Miks peaksite hoolima California äsja vastu võetud targa kodu seadusest?

Ameerika esimene nutika kodu turvaseadus allkirjastati just Californias – kuid olenemata teie elukohast peaksite seda ilmselt värskendama.

Seaduseelnõu (SB-327) näeb ette, et alates 1. jaanuarist 2020 peavad kõik asjade Interneti-seadmete tootjad – nutikõlarid, nutikõlarid , nutikad termostaadid, mis teil on – sisaldama "mõistlikke" turvaelemente. Põhimõtteliselt on see seotud kõigi ühendatud seadmete kaitsmisega pahatahtlike seadmete eest. meeled, kes muidu võiksid neid väljastpoolt teie kodu rikkuda.

Lugege seda: teie kodutehnika turvalahing on alanud

Eelnõu on tekitanud palju arutelu, kusjuures mõned kiidavad õigusakte ja rõhutavad nende aluste varajase rajamise tähtsust, kuid teised on seda kritiseerinud ebatõhususe ja isegi kahjuliku mõju pärast. Teeme selle laiali.

Ok, mida arve tegelikult teeb?

Eelnõu keskne käskkiri sätestab, et asjade Interneti-seadmete tootjad peavad varustama oma tehnoloogia "mõistlike" turvafunktsioonidega, mis hoiavad ära kasutajateabe "volituseta juurdepääsu, hävitamise, kasutamise, muutmise või avalikustamise".

Üks seaduseelnõus sätestatud konkreetne nõue on see, et igal nutika kodutehnikal, millele pääseb juurde väljaspool kohtvõrku, peab olema selle seadme jaoks kordumatu parool või see peab võimaldama kasutajatel seadme seadistamisel unikaalse parooli määrata.

Mõned nutikodu seadmed on varustatud kõvakodeeritud paroolidega, millele pääsevad ligi pahatahtlike kavatsustega kõrvalised isikud (need paroolid on sageli veebis kergesti kättesaadavad), et kaugjuhtimisega sisse murda.

Jah, see on õige, kõvakodeeritud paroolid on nutikas kodus endiselt probleemiks. Eelmisel aastal leidis Soome infoturbefirma F-Secure uurimine, et ettevõtte Foscam ehitatud koduturvakaamerad kasutasid neid kõvakodeeritud paroole. Tundub naeruväärne, et selline viga võib eksisteerida, kuid see on kahjuks tõsi.

Ma ei ole Californias. Miks ma peaksin hoolima?

Ole rahulik, sõber. Kui arve on (seni) vastu võetud vaid Californias, siis mõjusid tunnetavad kliendid üle kogu USA, kuna samad turvasätted sisalduvad arvatavasti kõikides seadmetes. St me ei oska ette näha olukorda, kus sellised ettevõtted nagu Samsung ja Amazon kohandavad oma tooteid just California turu jaoks.

Isegi kui seade on toodetud väljaspool Californiat või USA-d, peab see siiski järgima seadusi, kui kavatsete oma seadet (seadmeid) osariigis müüa – juhuks, kui arvate, et seal võib olla lünk.

Kõlab hästi. Miks kõik ei nõustu?

Sest kuigi seaduseelnõu mõte on õige, ei usu küberturvalisuse eksperdid, et sellel on soovitud mõju.

IoT-ekspert Robert Graham ütleb, et seaduseelnõu põhineb küberturvalisuse pealiskaudsel arusaamal, mis seab kahtluse alla, et see ei paranda turvalisust. Graham võrdleb probleemi dieedipidamisega: kuna vähem söömine on dieedipidamise võti, ei tohiks küberturvalisus tähendada rohkemate turvaelementide lisamist, vaid vähem turvaliste funktsioonide eemaldamist. "Funktsioonide lisamine on tüüpiline "võlupill" või "hõbekuul", mõeldes, et me kulutame suure osa oma ajast infosec'is võideldes," ütles ta.

Graham kritiseeris ka seaduseelnõu "ebamäärast" sõnastust, mis nõuab, et seadmetel oleks "mõistlikud" ja "sobivad" turvafunktsioonid. "Ühelgi ettevõttel on võimatu teada, mida need sõnad tähendavad, võimatu teada, kas need on seadusega kooskõlas."

Graham usub ka, et keskendumine kõvakodeeritud paroolidele on ekslik. Ta nõustub, et need tuleks eemaldada, kuid ütleb, et "neil on keel valesti". Ta ütleb, et probleem on keerulisem: tüüpilisel seadmel "ei ole üht parooli, kuid palju asju, mida võib või ei saa nimetada paroolideks".

Teised eksperdid nõustuvad, et keel on kohati liiga ebamäärane, arvates, et reeglid on enamasti jäetud määratlemata. Tõepoolest, seaduseelnõus märgitakse korduvalt, et sätted peaksid olema seadmele "kohased", ilma konkreetseid andmeid sätestamata. Kuid mõned on väitnud, et see sõnastus on tahtlik, kuna see võimaldab seadmetootjatel tehnoloogiaga kohaneda ja areneda.

Teine California tootjate ja tehnoloogia assotsiatsiooni tõstatatud punkt on see, et seaduseelnõu võib osariigis konkurentsi kaotada, kuid nagu me eespool ütlesime, tundub ebatõenäoline, et ettevõtted kaaluksid seadmete loomist, mis on Californias turvalisemad kui teistes osariikides. Veelgi enam, on tõenäoline, et teised osariigid järgivad California jälgedes.

Kokkuvõttes saab sellest pikema vestluse alguse. Arve süda on õiges kohas; kõik see on nutika kodu turvalisena hoidmiseks oluline. Kuid see on pidev arutelu enne ja pärast 2020. aasta jaanuari.