V rámci největší globální studie internetu věcí v domácnostech spotřebitelů odhalili výzkumníci z Avastu a Stanfordovy univerzity, že počty IoT zařízení v domácnostech rostou překvapivě rychle a že ve znepokojivě velkém počtu zařízení mají uživatelé stále nastavena snadno uhodnutelná hesla.

Tato studie představuje první rozsáhlou empirickou analýzu IoT zařízení a vychází z údajů zjištěných při síťových testech 83 milionů zařízení v 16 milionech domácností po celém světě (přičemž tyto testy byly spuštěny samotnými uživateli). 

Zjištění budou publikována ve studii All Things Considered: An Analysis of IoT Devices on Home Networks, která bude tento týden prezentována na konferenci USENIX Security. Výzkumníci z Avastu při těchto testech zjišťovali rozšíření IoT zařízení podle typu a výrobce a snažili se pochopit síťové profily různých zařízení. Zjištění byla ověřena a analyzována ve spolupráci s výzkumníky ze Stanfordovy univerzity. 

Konkrétní důkazy dřívějších spekulací

Podle výzkumníků se bezpečnostní komunita musí seznámit s typy IoT zařízení v domácnostech spotřebitelů a s jejich regionálním rozšířením, protože bez toho nedokáže řešit související čím dál větší výzvy spojené se zabezpečením a ochranou soukromí. Nově zjištěné údaje předkládají konkrétní důkazy toho, o čem se dříve jen spekulovalo. 

„Bezpečnostní komunita vedla dlouhé diskuse o bezpečnostních problémech nových IoT zařízení. Tato zařízení ale bohužel byla dlouho skryta za domácími routery, takže jsme měli k dispozici jen minimum reprezentativních údajů o typech zařízení, která jsou v domácnostech skutečně používána. Na základě posbíraných údajů jsme zjistili více poznatků o rozšíření IoT zařízení po světě a typech bezpečnostních problémů v zařízeních uživatelů,“ prohlásil Zakir Durumeric, profesor na Stanfordově univerzitě.

Studie obsahuje konkrétní číselné údaje o výskytu a rozšíření IoT zařízení a jejich dodavatelů. Dále analyticky rozebírá rozdíly mezi populárními zařízeními a dodavateli v různých zeměpisných oblastech. Například mediální zařízení jsou oblíbená po celém světě, ale v Asii a Africe mají menší popularitu. Sledovací zařízení, například kamery, mají v jižní Asii mnohem větší zastoupení mezi zařízeními než v jiných oblastech.  

Přestože jsou na světě tisíce výrobců IoT, 90 % produkce těchto zařízení je v rukou 100 dodavatelů a 99 % produkce je v rukou 400 dodavatelů. Některé typy zařízení jsou v podstatě doménou jedné nebo dvou firem. Například Amazon a Google vyrábějí 92 % hlasových asistentů. 

Avast to z bezpečnostního hlediska považuje za znepokojující trend. IoT zařízení často používají protokoly FTP a Telnet. Avast zjistil, že tyto protokoly se používají na 8 % všech IoT zařízení a že větší procento těchto zařízení má nastavené slabé přihlašovací údaje. 8 % vám možná nepřijde jako hodně, ale když vezmeme v úvahu, že na světě je přibližně více než 7 miliard IoT zařízení, tyto starší protokoly mohou být používány odhadem na 560 milionech zařízení.  

„Tyto staré protokoly jsou praktické a snadno použitelné, ale pojí se s nejedním bezpečnostním problémem, protože nebyly navrženy jako bezpečné. Z rozšíření těchto protokolů se dá odvodit i to, jak jsou příslušná zařízení nedostatečně zabezpečená. A pokud tato zařízení mají nastavené slabé přihlašovací údaje, je jen otázkou času, kdy se stanou obětí malwaru, jako je Mirai. Nemluvě o tom, že podobné chyby zabezpečení v routerech ohrožují celou domácnost.“ vysvětluje Deepali Garg, senior datový výzkumník v Avastu.  

Jak výzkum probíhal 

Při sbírání údajů jsme brali v potaz několik etických principů. Nástroj Home Scanner od Avastu sbíral údaje z domácností jen v případě, že uživatelé při jeho instalaci projevili výslovný souhlas se sdílením údajů pro výzkumné účely. Veškeré údaje použité ke studii byly posbírány z testů, které uživatelé sami spustili, a na veškeré chyby zabezpečení sítě, které byly odhaleny, byli uživatelé upozorněni. Avast navíc žádné uživatelské údaje nepředával přímo spolupracovníkům.  

Valná část této studie a uvedené informace o aktuální globální situaci na poli IoT mají pomoci odvětví kybernetického zabezpečení jako celku s řešením největších výzev současnosti. Autoři studie k tomu uvádějí následující: „Doufáme, že naše analýza pomůže bezpečnostní komunitě zaměřit se na vývoj praktických řešení pro IoT zařízení i domácnosti.“