De verwarming die aanspringt als je de straat in fietst. Een deurbel met een camera. Een horloge dat inzicht geeft in onze gezondheid. Slimme apparaten hebben het leven in korte tijd een stuk aangenamer gemaakt. Maar niet veiliger, want qua beveiliging zijn deze apparaten een stuk minder slim. Vaak zijn IoT-apparaten zelfs een bedreiging voor het thuisnetwerk en jouw gegevens. Dus zul je die beveiliging zelf moeten regelen.

Dat beveiliging hét zwakke punt is van veel Internet of Things-apparaten (IoT), is geen verrassing. De IoT-producenten op jacht naar marktaandeel willen dat hun producten vooral cool, gebruiksvriendelijk en goedkoop zijn. Beveiliging speelt geen rol, ook niet bij de kopers. Veel IoT-apparaten zijn bovendien merkloos, worden ergens ver weg in grote aantallen gemaakt, verscheept en verkocht. Niemand die zich er daarna nog op laat aanspreken dat een lek gedicht moet worden. Vaak is een IoT-apparaat ook een gesloten systeem dat helemaal geen verdere configuratie toelaat of slechts minimale opties biedt. En als dan ook nog de Nederlandse en Europese autoriteiten verzuimen op te treden of eisen te stellen, dan komen we in de situatie waarin we nu verkeren, met een enorm aanbod aan slimme maar onveilige apparaten en dus een probleem dat we zelf moeten oplossen.

Gelukkig zijn er voldoende mogelijkheden om IoT-apparaten wel goed te beveiligen. Dat doe je door de beveiliging in lagen te organiseren, ‘defence in depth’ of ‘layered security’ in techneuten-Engels. De eerste laag zijn de IoT-apparaten zelf. Alles wat je daar kunt regelen en dichttimmeren, hoeft in de schillen eromheen niet meer. De tweede laag is het netwerk waarmee de apparaten verbonden zijn en de derde laag zijn de gebruikers. Allemaal kunnen ze specifieke zaken bijdragen om IoT veilig te maken.

©PXimport

Wat is Internet of Things?

©PXimport

Waar zitten de gaten?

01 Updaten

Het is weliswaar een wetmatigheid dat elke update ook nieuwe fouten introduceert, toch is het updaten van de software op een apparaat een beproefde methode om beveiligingslekken te verhelpen. Voorzie daarom in elk geval je nieuwe IoT-apparaat van de nieuwste firmware wanneer je het in gebruik neemt. En probeer die, wanneer dat mogelijk is, ook later te blijven updaten. Sommige IoT-apparaten komen met een eigen app die soms laat zien welke firmwareversie er wordt gebruikt en of daar updates voor beschikbaar zijn. Controleer dat anders zelf op de website van de leverancier. Check ook de handleiding voor informatie over hoe je moet updaten. Download dan de updates en sla deze op. Log in op de webinterface van het IoT-apparaat en zoek de functie om de firmware te updaten. Upload de nieuwe versie naar het apparaat en laat deze installeren. Controleer daarna of het apparaat naar behoren werkt en of de belangrijkste instellingen, zoals het ip-adres (zie verderop) en de netwerkverbinding, onveranderd zijn gebleven.

©PXimport

02 Wachtwoorden

Neem je een nieuw IoT-apparaat in gebruik, pas dan minimaal het administrator-wachtwoord aan. Veelal is dit een standaard wachtwoord dat voor alle soortgelijke apparaten gelijk is – soms zelfs voor alle apparaten van hetzelfde merk. Gebruik ook niet één wachtwoord voor al je IoT-apparaten maar geef elk een uniek en moeilijk wachtwoord. Dat kan een lange maar makkelijk te onthouden wachtwoordzin zijn, maar helaas kunnen lang niet alle IoT-apparaten daar goed mee overweg. Dan is een kort maar random gegeneerd wachtwoord de betere optie. Gebruik een wachtwoordkluis als Keepass of Enpass om het unieke wachtwoord van elk apparaat te bewaren. Ondersteunt het IoT-apparaat het veranderen van de naam van het admin-account of kun je meerdere admin-accounts maken en het standaardaccount uitschakelen, dan is dat een aanvullende maatregel die je eenvoudig kunt nemen. Het maakt de beveiliging nog beter.

©PXimport

03 Hardening

Hardening is technisch jargon voor sterker maken. En de beveiliging van apparaten maak je sterker door ongebruikte en onveilige opties uit te schakelen. Ongebruikte opties uitschakelen is lastig omdat dit de functionaliteit van het IoT-apparaat raakt, maar denk ook aan overbodige accounts. Ook is de functionaliteit lang niet altijd toegankelijk, al biedt een login via ssh soms mogelijkheden die via de webinterface of app onzichtbaar zijn. De mogelijkheid tot communiceren via ssh of Telnet zijn wel weer voorbeelden van opties die uitgeschakeld moeten worden wanneer er geen gebruik van gemaakt wordt. En dat geldt bijvoorbeeld ook voor communicatie via poort 80 (http) wanneer poort 443 (https) ook wordt ondersteund en natuurlijk helemaal voor IPv6.

©PXimport

04 Configuratie

Behalve het standaard wachtwoord en account, zijn er, afhankelijk van het (soort) apparaat en bijvoorbeeld het gebruikte communicatieprotocol, ook nog andere opties om de IoT-apparaten beter te beveiligen. Schakel over naar tweefactor-authenticatie voor de login, gebruik voor normaal alledaags gebruik geen account met admin- of root-rechten maar een standaard account met beperkte rechten. Configureer ook zo’n beperkt account voor verbindingen met andere apparaten in het thuisnetwerk zoals tussen een bewakingscamera en een nas. Ook daarvoor zijn geen admin-rechten nodig, niet op de camera en niet op de nas. Schakel op alle IoT-apparaten dhcp uit en configureer een vast ip-adres. Een vast ip-adres zorgt ervoor dat het IoT-apparaat altijd goed bereikbaar is voor de diensten of verbindingen die het mag maken, terwijl het niet na bijvoorbeeld een stroomstoring ineens met een ander ip-adres in het netwerk kan komen en zich bijvoorbeeld onttrekt aan specifieke firewall-regels.

©PXimport

05 Isolatie

De tweede laag in de beveiliging van IoT-apparaten is de netwerklaag. Er zijn meerdere manieren om een netwerk te beveiligen en sommige daarvan kunnen naast elkaar worden gebruikt. Veel ervan berusten op netwerksegmentatie. Zonder netwerksegmentatie kunnen alle apparaten in het netwerk met elkaar communiceren. Met netwerksegmentatie kan dat niet, er worden dan verschillende groepen binnen het netwerk aangebracht die niet zomaar met elkaar kunnen communiceren.

Is er geen mogelijkheid een apart netwerk voor de IoT-apparaten in te stellen, kies dan voor Access Point Isolatie. Hiermee zorg je ervoor dat draadloos verbonden apparaten zoals de IoT-apparaten, alleen met het internet kunnen communiceren en niet met elkaar. Het nadeel van deze methode is dat het geldt voor alle draadloos verbonden apparaten, maar weinig routers bieden de mogelijkheid dit per apparaat in te stellen. Een uitzondering zijn routers voorzien van het opensource-besturingssysteem voor routers DD-WRT. Daarin kan het wel per apparaat worden aangegeven.

©PXimport

06 Gastnetwerk

Een gemakkelijke variant van de AP-isolatie is het gastnetwerk. Dit keer komt er een apart draadloos netwerk bij dat speciaal voor de gasten en in dit geval de IoT-apparaten is. Voor alle apparaten in het gastnetwerk geldt dat deze niet naar de apparaten in het gewone thuisnetwerk kunnen en veelal kunnen ze ook niet met de andere apparaten in het gastnetwerk communiceren. Door nu de IoT-apparaten met dit gastnetwerk te verbinden, beveilig je dus de apparaten in het thuisnetwerk tegen de IoT-apparaten. Een nadeel is wel dat je hiermee de mogelijkheid verliest het gastnetwerk ook echt voor gastgebruik in te zetten. Dat kan nog wel maar dan zitten gasten en IoT-apparaten in één netwerk, en of je dat altijd wilt is ook maar weer de vraag.

©PXimport

07 Een tweede router

Beschik je over een tweede router, dan kun je daarmee een heel apart netwerk neerzetten specifiek voor de IoT-apparaten. De twee routers komen dan in lijn te staan, een router is verbonden met het internet, de wan-poort zit op het modem van de internetprovider. De tweede router is verbonden met de eerste. Je verbindt dus de wan-poort van de tweede router met een lan-poort van de eerste router. Dit stelt wel eisen aan de configuratie van de beide routers. Configureer op beide verschillende wachtwoorden, een verschillend ip-netwerk en verschillende draadloze netwerken met verschillende wpa2-beveiligingscodes. Voor wat het ip-netwerk betreft, configureer bijvoorbeeld op de eerste router het 192.168.0.x netwerk en op de tweede 192.168.1.x of een 10.10.10.x wanneer je het liever echt heel duidelijk verschillend wilt hebben. De tweede router heeft op de wan-poort een ip-adres uit het ip-netwerk van de eerste. Als dns van de tweede router kun je het ip-adres aan de lan-kant van de eerste router nemen maar je kunt ook een dns op het internet configureren zoals de 8.8.8.8 van Google. De IoT-apparaten verbind je draadloos en bedraad met de eerste router. De tweede router is voor het klassieke thuisnetwerk met de goed beveiligde apparaten. Doordat op de tweede router een firewall actief is die al het binnenkomende verkeer, ook dat van het netwerk op de eerste router, weigert, zijn de apparaten die verbonden zijn met de tweede router beveiligd tegen de apparaten die met de eerste router verbonden zijn, dus tegen de IoT-apparaten. Apparaten die met de tweede router verbonden zijn, kunnen wel verbinding maken met apparaten die met de eerste router zijn verbonden.

08 Houd overzicht

Zorg ervoor dat er geen onbekende of vergeten apparaten in het IoT-netwerk komen. Houd een administratie bij van de IoT-apparaten en hun ip-adressen. Dat kan prima in de wachtwoordmanager of Notepad. Controleer zo nu en dan eens of alle apparaten nog aanwezig zijn of investeer in een Fingbox, een 24/7 netwerkmonitor die alles wat er op een netwerk gebeurt monitort en volgens vooraf ingestelde regels waarschuwt. Bijvoorbeeld wanneer een onbekend apparaat online komt maar ook wanneer bekende apparaten nieuwe verbindingen aangaan.

©PXimport

09 Vervang eerder

Kijk kritisch welke IoT-apparaten nog echt actief en in het netwerk aanwezig moeten zijn. Verwijder al die apparaten die je toch niet meer gebruikt of waarvan de functionaliteit ook door andere, nieuwere apparaten kan worden geleverd. Door de hoge innovatiesnelheid en de lage beschikbaarheid van beveiligingsupdates voor bestaande apparaten, is de technische levensduur van IoT-apparaten vaak veel groter dan de economische en zeker de security-technische levensduur. Vervangen door een nieuwe versie met betere software en betere beveiliging is dan een goede keuze ook als het apparaat zelf nog prima functioneert.

Naar standaard beveiliging

De cyberaanval-killchain

Bij ID.nl zijn we dol op kwaliteitsproducten waar je niet de hoofdprijs voor betaalt. Een paar keer per week speuren we binnen een bepaald thema naar zulke deals. Met de feestdagen in aantocht gaan we weer gezellig met z'n allen eten. En omdat gourmetten daarbij erg populair is, zijn we op zoek gegaan naar vijf betaalbare modellen geschikt voor tot 10 personen.

Met een gourmetstel maak je avonden extra gezellig en informeel. Iedereen eet in zijn eigen tempo omdat je zelf bepaalt hoeveel je in je pannetje of op je grill legt. En zo is er ook meer tijd om lekker te kletsen. Wij vonden vijf mooie gourmetstellen geschikt tot wel 10 personen.

Tristar RA‑2746 Gourmetstel – 8 personen

De Tristar RA‑2746 is een gourmetstel waarmee je samen met het hele gezin of vriendengroep kunt bakken en grillen. Het apparaat heeft een vermogen van ongeveer 1400 watt en is voorzien van één grote bak‑ en grillplaat, zodat je tegelijk vlees, vis en groenten kunt bereiden. Dankzij de PFAS‑vrije antiaanbaklaag koeken ingrediënten niet vast en maak je het oppervlak na het eten eenvoudig schoon.. Bij de set worden acht kleine pannetjes meegeleverd, zodat iedereen zijn eigen gerecht kan samenstellen. De antislipvoetjes houden het toestel stevig op tafel en het snoer is lang genoeg voor gebruik aan een eettafel. Verder is het gourmetstel geschikt voor maximaal acht personen.

Tefal Inox & Design RE4588 - 10 personen

Bij de Tefal Inox & Design RE4588 richt alles zich op een combinatie van raclette en gourmet. Je beschikt over een groot vermogen van 1350 watt en een verstelbare thermostaat, zodat je de temperatuur precies kunt regelen voor vlees, groenten of raclettekaas. De tien bijgeleverde pannetjes en de grillplaat hebben een antiaanbaklaag waardoor je weinig olie hoeft te gebruiken en het schoonmaken minder tijd kost. Tefal heeft het snoer met ongeveer twee meter vrij lang gemaakt, waardoor je meer vrijheid hebt om het toestel op tafel te plaatsen. Een ingebouwd indicatielampje toont wanneer het apparaat de ingestelde temperatuur heeft bereik. Het apparaat wordt geleverd met hittebestendige handgrepen voor veilig gebruik en is geschikt voor maximaal tien personen.

Princess Raclette Gourmetstel XL - 10 personen

Met de Princess Raclette XL haal je een gourmet‑ en raclette‑stel voor tien personen in huis. De set gebruikt een vermogen van ongeveer 1500 watt en heeft een extra grote bakplaat voor vlees en groenten. De plaat is uitneembaar en heeft een PFAS‑vrije antiaanbaklaag, waardoor je niet veel olie nodig hebt en het toestel gemakkelijk schoonmaakt. Bij het apparaat worden tien pannetjes geleverd; zo kan iedereen tegelijkertijd minipannetjes gebruiken. De temperatuur regel je via een draaiknop, terwijl een controlelampje aangeeft dat het toestel opwarmt. Koelblijvende handgrepen en antislipvoetjes dragen bij aan veilig gebruik.

Princess Dinner4All Circle - 4 personen

De Princess Dinner4All Circle is een ronde gourmetset bedoeld voor kleinere groepen. Het apparaat is voorzien van een ronde bakplaat met een diameter van ongeveer 30 centimeter en gebruikt een vermogen van 1000 watt. Via een draaiknop stel je de temperatuur in tot circa 250 °C, waardoor je van langzaam garen tot snel grillen verschillende bereidingswijzen kunt kiezen. De set wordt geleverd met meerdere individueel te gebruiken kooktegels, zodat iedereen op zijn eigen tegel kan bakken zonder smaken te mengen. Dankzij de antiaanbaklaag zijn de platen eenvoudig schoon te maken, terwijl antislipvoetjes het toestel stabiel houden. Het snoer is ongeveer twee meter lang, waardoor je het gemakkelijk midden op tafel zet.

Princess Dinner4All Pure - 4 personen

Deze Dinner4All Pure‑gourmetset van Princess is opgebouwd uit meerdere kleine bakplaten, zodat elke gebruiker zijn eigen kookgedeelte heeft. Het systeem bestaat uit vier bamboe plates met antiaanbaklaag en afzonderlijke bakplaatjes, die samen op één centrale powerbox van 1000 watt worden aangesloten. Doordat iedere plaat een eigen stekker heeft, kun je de opstelling uitbreiden of verkleinen; handig als je met twee, drie of vier personen wilt eten. Het apparaat heeft een controlelampje en een eenvoudige bediening; je steekt de stekker in het stopcontact en kiest een temperatuur met de draaiknop. Dankzij de non‑stick afwerking maak je de platen na afloop gemakkelijk schoon.

De Ring Outdoor Cam Pro is een redelijk prijzige, slimme beveiligingscamera voor buiten die flink wat in zijn mars heeft. Het apparaat kost 199,99 euro en daar komt – waarschijnlijk – nog maandelijks een abonnement bovenop.

De nieuwe Ring Outdoor Camera Pro heeft een compact, stabiel en minimalistisch ontwerp waardoor je hem direct als een Ring-apparaat herkent. Dankzij de compacte afmetingen kun je hem subtiel aan de muur ophangen. Je bent verzekerd van bescherming tegen weer en wind (een IP-rating is niet bekend) en er is een extra afdekking voor de kabelaansluitingen. Ring levert de camera daarnaast met een kogel-gelagerde muurbeugel en montagemateriaal. De stroomvoorziening verloopt via de usb-c-kabel achterop; dit is helaas geen model met eigen batterij.

De installatie is, zoals gebruikelijk bij Ring, snel en ongecompliceerd. Je maakt verbinding via wifi na het scannen van de QR-code en over het algemeen is de verbinding stabiel. We hebben gedurende de testperiode geen storingen opgemerkt. Mocht je de camera willen ophangen, dan moet je wel zelf even een gaatje boren; daar zit voornamelijk het werk in. In de doos zit overigens alles wat je nodig hebt om dat te doen. Denk dan aan die eerdergenoemde muurbeugel, maar ook aan alle schroeven en dergelijke. Je hoeft alleen de boor er zelf bij te pakken.

©Wesley Akkerman

Weinig zeggenschap over het beeld

De Ring Outdoor Cam Pro heeft een 4K-resolutie en een brede kijkhoek van 140 graden. Overdag zorgen natuurlijke kleuren en HDR-ondersteuning ervoor dat details en gezichten duidelijk herkenbaar blijven, zelfs bij tegenlicht. 's Nachts schakelt de camera automatisch over op helder zwart-witbeeld dankzij infrarood. Het systeem is bovendien in staat nachtvisie in kleur te leveren, maar daarvoor is er wel voldoende licht nodig. Hij schakelt automatisch van stand op basis van de hoeveelheid licht; je kunt helaas niet zelf bepalen of je in kleur of zwart-wit filmt.

Ring maakt verder gebruik van betrouwbare bewegingsdetectie, waarbij je via de app zones kunt instellen om vals alarm te voorkomen. De Ring Outdoor Cam Pro heeft 3D-bewegingsdetectie en Bird's Eye View (een typische Ring-uitvinding) voor nauwkeurige afstandsmetingen en het volgen van bewegingen. Met een Ring Protect-abonnement krijg je toegang tot geavanceerde herkenning van personen, dieren en voertuigen. Voor zaken als tweewegcommunicatie en de live-feed hoef je gelukkig niet in de buidel te tasten.

Verplichte cloudopslag

Over het abonnement gesproken: daarmee krijg je ook nog toegang tot een uitgebreide videohistorie. Dat kost je wel minimaal 3,99 euro per maand. De opgenomen beelden blijven dan voor 180 dagen bewaard. Een belangrijk punt blijft echter de cloud-exclusiviteit; Ring maakt het nog steeds niet mogelijk om beelden lokaal op te slaan. Je bent dus verplicht een abonnement af te nemen als je je huisbeveiliging een beetje serieus neemt. De app faciliteert wel een overzichtelijk rechtenbeheer voor gezinsleden en waarschuwt bij allerlei ongeregeldheden.

De Ring-camera integreert tot slot met Alexa (de slimme assistent van Amazon) en IFTTT (een gratis en eenvoudige service voor smarthome-automatiseringen), maar mist helaas ondersteuning voor Google Home en Apple HomeKit (zoals dat al jaren het geval is). Via de Ring-app, beschikbaar voor Android en iOS, heb je de controle over de instellingen, inclusief het in- of uitschakelen van de sirene en bewegingsdetectie. De app toont een overzicht van gebeurtenissen en maakt het mogelijk voorgeprogrammeerde berichten af te spelen voor je bezoekers.

Lees ook onze review van de Ring Floodlight Cam Pro (2e gen)

Ring Outdoor Cam Pro kopen?

De Ring Outdoor Cam Pro biedt fijne hardware, waaronder 4K-video met 10x digitale zoom (die nog redelijk acceptabel is ook). De installatie is eenvoudig, maar de beveiligingscamera mist wel de nodige smarthome-integraties (waardoor hij dus niet voor iedereen heel handig is). Bovendien is hij aan de prijzige kant en heb je voor het optimale gebruik een abonnement nodig, waardoor je maandelijks of jaarlijks terugkerende kosten hebt. Daardoor betaal je hier meer voor dan bij Eufy, en daarom is de Outdoor Cam Pro alleen interessant als je al andere Ring-producten hebt.