Nuovi regolamenti nel Regno Unito e in California aumentano le poste della sicurezza IoT

2 giorni fa p Robin Mitchell La sicurezza dell'IoT è da anni un argomento di tendenza tra i progettisti e i consumatori. Su AAC, abbiamo anche discusso di alcune piattaforme IoT che mostrano che la sicurezza della casa intelligente non è solo un problema software. Ma recentemente, i funzionari del governo hanno preso parte alla conversazione proponendo e ratificando le leggi che spingono una maggiore sicurezza dell'IoT a livello di software e hardware. Quali governi stanno apportando cambiamenti e in che modo influenzeranno i designer? Diversi anni fa, il governo del Regno Unito ha avvertito che alla fine avrebbero dovuto intervenire e regolare la sicurezza dell'IoT. Mentre il Parlamento non ha ancora approvato alcuna legge, il governo del Regno Unito intende introdurre una nuova serie di regolamenti IoT per i dispositivi IoT di consumo per soddisfare un criterio minimo di sicurezza, consentendo una maggiore sicurezza in questi dispositivi onnipresenti. Ecco le tre proposte sul tavolo: 1) I dispositivi IoT devono avere password univoche e non possono essere ripristinati ai valori predefiniti di fabbrica. Molti dispositivi avranno un'impostazione di fabbrica che imposta il nome utente e la password su un'impostazione predefinita. Un numero allarmante di dispositivi utilizza "admin" e "password" come impostazione predefinita. Ciò che peggiora questo problema è che molti utenti non cambiano questi nomi utente e password predefiniti, motivo per cui gli attaccanti spesso provano e riescono ad accedere a questi dispositivi. 2) I costruttori IoT devono fornire un punto di contatto per i clienti per segnalare rapidamente difetti di sicurezza. Ciò consentirà a un'azienda di rispondere rapidamente alle potenziali minacce e di fornire aggiornamenti ai dispositivi IoT dell'azienda. In effetti, questa funzione consente agli utenti di mettersi in contatto con un professionista che può quindi proteggere gli utenti da potenziali attacchi. 3) Gli sviluppatori IoT devono indicare chiaramente per quanto tempo saranno supportati i loro prodotti IoT e per quanto tempo verranno forniti gli aggiornamenti. Questa proposta garantirà che i clienti siano consapevoli di quanti anni di sicurezza possono aspettarsi dal dispositivo IoT in questione e, pertanto, darà loro un'idea di quando devono sostituirli. Gli aggressori comunemente attaccano hardware non supportato più vecchio, che presenta bug e difetti poiché il prodotto rilasciato non offre più supporto (come Windows 7). La California è un altro esempio di organo di governo che raddoppia la regolamentazione, tranne che queste sono leggi, non proposte. Secondo Deborah A. George della National Law Review, la legge IoT della California: Per determinare la sensibilità di un dispositivo, un produttore deve prima comprendere la natura e la funzione del proprio dispositivo e quindi determinare il tipo di dati raccolti da quel dispositivo. Il progettista deve quindi prendere in considerazione i metodi di protezione per le informazioni raccolte da accesso, distruzione o divulgazione non autorizzati. Il National Law Review spiega inoltre che la legge IoT della California definisce una ragionevole funzionalità di sicurezza in base a due criteri: 1) La password preprogrammata è unica per ogni dispositivo prodotto; o 2) Il dispositivo richiede agli utenti di generare una nuova modalità di autenticazione prima di concedere l'accesso per la prima volta. Questa funzione impedisce nomi utente e password predefiniti che, come spiegato in precedenza, sono un metodo di attacco popolare per i criminali informatici quando accedono all'hardware. In genere, le funzionalità di sicurezza sono implementate sul lato software a meno che un designer non stia cercando di proteggere la proprietà intellettuale. Tuttavia, i regolamenti proposti nel Regno Unito e approvati in California ora spiegheranno la sicurezza dell'hardware per diversi motivi. Il motivo più ovvio è che la sicurezza del software può andare solo così lontano. Secondo Caleb Barlow, CEO della società di consulenza sulla sicurezza informatica CynergisTek, "La sicurezza del software peggiora nel tempo". E, in genere, un processore non ha idea di quale codice stia eseguendo. Un altro motivo è che i dispositivi creati utilizzando hardware sicuro semplificano lo sviluppo di applicazioni sicure. La sicurezza a livello di silicio può fornire una piattaforma affidabile, ovvero quella in cui non è possibile iniettare codice dannoso. Un'ultima ragione è che l'hardware sicuro molto probabilmente renderà più facile la conformità alle leggi sulla sicurezza. Molti progettisti probabilmente sceglieranno l'hardware sicuro come impostazione predefinita di progettazione. Di conseguenza, molto probabilmente i produttori di semiconduttori elimineranno gradualmente i dispositivi non garantiti (quelli che non dispongono di circuiti di sicurezza). Esiste già una serie di SoC sul mercato che incorpora funzionalità di sicurezza, come Arm TrustZone, che sta rapidamente diventando un valore predefinito nei processori basati su Arm. Mentre è chiaro che la sicurezza hardware è una parte sempre più importante dei dispositivi IoT, soprattutto in termini di attacchi informatici che colpiscono i dispositivi elettronici, sembra che gli ingegneri debbano discutere continuamente su come implementare questa sicurezza all'interno dei progetti di circuiti stampati. Cosa ne pensi della legislazione sulla sicurezza dell'IoT? Condividi la tua risposta nei commenti qui sotto.