Hoe beveilig je domotica en andere slimme apparatuur?
De verwarming die aanspringt als je de straat in fietst. Een deurbel met een camera. Een horloge dat inzicht geeft in onze gezondheid. Slimme apparaten hebben het leven in korte tijd een stuk aangenamer gemaakt. Maar niet veiliger, want qua beveiliging zijn deze apparaten een stuk minder slim. Vaak zijn IoT-apparaten zelfs een bedreiging voor het thuisnetwerk en jouw gegevens. Dus zul je die beveiliging zelf moeten regelen.
Dat beveiliging hét zwakke punt is van veel Internet of Things-apparaten (IoT), is geen verrassing. De IoT-producenten op jacht naar marktaandeel willen dat hun producten vooral cool, gebruiksvriendelijk en goedkoop zijn. Beveiliging speelt geen rol, ook niet bij de kopers. Veel IoT-apparaten zijn bovendien merkloos, worden ergens ver weg in grote aantallen gemaakt, verscheept en verkocht. Niemand die zich er daarna nog op laat aanspreken dat een lek gedicht moet worden. Vaak is een IoT-apparaat ook een gesloten systeem dat helemaal geen verdere configuratie toelaat of slechts minimale opties biedt. En als dan ook nog de Nederlandse en Europese autoriteiten verzuimen op te treden of eisen te stellen, dan komen we in de situatie waarin we nu verkeren, met een enorm aanbod aan slimme maar onveilige apparaten en dus een probleem dat we zelf moeten oplossen.
Gelukkig zijn er voldoende mogelijkheden om IoT-apparaten wel goed te beveiligen. Dat doe je door de beveiliging in lagen te organiseren, ‘defence in depth’ of ‘layered security’ in techneuten-Engels. De eerste laag zijn de IoT-apparaten zelf. Alles wat je daar kunt regelen en dichttimmeren, hoeft in de schillen eromheen niet meer. De tweede laag is het netwerk waarmee de apparaten verbonden zijn en de derde laag zijn de gebruikers. Allemaal kunnen ze specifieke zaken bijdragen om IoT veilig te maken.
©PXimport
Wat is Internet of Things?
Ook al zegt de term ‘Internet of Things’ of afgekort ‘IoT’ je niets, de kans is groot dat je er toch al wel iets van in huis hebt. Bij IoT gaat het om fysieke apparaten zoals lampen, wasmachines, de smart-tv, eigenlijk alle apparaten die ingebouwde elektronica, software, sensoren en actuatoren combineren met een netwerkverbinding die gegevens kunnen verzamelen en uitwisselen. Populaire IoT-apparaten zijn de Philips Hue-lampen, de Toon en Nest slimme thermostaat, maar ook draagbare fitnessmeters.
©PXimport
Waar zitten de gaten?
IoT-apparaten kennen een aantal veelvoorkomende zwakheden. De eerste is vaak de firmware. Bij het schrijven van de code is er weinig aandacht voor beveiliging, vaak worden ook blokken code en componenten hergebruikt die soms al verouderd of bewezen onveilig zijn. Een tweede manco is het gebrek aan updates en security-fixes én aan een mechanisme om die automatisch te installeren op de IoT-apparaten. Daarnaast zijn IoT-apparaten zelden serieus gehardened, wat betekent dat functionaliteit en communicatieprotocollen ingeschakeld zijn die niet worden gebruikt. Opties om deze alsnog zelf uit te schakelen ontbreken vaak. Ook is de algehele configureerbaarheid vaak beperkt. Tot slot gebruiken veel IoT-apparaten standaard gebruikersnamen en wachtwoorden en ontbreekt soms zelfs de mogelijkheid die aan te passen.
01 Updaten
Het is weliswaar een wetmatigheid dat elke update ook nieuwe fouten introduceert, toch is het updaten van de software op een apparaat een beproefde methode om beveiligingslekken te verhelpen. Voorzie daarom in elk geval je nieuwe IoT-apparaat van de nieuwste firmware wanneer je het in gebruik neemt. En probeer die, wanneer dat mogelijk is, ook later te blijven updaten. Sommige IoT-apparaten komen met een eigen app die soms laat zien welke firmwareversie er wordt gebruikt en of daar updates voor beschikbaar zijn. Controleer dat anders zelf op de website van de leverancier. Check ook de handleiding voor informatie over hoe je moet updaten. Download dan de updates en sla deze op. Log in op de webinterface van het IoT-apparaat en zoek de functie om de firmware te updaten. Upload de nieuwe versie naar het apparaat en laat deze installeren. Controleer daarna of het apparaat naar behoren werkt en of de belangrijkste instellingen, zoals het ip-adres (zie verderop) en de netwerkverbinding, onveranderd zijn gebleven.
©PXimport
02 Wachtwoorden
Neem je een nieuw IoT-apparaat in gebruik, pas dan minimaal het administrator-wachtwoord aan. Veelal is dit een standaard wachtwoord dat voor alle soortgelijke apparaten gelijk is – soms zelfs voor alle apparaten van hetzelfde merk. Gebruik ook niet één wachtwoord voor al je IoT-apparaten maar geef elk een uniek en moeilijk wachtwoord. Dat kan een lange maar makkelijk te onthouden wachtwoordzin zijn, maar helaas kunnen lang niet alle IoT-apparaten daar goed mee overweg. Dan is een kort maar random gegeneerd wachtwoord de betere optie. Gebruik een wachtwoordkluis als Keepass of Enpass om het unieke wachtwoord van elk apparaat te bewaren. Ondersteunt het IoT-apparaat het veranderen van de naam van het admin-account of kun je meerdere admin-accounts maken en het standaardaccount uitschakelen, dan is dat een aanvullende maatregel die je eenvoudig kunt nemen. Het maakt de beveiliging nog beter.
©PXimport
03 Hardening
Hardening is technisch jargon voor sterker maken. En de beveiliging van apparaten maak je sterker door ongebruikte en onveilige opties uit te schakelen. Ongebruikte opties uitschakelen is lastig omdat dit de functionaliteit van het IoT-apparaat raakt, maar denk ook aan overbodige accounts. Ook is de functionaliteit lang niet altijd toegankelijk, al biedt een login via ssh soms mogelijkheden die via de webinterface of app onzichtbaar zijn. De mogelijkheid tot communiceren via ssh of Telnet zijn wel weer voorbeelden van opties die uitgeschakeld moeten worden wanneer er geen gebruik van gemaakt wordt. En dat geldt bijvoorbeeld ook voor communicatie via poort 80 (http) wanneer poort 443 (https) ook wordt ondersteund en natuurlijk helemaal voor IPv6.
©PXimport
04 Configuratie
Behalve het standaard wachtwoord en account, zijn er, afhankelijk van het (soort) apparaat en bijvoorbeeld het gebruikte communicatieprotocol, ook nog andere opties om de IoT-apparaten beter te beveiligen. Schakel over naar tweefactor-authenticatie voor de login, gebruik voor normaal alledaags gebruik geen account met admin- of root-rechten maar een standaard account met beperkte rechten. Configureer ook zo’n beperkt account voor verbindingen met andere apparaten in het thuisnetwerk zoals tussen een bewakingscamera en een nas. Ook daarvoor zijn geen admin-rechten nodig, niet op de camera en niet op de nas. Schakel op alle IoT-apparaten dhcp uit en configureer een vast ip-adres. Een vast ip-adres zorgt ervoor dat het IoT-apparaat altijd goed bereikbaar is voor de diensten of verbindingen die het mag maken, terwijl het niet na bijvoorbeeld een stroomstoring ineens met een ander ip-adres in het netwerk kan komen en zich bijvoorbeeld onttrekt aan specifieke firewall-regels.
©PXimport
05 Isolatie
De tweede laag in de beveiliging van IoT-apparaten is de netwerklaag. Er zijn meerdere manieren om een netwerk te beveiligen en sommige daarvan kunnen naast elkaar worden gebruikt. Veel ervan berusten op netwerksegmentatie. Zonder netwerksegmentatie kunnen alle apparaten in het netwerk met elkaar communiceren. Met netwerksegmentatie kan dat niet, er worden dan verschillende groepen binnen het netwerk aangebracht die niet zomaar met elkaar kunnen communiceren.
Is er geen mogelijkheid een apart netwerk voor de IoT-apparaten in te stellen, kies dan voor Access Point Isolatie. Hiermee zorg je ervoor dat draadloos verbonden apparaten zoals de IoT-apparaten, alleen met het internet kunnen communiceren en niet met elkaar. Het nadeel van deze methode is dat het geldt voor alle draadloos verbonden apparaten, maar weinig routers bieden de mogelijkheid dit per apparaat in te stellen. Een uitzondering zijn routers voorzien van het opensource-besturingssysteem voor routers DD-WRT. Daarin kan het wel per apparaat worden aangegeven.
©PXimport
06 Gastnetwerk
Een gemakkelijke variant van de AP-isolatie is het gastnetwerk. Dit keer komt er een apart draadloos netwerk bij dat speciaal voor de gasten en in dit geval de IoT-apparaten is. Voor alle apparaten in het gastnetwerk geldt dat deze niet naar de apparaten in het gewone thuisnetwerk kunnen en veelal kunnen ze ook niet met de andere apparaten in het gastnetwerk communiceren. Door nu de IoT-apparaten met dit gastnetwerk te verbinden, beveilig je dus de apparaten in het thuisnetwerk tegen de IoT-apparaten. Een nadeel is wel dat je hiermee de mogelijkheid verliest het gastnetwerk ook echt voor gastgebruik in te zetten. Dat kan nog wel maar dan zitten gasten en IoT-apparaten in één netwerk, en of je dat altijd wilt is ook maar weer de vraag.
©PXimport
07 Een tweede router
Beschik je over een tweede router, dan kun je daarmee een heel apart netwerk neerzetten specifiek voor de IoT-apparaten. De twee routers komen dan in lijn te staan, een router is verbonden met het internet, de wan-poort zit op het modem van de internetprovider. De tweede router is verbonden met de eerste. Je verbindt dus de wan-poort van de tweede router met een lan-poort van de eerste router. Dit stelt wel eisen aan de configuratie van de beide routers. Configureer op beide verschillende wachtwoorden, een verschillend ip-netwerk en verschillende draadloze netwerken met verschillende wpa2-beveiligingscodes. Voor wat het ip-netwerk betreft, configureer bijvoorbeeld op de eerste router het 192.168.0.x netwerk en op de tweede 192.168.1.x of een 10.10.10.x wanneer je het liever echt heel duidelijk verschillend wilt hebben. De tweede router heeft op de wan-poort een ip-adres uit het ip-netwerk van de eerste. Als dns van de tweede router kun je het ip-adres aan de lan-kant van de eerste router nemen maar je kunt ook een dns op het internet configureren zoals de 8.8.8.8 van Google. De IoT-apparaten verbind je draadloos en bedraad met de eerste router. De tweede router is voor het klassieke thuisnetwerk met de goed beveiligde apparaten. Doordat op de tweede router een firewall actief is die al het binnenkomende verkeer, ook dat van het netwerk op de eerste router, weigert, zijn de apparaten die verbonden zijn met de tweede router beveiligd tegen de apparaten die met de eerste router verbonden zijn, dus tegen de IoT-apparaten. Apparaten die met de tweede router verbonden zijn, kunnen wel verbinding maken met apparaten die met de eerste router zijn verbonden.
08 Houd overzicht
Zorg ervoor dat er geen onbekende of vergeten apparaten in het IoT-netwerk komen. Houd een administratie bij van de IoT-apparaten en hun ip-adressen. Dat kan prima in de wachtwoordmanager of Notepad. Controleer zo nu en dan eens of alle apparaten nog aanwezig zijn of investeer in een Fingbox, een 24/7 netwerkmonitor die alles wat er op een netwerk gebeurt monitort en volgens vooraf ingestelde regels waarschuwt. Bijvoorbeeld wanneer een onbekend apparaat online komt maar ook wanneer bekende apparaten nieuwe verbindingen aangaan.
©PXimport
09 Vervang eerder
Kijk kritisch welke IoT-apparaten nog echt actief en in het netwerk aanwezig moeten zijn. Verwijder al die apparaten die je toch niet meer gebruikt of waarvan de functionaliteit ook door andere, nieuwere apparaten kan worden geleverd. Door de hoge innovatiesnelheid en de lage beschikbaarheid van beveiligingsupdates voor bestaande apparaten, is de technische levensduur van IoT-apparaten vaak veel groter dan de economische en zeker de security-technische levensduur. Vervangen door een nieuwe versie met betere software en betere beveiliging is dan een goede keuze ook als het apparaat zelf nog prima functioneert.
Naar standaard beveiliging
Dat het niet handig is dat je bijna een IT-professional moet zijn om veilig gebruik te maken van IoT-apparaten mag duidelijk zijn. Dit is nu ook aan het doordringen bij de bedrijven die IoT pushen. Zo zijn er inmiddels meerdere voorstellen gedaan voor een veilige standaard voor IoT-communicatie. Sommige betreffen echt nieuwe technieken, andere gebruiken bestaande technieken. Tot de laatste behoort het voorstel van Ericsson-engineer M. Sethi die Radius, EAP en 802.1x gebruikt voor authenticatie en netwerktoegang van IoT-apparaten, technieken die nu vooral door bedrijven worden gebruikt. Ook de politiek wordt wakker. Zo heeft Californië sinds kort een wet die vanaf 2020 makers van internet-verbonden apparaten verplicht deze “naar redelijkheid” te beveiligen. Zo zijn standaard wachtwoorden verboden of moet de gebruiker de eerste keer dat hij verbinding maakt zelf een wachtwoord instellen. Kritiek is er echter ook: de wet richt zich vooral op het toevoegen van nieuwe beveiligingseisen en niet op het dichten van de bekende gaten. In Europa is vooral het cybersecurity-agency ENISA een voorvechter van nieuwe standaarden en, waar nodig, regelgeving. Concreet is er echter nog niets.
De cyberaanval-killchain
Een cyberaanval of hack doorloopt altijd een aantal standaard stappen. De eerste is reconnaissance. Hierin verkent de hacker zijn doelwit en zoekt kwetsbaarheden. Stap 2 is weaponization, waarin de aanval wordt voorbereid bijvoorbeeld door specifieke malware te schrijven of een exploit te selecteren. Stap 3 is de delivery, waarin het wapen naar het doel wordt gebracht. Bijvoorbeeld: de malware wordt via mail aan de sysadmin gestuurd in de hoop dat die deze activeert. Stap 4 is exploitation, de eigenlijke hack: het doelwit wordt aangevallen en overgenomen. Stap 5 is command and control, waarbij blijvende toegang wordt ingericht. En tot slot stap 6: actions and objectives, waarin de hacker zijn eigenlijke doel uitwerkt zoals het stelen of vernietigen van gegevens, gebruik van een IoT-apparaat in een ddos-aanval op een ander doel. Respectievelijke tegenmaatregelen zijn detectie, weigeren van toegang, verstoren van de aanval, tegenaanval op de command en control, misleiden van de aanvaller (honeypot) en het inperken, het ‘apart’ plaatsen van een besmet systeem dat daarmee zijn toegang tot de overige infrastructuur verliest.
