Een veelbesproken onderwerp rond het internet is tegenwoordig de (afwezigheid van) veiligheid en privacy bij internet of things (IoT) apparaten. Naar mate het aantal van dergelijke apparaten in ons dagelijks leven groeit, nemen ook de zorgen rondom de veiligheid en privacy hiervan toe. Zie bijvoorbeeld dit artikel van Bruce Schneier, of de recente ravage die het Mirai-botnet veroorzaakte.
Dit probleem wordt van verschillende kanten aangepakt; men kijkt naar verbeterde werkwijzen van fabrikanten en beleid en wetgeving over veiligheid en privacy. Dit gebeurt zowel op nationaal als internationaal niveau, maar men richt zich ook op het beter informeren van gebruikers over wat hun apparaten misschien achter hun rug om doen. Om het internet veilig te houden, zijn wij van mening dat al deze werkwijzen nodig zijn.
Onze aanpak
Bij SIDN Labs zijn we van mening dat er geen ‘silver bullet’ is om de beveiliging van producten en de privacy van gebruikers van het internet of things (of het internet in het algemeen) te garanderen; er is continue verbetering op al deze fronten nodig.Met dat in het achterhoofd zijn we pas gestart met een onderzoekstraject op een van deze gebieden: Security for In-home Networks (SPIN). Het doel van het project is het ontwerpen, prototypen en evalueren van de zogenaamde SPIN controller. Dit is een systeem voor thuisnetwerken dat de gebruiker de controle teruggeeft over de veiligheid en privacy. De SPIN controller moet gebruikers inzicht geven in en controle geven over de veiligheid en het gedrag van hun IoT-producten. In de simpelste vorm lijkt dit op een persoonlijke firewall, maar dan voor een netwerk van IoT-apparaten in plaats van bijvoorbeeld alleen maar een desktopcomputer.We hebben ervoor gekozen op thuisnetwerken te focussen omdat we hiermee 2 vliegen in 1 klap slaan: we helpen gebruikers hun netwerken beter te beveiligen en kwaadwillenden hebben minder mogelijkheden om IoT-producten te misbruiken voor aanvallen op de infrastructuur van het internet, zoals die van SIDN als beheerder van het .nl-domein.Natuurlijk zijn er producten waarmee thuisnetwerken bewaakt en bestuurd kunnen worden; er zijn behoorlijk wat ‘traffic monitors’ en firewall-implementaties beschikbaar. Maar de meeste oplossingen abstraheren te veel details weg, of juist veel te weinig. Om een voorbeeld te noemen; hulpmiddelen om dataverkeer in te zien geven vaak alleen totalen weer en netwerkfirewalls werken met voorzichtig in te stellen regels die veel details bevatten. Bovendien zijn deze oplossingen vaak niet specifiek gericht op het IoT, en hebben gebruikers veel netwerkkennis nodig om ze effectief in te kunnen zetten.Het doel van ons onderzoek is hier een middenweg in te vinden, en daarvan open source prototypes te ontwikkelen die door derden kunnen worden opgepakt en ingezet in hun oplossingen.
SPIN-prototype
Ons initiële prototype van de SPIN controller richt zich op privacy-awareness en simpele visualisatie, waarbij getoond wordt hoe ‘kletsgraag’ sommige IoT-producten zijn. De huidige versie van de SPIN-software toont de laatste 10 minuten van netwerkactiviteit (zie Figuur 1). De screenshot laat interne apparaten zien in het grijs, recente verbindingen in het groen, en oudere verbindingen in het blauw. Het scherm links toont extra informatie over de geselecteerde node.
Figuur 1: Screenshot van de SPIN visualiser prototype
Figuur 2 is een screencast van een vroeg prototype van de SPIN-software die draait in een netwerk met een aantal apparaten, waaronder een smart televisie en een RIPE Atlas probe. De televisie maakt verbindingen met diensten die de gebruiken misschien niet had verwacht of gevraagd (in dit specifieke voorbeeld verbindt de televisie met Facebook, in de video te zien op 1:31).
Figuur 2: SPIN visualiser prototype video
Open source
We hebben de SPIN-software beschikbaar gesteld als open-source software op Github. Een werkende versie van het prototype wordt ook gebundeld met de Valibox software, op OpenWRT gebaseerde firmware voor thuisrouters die DNSSEC-validatie mogelijk maakt op thuisnetwerken. De huidige bèta-versie bevat een prototype van de SPIN visualiser.
Toekomstig werk
We zitten nog in een vroeg stadium van ons onderzoek. We voorzien een aantal andere modules voor de SPIN controller, die het mogelijk moeten maken een veiliger en privacy-vriendelijker thuisnetwerk te hebben, ook als het aantal IoT-producten in dat netwerk toeneemt. Een van de volgende stappen is bijvoorbeeld gebruikers de mogelijkheid te geven om in te grijpen, en verkeer dat ze niet vertrouwen te blokkeren. Verdere verbeteringen moeten de gebruiker helpen daarbij beter geïnformeerde beslissingen te nemen, door meer inzicht en misschien zelfs adviezen te geven. We voorzien ook meer intelligente modules die het netwerk zelf scannen op kwetsbaarheden zoals standaard wachtwoorden en onbedoeld open toegang van buitenaf.
