Očekáváme, že daná věc bude plnit funkci, kvůli které jsme si ji pořídili. Auto, televize, počítač, tiskárna, pračka nebo počítačový software. Bezesporu užitečné věci. Zařízení jsou dnes chytrá, navzájem propojená a sdílející data. Toto vše vede k takzvané nejlepší možné uživatelské zkušenosti či anglicky „best user experience“. Problém je, že my, běžní uživatelé, vlastně nevíme, jaká data se kam posílají, kde a na jak dlouho se ukládají a kdo s nimi pracuje, či dokonce manipuluje. Často by nás ani nenapadlo, že vůbec nějaká komunikace probíhá. Přece jsme koupili chytrý kávovar proto, abychom si dopřáli šálek dobré kávy, a nikoli proto, aby se do cloudu posílala informace, kdy a jakou kávu jsme si dali! Hackeři, potažmo útočníci, to mají vlastně docela jednoduché.
Napadnout se totiž dá cokoli, co nějakým způsobem komunikuje. Ať už vzdáleně po internetu, nebo fyzicky po komunikační sběrnici uvnitř zařízení. A jelikož dnešní doba tlačí na to „rychle vyrobit a rychle prodat“, je docela možné, že chytrá zařízení, například ta pro domácí použití, používají levné komponenty, jež neodpovídají dnešním požadavkům na bezpečnostní architekturu. Dokonce existují veřejně přístupné databáze, kde se dají zjistit IP adresy zranitelných zařízení vyhledáváním na základě konkrétního výrobce, lokality či verze. V takových případech útok míří na velké množství zařízení a s nejistým výsledkem.
Pro komerční sektor byly v uplynulém roce velkým problémem útoky na dodavatelské řetězce. Jedná se o útok na dodavatele, který sám o sobě má přístup ke svým klientům. Může se jednat o společnost, vyvíjející například HR systémy pracující s citlivými údaji, které se poté nasazují u klientů. Pokud se hackerům podaří modifikovat takový systém, zabudovat do něj škodlivý kód nebo „backdoor“, automaticky tím získají přístupy ke všem zákazníkům dodavatele, kteří mají systém nainstalován. Tyto útoky jsou mnohem sofistikovanější, trvají i několik let a jsou velmi cíleně zaměřeny na technologii a firmu, respektive dodavatele.
Pro ilustraci je možné uvést příklad v podobě autoservisu. Abychom nemuseli jezdit do servisu s každou maličkostí, servis a výrobci mají u novějších automobilů možnost aktualizovat systémy vzdáleně. Každá řídicí jednotka, kterých můžou být ve vozidle desítky i stovky, má vlastní firmware. Komunikace mezi vozidlem a servisem typicky probíhá šifrovaně pomocí asymetrické kryptografie. Ale co se stane, když se útočník nějakým způsobem k těmto šifrovacím klíčům dostane? Uvědomme si, že útočník si automobil může koupit stejně jako kdokoli jiný a v garáži pak následně vše rozebrat do posledního šroubku a analyzovat a hledat chyby v bezpečnostní architektuře či komunikačních systémech. Bude-li úspěšný a opravdu zranitelnost najde, může teoreticky získat kontrolu nad množinou vozidel v celém regionu. A co teprve, pokud se bude jednat o vládní flotilu či vozidla bezpečnostních složek?
Cílem tohoto příspěvku není vyvolat paniku, ale poukázat na skutečnost, že v dnešní době je možné útočit téměř na vše, a obezřetnost je proto rozhodně na místě. Kupujme tedy jen to, co opravdu potřebujeme, a pokud je to možné, omezme komunikační možnosti daných zařízení na minimum. Je zřejmé, že téma kybernetické bezpečnosti bude v nadcházejících měsících a letech jen nabývat na důležitosti.
Michal Merta, ředitel Cyber Fusion Center Prague, Accenture
