Το Capture είναι μια αρχιτεκτονική γραφής firmware που αναπτύχθηκε και συντηρείται από τον Han Zhang και την ομάδα του Ινστιτούτου CyLab Security and Privacy Institute του Πανεπιστημίου Carnegie Mellon. Η χρήση του Capture σας επιτρέπει να προωθήσετε ενημερώσεις στις συσκευές IoT εντός του τοπικού σας δικτύου.
Σε αυτό το άρθρο, θα δούμε τι είναι το Capture, θα εξετάσουμε τη δομή του και θα αναλύσουμε πώς η εφαρμογή του μπορεί να ωφελήσει τόσο τους ιδιοκτήτες συσκευών IoT όσο και τους πωλητές συσκευών IoT.
Table of Contents
Γιατί να χρησιμοποιήσετε το Capture;
Η έμπνευση πίσω από το Capture προέρχεται από το γεγονός ότι πολλές συσκευές IoT δεν επιδιορθώνονται τακτικά για ευπάθειες ασφαλείας από ευάλωτες βιβλιοθήκες που έχουν υιοθετηθεί ευρέως.
Οι πωλητές IoT γενικά κατασκευάζουν το λογισμικό IoT ενσωματώνοντας βιβλιοθήκες τρίτων που είναι σε μεγάλο βαθμό ευάλωτες σε επιθέσεις που βασίζονται στο IoT. Οι προγραμματιστές λογισμικού που βρίσκονται πίσω από αυτές τις συσκευές IoT αποδέχονται την ευκολία της εισαγωγής βιβλιοθηκών τρίτων για να κάνουν τη διαδικασία κωδικοποίησης ταχύτερη παρά να γράφουν τις δικές τους βιβλιοθήκες από την αρχή.
Όταν λοιπόν οι προμηθευτές χρησιμοποιούν τέτοιες βιβλιοθήκες, κληρονομούν αυτόματα ευπάθειες που προέρχονται από τον αρχικό προγραμματιστή των βιβλιοθηκών. Σύμφωνα με τον Han Zhang και την ομάδα του, αυτή είναι η πιο κοινή πηγή τέτοιων ευπαθειών και θέτει πολλά σπίτια σε κίνδυνο κυβερνοεπιθέσεων.
Πόσο ευάλωτες είναι οι συσκευές IoT;
Ο Zhang και η ομάδα του ανέλυσαν 122 διαφορετικά υλικολογισμικά IoT και 27 διαφορετικές συσκευές IoT μέσα σε οκτώ χρόνια από την κυκλοφορία τους. Το κίνητρο για αυτή την έρευνα είχε τρία μέρη:
- Για να προσδιοριστεί πόσο εκτεταμένη ήταν η χρήση βιβλιοθηκών τρίτων σε όλους τους προμηθευτές
- Για να διαπιστωθεί εάν οι βιβλιοθήκες που εντοπίστηκαν είχαν επιδιορθωθεί για ευπάθειες
- Για να διαπιστωθεί εάν υπήρχαν σημαντικές καθυστερήσεις στην ενημέρωση των διορθωμένων βιβλιοθηκών από τους προμηθευτές
Σύμφωνα με τα στοιχεία της έρευνας, ο Zhang και η ομάδα του διαπίστωσαν ότι οι προμηθευτές ενημέρωναν τις βιβλιοθήκες σπάνια και ότι τις περισσότερες φορές χρησιμοποιούσαν ξεπερασμένες και κυρίως ευάλωτες εκδόσεις. Διαπίστωσαν ότι οι πωλητές δεν είχαν ενημερώσει τις βιβλιοθήκες για εκατοντάδες ημέρες μετά τη δημοσιοποίηση κρίσιμων ευπαθειών.
Ο Zhang κατέληξε στο συμπέρασμα ότι το να βασίζεται κανείς στους προμηθευτές για ενημερώσεις ήταν προβληματικό, καθώς απαιτούσε πολύ μεγάλη προσπάθεια και δεν παρείχε πολλά κίνητρα για τους προμηθευτές.
Πώς λειτουργεί το Capture;
Το Capture εκτελεί κεντρική διαχείριση της βιβλιοθήκης του σπιτιού σας. Λειτουργεί ως σημείο πρόσβασης WiFi για όλες τις συσκευές σας IoT και αντικαθιστά τις βιβλιοθήκες τους με πιο πρόσφατες εναλλακτικές που αποθηκεύονται κεντρικά σε αυτό.
Μια συσκευή IoT που υποστηρίζει το Capture περιέχει δύο στοιχεία: υλικολογισμικό ή firmware με δυνατότητα Capture στη συσκευή και ένα απομακρυσμένο πρόγραμμα οδήγησης που χρησιμοποιεί βιβλιοθήκες τρίτων κατασκευαστών στον κόμβο Capture στο τοπικό δίκτυο. Με τον τρόπο αυτό επιτυγχάνονται οι ακόλουθες λειτουργίες:
- Device integrity: Το Capture διασφαλίζει ότι η ακεραιότητα της επικοινωνίας μεταξύ της συσκευής IoT και του οδηγού της αποθηκεύεται και διαχειρίζεται μέσα από το Capture. Αυτό καθιστά εύκολη την ενημέρωση του προγράμματος οδήγησης για να διασφαλιστεί η λειτουργία της συσκευής IoT.
- Security: Η καταγραφή διασφαλίζει την ασφάλεια στο περιβάλλον της συσκευής IoT.
- Ease of adoption: Το Capture καθιστά πολύ εύκολη την πραγματοποίηση οποιωνδήποτε αλλαγών στις συσκευές IoT, καθώς κάθε αλλαγή γίνεται στον κόμβο Capture και όχι στην ίδια τη συσκευή IoT.
- Performance and scalability: Το Capture εξασφαλίζει την υποστήριξη εκατοντάδων συσκευών IoT από έναν κόμβο, και όλα αυτά με τη μικρότερη δυνατή επιβάρυνση.
Για να επιτευχθεί απομόνωση και ασφάλεια και να διασφαλιστεί ότι ένας εισβολέας δεν μπορεί να παραβιάσει τον κόμβο και να κάνει κατάχρηση των συνδεδεμένων συσκευών IoT, το Capture υλοποιεί μια λειτουργία του πρωτοκόλλου WPA2 WiFi για την κατασκευή ειδικών VLANs για κάθε συσκευή και μοναδικών διαπιστευτηρίων δικτύου.
Το Capture δεσμεύει επίσης μοναδικές εικονικές διεπαφές δικτύου σε κάθε συσκευή και εκχωρεί διαφορετικά υποδίκτυα για λόγους ασφαλείας. Το Capture δημιουργεί ξεχωριστούς τομείς ασφαλείας για κάθε πρόγραμμα οδήγησης εντός του κόμβου για τη διαχείριση της απομόνωσης των πόρων και δημιουργεί επίσης ένα απομονωμένο περιβάλλον εκτέλεσης για κάθε ζεύγος προγραμμάτων οδήγησης συσκευών, αξιοποιώντας τις μονάδες ασφαλείας του Linux και το ενσωματωμένο τείχος προστασίας.
Το Capture μπλοκάρει όλες τις επικοινωνίες δικτύου μεταξύ των τοπικών συσκευών IoT εκτός από τους οδηγούς τους. Αυτό προστατεύει τις συσκευές ακόμη και αν διαθέτουν ευάλωτα στοιχεία υλικολογισμικού. Αυτά τα προγράμματα οδήγησης επιτρέπεται, ωστόσο, να επικοινωνούν μέσω του δημόσιου διαδικτύου.
Ποιοι είναι οι περιορισμοί του Capture;
Όπως συμβαίνει με κάθε καινοτόμο λύση, ορισμένοι περιορισμοί εμποδίζουν επί του παρόντος την υλοποίηση αυτού του σχεδίου. Ακολουθούν ορισμένα από αυτά τα εμπόδια.
- Single point of failure: Αυτή είναι η πιο προφανής πρόκληση, διότι σημαίνει ότι αν ο κόμβος καταγραφής τεθεί εκτός λειτουργίας για οποιονδήποτε λόγο, ολόκληρο το τοπικό δίκτυο θα μείνει ευάλωτο.
- Vendor incentives and adoption challenges: Μια πρόκληση είναι να πείσουμε τους προμηθευτές να δεχτούν να ενσωματωθούν και να χρησιμοποιήσουν το Capture.
- Protocol compatibility: Υπάρχουν διάφορες προκλήσεις όσον αφορά τη συμβατότητα πρωτοκόλλου μεταξύ των συσκευών IoT και του κόμβου σύλληψης.
- Augmenting device resources: Η έρευνα συνεχίζεται ακόμη. Είναι ακόμη αρκετά δύσκολο να βελτιωθεί η απόδοση των συσκευών IoT στο τοπικό δίκτυο για να βελτιωθούν οι δυνατότητες αποθήκευσης και επεξεργασίας τους. Δεν είναι ακόμη δυνατό να γίνει αυτό.
- Firmware splitting: Το Capture προτείνει τη διάσπαση του μονολιθικού υλικολογισμικού σε απομακρυσμένα και τοπικά στοιχεία. Αυτή η προσέγγιση αντιμετωπίζει πρακτικές προκλήσεις, όπως η σειριοποίηση δεδομένων, η συνοχή και η ανοχή σε σφάλματα.
Πηγές:
- Capture: Centralized Library Management for Heterogeneous IoT Devices, Han Zhang, Abhijith Anilkumar, Matt Fredrikson, and Yuvraj Agarwal, Carnegie Mellon University
- “Capture” your IoT devices and improve their security, CyLab
- Protecting IoT devices from unpatched code, GCN
- USENIX Security ’21 — Capture: Centralized Library Management for Heterogeneous IoT Devices, USENIX
