O’zbekiston respublikasi axborot texnologiyalari va kommunikasiyalarini rivojlantirish vazirligi muxammad al-xorazmiy nomidagi toshkent axborot texnologiyalari universiteti

1.3. Buyum Internet tizimlarida mavjud xavfsizlik muammolari

IOT qurilmalarining xavfsizligi bir muncha vaqt xavotirga sabab bo'ldi va kichik va keng ko'lamli hujumlarga yo'l qo'yishning muqarrar oqibatiga olib keldi. Ushbu hujumlarning aksariyati oddiy xavfsizlik muammolaridan kelib chiqadi, masalan, telnet xizmatida standart parollarni saqlab qolishi.

Kirishni boshqarish noto'g'ri. IOT qurilmasi tomonidan taqdim etiladigan xizmatlarga faqat egasi va ular ishongan atrofdagi odamlar kirishlari mumkin. Biroq, bu ko'pincha qurilmaning xavfsizlik tizimi tomonidan etarli darajada bajarilmaydi.

IoT qurilmalari mahalliy tarmoqqa shu darajaga ishonishi mumkinki, qo'shimcha autentifikatsiya yoki avtorizatsiya talab qilinmaydi. Xuddi shu tarmoqqa ulangan har qanday boshqa qurilmaga ham ishoniladi. Qurilma Internetga ulanganida, bu ayniqsa muammo tug'diradi: endi dunyodagi har bir kishi ushbu qurilma tomonidan taqdim etilgan funksiyalarga potentsial ravishda kira oladi.

Umumiy muammo shundaki, bitta modeldagi barcha qurilmalar bir xil standart parol bilan ta'minlanadi (masalan, "admin" yoki "password123"). Dasturiy ta'minot va standart sozlamalar odatda bir xil modeldagi barcha qurilmalar uchun bir xildir. Qurilmaning hisobga olish ma'lumotlari, chunki ko'pincha, ularni foydalanuvchi o'zgartirmaydi deb o'ylasak - bu jamoat ma'lumotidir, ular ushbu seriyadagi barcha qurilmalarga kirish huquqini olish uchun ishlatilishi mumkin.

IOT qurilmalari ko'pincha bitta hisob qaydnomasi yoki imtiyoz darajasiga ega, ikkalasi ham foydalanuvchiga ta'sir qiladi va ichki. Bu shuni anglatadiki, ushbu imtiyozga ega bo'lgach, kirishning boshqa nazorati yo'q. Ushbu yagona himoya darajasi bir nechta zaifliklardan himoya qila olmaydi.

Haddan tashqari katta hujum yuzasi. Tizimga ulanishi mumkin bo'lgan har bir ulanish tajovuzkorga zaif tomonlarini aniqlash va ulardan foydalanish uchun yangi imkoniyatlar yaratadi. Qurilma Internet orqali qancha ko'p xizmatlarni taklif qilsa, shuncha ko'p xizmatlarga hujum qilish mumkin. Bu hujum yuzasi sifatida tanilgan. Hujum sirtini qisqartirish - bu tizimni ta'minlash jarayonidagi dastlabki qadamlardan biri.

Qurilmada ishlash uchun qat'iy talab qilinmaydigan xizmatlar ishlaydigan ochiq portlar bo'lishi mumkin. Xizmatni oshkor qilmaslik orqali bunday keraksiz xizmatga qarshi hujumni osonlikcha oldini olish mumkin edi. Telnet, SSH yoki disk raskadrovka interfeysi kabi xizmatlar rivojlanish jarayonida muhim rol o'ynashi mumkin, ammo ishlab chiqarishda kamdan-kam hollarda zarur.

Eskirgan dasturiy ta'minot. Dasturiy ta'minotning zaif tomonlari aniqlangan va hal qilinganligi sababli, zaiflikdan himoya qilish uchun yangilangan versiyani tarqatish muhimdir. Bu shuni anglatadiki, IoT qurilmalari zamonaviy dasturiy ta'minot bilan ma'lum bir zaifliksiz yuborilishi kerak va ular qurilmani joylashtirgandan so'ng ma'lum bo'ladigan barcha zaifliklarni tuzatish uchun yangilanadigan funktsiyalarga ega bo'lishi kerak.

Masalan, Linux.Darlloz zararli dasturi birinchi marta 2013 yil oxirida topilgan va bir yildan ko'proq vaqt oldin xabar qilingan va tuzatilgan xatodan foydalangan holda ishlagan.

Shifrlashning yetishmasligi. Qurilma oddiy matn bilan aloqa qilganda, mijozning qurilmasi yoki orqa xizmat bilan almashinadigan barcha ma'lumotlarni "O'rta odam" (MitM) yordamida olish mumkin. Qurilma va uning so'nggi nuqtasi o'rtasida tarmoq yo'lida o'rnini topishga qodir bo'lgan har bir kishi tarmoq trafigini tekshirishi va kirish ma'lumotlari kabi nozik ma'lumotlarni olishi mumkin. Ushbu toifadagi odatdagi muammo protokolning oddiy matnli versiyasidan foydalanish (masalan, HTTP), bu erda shifrlangan versiyasi mavjud (HTTPS). Hujumchi maxfiy ravishda kiradigan va keyinchalik aloqalarni uzatadigan, ehtimol bu aloqani o'zgartiradigan "O'rta odam" hujumi, ikkala tomon ham bilmasdan.

Ma'lumotlar shifrlangan bo'lsa ham, shifrlash tugallanmagan yoki noto'g'ri tuzilgan bo'lsa, zaif tomonlar mavjud bo'lishi mumkin. Masalan, qurilma boshqa tomonning haqiqiyligini tekshira olmaydi. Ulanish shifrlangan bo'lsa ham, uni O'rta Inson tajovuzkori ushlab turishi mumkin.

Qurilmada saqlanadigan (tinch holatda) sezgir ma'lumotlar ham shifrlash bilan himoyalangan bo'lishi kerak. Odatda zaif tomonlar - bu qurilmada oddiy matnda API ma'lumoti yoki hisobga olish ma'lumotlarini saqlash orqali shifrlashning etishmasligi. Boshqa muammolar - zaif kriptografik algoritmlardan foydalanish yoki kriptografik algoritmlarni istalmagan usullardan foydalanish.