Avast: Умные дома легко взломать из-за незащищенных серверов MQTT

Avast: Умные дома легко взломать из-за незащищенных серверов MQTT

Avast: Умные дома легко взломать из-за незащищенных серверов MQTT

Интернет вещей (Internet of Things) полон проблем кибербезопасности. Об очередной такой проблеме рассказал исследователь Avast Мартин Хрон, она завязана на использовании небезопасных серверов MQTT.

MQTT (или Message Queue Telemetry Transport) представляет собой упрощенный сетевой протокол, работающий поверх TCP/IP. Используется для обмена сообщениями между устройствами по принципу издатель-подписчик.

«MQTT работает по принципу RSS-канала: вы подписываетесь на тему, и как только кто-то публикует что-то по этой теме, материал доставляется всем подписчикам», — объясняет Хрон.

Чтобы такой шаблон работал, нужен брокер сообщений.

«У нас есть MQTT-сервер (брокер) со встроенными возможностями безопасности, который служит “курьером” между всеми компонентами. Также есть центр умного дома, который организует все наши устройства и оснащает всю систему интеллектом. Есть еще различные устройства, совместимые с MQTT, которые подключены к серверу-брокеру».

Эксперт уточняет, что сама проблема безопасности находится не в протоколе или Mosquitto (наиболее распространенном программном обеспечении для этих целей), а в неправильной конфигурации серверов MQTT.

Используя специализированную поисковую систему Shodan, эксперты Avast обнаружили более 49 000 серверов MQTT, которые были открыты наружу в Сеть. При этом из них почти 33 000 серверов не имели парольной защиты, что позволяет злоумышленникам получить доступ к ним и ко всем сообщениям, которые через них проходят.

«Более того, поскольку большинство пользователей не настраивают средства контроля доступа в процессе настройки Mosquitto, киберпреступники могут получить полный контроль над всеми устройствами умного дома», — продолжает исследователь.

Российские КПП смогут использовать биометрию без перманентной связи с ЕБС

Минцифры РФ предложило упростить процедуру идентификации сотрудников режимных предприятий по биометрии — разрешить хранение векторов (математических шаблонов) из Единой биометрической системы (ЕБС) во внутренних системах управления доступом.

Предоставление записей из централизованной базы будет осуществляться по подписке, и необходимость обращения к ЕБС при каждом входе на территорию госкорпорации, предприятия обороной промышленности, атомной энергетики, ТЭК отпадет.

Законопроект, вносящий соответствующие поправки в 572-ФЗ, регулирующий работу с ЕБС, уже одобрен правительством. Регулятор надеется, что его принятие также поможет снизить расходы на использование биометрических систем идентификации, на которые крупные компании в настоящее время тратят миллионы рублей в год.

Опрошенные «Ведомостями» эксперты отметили и другие плюсы снятия постоянной привязки систем управления доступом к ЕБС: снижение нагрузки на централизованную БД, ускорение обработки запросов, расширение внедрения биометрии на КПП, повышение степени безопасности за счет исключения из цепочки каналов связи, которые могут оказаться ненадежными.

В комментарии для журналистов представитель аппарата вице-премьера Дмитрия Григоренко подчеркнул, что биометрия по-прежнему останется добровольным способом подтверждения личности при входе на режимные объекты.

«Биометрия позволяет точнее идентифицировать посетителей и сотрудников, а значит, снизить риск несанкционированного доступа, — заявил «Ведомостям» собеседник. — Это особенно важно для школ и других объектов с повышенными требованиями к пропускному режиму».

RSS: Новости на портале Anti-Malware.ru