saknar den, precis som med CE och FCC märkningarna.

Gjorde den anmärkningen då väldigt många är snabba att kräva saker men de är absolut inte beredd att själva stå för merkostnaden.

Vi verkar ändå rätt överens. Enda eventuella skiljelinjen är att jag är tvärsäker på att en väldigt stor del av marknaden absolut inte är beredd att ta en extrakostnad så länge det finns "likvärdiga" produkter med lägre prislapp. D.v.s. det behövs något likt FCC/CE och det måste vara otillåtet att sälja produkter som saknar märkningen.

Man kommer sälja väldigt få AP på "svårare att hacka, det är värt 500 kr extra, vi lovar". Även om utsaga är sann kommer tyvärr många köpa produkterna som kostar några hundralappar mindre, trots att de är osäkrare.

Kan själv mycket väl tänka mig någon form av säkerhets/robusthets-certifiering av internetanslutna enheter. En sådan certifiering kommer höja priset på produkterna och enda sättet att i praktiken få någon relevans av en sådan certifiering är att förbjuda försäljning av produkter som saknar den, precis som med CE och FCC märkningarna.

Gjorde den anmärkningen då väldigt många är snabba att kräva saker men de är absolut inte beredd att själva stå för merkostnaden.

Vi verkar ändå rätt överens. Enda eventuella skiljelinjen är att jag är tvärsäker på att en väldigt stor del av marknaden absolut inte är beredd att ta en extrakostnad så länge det finns "likvärdiga" produkter med lägre prislapp. D.v.s. det behövs något likt FCC/CE och det måste vara otillåtet att sälja produkter som saknar märkningen.

Man kommer sälja väldigt få AP på "svårare att hacka, det är värt 500 kr extra, vi lovar". Även om utsaga är sann kommer tyvärr många köpa produkterna som kostar några hundralappar mindre, trots att de är osäkrare.

Vad många glömmer är att även om bortser från tillverkarnas säkerhet så har vi fortfarande ett enormt problem, lösenord. Kommer inte ihåg killens namn (white-hat) men han skriver lösenords knäckar program och tittade på Adobe's (har för mig att det var adobe) läckta lösenord. Om jag minns rätt så var 80-90% utav alla användarnas lösenord med på top 1000. (Kan varit 10 000, men det är fortfarande rysligt liten nivå. Kan ha varit så att han nämnde två procentvärden, ett för 1000 och ett för 10 000. Var ett år sedan jag såg hans presentation så tag det med en nypa salt.) Då får man även tänka på att Adobe's produkter är ingenting Ingrid 65 år troligen använder, men Ingrid kan mycket väl ha några IoT prylar med antingen standard lösenord eller hundens namn.

That’s because while many of these devices allow users to change the default usernames and passwords on a Web-based administration panel that ships with the products, those machines can still be reached via more obscure, less user-friendly communications services called “Telnet” and “SSH.”

Telnet and SSH are command-line, text-based interfaces that are typically accessed via a command prompt (e.g., in Microsoft Windows, a user could click Start, and in the search box type “cmd.exe” to launch a command prompt, and then type “telnet” to reach a username and password prompt at the target host).

“The issue with these particular devices is that a user cannot feasibly change this password,” Flashpoint’s Zach Wikholm told KrebsOnSecurity. “The password is hardcoded into the firmware, and the tools necessary to disable it are not present. Even worse, the web interface is not aware that these credentials even exist.”

Och du tror att kunderna är beredda att betala betydligt mer för dessa prylar? För ingen tror ändå att det är gratis att utveckla, testa och underhålla prylarna.

Skickades från m.sweclockers.com