Dlaczego warto dbać o prawo dotyczące inteligentnych domów, które właśnie uchwalono w Kalifornii

Pierwsza w Ameryce ustawa o bezpieczeństwie inteligentnych domów została właśnie podpisana w Kalifornii – ale niezależnie od tego, gdzie mieszkasz, jest to coś, co prawdopodobnie powinieneś odświeżyć.

Ustawa (SB-327) stanowi, że od 1 stycznia 2020 r. wszyscy producenci urządzeń IoT – inteligentnych głośników, inteligentnych termostatów, co tam jeszcze – muszą zawierać „rozsądne" zabezpieczenia. Zasadniczo chodzi o to, aby wszystkie podłączone urządzenia były bezpieczne przed złośliwym oprogramowaniem umysły, które w przeciwnym razie mogłyby manipulować nimi spoza twojego domu.

Przeczytaj to: Rozpoczęła się bitwa o bezpieczeństwo Twojej domowej technologii

Ustawa wywołała wiele dyskusji, niektórzy chwalili ustawodawstwo i podkreślali znaczenie wczesnego położenia tych fundamentów – ale inni krytykowali ją za nieskuteczność, a nawet szkodę. Rozbijmy to.

Ok, co właściwie robi rachunek?

Centralny edykt ustawy stanowi, że producenci urządzeń IoT muszą wyposażyć swoją technologię w „rozsądne” funkcje bezpieczeństwa, które zapobiegną „nieautoryzowanemu dostępowi, zniszczeniu, użyciu, modyfikacji lub ujawnieniu” informacji o użytkowniku.

Jednym z konkretnych wymagań określonych w ustawie jest to, że każda technologia inteligentnego domu, do której można uzyskać dostęp poza siecią lokalną, musi mieć unikalne hasło do tego urządzenia lub umożliwiać użytkownikom ustawienie unikalnego hasła podczas konfigurowania urządzenia.

Niektóre urządzenia inteligentnego domu są wyposażone w zakodowane na stałe hasła, do których mogą uzyskać dostęp osoby z zewnątrz o złośliwych zamiarach (hasła te są często łatwo dostępne w Internecie), aby zdalnie się włamać.

Tak, zgadza się, hasła zakodowane na stałe nadal stanowią problem w inteligentnym domu. W zeszłym roku dochodzenie przeprowadzone przez fińską firmę F-Secure zajmującą się bezpieczeństwem informacji wykazało, że domowe kamery bezpieczeństwa zbudowane przez firmę Foscam używały tych zakodowanych na stałe haseł. Wydaje się śmieszne, że taka wada może istnieć, ale to niestety prawda.

Nie jestem w Kalifornii. Dlaczego powinno mnie to obchodzić?

Spokojnie, kolego. Chociaż ustawa została uchwalona tylko w Kalifornii (jak dotąd), skutki odczują klienci w całych Stanach Zjednoczonych, ponieważ te same przepisy bezpieczeństwa zostaną prawdopodobnie uwzględnione we wszystkich urządzeniach. To znaczy nie możemy przewidzieć sytuacji, w której firmy takie jak Samsung i Amazon dostosują swoje produkty tylko do rynku kalifornijskiego.

Nawet jeśli urządzenie jest produkowane poza Kalifornią lub Stanami Zjednoczonymi, nadal będzie musiało być zgodne z prawem, jeśli zamierza sprzedawać swoje urządzenia w stanie – na wypadek, gdybyś pomyślał, że może tam być luka.

Brzmi dobrze. Dlaczego nie wszyscy się zgadzają?

Ponieważ chociaż duch ustawy jest słuszny, eksperci ds. cyberbezpieczeństwa nie sądzą, aby odniosła ona zamierzone skutki.

Ekspert IoT Robert Graham mówi, że projekt ustawy opiera się na „powierzchownym zrozumieniu” cyberbezpieczeństwa, twierdząc, że nie poprawi to bezpieczeństwa. Graham porównuje ten problem do diety: tak jak mniejsze jedzenie jest kluczem do diety, cyberbezpieczeństwo nie powinno polegać na dodawaniu większej liczby zabezpieczeń, ale na usuwaniu mniej bezpiecznych funkcji. „Dodawanie funkcji to typowa„ magiczna pigułka “lub„ srebrna kula “myśląca, że ​​​​spędzamy większość czasu na walce z infosec” – powiedział.

Graham skrytykował również „niejasny” język ustawy, który wymaga, aby urządzenia miały „rozsądne” i „odpowiednie” funkcje bezpieczeństwa. „Żadna firma nie może wiedzieć, co oznaczają te słowa, nie może wiedzieć, czy są one zgodne z prawem”.

Graham uważa również, że skupianie się na hasłach zakodowanych na stałe jest błędne. Zgadza się, że należy je usunąć, ale mówi, że „źle rozumieją język”. Mówi, że problem jest bardziej złożony: typowe urządzenie „nie ma jednego hasła, ale wiele rzeczy, które mogą, ale nie muszą być nazywane hasłami”.

Inni eksperci zgadzają się, że język jest miejscami zbyt niejasny, uważając, że zasady są w większości niezdefiniowane. Rzeczywiście, ustawa wielokrotnie stwierdza, że ​​przepisy powinny być „odpowiednie” dla urządzenia, bez określania szczegółów. Ale niektórzy sugerowali, że to sformułowanie jest celowe, ponieważ pozwala producentom urządzeń dostosować się i ewoluować wraz z technologią.

Inną kwestią podniesioną przez California Manufacturers and Technology Association jest to, że ustawa może odstraszyć konkurencję w tym stanie, ale jak powiedzieliśmy powyżej, wydaje się mało prawdopodobne, aby firmy rozważały tworzenie urządzeń, które byłyby bezpieczniejsze w Kalifornii niż w innych stanach. Co więcej, prawdopodobnie inne stany pójdą w ślady Kalifornii.

Podsumowując, będzie to początek dłuższej rozmowy. Serce rachunku jest we właściwym miejscu; wszystko to jest ważne dla zapewnienia bezpieczeństwa inteligentnego domu. Ale to będzie ciągła dyskusja przed i po styczniu 2020 r.