アプリケーションの脆弱性により、IoTデバイスは攻撃を受けやすくなります

この脅威を説明するために、バラクーダ ラボチームは最近、接続されたセキュリティカメラに関する調査を実施し、カメラのウェブアプリとモバイルアプリのエコシステムに複数の脆弱性を特定しました。

• モバイルアプリはサーバー証明書の有効性を無視します
• ウェブアプリのクロスサイトスクリプティング（XSS）
• クラウドサーバーでのファイルトラバーサル
• ユーザーがデバイスの更新リンクを制御する
• デバイスの更新は署名されていません
• デバイスはサーバー証明書の有効性を無視します

チームはこれらの脆弱性を利用して、デバイス自体に直接接続することなく、次の攻撃を実行して資格情報を取得し、IoTデバイスを侵害することができました。

モバイルアプリからの資格情報の取得

攻撃者が侵害されたネットワークまたは敵対的なネットワークを使用してモバイルアプリへのトラフィックを傍受できる場合、攻撃者はユーザーパスワードを簡単に取得できます。仕組みは次のとおりです。

1.被害者は携帯電話で侵害された/敵対的なネットワークに接続します。

2.接続されたカメラアプリは、https経由でベンダーのサーバーに接続しようとします。

3.敵対的/侵害されたネットワークは、攻撃者のサーバーに接続をルーティングします。攻撃者のサーバーは、独自のSSL証明書を使用して、通信をベンダーのサーバーにプロキシします。

4.攻撃者のサーバーは、ユーザーパスワードの無塩のMD5ハッシュを保持するようになりました。

5.攻撃者は、ベンダーのサーバーとアプリの間の通信を改ざんすることもできます。

Webアプリからの資格情報の取得

このタイプの攻撃は、ユーザーが接続されたカメラへのデバイスアクセスを他のユーザーと共有できるようにする機能に依存しています。デバイスを共有するには、受信者はIoTベンダーとの有効なアカウントを持っている必要があり、送信者は受信者のユーザー名（たまたまメールアドレス）を知っている必要があります。

1.攻撃者は、XSSエクスプロイトをデバイス名に埋め込み、そのデバイスを被害者と共有します。

2.被害者がWebアプリを使用して自分のアカウントにログインすると、XSSエクスプロイトが実行され、アクセストークン（Webアプリに変数として保存されている）が攻撃者と共有されます。

3.そのアクセストークンを使用して、攻撃者は被害者のアカウントとそのすべての登録済みデバイスにアクセスできます。

この調査を通じて、Barracuda Labsチームは、デバイス自体に直接接続することなく、IoTデバイス（接続されたカメラ）を危険にさらすことに成功しました。これにより、攻撃者の生活が楽になります。 Shodan でスキャンする必要はもうありません 脆弱なデバイスの場合。

代わりに、攻撃はベンダーのインフラストラクチャに対して実行されます。これは、デバイスがクラウドと通信する方法を利用するため、機能に関係なく、他のタイプのIoTデバイスにも影響を与える可能性がある脅威です。

結局のところ、バグは製品に固有のものではなく、プロセス、スキル、および開発者の認識に固有のものです。 IoTデバイスのアクセスとアクセス制御がクラウドサービスに移行するにつれて、脆弱性も移行し、BarracudaLabsチームによって発見されたタイプの攻撃が可能になりました。

IoTメーカー向けのレッスン

IoTソリューションを作成するベンダーは、それらのデバイスの実行に使用されるアプリケーションのすべての側面を保護する必要があります。 IoTデバイスは、家庭、学校、オフィスに分散されたセンサーであり、攻撃者の潜在的なエントリポイントです。各顧客のネットワークは、サーバーコアと他の顧客への入り口です。

IoTベンダーが導入する必要のある最も重要な保護の1つであるウェブアプリケーションファイアウォールは、レイヤー7でHTTPトラフィックからサーバーを保護するように設計されています。メーカーは、ネットワークレイヤーの攻撃やフィッシングに対する保護も強化する必要があります。

クラウドセキュリティも重要であり、IoTアプリケーションとそれらが実行されるインフラストラクチャの可視性、保護、および修復を提供します。横方向の動きにさらされる可能性は大きく複雑であるため、適切なセキュリティ対策を講じることが重要です。

消費者として身を守る方法

IoTデバイスを購入する場合、消費者は利便性と価格に加えて、セキュリティについても考慮する必要があります。考慮すべきいくつかのヒントを次に示します。

• デバイスメーカーを調査する — IoTデバイスを製造するいくつかの企業は、ソフトウェアのセキュリティを理解しています。ほとんどは、接続されている物理的な製品の製造に専門知識がある既存の企業か、デバイスをできるだけ早く市場に投入しようとしている新興企業のいずれかです。どちらの場合も、適切なソフトウェアとネットワークのセキュリティ対策は見過ごされがちです。
• ベンダーの他のデバイスの既存の脆弱性を探します — 1つのデバイスに脆弱性がある場合、同じ会社の同様の機能を持つ他のデバイスにも脆弱性がある可能性があります。最終的に、安全なデバイスの歴史を持つベンダーは、将来的に安全なデバイスを構築する可能性があります。
• 過去の脆弱性への対応を評価する —ベンダーが脆弱性を報告する人々に対応し、ファームウェアの更新でそれを迅速に解決する場合、それは彼らが作るセキュリティと将来の製品に関する彼らの見通しにとって良い前兆です。

残念ながら、IoTデバイスのセキュリティ体制について入手できる情報の量は驚くほど少ないです。理想的には、自動車と同じように、IoT製品がすべて安全性評価で評価される世界を手に入れる必要があります。消費者は、IoTデバイスに投資する前に通知を受ける必要があります。

このブログの作成者は、バラクーダネットワークスのCTOであるFlemingShiです。