Проблемы IoT в банках

Елена Петрова, начальник управления ИБ «Экономикс-Банк»

Сравнительно недавно стал популярен термин «Интернет вещей» (Internet Of Things – IoT). В технику нового поколения встроена возможность беспроводного взаимодействия с пользователем при помощи, например, мобильного телефона. Попробуем разобраться, чревата ли угрозами эволюция бытового устройства до уровня «разумное».

Появление технологии IoT породило немало публикаций, посвященных безопасности использования соответствующих устройств. Что действительно представляет собой угрозу, а что является преувеличением? О безопасности Интернета вещей было бы уместно рассуждать в контексте применения «умных» устройств в быту. Однако область моей профессиональной деятельности – ИБ в финансово-кредитной сфере, поэтому мы проанализируем угрозы в ситуациях массового проникновения в банки IoT-приборов и интеграции IoT с платежными системами.

Использование бытовых IoT-устройств

Если в банке используется бытовое IoT-устройство, то возможна ли с него сетевая атака? При работе такого прибора под управлением Bluetooth 4.0 он отзывается лишь на «приказ» единственного управляющего устройства (например, мобильного телефона). Заставить IoT-прибор засорять канал паразитным трафиком можно только при поступлении «вредных» команд именно с такого устройства, и ответ также вернется к нему. Другими словами, идея атаковать банк с помощью «умного» офисного чайника пока бессмысленна.

Да, памятен инцидент с бот-сетью Mirai. Однако в нем были использованы IoT-устройства другого класса – в основном, веб-камеры. Организация управления веб-камерами – несколько иная, и для атаки была задействована технология доступа к устройству с применением пароля по умолчанию, установленного производителем.

Напомним: возможна совместная работа в IoT технологий Bluetooth и Wi-Fi. Если в приборе используются обе технологии, то ситуация с сетевой атакой вполне реализуема. Предположим, для консультирования клиентов в банке задействованы мобильные устройства (эта технология уже применяется). Они связываются по Wi-Fi с управляющим сервером, передавая и получая данные, в т.ч. конфиденциальные. При появлении в зоне работы мобильных устройств достаточно мощного IoT-прибора с технологией Wi-Fi (например, ретранслятора для IoT-камер) вполне возможно нарушение работы этих устройств.

Головную боль ИБ-специалистов порождает «безликость» Интернет-вещиц. Они, к примеру, идеально подойдут для отслеживания консультантов в здании банковского офиса: на управляющем устройстве видна метка в зоне действия IoT. Когда прибор связывается с управляющим устройством, аутентификация, по сути, не происходит, уникальные пароли и номера приборов пользователю не видны. Он видит лишь типовое название, устанавливаемое производителем.

Слышали про атаку под названием «Дорожное яблоко»? Вполне реально организовать аналогичную с применением IoT. Наблюдаем, какое IoT-устройство использует консультант, покупаем такое же, загружаем в память вредоносный код, незаметно заменяем устройство IoT собственным, выключаем легальное. Через некоторое время консультант обнаружит сбой и «привяжет» подмененное IoT-устройство, внешне не отличающееся от легального.

Если IoT-устройство маркировано надписями или наклейками, можно его ненадолго «позаимствовать», заменить электронную начинку и вернуть на место, организовав столь незатейливым способом канал хищения и передачи информации. Штатно присоединенное IoT-устройство будет идентифицировано как легитимное.

Эта проблематика особенно актуальна для IoT-камер с применением Wi-Fi. Например, если наблюдение в помещениях банка организовано с помощью IoT-камер, достаточно подменить или захватить управляющее ими устройство. В результате удастся получить данные видеонаблюдения, конфиденциальную информацию клиентов (например, их ПИН-коды), а в периоды отсутствия посетителей IoT-камеры можно использовать для организации сетевых атак с применением Wi-Fi.

Кроме того, в память IoT-устройства можно запрятать ссылку на зловредный ресурс. Доступ к памяти с посторонним кодом будет осуществляться с управляющего устройства, а какие-то признаки подмены кода на IoT-приборе обнаружить не удастся. Представьте, что соединение с неизвестным ресурсом устанавливается лишь тогда, когда IoT-прибор находится недалеко от управляющего мобильного устройства. Приблизился сотрудник к офисной кофеварке, и состоялся «посторонний» обмен данными, отошел сотрудник, и обмен прервался.

С точки зрения обращения к сторонним веб-ресурсам IoT получил для удобства потребителей, на мой взгляд, излишнюю самостоятельность. При включении прибора он без «лишних» вопросов через управляющее устройство куда-то быстро обращается за обновлением. И никаких сообщений, что обновление загружается с такого-то ресурса, и никаких запросов о согласии владельца вещицы на обновление!

Кроме того, ПО для IoT разработчики размещают в облачных хранилищах. Если злоумышленник получит доступ к хранилищу и заменит обновляемый код, то подмененный код очень быстро растиражируется на все устройства IoT, загружающие обновления из этого хранилища. Инцидент может получиться «интереснее», чем с WannaCry.

Интеграция IoT с платежной системой

Дать стимул дальнейшему развитию технологии IoT можно лишь при оплате разработок финансовыми монстрами. И диалог крупных платежных систем (Visa, Master Card) с разработчиками IoT-устройств уже идет. Однако даже на начальном этапе видно много проблем:

  • аутентификация владельца средства платежа, скорее всего, будет осуществляться через сканер отпечатков, но его можно скопировать с поверхности прибора и использовать для несанкционированных платежей;
  • определение места хранения платежных реквизитов и возможность несанкционированного доступа к ним. При размещении разработчиками реквизитов в памяти IoT-устройств возможна подмена, к тому же IoT-вещицу можно украсть вместе с этими данными. Если же размещать реквизиты в управляющем устройстве, то нет смысла в объединении IoT и платежной системы. Скорее всего, тогда придется использовать отложенный платеж: заказ размещает IoT-прибор, а оплата проходит при появлении в зоне IoT управляющего устройства (или платеж отправляется по сети Wi-Fi, 3G);
  •  разбор конфликтных ситуаций при несанкционированных платежах. В IoT-устройствах нет проработанного механизма сбора и хранения сведений об обмене данными. Как прописывать разбор конфликтных ситуаций, порядок фиксации протоколов обмена? Просить предъявлять кофеварки и холодильники? Альтернативное решение – хранение протоколов обмена в облаке. Возможно, после интеграции с платежными системами и «начинка» IoT-устройств претерпит изменения, и платежные системы доработают регламенты разбора конфликтных ситуаций.

Каковы варианты защиты денег владельца IoT-устройства? Думаю, на первых этапах развития технологии IoT будут использоваться ограничения разовой/суточной суммы оплаты (впрочем, мошенники смогут проводить несколько платежей в пределах лимита). Кроме того, можно устанавливать ограничительные МСС-коды в зависимости от типов IoT-устройств. Ты кофеварка? Вот и оплачивай только кофе и расходные материалы, а за медиаконтент пусть платит телевизор! Да, настройка разграничения сложна, вероятность ошибок велика, есть вероятность получения мошенником доступа к IoT-устройству и направления платежа на поддельный сервис с нужным MCC-кодом. Но в любом случае это – вариант решения.

Пока реализованных решений для объединения IoT и платежных систем нет, как и способов построения защиты. Мало данных, позволяющих четко понять, что защищать, от чего и как. Но рано или поздно IoT-устройства станут привычными, и такая информация появится. 

Тэги: 
Оцените материал:
Total votes: 12

Другие статьи
Поделиться:
 
 
Комментарии в Facebook
 

Вы сообщаете об ошибке в следующем тексте:
Нажмите кнопку «Сообщить об ошибке», чтобы отправить сообщение. Вы также можете добавить комментарий.