Nesnelerin İnterneti

IoT ve Güvenlik

12 Kasım 2016

0 1.544 2 dakikalık okuma

Akıllı elektronik cihazlar artık hayatımızda önemli bir yer almaya başladı, eskiden sadece bilgisayarımızdan ve cep telefonlarımızdan internete erişebilirken şimdilerde televizyonlarımızdan, otomobillerimizden ve hatta buzdolaplarımızdan internete erişebiliyoruz, cihazlarımızı internet bağlantısı üzerinden kontrol edebiliyoruz. Tüm bunlar hayatımızda kolaylıklar sağlıyor ve bu cihazlarla ilgilenen bizlerin de işlerini kolaylaştırıyor.

2018 Yılında 6.4 Milyar cihazın birbirine bağlı olacağı tahmin ediliyor

IoT hayatımızda hızla yer almaya başladı fakat bu elbette birtakım sorunları da beraberinde getirdi, bunların en başında güvenlik sorunları yer alıyor. Uygun fiyata evdeki kablosuz internete bağlanıp bana evde yokken odamı ya da yan odada uyuyan çocuğumu izlememi sağlayacak mükemmel bir kamera buldum, üstelik kamerayı uzaktan kontrol edebiliyorum, odanın sesini duyabiliyorum ve kabloya gerek kalmadan 5 dakikada evimdeki kablosuz internete bağlıyorum. Çok güzel ve pratik bir yöntem ama o görüntüyü sadece ben mi izleyebileceğim, ya o görüntü başkaları tarafından da izlenebiliyorsa? Güvenlik konusuna mutlaka dikkat etmeliyiz, aksi halde güvenliğini arttırdığımız evimizi kötü niyetli kişilere altın tepside sunmuş olabiliriz. Bu çok basit ve olası bir senaryo ancak sadece bizim hayatımızı etkileyebilecek bir durum, peki ya herkesi etkileyebilecek bir durum da var mı? Elbet var, milyonlarca IoT cihaz dışarıdan kontrol edildi ve halen de ediliyor.
Geçen ay (21 Ekim 2016) gerçekleşen ve neredeyse tüm popüler siteleri etkileyen saldırı IoT cihazlarının yapabileceklerini tüm dünyaya göstermiş oldu. En büyük DNS sağlayıcılardan birisi olan Dyn şirketine IoT cihazlar üzerinden yapılan saldırıda saatlerce Twitter, Spotify gibi popüler sitelere erişemez hale geldik. Yapılan saldırı DDoS atağıydı yani gerçek hayattan örnek verecek 10 kişinin sığabileceği bir dükkâna yüzlerce kişi akın etti ve sitelere erişim kapandı ya da sıkıntılı bir hale geldi. DDoS ataklarında bugüne kadar bilgisayarlar kullanırken bu saldırıda IoT cihazları kullanıldı, sayıları milyonu geçen IoT cihazları bugüne kadar tehdit unsuru olarak görülmedi ve üreticiler güvenlik konusunda çok fazla önlem almadılar ve sonucunda bu saldırı tüm dünyayı etkiledi.

DDoS atağının en basit anlatımı; botnet adı verilen uzaktan kontrol edilen internete bağlı bilgisayar veya IoT cihazlar üzerinden hedef web adresine ya da servis sağlayıcıya aşırı şekilde bağlantı talebinde bulunarak sistemin ağ bağlantılarını meşgul etmek yöntemiyle siteye/hizmete bağlanmak isteyen normal kullanıcının erişimini engellemek. Böylece site hizmet veremez hale geliyor ve bundan dolayı zarar görüyor.

ForeScout’ın yayınladığı IoT güvenlik raporunda akıllı ampuller dahi güvenlik tehdidi oluşturacak şekilde sınıflandırılmış olması tehlikenin boyutunun daha büyük olabileceğinin sinyallerini veriyor. Aynı raporda 7 farklı, en çok kullanılan, IoT cihazı üzerinden yapılabilecek saldırılar hakkında bilgiler mevcut. Raporun detaylarına buradan ulaşabilirsiniz.

Akıllı cihazların olası tehlikeleri hakkındaki senaryolar için ForeScout’un raporuna erişebilirsiniz

IoT cihazların en büyük tehlikesi verdiğim örnek senaryoda olduğu gibi cihazların internet bağlantısını kullanması, kullanım olarak büyük kolaylık ve geniş erişim imkanları sunarken cihazların genellikle güvenliksiz bir biçimde internete erişebilmeleri hem eriştikleri ağın güvenliğini hem de DDoS benzeri bir atakta yardımcı olabilmelerine imkân sağlıyor. Kötü niyetli kişiler için bu cihazlara sızmak çoğu zaman güvenlik duvarına ait bilgisayarlardan daha kolay ve bu yüzden önümüzdeki zamanlarda da bolca IoT cihazların DDoS veya doğrudan saldırılarda araç olacağını göreceğiz.

Bu tür güvenlik açıklarının en büyük sebebi üretici firmaların bu tür cihazlarda güvenlik önlemlerini fazla önemsememesi ve tabii ki bu cihazlarda güvenlik durumunu düzenleyen bağlayıcı yasaların olmamasından kaynaklı. IoT cihazlar üzerinden yapılan saldırıların büyük bir kısmı, dünyanın ekonomik olarak en büyük iki ülkesi, Amerika Birleşik Devletleri ve Çin kaynaklı. Tüketici olarak bu tür cihazları alırken ilk tercihlerimizden birisi firmaların ürünleri hakkında yayınlamış oldukları yazılımların güvenlik yamalarının yapılmış olup olmaması veya en başından güvenlikle ilgili ne gibi sertifikalarla bizlere koruma sağladıkları.

Çoğu IoT cihazının arayüz erişim kullanıcı adı ve şifresi

Bu cihazlar elimizde varsa alabileceğimiz en iyi önlemler ise cihazların varsa öncelikle arayüzleri üzerinden güvenlikle ilgili ayarlarını kurcalayacak güvenliği en üst düzeye çıkarmaları. Ayrıca evlerdeki kablosuz ağlarda cihazların gerekmedikçe internete bağlanmalarını engellemek de yapılması gereken en önemli adımlardan birisi. Örnek senaryodaki gibi bir bebek izleme monitörünüz varsa bunu ev dışında kullanmayacağınız için kamerayı yalnızca evinizdeki ağa bağlı cihazlar üzerinden izleyebilmeniz yeterli olacaktır. Ayrıca evinizdeki toplam internet kullanımını da takip etmeyi unutmayın, anormal bir veri kullanımı tespit etmeniz durumunda şüphelendiğiniz cihazların bağlantılarını kesin ve cihazların yazılımlarını sıfırlayın, gerekli olmadıkça o cihazları kullanmayın.

Özetle, piyasada bulunan bazı IoT cihazlarında çok sayıda güvenlik açığı bulunduğu görülüyor. Bu açıklar çoğu zaman zararsız olsa da bazen de son derece tehlikeli olabiliyor. Bizim önerimiz, kullandığınız bu cihazlarda güvenlikle ilgili konuları göz ardı etmemeniz yönünde. Teknoloji geliştikçe bu açıklar kapatılacak ve daha güvenli sistemler hayatımıza girmiş olacak.