Varför du bör bry dig om lagen om smarta hem som Kalifornien just antog

USA:s första säkerhetslag för smarta hem har precis undertecknats i Kalifornien – men oavsett var du bor är det något du förmodligen borde fräscha upp dig på.

Lagförslaget (SB-327) föreskriver att från och med den 1 januari 2020 måste alla tillverkare av IoT-enheter – smarta högtalare, smarta termostater, vad har du – inkludera "rimliga" säkerhetsfunktioner. I grund och botten handlar det om att hålla alla dina anslutna enheter säkra från skadlig sinnen som annars skulle kunna manipulera dem utanför ditt hem.

Läs det här: Säkerhetsstriden för din hemteknik har börjat

Lagförslaget har väckt en hel del diskussion, med några som hyllar lagstiftningen och understryker vikten av att lägga dessa grunder tidigt – men det har kritiserats av andra för att vara ineffektivt och till och med skadligt. Låt oss bryta ner det.

Ok, vad gör räkningen egentligen?

Det centrala påbudet i lagförslaget anger att tillverkare av IoT-enheter måste utrusta sin teknik med "rimliga" säkerhetsfunktioner som kommer att förhindra "obehörig åtkomst, förstörelse, användning, modifiering eller avslöjande" av användarinformation.

Ett specifikt krav som anges i lagförslaget är att alla smarta hemtekniker med sätt att nås utanför ett lokalt nätverk måste ha ett unikt lösenord för den enheten, eller tillåta användare att ställa in ett unikt lösenord när de ställer in enheten.

Vissa smarta hemenheter kommer med hårdkodade lösenord som utomstående med illvilliga avsikter kan komma åt (dessa lösenord är ofta lättillgängliga på webben) för att bryta sig in på distans.

Ja det stämmer, hårdkodade lösenord är fortfarande ett problem i det smarta hemmet. Förra året fann en utredning av det finska informationssäkerhetsföretaget F-Secure att hemsäkerhetskameror byggda av företaget Foscam använde dessa hårdkodade lösenord. Det verkar skrattretande att ett sådant fel kan finnas, men det är tyvärr sant.

Jag är inte i Kalifornien. Varför skulle jag bry mig?

Lätt där, kompis. Även om lagförslaget bara har antagits i Kalifornien (hittills), kommer effekterna att märkas av kunder över hela USA, eftersom samma säkerhetsbestämmelser förmodligen kommer att inkluderas i alla enheter. Dvs vi kan inte förutse en situation där företag som Samsung och Amazon justerar sina produkter bara för den kaliforniska marknaden.

Även om en enhet är tillverkad utanför Kalifornien eller USA, måste den fortfarande följa lagen om den ska sälja sina enheter i staten – om du trodde att det kunde finnas ett kryphål där.

Låter bra. Varför håller inte alla med?

För även om andemeningen i lagförslaget är rätt, tror inte cybersäkerhetsexperter att det kommer att få de avsedda effekterna.

IoT-experten Robert Graham säger att lagförslaget är baserat på en "ytlig förståelse" av cybersäkerhet, och hävdar att det inte kommer att förbättra säkerheten. Graham liknar problemet med bantning: på det sättet att äta mindre är nyckeln till bantning, bör cybersäkerhet inte handla om att lägga till fler säkerhetsfunktioner, utan att ta bort funktioner som är mindre säkra. "Att lägga till funktioner är typiskt "magiskt piller" eller "silverkula"-tänkande som vi spenderar mycket av vår tid på att slåss mot infosec, sa han.

Graham kritiserade också det "vaga" språket i lagförslaget som kräver att enheter har "rimliga" och "lämpliga" säkerhetsfunktioner. "Det är omöjligt för något företag att veta vad dessa ord betyder, omöjligt att veta om de är förenliga med lagen".

Graham anser också att fokus på hårdkodade lösenord är missriktat. Han håller med om att dessa borde tas bort men säger att "de missförstår språket." Han säger att problemet är mer komplext: en typisk enhet "har inte ett enda lösenord, men många saker som kan eller inte kan kallas lösenord".

Andra experter är överens om att språket är för vagt på sina ställen, och tror att reglerna för det mesta lämnas odefinierade. Faktum är att lagförslaget upprepade gånger anger att bestämmelserna ska vara "lämpliga" för enheten utan att fastställa detaljer. Men vissa har föreslagit att denna formulering är avsiktlig, eftersom den tillåter enhetstillverkare att anpassa sig och utvecklas med tekniken.

En annan punkt som tagits upp av California Manufacturers and Technology Association är att lagförslaget skulle kunna driva bort konkurrensen i delstaten, men som vi sa ovan verkar det osannolikt att företag skulle överväga att skapa enheter som är säkrare i Kalifornien än andra delstater. Dessutom är det troligt att andra stater kommer att följa i Kaliforniens fotspår.

Sammanfattningsvis kommer detta att bli början på ett längre samtal. Lagförslagets hjärta är på rätt plats; allt detta är viktigt för att hålla det smarta hemmet säkert. Men det kommer att bli en pågående diskussion före och efter januari 2020.