Denne artikkelen er produsert og finansiert av NTNU - les mer.
Det er ikke sikkert at dine fortrolige samtaler ikke når ut av stua om du har en smart-høytaler. Forskere jobber med å kunne automatisere såkalt etisk hacking, for bedre å kunne sikre mot slike lekkasjer.(Foto: Colourbox)
Hva gjør du når huset ditt sladrer på deg?
Forskere vil automatisere jakten på svakhetene i dingsene som kan avlytte oss hjemme.
Digitale assistenter som Alexa og Google Home kan styre musikk og lys og mer. Stadig flere dagligdagse gjenstander blir knyttet opp mot internettet.
Tingene blir smarte, men også sårbare for dataangrep og kriminelle handlinger.
Hva forteller wifi-termostaten om deg?
Smartkjøleskap må da være harmløst? For hvem er vel interessert i utløpsdatoen på melka di eller å overvåke matvarebeholdningen din?
Helt dagligdagse gjenstander i et moderne smarthus behandler en hel del data som du neppe er interessert i å dele med alle og enhver.
Termostaten din kan for eksempel si noe om når du er bortreist. Treningsutstyret ditt lagrer gjerne helseinformasjon om deg og familien din. Smarthøyttaleren din kan ha sikkerhetshull gjør det mulig å tyvlytte på dine private samtaler.
Slik informasjon kan bli misbrukt i alt fra innbrudd til identitetstyveri og utpressing. Smartenheter er også å finne i store bedrifter og statlige institusjoner. Det gjør ikke akkurat situasjonen mindre alvorlig.
Informasjon fra smarte enheter i hjemmet kan komme kriminelle tilgode, om teknologien har sikkerhetshull.(Foto: New Africa / Shutterstock / NTB)
Nærmere å automatisere etisk hacking
I dag blir sikkerhetshull i datasystemer stort sett avdekket manuelt av såkalte penetrasjonstestere eller etiske hackere. Dette er tidkrevende og kostbart. Kvaliteten er helt avhengig av den individuelle testerens ferdigheter.
Mange har derfor ønsket å automatisere denne prosessen, men dette er en vanskeligere oppgave – spesielt når det gjelder smartenheter.
Nå har forskere fra NTNU i Gjøvik kommet lenger med å automatisere sikkerhetstesting på smartenheter. De har blant annet avdekket at kritiske enheter i sjøfarten fremdelses blir produsert med velkjente sikkerhetshull.
Mange typer smartenheter kompliserer
Å sikkerhetsteste smartenheter er i prinsippet ikke annerledes enn å teste et hvilket som helst annet datasystem. Problemet er at de smarte enhetene er så forskjellige, både i teknologi og bruksområder.
– En smarthøyttaler er utviklet med helt andre oppgaver enn en smarttermostat i tankene. Den kan dermed ha svakheter knyttet til sine helt særegne funksjoner, sensorer eller andre komponenter som en smarttermostat ikke har, forklarer Basel Katt.
Han er forsker ved Institutt for informasjonssikkerhet og kommunikasjonsteknologi på NTNU i Gjøvik.
Han forklarer at smartenhetene benytter seg av mange ulike protokoller, som betyr regler som styrer kommunikasjon mellom datasystemene.
Verktøyene man hittil har utviklet for automatisk å teste sikkerheten, har derfor hatt begrenset nytte på smartenheter. De har helst blitt brukt til helt spesifikke oppgaver, kun som en del av en ellers manuell prosess og har på ingen måte prestert like bra som menneskelige testere.
Systemet som NTNU-forskerne har utviklet, drar veksler på flere av de eksisterende verktøyene og bringer dem sammen i koordinerte angrep på smartenheter.
Annonse
For å få til det har de utviklet en selvstendig programvareagent. Den er basert på tidligere arbeid av Fartein Lemjan Færøy, Muhammad Mudassar Yamin og Basel Katt.
En selvstendig programvareagent er en programvare som reagerer på forandringer og hendelser i miljøet den befinner seg i, helt uavhengig av direkte instrukser fra mennesker.
I stedet handler den etter en forhåndsbestemt beslutningsmodell. Modellen det i dette tilfellet dreier seg om, ble utviklet av Yamin og Katt for å spesifisere en programvareagents atferd spesielt i såkalte cyber ranger. La oss forklare:
Trener på dataangrep
En cyber range er en arena som gir brukere og systemer muligheten til å bryne seg på simulerte dataangrep under kontrollerte forhold, ikke ulikt et militært øvingsfelt.
Katt forklarer at et automatisert testsystem vil kunne spille flere roller i slike øvelser, noe som sparer tid og ressurser. Han mener et slikt system vil kunne være til stor nytte i utvikling og produksjon av nye smartenheter, men også innenfor undervisning og forskning.
– Testsystemet kan demonstrere forskjellige måter å hacke på og hvordan svakheter kan utnyttes, forklarer Katt. Det vil dessuten kunne brukes til å vise studenter konsekvensene av ulike sårbarheter.
Satte viktig enhet ut av spill
I en vitenskapelig artikkel i tidsskriftet Sensors beskriver forskerne hvordan de prøver ut det automatiserte testsystemet på en AIS-enhet. AIS står for automatisk identifikasjonssystem. Teknologien er mye brukt i sjøfarten der den kommuniserer viktig informasjon om fartøy både til Kystverket og andre skip og havner i nærheten.
Mange norske fritidsbåter er utstyrt med AIS-sendere, og teknologien er påbudt ombord i større fartøy, som yachter, cruise- og lasteskip. Den skal dessuten være operativ til enhver tid.
– Så at det automatiserte testsystemet forholdsvis lett kunne sette en kostbar og mye brukt AIS-enhet ut av spill, var et alvorlig nok funn i seg selv, forklarer Katt.
Da forskerne fant ut at tilkoblingen også kunne «spoofes», økte imidlertid alvorlighetsgraden betraktelig.
Annonse
Spoofing er når en person eller et dataprogram utgir seg for å være noen andre ved å bruke forfalsket data. I sjøfarten kan dette handle om at noen sender ut falske GPS-signaler via AIS-systemet. Det kan i verste fall føre til både grunnstøting og kollisjon med andre skip eller havner.
Hadde produsenten av det aktuelle AIS-systemet hatt tilgang på et lignende testsystem i utviklings- og produksjonsfasen, ville svakheten sannsynligvis vært fanget opp og utbedret for lengst.
Fremdeles en vei å gå
Til tross for de lovende resultatene understreker Katt at arbeidet med å automatisere etisk hacking i smartenheter på langt nær er i mål.
– Skal man utvikle et fullgodt system som kan avdekke sikkerhetshull i smartgjenstander med minimal menneskelig innblanding, må det betydelige fremskritt til i arbeidet med informasjonsutveksling på tvers av ulike protokoller, forklarer Katt.
