TU Delft gaat besmette iot-apparaten en botnets in kaart brengen voor overheid

De TU Delft gaat in kaart brengen hoeveel onveilige iot-apparaten er in Nederland met internet verbonden zijn. Bij het onderzoek wordt onder andere gekeken naar hoe makkelijk het is om persoonsgegevens te stelen van Nederlanders.

De overheid wil dat burgers bewuster worden van de gevaren van huishoudelijke apparaten die met internet verbonden worden, zoals koelkasten, televisies of speelgoed. De Technische Universiteit van Delft gaat daarom in opdracht van het Ministerie van Economische Zaken metingen doen naar het aantal onveilige en gehackte apparaten in Nederland, meldt staatssecretaris Mona Keijzer in een brief aan de Tweede Kamer. In die voortgangsrapportage van de Roadmap Digitaal Veilig Hard- en Software staat wat het kabinet wil doen om de veiligheid van iot te verbeteren.

"Steeds meer apparaten, naar verwachting dertig miljard in 2020, zijn verbonden met internet", schrijft Keijzer. Volgens haar levert dat veel risico's op, niet alleen voor het verlies van persoonsgegevens maar ook omdat zulke apparaten ingezet kunnen worden in grote botnets die vervolgens veel schade kunnen toebrengen aan bedrijven. Volgens onderzoek dat het ministerie liet uitvoeren weet één op de vijf consumenten niet hoe apparaten die met internet zijn verbonden te beveiligen zijn.

De TU Delft gaat de apparaten en botnets tot en met 2021 in kaart brengen. Daarnaast gaat het Digital Trust Centre van het ministerie in gesprek met fabrikanten over maatregelen om dergelijke apparaten standaard beter te beveiligen. De overheid begint ook een voorlichtingscampagne om burgers te leren wachtwoorden van iot-apparatuur te veranderen waar mogelijk, en om updates uit te voeren. Daarvoor wordt samengewerkt met het bedrijfsleven. De bevindingen van de TU worden bijvoorbeeld gedeeld met de Vereniging Abuse Information Exchange, een samenwerkingsverband van internetproviders. Het beveiligen van het internet of things was één van de afspraken in het huidige regeerakkoord.

Anderhalve week geleden werd bekend dat de NWO in het kader van de Nationale Wetenschapsagenda subsidie verstrekt voor het project 'An Internet of Secure Things' of Intersect. Dit project wordt geleid door de TU Eindhoven en krijgt 8.227.427 euro voor onderzoek naar het ontwerp, de beveiliging en het beheer van internet-of-things-systemen. Ook bij dit project is de overheid betrokken, evenals universiteiten, bedrijven en maatschappelijke organisaties.

Reacties (91)

[LeonM]

The 's' in IOT stands for security

Ik werk in de security markt, en mijn observatie van IOT apparaten is:
- Geen budget voor security vanuit de fabrikant: veel IOT apparaten zijn geoptimaliseerd voor low-cost en time-to-market
- Geen kennis over security vanuit de fabrikant: plots moeten engineers van een koelkast bedrijf in-house een stuk software bouwen wat aan het internet verbonden is. Hier is vaak weinig ervaring mee.

IOT apparaten hebben vaak geen of beperkte software upgrade mogelijkheden, de meeste redenen hiertoe zijn:
- Hardware kosten, soms hebben de apparaten een read-only memory, of geen hardware support voor firmware updates tijdens runtime.
- De fabrikant heeft geen ervaring met het opzetten van een update supply-chain (update servers, annoucements, geen mechanisme vanuit de app/device om een update te initiëren).
- De fabrikant heeft geen ervaring met het concept dat een apparaat nog jaren lang software support moet krijgen. Een koelkast ontwierp je normaal eenmalig, daarna is het uitsluitend productie. Vaak zie je dus dat er geen resources meer worden besteed aan software support vanaf de productie fase.
- IOT is een buzzword, de meeste IOT bedrijven bestaan maar een paar jaar en verdwijnen daarna, zeker met de goedkopere aziatische producten.

Dan is er nog het gebruikers probleem:
- Consumenten zijn zich niet bewust van de gevaren, of vergeten welke apparaten zijn verbonden met hun wifi
- De software updates (indien supported) hebben geen uniforme routine zoals een app-store, dus je moet elk apparaat in je huis via verschillende apps of interfaces met regelmaat controleren op de aanwezigheid van updates.

Al met al is het een groeiende zorg in de security markt. En de overlast (botnets) zijn al duidelijk merkbaar.

[psychodude]

Het probleem hierin is dat er door overheden te veel achter de feiten aangelopen wordt. Terwijl dit natuurlijk een probleem is wat jaren geleden al aangekaart werd, bij de introductie van het IOT concept werd dit al onderschreven. Inmiddels zitten we dus al bijna op de 30 miljard apparaten, en is er nog steeds geen kwaliteitseis voor dit soort producten.

Dit is natuurlijk al veel te laat voor wat betreft de overlast hierin in de vorm van bijvoorbeeld botnets. Veel van dit soort producten zullen namelijk nog jaren blijven werken als onveilig apparaat. En mensen gaan hun IOT koelkast nu echt niet bepaald de deur uit doen omdat deze als potentieel botnet device gebruikt wordt.

Het zou mij niet verbazen als het gros van deze 30 miljard apparaten pas tegen 2035 - 2040 weer van het internet af is. En met ieder jaar dat passeert zonder dat er strikte eisen wordt gesteld aan dit soort producten, zal dit probleem natuurlijk alleen maar groter worden, nagenoeg alles voor in huis is inmiddels in toenemende mate namelijk vergelijkbaar als IOT apparaat. Koelkasten, wasmachines, drogers, ovens, magnetrons, televisies, verlichting, radio, geluidsinstallaties, stopcontacten en stekkerdozen, radiatoren / CV, cameras, vleesthermometers, friteuses, tandenborstels, toenemende hoeveelheden kinderspeelgoed, etc.

En uiteraard is het lastige dat je geen volledig dekkende internationale wetgeving kunt opstellen, maar wat je wel kunt doen als VS en EU gecombineerd bijvoorbeeld is een kwaliteitseis opstellen waar deze producten aan moeten voldoen waardoor veel fabrikanten eigenlijk wel redelijkerwijs gedwongen worden om hierin mee te gaan, of ze moeten deze hele afzetmarkt kwijtraken. Door het hier op te leggen, is de kans natuurlijk groot dat ze deze zelfde maatregelen ook implementeren in het overige afzetmarkten.

Daarin denk ik dat het o.a. belangrijk is om hierin op te nemen dat de security van dit soort producten door ten minste twee partijen gedragen dient te worden. Gaat de producent failliet of wat dan ook, dan is de verdere beveiliging van dit soort producten in ieder geval verder gewaarborgd. Ook denk ik dat qua eis gesteld zou moeten worden dat security updates voor dit soort IOT apparaten bijna exorbitant lang zou moeten zijn.

Een goede wasmachine gaat tenslotte al gauw 10+ jaar mee. 3 ~ 4 jaar security updates is daarin simpelweg niet afdoende. Een televisie? Ook deze kan toch heel wat jaartjes mee. Zo heb ik thuis nog gewoon een HD Ready scherm van Samsung uit 2007 staan als oudste display, was dit een IOT apparaat geweest, dan hebben we dus een apparaat met een levensduur van ook al weer minimaal 13 jaar. Het op een na oudste TV toestel is ook al weer 11 jaar oud. Dit soort apparatuur gaat tenslotte nauwelijks kapot. Je kunt het eerder vervangen, maar vaak verdwijnt zo'n apparaat dan toch bijvoorbeeld naar een slaapkamer en leeft het voort.

Wil je echt de levensduur van 95% van dit soort apparaten van security updates kunnen voorzien, dan denk ik dat je er niet onderuit komt om zo'n 15 - 20 jaar security updates te leveren.

En waar met desktop systemen, smartphones, etc. het probleem hier nog wel eens bij de consument wordt neergelegd. Korte termijn van security updates? Tsja, pech, moet je maar upgraden. Gaat deze vlieger voor dit soort IOT apparaten natuurlijk slecht op. Het zal veel consumenten namelijk worst wezen. Maar het is juist de maatschappij in bredere zin welk hier slachtoffer van kan worden. De 30 miljard apparaten in 2020 is namelijk 1 ding, in 2025 is dit eerder ook al geschat op een verwachte 75 miljard. En voor 2030 lopen schattingen die ik ben tegengekomen uiteen tussen de circa 125 en 200 miljard. En het einde is daarmee nog lang niet in zicht.

[Sissors]

Een goede wasmachine gaat tenslotte al gauw 10+ jaar mee. 3 ~ 4 jaar security updates is daarin simpelweg niet afdoende.

Voor mij is dit wel dubbel. Aan de ene kant moet je het lang blijven supporten inderdaad, want het kan zeker dat er nieuwe exploits komen over 10 jaar die we nu nog totaal niet hadden bedacht. Tegelijk zit denk ik toch ook wel een significant gedeelte van het probleem aan de IT kant: Voor de gemiddelde IT'er is er geen enkele reden om first-time-right code te leveren voor een product. Immers er gaan toch wel patches komen. Daarom heb je nu ook al bij software patches die op de release dag uitkomen. Spellen waren bijvoorbeeld vroeger ook echt niet bug vrij, maar volgens mij was het aantal bugs wel veel minder. Complexiteit zal daar zeker een onderdeel van zijn, maar het gemak van denken dat er toch wel een update kan komen zal denk ik ook meespelen. Oftewel wat ik wil zeggen: 3-4 jaar security updates is wel genoeg als er niet zoveel bugs in code gestopt worden.

En als we het bijvoorbeeld over een slimme wasmachine hebben, die hoeft alleen berichtje te pushen dat de was klaar is, of hij onderhoud nodig heeft. Oftewel je hebt een fatsoenlijke netwerkstack nodig, maar de rest is redelijk triviaal. En die stack moet je dan niet zelf willen maken.

[lenwar]

Wat mij betreft is er niks 'dubbel' aan. Je ziet heel vaak dat de 'slimme apparaten' een één of andere mini-Linux/Android meekrijgen met daarop een applicatie die dan de functie van het 'slimme gedeelte' oppakken, maar onvoldoende worden geminimaliseerd waardoor je apparaat dus onnodig potentiële exploits kan hebben.

En in het geval van die wasmachine gaat het natuurlijk wel wat verder. Hij moet ook in te stellen zijn (de hoeveelheid wasmiddel hij toevoegd, de hoeveelheid water, hoe vaak hij spoelt, blablabla. Als je een app hebt wil je natuurlijk wel wat meer dan alleen maar een push-bericht.

Ik ben zelf van mening dat het in wetgeving opgenomen moet worden dat een apparaat minimaal gedurende de verwachtte levensduur beveiligingsupdates moet krijgen. (dus voor een wasmachine minimaal 10-15 jaar?)

[Sissors]

Wat jij beschrijft is exact één van mijn problemen. Dat ding moet wat push berichten kunnen sturen, en ook nog wat simpele commando's ontvangen. Een Linux/Android mini-computer daarvoor is gigantische overkill. Een microcontroller kan zulk soort zaken probleemloos afhandelen, en dan is het dus veel verder geminimalizeerd, en dus veel minder opties voor exploits.

Overigens wat ik me afvraag als niet IT'er: In hoeverre helpt ook het hele Agile gebeuren mee aan een hoop bugs hebben? Immers als ik Agile goed begrijp, ga je dan steeds in korte cycli dingen verbeteren, waarbij het hoofdidee is dat er aan het eind van elke cyclus weer een werkend programma is. Maar behalve dat ik me dan kan voorstellen dat dingen die je hebt afgesneden om het maar voor die ene cyclus werkende te krijgen nooit fatsoenlijk meer worden gemaakt*, kan ik me ook goed voorstellen dat als alles werkt, management het wel mooi geweest vindt. Releasen die hap, en aan het volgende project gaan maken. Ook al zou er best nog een paar maanden aan kwaliteit gewerkt kunnen worden.

* In mijn beroep is het doel veel meer direct iets te maken wat aan alle eisen voldoet. En daar weet ik prima dat als ik nu een lelijke oplossing maak, en die werkt, dan als er een volgende versie komt gaat die lelijke oplossing echt niet meer eruit worden gehaald zonder hele goede redenen, het werkt immers.

[R4gnax]

Overigens wat ik me afvraag als niet IT'er: In hoeverre helpt ook het hele Agile gebeuren mee aan een hoop bugs hebben? Immers als ik Agile goed begrijp, ga je dan steeds in korte cycli dingen verbeteren, waarbij het hoofdidee is dat er aan het eind van elke cyclus weer een werkend programma is. Maar behalve dat ik me dan kan voorstellen dat dingen die je hebt afgesneden om het maar voor die ene cyclus werkende te krijgen nooit fatsoenlijk meer worden gemaakt*, kan ik me ook goed voorstellen dat als alles werkt, management het wel mooi geweest vindt. Releasen die hap, en aan het volgende project gaan maken. Ook al zou er best nog een paar maanden aan kwaliteit gewerkt kunnen worden.

Je slaat de spijker op de kop.

Het idee achter een Agile ontwikkel-proces is op zich juist: een iteratief proces wat middels kleine stappen steeds zaken verbetert. Maar dat verbeteren moet je zien in de zin van: elke oplevering voegt waarde toe, en niet in de zin van: elke oplevering lost eerder bewust nagelaten fouten op. Kern is namelijk nog steeds dat wat je oplevert altijd streeft functioneel correct te zijn.

Dat wil zeggen dat je dus een feature werkend kunt opleveren, of (nog) niet kunt opleveren. Maar je kunt niet een feature bewust half-werkend en vol met bugs opleveren. (En je kunt het zeker niet vanaf dat punt maar op z'n beloop laten gaan en onopgelost laten.)

Jammer genoeg is het zo dat voornamelijk vanuit middle-management Agile omgebogen wordt in een gedrocht wat misbruikt wordt om zo goedkoop mogelijk iets in elkaar te draaien en weg te zetten. Iets wat er in een demo-tje naar de koper goed genoeg uit ziet; en "fuck it; de rest fixen we wel onder het onderhoudscontract."


Bij andere organisaties ligt de problematiek wellicht ook ten dele aan het werken op basis van afgebakende projecten van vaste duur.

Aan het einde van het traject van een project trekt iedereen z'n handen van de opgeleverde zaken af; vertrekt men richting andere projecten; en belandt het gefabriceerde misbaksel in de schoot van een lange-termijn-onderhoudsteam, wat geen kennis van zaken heeft en wat op een flinterdun budget moet opereren. Zo'n project-stijl komt het resultaat uiteraard niet ten goede.

Men moet veel meer denken in lange-termijn producten en het uit-ontwikkelen daarvan door teams met een vaste kern die de ervaring en kennis van de codebase en het probleemdomein op een constant en kwalitatief hoog niveau houdt.

[Reactie gewijzigd door R4gnax op 23 juli 2024 08:58]

[makato2003]

Een van de grootste problemen met scrum/agile is gebrek aan architectuur, oftetewel samenhang en consistency. Het ontwikkelmodel staat de gemiddelde ontwikkelaar toe 'maar wat an te rommelen' om het werkend te krijgen. Je moet zwaar inzetten op review, maar dat wordt vaak niet gedaan. Test driven development is ook een mogelijkheid die te beperkt wordt ingezet. Kortom, software engineering is vaak nog steeds zolderkamer hacken ipv engineering waar je op basis van ervaring doorontwikkeld.
Het is tegenwoordig amper een prototype dat wordt opgele erd. Waarom doen bedrijven dan scrum/agile? Subsidie en dan hebben we het over serieus geld. De oberheid veroorzaakt een groot del van het probleem zelf hierdoor. Hetzlefde als subside voor elektrische autos van 100000 euro. Autofabrikanten spelen daarop in, maar we schieten het doel daarme wel voorbij, hetzlfde gedlt voor subsidie voor scrum/agile.

[Dreamvoid]

Daar hoef je geen ingewikkelde theorieen voor te bedenken, de nummer 1 reden dat bedrijven zo graag agile werken is dat ze het helemaal zat zijn dat projectteams maar doorwerken en doorwerken en features toevoegen enzovoort zonder ooit een product af te leveren dat werkt of uberhaupt maar lijkt op wat de business wilde. Maar goed, alles komt met nadelen, zo ook agile, waar je functioneel werkende maar ongestructureerde code mee krijgt.

[Dreamvoid]

Probleem is, met diezelfde 'fatsoenlijke netwerkstack' aan boord kan je heel wat DDoS en spambot activiteit uitvoeren. Als je wasmachine eenmaal gehacked is, trekt hij willekeurig wat aan malware naar binnen, dat blijft niet bij enkel de software die berichtjes pusht dat de was klaar is.

[exorbitex]

Het probleem hierin is dat er door overheden te veel achter de feiten aangelopen wordt. Terwijl dit natuurlijk een probleem is wat jaren geleden al aangekaart werd, bij de introductie van het IOT concept werd dit al onderschreven.
Meh, beetje nodeloos overheid bashen dit.
De mensen bij de overheid zijn echt niet achterlijk. Echter hebben die ook een hun prio's en hun backlog. Een probleem dat niet echt een probleem is daar ga je geen regeltjes voor verzinnen. Anders krijg je gezeur dat de overheid zicht niet met de juiste zaken bezighoudt.
We willen ook niet dat er teveel regeltjes zijn die innovatie tegenhouden, dus wil je als overheid ook innovatie een kans geven en het niet gelijk plat drukken met regels. Anders krijg je gezeur dat de overheid innovatie tegenhoudt.
Het maken van regeltjes die voor iedereen duidelijk, toepasbaar, niet discriminatoir en nog een hoop andere requirements is niet iets wat je van de ene op de andere dag doet. Anders krijg je gezeur dat de regels niet werkbaar zijn of in het voordeel van 1 speler.

Het maken van goede regeltjes is een zorgvuldig proces.

[K-aroq]

Het probleem hierin is dat er door overheden te veel achter de feiten aangelopen wordt.

Ja, maar je moet je ook afvragen of de overheid direct met allerlei regelgeving moet komen. In principe wil je zo min mogelijk regels. Pas als het niet zonder kan, moet de overheid de kaders gaan stellen. Historisch gezien is dat nooit anders geweest. Heel lang geleden mocht je mensen doden. Op een gegeven moment vond men dat het toch wel handig was om daar wat regels voor op te stellen.

[laptopleon]

Daarin denk ik dat het o.a. belangrijk is om hierin op te nemen dat de security van dit soort producten door ten minste twee partijen gedragen dient te worden. Gaat de producent failliet of wat dan ook, dan is de verdere beveiliging van dit soort producten in ieder geval verder gewaarborgd.

Ik vrees dat dit nauwelijks zal helpen. Alleen updates uitbrengen is niet genoeg, want dan maakt het overgebleven bedrijf zich er met een Jantje van Leiden vanaf. Sowieso: wat als beide bedrijven stoppen? Een ‘weduwbedrijf’ zal niet snel een ‘nieuw partnerbedrijf’ vinden want andere bedrijven zullen liever samenwerken met een bedrijf zonder zulke bagage.

Realistischer is het, om eisen te stellen als: volgen van DIN-normen, een keurmerk via centrale, onafhankelijke, gespecialiseerde organisatie en een aansluiting bij een garantiefonds, zoals in andere branches.

Er zijn ook best wel oplossingen te bedenken, zoals dat het apparaat moet werken met een certificaat, net als bij SSL. Dus dat modems alleen dataverkeer toestaan bij gebruik van zo’n certificaat wat elk jaar verlengd moet worden.

[laptopleon]

Laat landen gewoon hun eigen normen vaststellen voor IoT apparaten. Niet gebaseerd op wat bedrijven maken, maar wat aanvaardbaar is voor de burgers.

Landen komen net zo goed pas in beweging als er een groot probleem is. Er moet eerst een Stint verongelukken voor die brakke zooi van de markt gehaald werd en zo gaat het zo vaak. Dan blijkt dat er al jaren broddelwerk verkocht werd en dat het toezicht al jaren tekort schoot etc.

Producten die daar niet aan voldoen van de markt halen. Dan blijft producenten al snel niets over dan dingen maken die aan de strengste normen voldoen. Vinden ze een land te streng, dan ontstaat daar een bloeiende lokale industrie.

Vinden ze een land te streng, dan richten ze zich eerst op de makkelijke markten. Geen fabrikant die speciaal voor Nederland een slimme koelkast op maat gaat maken. Dan wordt het gewoon dezelfde koelkast zonder de slimme module. Bloeiende lokale industrie -> Wat denk je dat een in Nederland ontworpen en gefabriceerde koelkast gaat kosten? Als dat zo goed zou werken, waarom besteedt de complete westerse wereld dit dan uit aan het Oostblok en Azië?

Men doet altijd maar alsof deze zaken heel moeilijk liggen, maar dat valt reuze mee. Moeilijk is om alle landen op een lijn te krijgen omdat dat er dan allerlei "grote belangen" een rol gaan spelen die niets met de veiligheid van de burger te maken hebben.

Het duurt al jaren om een vergunning voor een camping te krijgen bij gemeente / provincie. Dus laten we nou niet doen alsof je op landelijk, laat staan Europees niveau 'even' iets regelt.

Worden we overvallen door IoT welnee, dit zag je vijf jaar geleden toch al aankomen toen men het idee ging hypen.

Sterker nog, het 'slimme koelkast-verhaal' is al zo oud dat ik me niet eens kan herinneren wanneer ik het voor het eerst hoorde. Jaren tachtig. Maar dat is nog wat anders dan er wat mee doen qua regelgeving, zeker zolang het er nog niet eens is.

Als de veiligheid op de PC en mobiele apparaten niet goed voor elkaar is,

De schade door pakweg ongelukken in het verkeer is groter (8 à 10 miljard). Met het verkeer zijn we al veel langer bezig dan met computers. Dergelijke complexe zaken worden nooit 'perfect'. Moet je auto's dan maar verbieden zolang er doden mee vallen? Roken kost 33 miljard per jaar, alleen al in Nederland en toch is dat nog steeds niet verboden.

hoe kan je dan hopen dat IoT beter wordt, door het aan de markt over te laten?

Het aan politici overlaten, die er nog veel minder vanaf weten is beter? Valt in de praktijk ook vaak tegen. Bovendien werken ze vaak samen. Kijk maar naar Schiphol. De minister wringt zich in onmogelijke bochten om de luchtvaart maar te stimuleren, omdat het geld oplevert, terwijl Nederland zelf lang zo'n groot vliegveld niet nodig heeft en de gevolgen voor onze gezondheid niet mals zijn.

Ik zal een een voorspelling doen. Als er echt een breuk komt tussen het Westen en China en andere landen, dan zal er een hele andere wind gaan waaien.

Er is al een breuk, als je het zo wil noemen. De kloof tussen het Westen en China is wat kleiner geworden de laatste decennia, maar veel groter kon het ook niet.

Dan zullen beide blokken meer prioriteit gaan geven aan veiligheid.

Waarom zouden ze daarmee wachten tot een politieke breuk? Sowieso sturen overheden zelden R&D op dit niveau. China heeft overigens heel andere ideeën over veiligheid en privacy dan burgers, dus heel andere behoeften.

Het blok dat het eerst systemen weet te maken die veilig zijn heeft dan een groot voordeel.

Dat is altijd al zo geweest, als je het militair-strategisch bekijkt. De vraag is hoe erg het is als je koelkast gehackt wordt. Zolang je zelf eerst akkoord moet gaan voor hij 1.000 pakken melkpoeder bestelt en laat bezorgen op een adres in China, valt het probleem te overzien. Aangezien je je financiën altijd nog zelf onder controle hebt, ben ik er niet zo bang voor.

Volgens mij is het dan een groot voordeel als je niet van allerlei internationale systemen afhankelijk bent die gebaseerd zijn op old-tech.

Je borduurt altijd voort op bestaande techniek. Waarom ook niet? 220 Volt wisselstroom voor thuis zou nu misschien anders ontworpen worden, maar het is een bruikbare, breed gedragen standaard in Europa.

We zitten nog steeds te werken met processoren die kwetsbaar zijn voor bufferoverflows, internet dat nooit ontworpen is om veilig te zijn, en daar blijven we maar op voortbouwen.

Nu praat je alsof dat old-tech is. Die processoren zijn van de nieuwste ontwerpen. Wat noem je dan níet old-tech?

Een land als China zou een groot voordeel kunnen bereiken door een betere infrastuctuur op te bouwen die veiliger is. Op den duur wordt dat dan ook een fantastische exportproduct, want de problemen van onze systenen gaan ons vroeg of laat compleet boven het hoofd groeien.

China heeft als voordeel dat er vaak nog nauwelijks wat is (geweest), dus ze slaan de eerste stap (wij begonnen met een gasfabriekje in elk dorp) over en bouwen gelijk een kolencentrale. Trams en hoofdwegen in de stad slaan ze gewoon over, ze bouwen gelijk een metro. Kunnen ze ook snel doen, want de overheid onteigend gewoon een stuk grond wat ze geschikt vinden en bezwaarprocedures etc doen ze daar niet aan! Wil jij zo'n overheid? Ik denk het niet.

Maar tot nu toe zijn ze vooral aan het kopieren wat het Westen al uitgevogeld heeft. Ze bouwen een Nederlands ontwerp 'schone' kolencentrales. Een Nederlander ontwerpt daar metrolijnen.

Ik zeg niet dat ze niets zelf ontwikkelen maar tot nu toe heeft iOS en Android nog geen Chinese concurrent en Huawei komt er pas mee nu het echt niet anders kan.

Dat zie je nu al. Maar wij zijn daar ook verslaafd aan. Want hoe meer problemen een systeem geeft, hoe meer de industrie erop kan verdienen. Net zoals de Big Pharma ook meer verdient aan zieke dan gezonde mensen. In het roofkapitalisme is er niet echt een incentive om problemen blijvend op te lossen, maar eerder om ze in stand te houden of vervangen door nieuwe problemen.

Als je roken verbiedt, gaan mensen aan wat anders dood. Zo zwartgallig kun je alles ook bekijken natuurlijk

[Reactie gewijzigd door laptopleon op 23 juli 2024 08:58]

[bbob]

Exact om die reden als ik ze al aan het internet aansluit dan op apart extern ip adres. Telenet in België met modem only maakt het mogelijk tot 8 dynamische ip adressen te hebben. Voordeel is dat tv dan wel netflix kan kijken, mocht die tv probleem hebben dan kunnen ze tenminste niet op de rest van het interne netwerk komen.

[psychodude]

Hiermee los je het probleem echter niet op. Het probleem van dit soort IOT apparaten zit hem er niet in dat jouw lokale netwerk onveilig wordt. Ja, dit is een persoonlijk probleem. Maar zelfs met dit in acht nemende, is de kans uitermate klein dat jij hier als individu hinder van gaat ondervinden. Overigens, ook al heeft het een apart extern IP adres, moet het apparaat op het interne netwerk ook daadwerkelijk los staan van de rest van je eigen interne netwerk wil dit ook maar iets uitmaken.

Het probleem is echter dat al dit soort onveilige apparaten nog steeds ingezet kunnen worden voor bijvoorbeeld botnets, voor het verspreiden van virussen, trojans, cryptolockers, etc. En we hebben het hierbij niet over een klein aantal apparaten, maar op dit moment alleen al tientallen dan wel honderden miljoenen onveilige apparaten. Een aantal dat zonder verandering tot in de miljarden zal gaan groeien. Hiermee zullen de huidige bekende grootste botnets in aantal kunnen gaan doen verbleken. Hiermee uiteraard alle problemen van dien. Waarbij nog wel het grootste probleem, deze botnets zullen bovendien vrijwel onmogelijk zijn om uit te schakelen, want geen security updates.

[Dreamvoid]

Het concept van een 'veilig' LAN en een 'onveilig' WAN zijn we allang voorbij, je interne devices moeten gewoon net zo gehard ten opzichte van elkaar zijn als versus het internet.

Verder zo snel mogelijk van NAT af raken (hoera IPv6!), zodat het duidelijk wordt voor je ISP welk device op je LAN meedoet aan een botnet -> dan kan de ISP specifieke IoT devices tijdelijk van het internet afsluiten, en de gebruiker een bericht sturen. Nu met NAT kan dat allemaal niet, je hebt naar buiten maar 1 device (je router) en heeft een ISP alleen de 'nuclear option' om je complete aansluiting dicht te gooien, wat ze niet doen, dat kost klanten.

[batjes]

Telfort sloot je gewoon af als je onderdeel was van een botnet. Echt apart dat dit niet meer het geval is.

[Dreamvoid]

Het probleem is dat je met niet-technische users werkt die geen idee hebben hoe ze moeten identificeren welk device nou besmet is. Als de slimme thermostaat van oma is gehacked, en Telfort (of KPN, noem maar wat) gooit haar volledige verbinding dicht met een brief: "ergens op uw LAN zit een bot, fix het, tot die tijd geen internet" dan gaat oma er waarschijnlijk geen bal van snappen, switcht naar Ziggo, en zo gaat het circus verder.

Met IPv6 kan je iig als ISP wat meer granulair actie nemen, door enkel het IPv6 adres van de bron van alle botnet verkeer tijdelijk te blokkeren (en de eigenaar informeren), zodat in elk geval de rest blijft werken.

[Reactie gewijzigd door Dreamvoid op 23 juli 2024 08:58]

[batjes]

Telfort had het simpel. Huur maar iemand in om het op te ruimen. Je mocht het zelf niet eens opruimen. Of naja met wat moeite konden ze je de eerste keer wel op goed vertrouwen weer aansluiten.

Als alle providers dit zouden doen, heeft overstappen geen zin meer. Zal ook wel de reden zijn dat providers er mee gekapt zijn.

[Dreamvoid]

Dan zal je daar wetgeving voor moeten opzetten, niemand gaat dit op eigen houtje doen, helaas. Tenzij ISP's verantwoordelijk gehouden gaan worden op DDoS schade aangericht door hun klanten

[Reactie gewijzigd door Dreamvoid op 23 juli 2024 08:58]

[sjettepetJR.]

eigenlijk is dit ook helemaal geen vreemde aanpak. om het, zoals altijd, maar weer eens met auto's te vergelijken; als jouw auto niet voldoet aan de veiligheid eisen, mag je niet de weg op. anders vorm je niet alleen voor jezelf een gevaar, maar ook voor de andere weggebruikers.

het internet is niet heel anders dan dat. als jouw apparaten niet voldoende beveiligd zijn en zodoende een gevaar vormen voor andere consumenten/bedrijven, waarom mag je dan wel gebruik maken van het internet?

het lastige is wel bijvoorbeeld dat het voor de consument (en bedrijven) niet mogelijk is om alles 100% veilig te hebben. het is dus wanneer jouw netwerk gebruikt is bij een aanval, moeilijk te bepalen of jij hier schuldig aan bent.

ik zie nog niet helemaal hoe dit wettelijk gedaan moet worden. het beste idee wat ik tot nu toe kon bedenken is dat een overheids instantie een database maakt van goedgekeurde apparaten. waarbij de consument niet schuldig is als er met dat apparaat een aanval gedaan wordt.

[batjes]

Ik was sinds ik erachter kwam enorm voorstander van dat systeem van Telfort.

Telfort routeerde ook al je verkeer netjes naar een afvang server waar het op poort 80 een mooie reden liet zien waarom je afgesloten was en wat je hier aan kon doen.

[mae-t.net]

Bij XS4ALL kwam het daar ook op neer, al mocht je het bij gods gratie ook wel zelf opruimen. Zo kun je iemand ook best dossen.

[sympa]

Wat denk je van security 'in-depth'? Een firewall voor je IoT-spullen. Dat kan een IP firewall zijn, maar ook iets als een Hue hub (protocolomzetter).

[hamsteg]

Het is altijd een afweging van kosten en baten. De vraag is niet zozeer de pure security, de vraag is welke apparaten een fundamenteel risico vormen.

Je mag rustig mijn omvormer uitlezen, het verkeer is één richting, ben je heel goed dan sloop je de database maar je krijgt de elektrische functionaliteit niet omver. Bij lampen aansturing als de Hue is het heel vervelend maar daar kan je ook niets kapot maken. Heel vroeger gingen wij ook wel de huizen langs met een afstandsbediening om TV's uit te zetten of op een andere zender. Ik vind dat geen security issue.

CV, magnetron, koffie aan/uit zetten dan wordt het voor mij wel een security issue. Wat gebeurt er als ik de magnetron een hele dag weet aan te krijgen, de CV op 80 graden weet te krijgen of koffie weet droog te laten koken. Hier kan fundamentele schade optreden en dat raakt in mijn ogen wel de security zoals bedoeld in dit artikel.

Puristen willen alles beveiligd hebben maar dat deden we vroeger ook niet. Normale post ging in de brievenbus en kwam bijna altijd aan (soms ook niet), wilde je echt zekerheid dan voegde je track-en-trace toe. Die beoordeling moet nu ook gemaakt worden.

Voor apparaten die risico vormen, ben ik het eens met je opsomming.

[LeonM]

Het doel van de aanvaller is niet om de functionaliteit van het apparaat te verstoren (want, wat hebben zij daar aan?), en ook de informatie op de apparaten is vaak niet heel interessant voor de aanvaller.

Het probleem is bijna altijd dat deze apparaten een botnet vormen waarmee DDoS'es of spam netwerken worden gemaakt.

Een hacker is niet een knulletje op een zolderkamer die een grap wilt uithalen, het zijn gedreven individuelen of organisaties met een financieel motief. Botnets zijn geld waard.

[hamsteg]

Klopt, maar dit is een fundamenteel probleem van het internetprotocol en niet van de apparaten die er aan hangen. Dat we de oplossing neerleggen bij de apparaten die eraan verbonden zijn is een pleister en zoals aangegeven moeten daar regelmatig nieuwe pleisters op en dan blijken sommige pleisters los te laten, niet geplakt te zijn en begint de zooi te etteren ... hogere security op de apparaten is niet niet de oplossing, je zult altijd achter de feiten aan lopen, je moet voorkomen dat het zin heeft om botnets op deze manier te gebruiken.

[lenwar]

Daar ben ik het 100% niet mee eens.

Er zijn maar zoveel manieren om een apparaat via het internet via je telefoon te kunnen bedienen. Op een gegeven moment zit je vast aan IP. Als ik als hardwarefabrikant er echter voor kies om een één of andere mini-Linux als OS op een slimme broodrooster te zetten en daar een tooltje op laat draaien waarmee je hem kan bedienen, dan is dat in de basis niet een heel slecht ontwerp.

Echter: Als ik die Mini-Linux-distro niet minimaliseer, omdat dat teveel tijd/geld/energie kost, of omdat ik er domweg niet aan denk (want ik ben een broodroosterappmaker en niet een OS-ontwikkelaar en het ontwerp mag niet te duur worden), dan zitten er natuurlijk gigantisch veel potentiële gaten in.

Je krijgt uiteraard nooit alles 100% veilig, maar je kan in elk geval beginnen met het minimaliseren van het OS in je apparaten.

Het probleem is, wat mij betreft net zo min IP als dat bij auto-ongelukken asfalt (als medium) onveilig is.

[hamsteg]

Het medium moet wel goed zijn ingericht. Bij jouw voorbeeld zijn alle voertuigen in principe uniek herkenbaar en dat is precies waar het op het internet fout gaat. De initiator van een verbinding kan op dit moment niet worden gevalideerd. In jouw voorbeeld rijden er ineens auto`s zonder kenteken tegen het verkeer in en veroorzaken een denial of driving. Op het medium asvalt rijden gelukkig ook nog eens politieautos die de autos zonder kenteken weer van de weg halen omdat ze illegaal zijn. Firewalls zijn op dit moment niet in staat de illegale pakketjes er uit te filteren ( met aannames en intelligentie zijn daar wel stappen te zetten).

Je kunt alle toe- en afritten helemaal dicht gaan timmeren met poortcontroles, wegversmallingen of zelfs auto-tournikettes en alle uitdagingen en kosten van dien of je gaat er voor zorgen dat de inrichting van het internet een structureel betere invulling krijgt zodat illegale pakketjes herkenbaar zijn.

[F-I-X]

Het doel van de aanvaller is niet om de functionaliteit van het apparaat te verstoren (want, wat hebben zij daar aan?)

Ik weet niet in welke wereld jij leeft maar er zijn genoeg voorbeelden voor incidenten die beginnen "voor de lol". Zeker als het, net als nu al met DDOS, er kant-en klare tools komen die havok kunnen spelen in meeste huishoudens. Alleen al een georganiseerde aanval op HUE bridges is natuurlijk voor genoeg mensen een "leuk" publiciteit stuntje. En dan komen ze er meestal ook nog mee weg met een tik op de vingers.

Ik zou het nut dus niet onderschatten.

[Psycho_Mantis]

Zonnepaneel omvormers kunnen meestal niet enkel uitgelezen worden, maar daarin kunnen ook configuraties aangepast worden. Ik ben geen expert, maar volgens mij zijn er wel instellingen die de boel kunnen slopen.
Volgens mij zijn er ook exploits bekend bij sommige omvormers.

[Dreamvoid]

En het gaat ook niet om wat zo'n omvormer standaard kan, maar eenmaal gehacked gaat-ie heel wat anders doen dan enkel wat stroom meetdata doorsturen, hij gaat meedoen aan spamruns en DDoS aanvallen.

[memphis]

Mijn 1e vraag is of de TU wel goede hackers heeft want je moet soms een goede hacker zijn om ergens binnen te komen. Aan de andere kant als een script-kiddie erin kan komen mag je wel stellen dat het apparaat onveilig is.

[LeonM]

Er hoeft maar 1 hacker te zijn die een exploit schrijft (en verkoopt) en dan zijn er tienduizenden of zelfs miljoenen apparaten vatbaar voor de aanval. De kans is zeer, zeer klein dat deze apparaten ooit gepatched gaan worden dus deze apparaten zullen jaren lang onderdeel blijven van een botnet welke veel overlast veroorzaakt.

De TU gaat de apparaten niet individueel proberen te 'hacken', dat heeft geen nut. Ze zullen vooral kijken naar de software upgradability en best practices.

[henk1994]

Van wat ik vanochtend bij BNR hoorde is het idee dat ze een honeypot opzetten, een server inrichten die zich voordoet als een apparaat. Vervolgens kijken ze welke aanvallen daarop worden uitgevoerd, en als ze 'gehackt' zijn willen ze van binnenuit kijken welke apparaten er geïnfecteerd zijn. Het is niet zo dat ze zelf actief apparaten gaan hacken. Zie https://www.bnr.nl/podcas...ngs-apparaten-controleren

[lenwar]

Je verwoord mijn mening compleet. Het kan alleen nog worden aangevuld met dat menig witgoedfabrikant wel degelijk de mensen in huis heeft, maar er domweg geen prioriteit aan geeft (want kostenpost). Een bedrijf als Samsung heeft prima slimme programmeurs en beveiligingsexperts in huis, ze hebben degelijke kennis van backend systemen e.d.
Echter. Als je 'smart-TV' 4-5 jaar oud is, en het apparaat eigenlijk nog 100% functioneel is, ontvangt hij geen beveiligingsupdates meer. Een bedrijf als Samsung heeft hier absoluut 0 excuus voor. (anders dan interne budgetering)

N.B. Ik pak nu Samsung als voorbeeld, maar er zijn er natuurlijk nog een hele vracht.
Ik ben dan ook van mening, dat ALS het al per sé via internet te bedienen moet kunnen zijn, dat het minimaal 'ook lokaal' te bedienen moet kunnen zijn (als in, via je eigen LAN - Niet zoals mijn Dyson luchtreinigers, die altijd via internet bediend worden. Dyson had een keer een storing aan hunt kant, en ik kon m'n luchtreiniger in m'n eigen huis niet meer bedienen via de app. Philips Hue of Athom Homey doen het prima zonder internet. Ik noem dit 'sloppy design')

Blijkbaar is er noodzaak gekomen dat er wetgeving komt dat alle 'slimme' apparaten altijd lokaal in je netwerk te bedienen moeten zijn en binnen hun maximale verwachtte levensduur (na de laatste levering aan winkels) (tv ongeveer 10-15 jaar, wasmachine 10 jaar, enz.) beveiligingsupdates moeten ontvangen. Bij voorkeur met terugwerkende kracht.

Nog een geinig extraatje over mijn Samsung wasmachine. Die KON ik dus niet meer van m'n wifi afhalen. Ik had hem op m'n wifi aangesloten om te kijken wat ik met die app kon. In de praktijk bleek de app te moeten draaien voordat er pushberichten aankwamen. Hier had ik dus niks aan. Toen wilde ik m'n wasmachine weer van de wifi afhalen. Die optie was er dus niet. Uiteindelijk heb ik maar een nieuwe SSID aangemaakt, hem daar op gezet (ik kon wel van netwerk wisselen alleen niet verwijderen) en daarna het SSID verwijderd (en voor het geval het MAC adres in m'n access point geblokkeerd)

[Verwijderd]

Ik ben van mening dat alle apparatuur die aan internet wordt aangesloten wordt een vergunning moet krijgen. Daarbij moet er per apparaat (afhankelijk van diens soort) een audit plaatsvinden door de overheid of een onafhankelijk organisatie, die op zaken checkt als achterdeurtjes, beveiligingsupdates etc.
Als de producent van de apparaat niet kan aantonen dat zijn apparaat technisch in orde is en aan eisen voldoet, mag de apparaat pakweg niet in de markt verkocht worden en zelfs geen netwerkverbinding mogen krijgen.

[RoestVrijStaal]

Vergunning is leuk, maar hoe valt dat te controleren?

Niet buiten de deur iig. Een MAC-adres en "user-agent" zijn te klonen. Veel (Gast)WiFi-netwerken hebben een simpele wachtwoord.

En wil je je WiFi-wachtwoord van het netwerk waar je apparaat aan hangt wel toevertrouwen aan de overheid? Ook al is het zodat ze kunnen controleren dat de apparatuur die je aan internet verbonden hebt allemaal een vergunning hebben ?

[Verwijderd]

Helemaal mee eens en wellicht moet er voor zaken zoals IoT wel een nieuwe architectuur van de Internet Protocol komen. Daarbij kan de oude standaard wel blijven bestaan voor webite en e-mail. Voor thuisapparatuur hebben wel denk ik een nieuwe standaard nodig.

[Omega]

IOT, gewoon niet aan beginnen mensen. Je magnetron heeft geen internet verbinding nodig. Geen smart-locks gewoon mechanische sloten etc..

Het mag dan wel allemaal mooi en modern zijn maar dit spul is gewoon ongelooflijk gevaarlijk, deels omdat de gebruiker geen kennis heeft van IT security en deels omdat er door de ontwikkelaars van deze SMART devices zeer weinig word gedaan op het security front.

Het moment dat onze SMART-verlichting DDoS aanvallen begint uit te voeren is het moment dat ik vindt dat we te ver zijn gegaan.

[Tukkertje-RaH]

als we stoppen met IoT omdat er dingen verbeterd kunnen worden, dan zouden we met de pc ook niet veel verder zijn gekomen dan 2000 ("I love you" worm https://en.wikipedia.org/wiki/ILOVEYOU) of zelfs 1982 (Elk Cloner - https://www.security.nl/p...s+%281982%29+was+een+grap). En dan laten we Code Red, SQL Slammer, Nimda en Storm Worm voor het gemak maar even buiten beschouwing...

Toegegeven, er valt een boel te verbeteren, maar slimme woningen zijn zo veel rendabeler dan wat we in de jaren '60 of '70 hadden dat ik niet meer terug zou willen...

[Reactie gewijzigd door Tukkertje-RaH op 23 juli 2024 08:58]

[Datastream]

Behalve dat voor security voor dingen altijd gestreden wordt. Met IoT word vanuit de fabrikant nooit aan security gedacht en daar is nog steeds geen verandering in gekomen na de jaren dat we al van deze gaten in IoT security afwisten.

Bovendien is het nut van IoT veeeel kleiner dan iets als een OS of een RDBMS dus het is sowieso raar dat de push voor IoT zo hard is terwijl we van alle gebreken af weten.

[Reactie gewijzigd door Datastream op 23 juli 2024 08:58]

[AmigaWolf]

als we stoppen met IoT omdat er dingen verbeterd kunnen worden, dan zouden we met de pc ook niet veel verder zijn gekomen dan 2000 ("I love you" worm https://en.wikipedia.org/wiki/ILOVEYOU) of zelfs 1982 (Elk Cloner - https://www.security.nl/p...s+%281982%29+was+een+grap). En dan laten we Code Red, SQL Slammer, Nimda en Storm Worm voor het gemak maar even buiten beschouwing...

Toegegeven, er valt een boel te verbeteren, maar slimme woningen zijn zo veel rendabeler dan wat we in de jaren '60 of '70 hadden dat ik niet meer terug zou willen...

Wat een onzin geklets, een PC hebben bedrijven en mensen nodig, een smart TV of lamp of was automaat of magnetron of koelkast/vriezer of Alexa, hebben mensen niet nodig, het is een overbodige luxe, meer niet, en erg gevoelig voor hacking, nee dank je, ik hou het lekker op de domme apparatuur, wat niet gehackt kan woorden en veel veiliger is.

[Itrme]

Misschien elk IOT apparaat met algemene voorwaarden verkopen
"Ik ga de handleiding lezen en ik snap dat er beveiliging nodig is en dit ga ik op orde maken voor ik het apparaat aan het internet hang" Want laten we eerlijk zijn, in veel gevallen ligt het ook gewoon aan de gebruiker die de standaard gebruikersnamen en wachtwoorden prima vind.

Ik snap dat mensen alles aan het internet willen hangen, want "dat is leuk."
Seriously though, zelfs een simpele router zou in ieder geval optie moeten bieden als bepaalde MAC adressen niet laten communiceren met het internet.Is in principe ook helemaal niet nodig. Zet een VPN op naar je thuisnetwerk en timmer de rest van die apparaten lekker dicht.

Dat gezegd. Vanuit de fabrikanten zou het op zich ook wel wat beter geregeld mogen worden. Waarom een apparaat direct out of the box aan het internet mag? Zou handiger zijn als apparatuur een vast IP krijgt waar een router niets mee kan, en pas veranderd kan worden nadat er een installatie doorlopen is (gebruikersnaam, wachtwoord aanmaken etc).

Zelf kan ik natuurlijk ook niet garanderen dat mijn netwerk 100% veilig is, maar ik heb er in ieder geval moeite en onderzoek in gestoken om het degelijk in te richten.

[Dreamvoid]

Nagenoeg elke router heeft die optie voor complete internet blokkade (feitelijk een firewall voor in- en uitgaande connecties naar device x) - maar vrijwel alle IoT apparatuur vereist internet toegang voor het authorisatie proces.

[tweaknico]

Precies daar begint het al met fout gaan. De apparatuur zou OP ZICHZELF STAAND moeten werken, met evt opties voor toegang van buiten af. (via (W)LAN)....
En evt. expliciete port forwards met toegang van telefoon DIRECT naar een modem zouden de norm moeten zijn.

Niet via een MITM ergens in een cloud..

[Dreamvoid]

Ik denk ook dat dit een veiliger (in elk geval decentraler) model is, maar er zijn zeker ook nadelen:

- steeds meer thuisaansluitingen hangen achter CG-NAT (oftewel geen port forwards meer), en op het mobiele netwerk is het al jaren zo. Dat stript een behoorlijk deel van je doelgroep weg.

- verder moet je met een gemapte port ook wel erg zeker weten dat je IoT device hard genoeg is om brute force aanvallen vanaf het internet te kunnen weerstaan.

- de "MITM server in de cloud" is ook een manier waarop je security updates kan pushen. Laten we wel zijn, dit is het security model waarop macOS, Windows, Linux etcetera draaien.

[tweaknico]

Ik ben geen voorstander van CG-NAT.
Als de fabrikanten de zaak op die manier zouden bouwen zou er ook geen CG-NAT komen...

Portforward kan ook door een filter-proxy heen oid. waarmee de Firewall z'n functie terugkrijgt als poortwachter.

Met MITM in de cloud bedoel ik meer IFTTT, Hue, Nest etc. etc. die feitelijk niet zonder cloud functioneren ie. De cloud software bepaald je zaken in huis, waarbij je zelf controle hebt zolang het de cloud eigenaar behaagd.
Als Philips morgen niets meer in Hue zit zitten, of een nieuw product wil promoten hoeven ze alleen maar hun cloud server uit te zetten, dan zit iedereen in het donker tot Philips gevolgd wordt.

Ik had interesse in een stel zonnepanelen tot bleek dat het zou niet werken zonder aanmelding op en aansturing vanuit het internet...
TV's zijn vrijwel alleemaal "Smart TV's"..., al kun je die tenminste nog terug brengen tot panel displays als er geen internet aansluiting op zit.

[Reactie gewijzigd door tweaknico op 23 juli 2024 08:58]

[Dreamvoid]

Tsja, maar tis een beetje een kip-en-ei verhaal. Doordat er steeds meer CG-NAT is, kiezen de softwaremakers voor een architectuur met centrale server (want directe verbindingen tussen twee devices die niet op hetzelfde LAN zitten werken niet meer). Doordat er bij consumenten steeds meer van dat soort cloud services draaien, gaan ISP's nog sneller door met het uitrollen van internet verbindingen zonder externe toegang.

[tweaknico]

Dan moeten ze zich alleen geen ISP meer noemen. Ze geen geen toegang tot internet, op z'n best half toegang. Internet is geen one-way street of zou het in ieder geval niet moeten zijn.
(maar goed de schapen volgen vanzelf...) en we raken ietwat off-topic.

[Reactie gewijzigd door tweaknico op 23 juli 2024 08:58]

[veltnet]

Je kunt IOT techniek ook gebruiken voor een LOT (Lan Of Things), dus niet van buitenaf benaderbaar en GEEN directe verbinding met internet. Daarmee heb je een boel securityproblemen in 1x opgelost. Je moet dan wel alle services/servers binnen je eigen Lan draaien maar dat lijkt mij alleen mij voordelen hebben.

[Bender]

Niet zo heel lang geleden snapte mensen het nut van mobiele telefoons of internet ook niet...

[mae-t.net]

Klopt, maar voor elk fenomeen dat doorbreekt, zijn er ook tien die het niet halen. Dat zegt dus niet zoveel.

[Bender]

Maar als het uitgangspunt is dat nite alles het haalt zaten we nu nog steeds te programmeren met steen en beitel.

[MrMonkE]

Nu noem je precies het enige dat ik op afstand zou willen kunnen triggeren: Mijn combi magnetron.

[Verwijderd]

Dat is ook precies de reden waarom ik als laatst geen smart thermosysteem voor de CV installatie thuis heb aangeschaft. Ook liet ik mijn energieleverancier geen smart energiemeter in de meterkast installeren.
Ik krijg praktisch gezien onvoldoende waarborg wat betreft privacy en veiligheid. Zolang er hier geen sprake van is zal ik die dingen ook niet nemen.

[nobraininvolved]

maar moet iedere fabrikant aan security denken? of moet je gewoon 1 security punt maken (je modem, firewall, etc) waar je eigenlijk veel meer op 'noob nivo' zou moeten kunnen regelen dan nu het geval is?
het is ondoenlijk om voor ieder nieuwigheidje een heel security circus te hebben of voor iedere patch alle apparaten in je huishouden te moeten flashen.
Ik ben veel meer voor 1 heel erg beveiligd access point per huis die alles wat daarachter zit, optimaal beveiligd. Volgens mij kan dat nu al met de bestaande technieken, die moeten alleen veel meer fool proof gemaakt worden (security in de gemiddelde modem/router is nog best moeilijk in te stellen vind ik).

[VIPmaster]

Dat mag jij vinden, maar beveiliging bouw je in lagen.
Als je in jouw modem\firewall een lek gevonden word ben je op alle punten af omdat je daar achter geen beveiliging meer heb.
Fabrikanten willen dat het makkelijk is zodat de buurvrouw het ook zelf kan installeren, en hoe vaak het al is voorgekomen dat er toch nog een verborgen admin account in het apparaat zit voor eventueel misschien een keer hulp.
Beginnen bij de apparaten zelf, ga er vanuit dat je netwerk onveilig is en beveilig alles

[nobraininvolved]

klopt en dat is natuurlijk ook zo'n dingetje...er moet niets in verborgen zitten en er zou, bij het 1e gebruik afgedwongen moeten worden dat het ww gewijzigd wordt...
Kijk, dat soort security dingetjes zie ik natuurlijk wel zitten, maar ik bedoel meer de uitgebreide security.
Ik vind het werkelijk heel raar dat 'men' accepteert dat een device via een server waar dan ook ter wereld, contact maakt met je home netwerk.
Ik zou veel liever zien dat er 1 goede app is voor aansturing van alle devices (of b.v. een app waarin je die andere apps via een sandboxie in kunt draaien en die het verkeer via een bepaalde poort routeert) via 1 zelfgekozen poort die je dan instelt op je router met een beveiliging die je kiest (encrypted, ww protected, etc) en dat je op die manier gewoon het gebruik van dat soort spul aan banden kunt leggen.
Die apparaten zouden ook maar max 1 connectie moeten hebben, nl vanuit huis naar jouw ingestelde device en terug...alle andere connecties zijn overbodig en dus een security issue.
1 lek in 1 modem/firewall is vaak eerder gepatched dan 10 lekken in verschillende devices..om van het geneuzel met updates etc maar te zwijgen...

[Dreamvoid]

Maar zo werkt het praktisch gezien anno 2019 niet meer, die control app op je telefoon bijvoorbeeld zit achter de firewall van je telco, daar kan je niet naartoe verbinden, die kan alleen uitgaande connecties opzetten. Zonder portmapping (IPv4+NAT) of firewall rule (IPv6) kan je ook niet naar een device op je eigen thuisaansluiting verbinden.

Oftewel: zowel je IoT devices (of hub, als je de boel eerst lokaal centraliseert), als je telefoon moeten naar een server ergens in de cloud verbinden om met elkaar te kunnen praten. Die 3rd party server moet je maar vertrouwen, er zit niet zoveel anders op.

[Reactie gewijzigd door Dreamvoid op 23 juli 2024 08:58]

[VIPmaster]

Persoonlijke denk ik dat je met een ddns, VPN en een geïsoleerd VLAN al een aardig eindje kan komen, maar daar heeft de buurvrouw al helemaal geen kaas van gegeten, dan heb je ook nog de fabrikant die het allemaal wel heel interessant vinden al die data die meer winst opbrengen en daar allerlei redenen voor verzinnen om verbinding te houden.

[green944]

Veel IoT, zoals webcameras, hebben een server ergens in China die ze connecten zodra ze een internetverbinding hebben. Deze verbinding kan als vpn vanaf die server naar jouw interne netwerk gebruikt worden.
Als elk IoT apparataat zijn eigen vpn maakt naar een externe server heeft het beveiligen van je router niet zoveel effect.

[nobraininvolved]

tsja...dat is natuurlijk vraag 1 al he...waarom hebben al die apparaten externe toegang tot wat voor servers dan ook nodig?
Ik, als klant, wil dat helemaal niet. de enige connectie die zo'n ding zou moeten hebben, is via mijn internet naar een lokale app op mijn device (tel/tablet) of pc waar ik de app op zet. Dus 1 directe verbinding, zonder allerlei tussenliggende servers...
En dat kun je prima via een router beveiligen...

[Noxious]

En daar gaat het al mis, want geen enkele fabrikant wil ondersteuning geven op port forwarding of wat dan ook, dus gebruiken ze hun eigen infrastructuur om een centraal punt te hebben waarmee zowel de app als het device kunnen communiceren.

[Dreamvoid]

OK, maar hoe denk je een verbinding op te zetten *naar* een telefoon app? Geen enkele telefoon accepteert inkomende connecties, dat is allemaal geblokkeerd aan de telco kant. Je hebt twee devices (je IoT apparaat en je telefoon) die enkel uitgaande connecties kunnen opzetten, ergens moet een server zitten.

[nobraininvolved]

o dat wist ik niet...ik dacht dat een app op je telefoon ook gewoon als ontvanger kon dienen...'in mijn hoofd' zou het hetzelfde werken als b.v. wol....je geeft een signaal vanuit een app aan je router, die 'm dan doorzet naar een specifiek apparaat op basis van ip/poort...
maar goed, mss kan dat idd helemaal niet...

[Dreamvoid]

Dat kan wel: op je thuisverbinding (tenminste, de meeste thuisverbindingen) kan je nog wel poorten doorzetten naar je apparaat, dus een verbinding opzetten van de telefoon naar het apparaat thuis kan nog wel direct, alleen andersom niet. Helaas zijn de mobiele netwerken op het moment zo ingericht dat telefoons achter carrier-grade NAT zitten, met gesloten poorten. Oftewel, een telefoon op 3G/4G kan alleen uitgaande connecties opzetten.

[Dreamvoid]

Exact wat @green944 zegt, het heeft niet zoveel zin om een beveiligd accesspoint te hebben als de primaire functie het doorlaten van verkeer vanaf de achterliggende netwerkdevices is.

Op 1 of andere manier zijn mensen extreem panisch bang voor inkomende connecties/poorten, terwijl nagenoeg alle malware en hacks van de laatste jaren binnenkomt via de outgoing connecties van devices, die vervolgens allerlei rommel binnenhalen.

[R4gnax]

maar moet iedere fabrikant aan security denken?

Ja. Dat moet. Dat heet security-in-depth. En dat is het enige weringsmiddel wat je hebt als er een eerdere schakel in het proces omvalt en gecompromiteerd wordt.
In jouw voorbeeld promoveer je het modem of de firewall tot single-point-of-failure. Breekt men die, is men overal binnen. Dat is - eigenlijk - de huidige status quo. En niet alleen bij consumenten; ook nog bij veel bedrijven. Zit je op het lokale LAN, ben je bij velen gewoon binnen en kun je overal aan.

[Brilsmurfffje]

Het de schaal en het gemak waarmee dit soort lekken gebruikt kunnen worden wordt mooi geïllustreerd door een online relletje dat ontstond rond pewdiepie, een online gamer die zijn sessies live streamt naar Twitch en YouTube. Op YouTube dreigde hij zijn nummer 1 positie te verliezen, om dit af te wenden hebben fans van hem printers over de gehele wereld gehackt via een bekende exploit en op deze printers een blaadje geprint met daarop een tekst in de strekking van Like pewdiepie op YouTube.
https://nakedsecurity.sop...pew-pewdiepie-propaganda/

Hiervoor is gebruik gemaakt van de aan het internet verbonden device zoekmachine Shodan:
https://www.shodan.io/

Het bizarre is vaak dat de wifi functionaliteit voor de gebruiker geen ene biet toevoegt los van een showelement op een verjaardag. Een collega op het werk heeft een Siemens EQ9 volautomaat met wifi. Via de wifi kan je op afstand het apparaat bedienen, super handig ware het niet dat voor meeste kopjes koffie het apparaat eerst zichzelf schoonspoelt. De meuk die hierbij uit het apparaat komt wil je niet in het kopje hebben en aangezien het apparaat zelf geen kopje eronder kan zetten kan je dus niet in de ochtend vanuit bed het apparaat via wifi alvast koffie laten zetten. Kortom de wifi is meer een gimmick en een enorm veiligheidsrisico.

[Dreamvoid]

Maar je kan dat koffieapparaat natuurlijk wel als server inrichten, en die nutteloze pizzadoos die je in het rack hebt staan de deur uit doen. 1 van die twee servers zet immers geen koffie.

[S8472]

Mss tijd dat er vanuit de overheid (al dan niet Europees) iets geregeld én gehandhaafd wordt zoals voor apparaten met een stekker: al decennia moet elektrische apparatuur een keurmerk hebben (in NL Kema-keur) en meer recent nu CE. Daarvoor kon je idd onveilige spullen kopen, maar dat wilden we niet meer.
Brakke digitale zooi is onderweg een groot maatschappelijk probleem te worden. M.i. moet het zo zijn dat alleen digitaal veilige producten verkocht mogen worden. En niet mutsen over de kosten op de korte termijn, want digitale ontwrichting van de maatschappij is nog heel veel duurder!

[R4gnax]

al decennia moet elektrische apparatuur een keurmerk hebben (in NL Kema-keur) en meer recent nu CE. Daarvoor kon je idd onveilige spullen kopen, maar dat wilden we niet meer.

Zeg dat tegen CE, aka China Export.
Laatst een boel poeha over namaak opladers die in de hens gingen, weet je nog?

Recent zelf ook nog een spaarlamp van de Gamma er uit gegooid die ik nog in m'n voorraad had zitten. Bleek ook het foute soort CE merk op te staan. Dus je krijgt die troep niet alleen via de web-winkels.

Dit soort troep kun je middels een keurmerk helaas niet reactief, middels achteraf steekproefsgewijze waarborging, bestrijden. DIt kun je alleen bestrijden door pro-acief rigide keuring vooraf, voordat iets überhaupt op de markt gebracht mag worden. En zelfs dan mag bijv. de douane nog overuren gaan draaien om grijze import te gaan weren.

Wat hier wellicht wel zou werken is het inbouwen van certificaten en het daarvan laten controleren door ISPs. Certificaat niet goed? Dan kom je niet op het internet.
Kritiek probleem na een maand niet verholpen? Certificaat op de zwarte lijst.
Komt er alsnog een update? Dan zul je die middels bijv. een USB-poort moeten installeren.

Wellicht is dat hard, maar het werkt wel. En in tegenstelling tot veel andere oplossingen, is dat wel een dekkende oplossing. Het betekent alleen wel een radicale ommezwaai in hoe het internet moet werken. Elk type apparaat zou echt z'n eigen certificaat moeten krijgen, waar niet mee geklooid kan worden. Block-chain tech, wellicht?

[Reactie gewijzigd door R4gnax op 23 juli 2024 08:58]

[kakanox]

Wat me verbaast is dat het zomaar toegestaan en zelfs gepropageerd wordt dat al deze IOT-apparaten rechtstreeks aan het internet hangen.

Als ik fabrikant was zou ik het veel prettiger vinden als gebruikers zo'n IOT device veilig achter hun eigen firewall zouden hangen, maar de camera die ik een tijd terug in de prullenbak gegooid heb kón niet eens functioneren zonder contact met de servers van de fabrikant.

ET phone home... ik denk het niet. Laat die fabrikanten samen nou eens een protocol verzinnen waardoor zo'n ding veilig achter de router kan blijven. Ik snap dat het minder makkelijk is, maar ik doe ook m'n best om m'n werk duurzaam te doen.

[Dreamvoid]

Mensen lijken niet te beseffen dat je IoT device achter een firewall hangen helemaal niks doet als je niet ook die firewall alle *uitgaande* connecties laat blokkeren.

[kakanox]

Doel je met "mensen" op mij? >> Het probleem van de camera die ik wilde gebruiken was nu juist dat ik dat ding geen internetverbinding wilde geven. Die direct connect naar een Chinees IP als je dat ding aanzette... no thanks.

En dat is juist het punt; waarom moet mijn thermostaat naar het internet kunnen? En hoezo zouden m'n beveiligingscamera's dat moeten kunnen? Daar is het zelfs juist een risico - een beetje handige inbrekert kijkt eerst even of het huis wel écht leeg is en of de MacBooks nog op de kast liggen.

[Reactie gewijzigd door kakanox op 23 juli 2024 08:58]

[Dreamvoid]

Nee nee, niet jij specifiek, no worries

Ik doel meer op dat veel mensen (op t.net, forums etc) extreem bang zijn voor remote exploits, port scans, etc, terwijl het risico veel meer ligt in de devices die zelf besmette firmware updates binnenhengelen, communiceren met botnet control servers etc. Veel mensen hebben instinctief het idee dat met een uitgaande verbinding er alleen data wordt "verzonden", maar zo werkt het helaas niet.

IoT producten werken doorgaans met een control server ergens in de cloud, juist om toegang van buitenshuis te faciliteren: 1 van de veelgeroemde voordelen is bv dat je vanuit je werk alvast de verwarming hoger kan zetten een uur voordat je thuis komt. Dat betekent dat je thermostaat commando's van buiten moet kunnen ontvangen. Nou kan je dat traditioneel doen door een inkomende poort open te zetten zodat je control applicatie van je telefoon rechtstreeks met je device kan praten zonder tussenkomst van derden, maar anno 2019 wordt dat steeds vaker geblokkeerd (door de ISP danwel de gebruiker), dus wat de meeste fabrikanten implementeren is dat de thermostaat een uitgaande connectie naar een control server in de cloud opzet, waarmee ook de telefoon app mee communiceert.

Mensen hebben daardoor het idee dat ze veiliger zijn (want er staan geen inkomende poorten open), maar de praktijk is dat elk IoT device vervolgens een man-in-the-middle ergens in de cloud nodig heeft. 1 hack op die control server betekent dan ook miljoenen geinfecteerde IoT devices.

[Reactie gewijzigd door Dreamvoid op 23 juli 2024 08:58]

[kakanox]

Idd. Mijn methode is ook niet heilig, maar ik heb het gevoel dat m'n VPN naar huis hiervoor een fraaiere oplossing is.

[Dreamvoid]

Idd, maar in een toekomst waar inkomende poorten overal dicht staan, waar draait die VPN server dan?

[kakanox]

In mijn geval op een zakelijke internetverbinding, dat maakt het denk ik iets makkelijker (heb bijv. een fixed IP).
Er valt wat te zeggen voor het toestaan of zelfs aanbieden van VPN door ISP's.

[Reactie gewijzigd door kakanox op 23 juli 2024 08:58]

[TheProphet]

Zolang deze apparaten te verkrijgen zijn wat is dan de meest veilige verbinding? VLAN? Dat lees ik niet uit het artikel. Ik heb een Nest Hello op deze manier verbonden.

[Dreamvoid]

Het is maar wat je verstaat onder 'veiligst':

- Het veiligst voor de andere devices op je eigen LAN: een apart VLAN/DMZ voor je IoT spullen.

- Het veiligst voor andere internet gebruikers (die geen DDoS verkeer van jouw koelkast willen ontvangen): je devices achter een firewall die zowel inkomend als uitgaand verkeer volledig blokkeert (oftewel enkel lokaal toegankelijk)

[Reactie gewijzigd door Dreamvoid op 23 juli 2024 08:58]

[TheProphet]

Bedankt voor je bevestiging

[danoam]

Goed stukje over IoT van Richard Stallman;
https://www.youtube.com/watch?v=AAP4N3KyLmM

[kdekker]

Hebben we hier niet met een paar dingen te maken:
1. de luie mens die het gemak van IoT wil hebben (hoe (on)zinnig ook de toepassing is) zonder genoeg kennis te hebben over het veiligheidsaspect
2. de fabrikant die er ook niet kan/wil over nadenken, voornamelijk a.g.v. budget/prijsopdrijvende werking
2. de overheid die digitale huisvredebreuk van allerlei plekken van de wereld onmogelijk kan aanpakken

Het is een beetje als de politie, die ook niet (meer) voor iedere inbraak langskomt. Misschien zou je iets meer af moeten vragen - als die mogelijkheid er is - om een niet-IoT enabled 'koelkast' (oid) te nemen. Maar voor sommige apparaten (als auto's) is het maar de vraag of er 'zonder-IoT' variant beschikbaar is en of je nog de mogelijkheid hebt om 'disconnected' te zijn. Wellicht iets voor de politiek: het recht om niet ongevraagd 'connected' te willen zijn. Met alle (tech) bedrijven (en overheden) die als een gek data verzamelen wellicht een goed idee om hier paal en perk aan te stellen?

[Dreamvoid]

Het is niet zo moeilijk om als koelkast disconnected te zijn, je stelt de WiFi login gegevens domweg niet in.

[R4gnax]

Het is niet zo moeilijk om als koelkast disconnected te zijn, je stelt de WiFi login gegevens domweg niet in.

Ik heb al eens camera's meegemaakt die domweg blijven polsen totdat ze een SSID van een vrij/open WiFi netwerk hebben, en dan daar op verbinden. Dat soort troep ga je eigenlijk alleen tegen door het open te schroeven en de antenne er af te knippen.

[Reactie gewijzigd door R4gnax op 23 juli 2024 08:58]