GPS Vehicle Trackers, Ασφάλεια και Απόρρητο Καταναλωτή

Ένα μάθημα για τη σημασία της ανάλυσης απειλών IoT και των δοκιμών ασφαλείας

Είτε είστε καταναλωτής είτε ιδιοκτήτης επιχείρησης, η ασφάλεια στον κυβερνοχώρο γενικά και ειδικά η ασφάλεια του GPS tracker γίνονται όλο και πιο σημαντικές καθημερινά. Είναι μεγάλη ανησυχία. Μάλιστα, σε μια εθνική έρευνα που διεξήχθη νωρίτερα φέτος, το 70% των καταναλωτών δήλωσε ότι ανησυχεί για τα προσωπικά τους δεδομένα που αποκαλύπτονται σε λάθος άτομα. Ταυτόχρονα, οι περισσότεροι υφιστάμενοι και σύντομα νέοι ιδιοκτήτες οχημάτων ανησυχούν για κλοπή αυτοκινήτων — δικαιολογημένα, λόγω της ανοδικής τάσης των κλεμμένων αυτοκινήτων και φορτηγών το περασμένο έτος (αύξηση 9.2 τοις εκατό από το προηγούμενο έτος, σύμφωνα με το FBI).

Οι έμποροι αυτοκινήτων μετατρέπουν αυτές τις δύο ανησυχίες σε επιχειρηματικές ευκαιρίες παρέχοντας λύσεις που επιτρέπουν τη γρήγορη ανάκτηση κλεμμένων οχημάτων για τους καταναλωτές, ενώ ταυτόχρονα διαχειρίζονται πιο αποτελεσματικά τις παρτίδες τους με μεγαλύτερη ορατότητα του αποθέματός τους, καθώς και τη δημιουργία πρόσθετων εσόδων για την αντιπροσωπεία μέσω των πωλήσεων αυτών των συσκευών. Ωστόσο, δεν προσφέρουν όλες οι λύσεις ανάκτησης κλοπής το ίδιο επίπεδο προστασίας όσον αφορά τα δεδομένα των καταναλωτών και το απόρρητο. 

Όλα τα GPS Trackers προστατεύουν το απόρρητο των καταναλωτών;

Όταν ερευνήσαμε λύσεις παρακολούθησης που βασίζονται σε GPS που χρησιμοποιούνται συνήθως στην αυτοκινητοβιομηχανία των ΗΠΑ και τα χαρακτηριστικά ασφαλείας τους, διαπιστώσαμε ότι ορισμένες από αυτές έχουν σχεδιαστεί προσεκτικά για να προστατεύουν τις συσκευές και τα δεδομένα τους από πειρατεία, ενώ άλλες έχουν πολύ μικρή ή καθόλου προστασία. Γιατί έχει σημασία αυτό; Με έναν ανεπαρκώς προστατευμένο ιχνηλάτη, οι κλέφτες μπορούσαν εύκολα να βρουν την τοποθεσία ενός αυτοκινήτου, επιτρέποντάς τους να ανακαλύψουν πού μένει ο ιδιοκτήτης, πού εργάζεται, ακόμη και πού πηγαίνουν τα παιδιά τους στο σχολείο. Και οι έμποροι αυτοκινήτων που πωλούν ανασφαλείς λύσεις διατρέχουν τον κίνδυνο να προκαλέσουν την οργή των πελατών τους.

Σε μια προσπάθεια να αποκτήσουμε πληροφορίες σχετικά με ορισμένα από τα κοινά μέτρα ασφαλείας που μπορεί να έχει (ή να λείπει πολύ) μια λύση παρακολούθησης GPS, αποφασίσαμε να εξετάσουμε δύο διαφορετικές λύσεις παρακολούθησης σε βάθος: η μία ήταν μια παραδοσιακή ενσύρματη λύση και το άλλο είναι μια ασύρματη λύση επόμενης γενιάς με μπαταρίες. 

Τα κακά νέα: Λύση Α, το ενσύρματο GPS

Η λύση Α εγκαθίσταται συνήθως από έναν τεχνικό αντιπροσωπείας που τη συνδέει με την μπαταρία του οχήματος. Όταν εξετάσαμε αυτή τη λύση, ανακαλύψαμε μερικά συγκλονιστικά ευρήματα. Καταφέραμε εύκολα να προσδιορίσουμε τον αριθμό τηλεφώνου που χρησιμοποιούσε η συσκευή για την επικοινωνία με το δίκτυο κινητής τηλεφωνίας. Θα μπορούσαμε από εκεί να μας δώσει την ακριβή τοποθεσία του στέλνοντάς του ένα μήνυμα κειμένου που περιέχει φράσεις εντολών που βρήκαμε δημοσιευμένες στο διαδίκτυο, που ερμηνεύτηκαν ως οδηγίες. Αυτό από μόνο του αντιπροσωπεύει παραβίαση του απορρήτου των καταναλωτών και ανοίγει τους ανθρώπους σε κινδύνους όπως καταδίωξη, κλοπή και άλλα εγκλήματα. Εάν το σύστημα σχεδιάστηκε με γνώμονα την ασφάλεια, δεν θα έπρεπε να είχαμε τη δυνατότητα να λάβουμε αυτές τις πληροφορίες.

Ανακαλύψαμε επίσης ότι με περαιτέρω χειραγώγηση, είναι δυνατό να πείσουμε τον ιχνηλάτη να στείλει μια ψευδή τοποθεσία. Κάποιος θα μπορούσε ακόμη και να απενεργοποιήσει εντελώς τον ιχνηλάτη αλλάζοντας εξ αποστάσεως το λογισμικό του.

Αυτό σημαίνει ότι ο ιδιοκτήτης του οχήματος και οι αστυνομικοί δεν θα είχαν τρόπο να παρακολουθήσουν το αυτοκίνητο όταν κλαπεί. Ή ακόμα χειρότερα, οι κλέφτες θα μπορούσαν να στείλουν τις αρχές να ψάξουν προς τη λάθος κατεύθυνση.  

Για τους καταναλωτές που χρησιμοποιούν συσκευές με κακή ασφάλεια, τα προβλήματα που σχετίζονται με αυτές τις απειλές είναι προφανή. Εάν είστε έμπορος αυτοκινήτων που πουλάτε αυτές τις συσκευές στους πελάτες σας, κινδυνεύετε με κακές σχέσεις δημοσίων σχέσεων, μειωμένα έσοδα, απώλεια εμπιστοσύνης και ίσως ακόμη και προβλήματα ευθύνης, εάν διακυβευτεί μια λύση που πουλήσατε. 

Όλα αυτά τα ζητήματα θα μπορούσαν να είχαν αποφευχθεί εάν συνεργαστείτε με έναν αμερόληπτο ειδικό τρίτο για την αξιολόγηση της ασφάλειας της συσκευής και της λύσης από άκρο σε άκρο, προκειμένου να εντοπιστούν προβλήματα πριν από την κυκλοφορία του προϊόντος, προστατεύοντας τα μακροπρόθεσμα έσοδα και φήμη του κατασκευαστή και του προϊόντος του.

Αλλά ευτυχώς υπάρχουν και καλά νέα!

Τα καλά νέα: Λύση Β, η ασύρματη συσκευή παρακολούθησης

Οι δοκιμές μας για τη Λύση Β – μια ασύρματη συσκευή παρακολούθησης επόμενης γενιάς – δεν βρήκαν ΚΑΜΙΑ από τις ίδιες αδυναμίες. Προστατεύει με επιτυχία τις πληροφορίες τοποθεσίας από τους χάκερ, επιτρέποντας μόνο στον πραγματικό κάτοχο της συσκευής να έχει πρόσβαση στη θέση του αυτοκινήτου του χρησιμοποιώντας προηγμένη κρυπτογράφηση δεδομένων. Αυτή η συσκευή διέθετε επίσης ισχυρές προστασίες, όπως έλεγχο ταυτότητας χρήστη, για να διασφαλιστεί ότι κανείς δεν θα μπορούσε να απενεργοποιήσει ή να παραβιάσει τη συσκευή εξ αποστάσεως χρησιμοποιώντας λήψεις και εντολές over-the-air. Αυτό εξασφάλισε ότι ήταν πάντα διαθέσιμο για να αναφέρει τη σωστή θέση του οχήματος. Για τους καταναλωτές, αυτό σημαίνει ότι προστατεύεται το απόρρητο και η ασφάλειά τους. Βελτιώνει επίσης τις πιθανότητες να μπορέσουν να πάρουν το αυτοκίνητό τους πίσω πιο γρήγορα σε περίπτωση κλοπής. Για τους αντιπροσώπους αυτοκινήτων, σημαίνει ικανοποιημένους πελάτες και κανένα πρόβλημα ευθύνης από παραβιασμένες συσκευές.

Πώς να επιλέξετε ποιο προϊόν να αγοράσετε ή να πουλήσετε; 

Είτε πρόκειται για συσκευή GPS είτε για οποιαδήποτε άλλη συσκευή IoT, υπάρχουν τρεις βασικές ερωτήσεις που πρέπει να κάνει κάποιος για οποιαδήποτε συσκευή IoT προτού επιλέξει να την αγοράσει ή να την πουλήσει: 

• Προστασία Προσωπικών Δεδομένων: Έχει σχεδιαστεί η συσκευή με γνώμονα το απόρρητο των δεδομένων; Τα δεδομένα τοποθεσίας προστατεύονται με τεχνολογία κρυπτογράφησης;
• ΠΡΟΣΤΑΣΙΑ: Τι έχει γίνει για την προστασία της συσκευής από τους χάκερ ώστε να μην μπορεί να παραβιαστεί ή να απενεργοποιηθεί; Είναι υπογεγραμμένες και επαληθευμένες οι λήψεις νέων υλικολογισμικού Ελέγχονται οι απομακρυσμένες εντολές στη συσκευή;
• Ανεξάρτητη επαλήθευση: Η εταιρεία που σχεδίασε τη συσκευή χρησιμοποιεί εσωτερικούς ή εξωτερικούς εμπειρογνώμονες ασφάλειας για να δοκιμάσει την ασφάλεια από άκρο σε άκρο της λύσης; 

Χρειάζεστε βοήθεια για να βεβαιωθείτε ότι η λύση σας είναι ασφαλής;

Δεν έχει όλες οι εταιρείες τις εσωτερικές δεξιότητες για να επιτύχουν το επίπεδο ασφάλειας του IoT που απαιτούν (ή ακόμη και να προσδιορίσουν ποιες απειλές είναι πιο σχετικές για την προστασία τους). Σε αυτήν την περίπτωση, το έξυπνο πράγμα που πρέπει να κάνετε είναι να λάβετε βοήθεια από μια εξωτερική εταιρεία που ειδικεύεται στην ασφάλεια, η οποία μπορεί να σας βοηθήσει με δραστηριότητες όπως η αξιολόγηση απειλών, ο σχεδιασμός αρχιτεκτονικής ασφάλειας και η αξιολόγηση ασφάλειας του τελικού προϊόντος σας πριν κυκλοφορήσει στην αγορά. Η επιδιόρθωση ενός ελαττώματος ασφαλείας μετά την κυκλοφορία μπορεί να κοστίσει έως και 80 φορές περισσότερο από το να εντοπίσετε το ίδιο ελάττωμα ενώ είστε ακόμα στη φάση του σχεδιασμού, και αυτό μπορεί να σημαίνει τη διαφορά μεταξύ επιτυχίας ή αποτυχίας για το προϊόν και ακόμη και την εταιρεία.