Smart home a bezpieczeństwo sieci domowej

W typowym domu, do którego przyjeżdżamy, w sieci wisi 30-80 urządzeń. Laptop i telefon dostają aktualizacje bezpieczeństwa co kilka tygodni. Kamera za 89 zł z chińskiego marketplace'u - często nigdy. A wszystkie siedzą w tej samej sieci, z pełną widocznością nawzajem. To jest właściwy problem bezpieczeństwa smart home i da się go rozwiązać inżyniersko, bez rezygnowania z urządzeń.

Pracowaliśmy w IT, zanim zaczęliśmy jeździć do domów, więc piszemy o tym tak, jak się o tym mówi w serwerowni: rzeczowo. Strachu nie sprzedajemy - rozwiązania tak.

Dlaczego tanie IoT to najsłabszy punkt

Trzy powtarzalne grzechy tanich urządzeń sieciowych:

Hasła fabryczne. Część kamer i rejestratorów wychodzi z fabryki z loginem w stylu admin/admin i nie wymusza zmiany. Listy takich haseł są publicznie dostępne, a skanowanie internetu w poszukiwaniu urządzeń, które je przyjmą, jest zautomatyzowane od lat.

Brak aktualizacji firmware. Laptop dostaje łatki latami. Żarówka za 25 zł od producenta, który zdążył zmienić nazwę dwa razy - nie dostanie żadnej. Znaleziona w niej luka zostaje w twoim domu na zawsze.

Chmura nieznanego pochodzenia. Sporo tanich kamer nie pyta, czy chcesz wysyłać obraz na serwery producenta - po prostu to robi, bo tak działa ich aplikacja. Dokąd trafia strumień z twojego salonu i kto ma do niego dostęp, tego z pudełka nie wyczytasz.

To nie teoria. Botnet Mirai, który w 2016 położył spory kawałek amerykańskiego internetu, składał się głównie z kamer i rejestratorów przejętych właśnie przez hasła fabryczne. Właściciele nie mieli pojęcia - urządzenia działały normalnie, a po godzinach atakowały cudze serwery.

Co realnie się dzieje w płaskiej sieci

Domyślna sieć z routera od operatora jest płaska: każde urządzenie widzi każde. Przejęta kamera to nie tylko podglądany salon - to punkt startowy wewnątrz twojej sieci. Z niego można skanować pozostałe urządzenia, próbować haseł do dysku sieciowego, podsłuchiwać ruch. Laptop z bankowością i kamera z promocji są z perspektywy sieci sąsiadami przez ścianę z papieru.

Drugi, cichszy problem: nie wiesz, co te urządzenia wysyłają. W płaskiej sieci nie ma punktu, w którym można spojrzeć na ruch i zapytać, dlaczego gniazdko od lampki nocnej łączy się co minutę z serwerem na drugim końcu świata.

Co robi profesjonalna segmentacja

Segmentacja to podział jednej fizycznej sieci na odizolowane sieci logiczne (VLAN-y). W naszych instalacjach wygląda to zwykle tak:

• Osobny VLAN dla IoT. Żarówki, gniazdka, czujniki i cała reszta lądują we własnej sieci. Serwer automatyki może z nimi rozmawiać, ale one nie widzą twojego laptopa, telefonu ani dysku z rodzinnymi zdjęciami. Przejęta żarówka może co najwyżej rozglądać się po sieci pełnej innych żarówek.
• Kamery bez wyjścia na internet. Kamery dostają własny segment z regułą: obraz płynie do lokalnego rejestratora, do internetu nie wychodzi nic. Podgląd na telefonie nadal działa - przez bezpieczne połączenie do domu, nie przez chmurę producenta. Kamera fizycznie nie może wysłać obrazu na obcy serwer, nawet gdyby firmware bardzo chciał.
• Kontrola, co dokąd wysyła dane. Porządny router pokazuje ruch per urządzenie i pozwala go ograniczać regułami. Gniazdko, które ma być sterowane lokalnie, dostaje dokładnie tyle dostępu, ile potrzebuje - zwykle zero internetu.

Jest jeszcze warstwa zero: sama platforma automatyki. Nasza działa lokalnie, na serwerze w domu, bez chmury po drodze - więc sterowanie domem w ogóle nie zależy od cudzych serwerów i nie zostawia śladu poza twoimi ścianami.

Czy to musi być drogie

Sprzęt, który to potrafi, nie jest egzotyczny - opisywaliśmy taki zestaw we wpisie o porządnej sieci domowej. W pełnych instalacjach segmentacja jest u nas standardem, nie opcją za dopłatą: sieć projektujemy raz, przy okazji reszty, i VLAN dla IoT to wtedy kwestia konfiguracji, nie dodatkowego sprzętu.

Kupując kolejną kamerę z promocji, nie musisz zostać analitykiem bezpieczeństwa. Wystarczy, żeby sieć, do której ją wpinasz, była zaprojektowana z założeniem, że tanie urządzenia bywają głupie. Nasze takie założenie mają wpisane od pierwszego dnia - jeśli chcesz, żebyśmy spojrzeli na twoją, odezwij się.