استاندارد سازی و تنظیم مقررات امنیت در اینترنت اشیاء *

اینترنت اشیاء شبکه‌ای از تجهیزات، ابزارها، ماشین‌ها، ساختمان‌ها و دیگر عناصر به اصطلاح هوشمند است که مجهز به سنسورها، نرم‌افزار و اتصالات شبکه هستند واین به آنها امکان جمع‌آوری، پردازش و تبادل اطلاعات می‌دهد. این شبکه امکان اتصال و کنترل این وسایل را از راه دور و به سهولت فراهم می‌کند. پیش‌بینی‌ سیسکو حاکی از افزایش تعداد اشیاء متصل، به ۵۰ میلیارد تا سال ۲۰۲۰ است. در پارادیم اینترنت اشیاء، همه چیز به کامپیوتر تبدیل می‌شود. مایکروویو کامپیوتری است که غذاها را گرم می‌کند. فریزر کامپیوتری است که مواد غذایی را منجمد می‌کند. اتوموبیل، تلویزیون، چراغ راهنمایی، شبکه سراسری برق، تجهیزات پزشکی و غیره همگی کامپیوتر یا شبکه‌ای از کامپیوترها هستند.
واضح است که امنیت در اینترنت اشیاء فراتر از آن است که تا به حال در شبکه‌های کامپیوتری به دنبال برقراری آن بوده‌ایم. اگر تا به حال از میان سه هدف محرمانگی، صحت و دسترس‌پذیری، غالباً اهمیت بیشتری به محرمانگی داده می‌شد، در اینترنت اشیاء باید به صحت و دستر‌پذیری بیشتر توجه کنیم. شبی را تصور کنید که درب ورودی خانه شما قفل شده و هیچ راهی به درون خانه ندارید، در حالی که یک باج افزار از شما مبلغ ۱ میلیون تومان می‌خواهد تا بتوانید درب را باز کنید. فرض کنید یک نفوذگر بتواند کنترل اتوموبیل در حال حرکت شما را به دست آورد، در عملکرد دستگاه‌های درمانی مثل تزریق کننده انسولین یا تنظیم کننده ضربان قلب اختلال ایجاد کند و شبکه سراسری برق را به کنترل خود درآورد. تمام مثال‌های بالا توسط محققان امنیتی شبیه‌سازی شده یا حوادث واقعی آنها اتفاق افتاده و در امکانپذیر بودن آنها با استفاده از تجهیزات و شبکه‌های فعلی، شکی وجود ندارد. تصور اینکه در آینده اتوموبیل ما در حالی که در سفر هستیم به باج‌افزار آلوده شود، سیستم گرمایش خانه از کنترلمان خارج شود، دوربین‌های تحت وب ما برای حمله به زیرساخت‌های حیاتی شهر استفاده شوند و وسایل بازی کودک بتواند به ابزاری خطرناک برای کودک تبدیل شود، بخشی از کابوس زندگی در دنیای تحت سیطره اینترنت اشیاء است.
امنیت ما در اینترنت اشیاء مستقیماً به امنیت میلیون‌ها ابزار متصل به یکدیگر وابسته است. ابزارهایی که بسیاری از آنها محصول شرکت‌هایی هستند که ممکن است تا به حال نام آنها را نشنیده باشیم، و توسط کاربرانی استفاده می‌شوند که هیچ اهمیتی به امنیت ما نمی‌دهند. میلیون‌ها دوربین‌ و روتر خانگی که عضو بات‌نت‌هایی از قبیل Mirai هستند را می‌توان از این قبیل تجهیزات دانست. اتفاقی که Mirai چند ماه قبل رقم زد و توانست سایت‌هایی از قبیل توئیتر و PayPal را در ساعات قابل توجهی از روز از دسترس خارج کند، نشان داد که اینترنت اشیاء چه پتانسیلی برای آسیب زدن به کسب و کارها برای نفوذگران ایجاد می‌کند. بسیاری از این اشیاء، متشکل از اجزایی ارزان قیمت هستند که توسط تیم‌های نه چندان حرفه‌ای در حوزه امنیت، بسته بندی و فروخته شده‌اند. این اشیاء بر خلاف کامپیوترهای گرانقیمت سنتی، وصله‌های امنیتی دریافت نمی‌کنند و برخی از آنها هیچ راهی برای به روز رسانی ندارند.
آنچه تجهیزات متصل را در اینترنت اشیاء به سلاح‌هایی مخرب بدل می‌کند، بیش از آنکه نقاط ضعف فنی باشد، ناکارآمدی قوانین و سیاست‌ها است. امروز با انبوهی از تجهیزات متصل روبرو هستیم که حاوی حفره‌های امنیتی هستند، یا احتمالاً در آینده نقاط ضعفی در آنها شناخته خواهد شد، اما امکان و انگیزه رفع این نقطه ضعف‌ها وجود ندارد. اغلب تولید کنندگان تمایلی به وارد شدن به پروسه پیچیده و گران به روزرسانی محصولات فروخته شده ندارند. بسیاری از تولید کنندگان حداکثر اقدام به انتشار نسخه‌های جدید میان‌افزار و برنامه‌های کاربردی خود می‌کنند، در حالی که نه تنها تضمینی برای عملیاتی شدن این نسخه‌های جدید وجود ندارد، بلکه روند حوادث اخیر نشان می‌دهد که رفع این آسیب پذیری‌ها چالش جدی اینترنت اشیاء است.
به روز رسانی از طریق وصله‌های نرم‌افزاری، روش استانداردی است که تولید کنندگان بزرگ صنعت کامپیوتر برای رفع آسیب‌پذیری‌های کشف شده در محصولات خود انتخاب کرده‌اند. شرکت‌هایی مثل مایکروسافت، گوگل، اپل و غیره برنامه‌ای جامع و منظم برای انتشار وصله‌ها اجرا می‌کنند که مشتمل بر تولید سریع، تست و انتشار به موقع این وصله‌ها است. به روز رسانی خودکار، هم در طرف کاربر به عنوان یک اقدام ضروری همواره توصیه شده است و هم تولید کننده به عنوان بخشی از فرآیند نگهداری محصول بر عهده گرفته است. هرچند این پروسه به روزرسانی دارای اشکالات عمده‌ای است که بسیاری از ما در زندگی شخصی و کاری با آن آشنا هستیم، اما حداقل به عنوان یک روش استاندارد و بهترین گزینه موجود، پذیرفته شده است. اما این در اینترنت اشیاء صادق نیست. یک هدفون هوشمند، تلویزیون، فریزر یا اتوموبیل هوشمند را در نظر بگیرید. در بسیاری از این محصولات با تولیدکننده‌ای سروکار داریم که حتی تیمی برای تست امنیتی محصول خود ندارند. در بعضی از این تجهیزات اصلاً نمی‌توان انتظار پشتیبانی پس از فروش را داشت. بعضی دیگر از این دستگاه‌ها اساساً قابل وصله کردن نیستند. حتی تضمینی نیست که وصله ایجاد شده را بتوان با سلامت و بدون از دست رفتن اصل محصول، پیاده‌سازی نمود. این می‌تواند ناشی از نوع طراحی محصول، کیفیت شبکه مورد اتصال یا محل استفاده از آن باشد.
دوره عمر بسیاری از تجهیزات متصل در اینترنت اشیاء طولانی‌تر از کامپیوترهای عادی است. اگر بتوان تصور کرد که بسیاری از افراد هر دو یا سه سال یک‌بار گوشی هوشمند یا لپ‌تاپ خود را تعویض کنند، این مدت برای وسایلی مثل فریزر، درب ساختمان، سیستم گرمایش و اتوموبیل می‌تواند چندین سال بیشتر باشد. وسایلی مثل اتوموبیل حتی ممکن است تا ده سال و بیشتر، دست به دست شده و استفاده شوند. حال تصور کنید که شرکت تولید کننده چنین وسایلی ورشکست شود، یا تصمیم بگیرد که از محصولات قدیمی خود پشتیبانی نکند. درست مانند عدم پشتیبانی مایکروسافت از ویندوز XP، هرچند مایکروسافت در حادثه اخیر مربوط به بدافزار WannaCry، وصله مربوط به ویندوز XP را نیز در اختیار کاربران قرار داد. حال اگر در سال ۲۰۱۷ یک برنامه نویس قطعه کدی برای سیستم کنترل هوشمند یک اتوموبیل می‌نویسد، چه کسی قرار است آن را در صورت نیاز، در سال ۲۰۳۰ یا ۲۰۴۰ وصله کند؟
بنابراین بازار اینترنت اشیاء دارای دو ویژگی چالش برانگیز در حوزه امنیت است:
۱- نگهداری امنیتی اشیاء متصل، به دلیل ماهیت آنها مشکل است.
۲- نه تولیدکنندگان و نه مصرف کنندگان در این بازار، اولویت لازم را برای امنیت اشیاء متصل قائل نیستند.
به همین دلیل، باید در حوزه قوانین و سیاست‌ها به دنبال راه حل باشیم. حاکمیت باید حداقلی از نیازمندی‌های امنیتی را برای محصولاتی که به حوزه IoT وارد می‌شوند الزام کند. همچنین باید هزینه سوء استفاده از آسیب پذیری‌های این محصولات را برای تولید کنندگان بالا ببرد. هرچند استفاده از اهرم حاکمیتی ممکن است به طور کلی راه حل ایده آل نباشد، اما چاره‌ای نیست. این راهی است که کشورهای دیگر نیز در حال قدم گذاشتن در آن هستند. کما اینکه امروز در ایالات متحده و اتحادیه اروپا، این حرکت آغاز شده است. ویژگی‌های بازار اینترنت اشیاء، حاکمیت را ناگزیر از ورود به این حوزه و تنظیم مقررات خواهد کرد. نقش حاکمیت در اینجا پیش از هر چیز، تدوین و برقرار کردن استانداردها و سیاست‌ها و اطمینان از تطبیق شرکت‌ها و سازمان‌ها با این الزامات حاکمیتی است، به نحوی که امکان سوء استفاده از این شبکه برای آسیب رساندن به شهروندان و سازمان‌ها به حداقل برسد. هدف نهایی این استانداردسازی، باید حفظ ایمنی جامعه در برابر تهدیدهای سایبری و سایبرـ‌فیزیکی اینترنت اشیاء و جلوگیری از رخدادهایی شبیه حملات بات‌نت Mirai باشد. استانداردسازی و تنظیم مقررات نه فقط از جانب حاکمیت، بلکه توسط خود بازیگران این عرصه هم باید اتفاق بیافتد. به عنوان مثال، خدمات دهندگان اینترنت باید اطمینان حاصل کنند که روترهای خانگی مشتریان، تجهیزات اینترنت بی‌سیم عمومی، دوربین‌های تحت شبکه و غیره پیش از نصب، حداقلی از تنظیمات امنیتی را تضمین می‌کنند. صنعت بیمه هم می‌تواند عهده دار بخشی از مسئولیت کاهش آسیب‌های ناشی از حملات مبتنی بر اینترنت اشیاء باشد. تنظیم مقررات اینترنت اشیاء فراتر از امنیت سایبری نیازمند توجه به ایمنی (Safety) است. همانطور که در صنایع حمل و نقل هوایی، تجهیزات بیمارستانی و دارو مقررات ایمنی وضع و اجرا می‌شود، باید در حوزه اینترنت اشیاء نیز این اتفاق رخ دهد. همچنین آزمایشگاه‌هایی باید برای اعتباربخشی و تأیید امنیتی وسایل هوشمند خانگی و دیگر تجهیزات IoT تحت حمایت حاکمیت تأسیس شوند.

* نسخه ای از این یادداشت، پیش تر در ماهنامه بانکداری الکترونیک منتشر شده است.

اشتراک گذاری

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد.