تعود أسباب هذه الثغرات إلى مجموعة من الاختيارات التصميمية القديمة، حيث كانت جميع الروبوتات تستخدم نفس كلمة المرور الجذرية المسبقة، وكانت هناك بوابات خلفية مفتوحة، بالإضافة إلى استخدام بروتوكول نقل الرسائل (MQTT) الذي كان ضعيف الحماية إلى حد كبير، مما يعني أن السيطرة على جهاز واحد يمكن أن يؤدي إلى السيطرة على جميع الروبوتات في العالم.
يمكن للمهاجمين استخراج إحداثيات GPS، وعناوين البريد الإلكتروني، وكلمات مرور الواي فاي، بالإضافة إلى تحويل كاميرات المراقبة إلى أدوات تجسس عن بعد، وحتى إعادة تشغيل المكنسة بعد الضغط على زر الإيقاف الطارئ. كل هذه المخاطر تم تمكينها من خلال بوابة خلفية مستمرة لا يمكن للمستخدمين رؤيتها أو التحكم بها بشكل فعال.
تتمثل المخاطر في ثلاث فئات رئيسية:
- مخاطر السلامة الحقيقية: حيث يمكن التحكم عن بعد في المكنسة الثقيلة، بما في ذلك القدرة على تجاوز زر الإيقاف الطارئ.
- البيانات المكشوفة: يمكن للمهاجمين تحديد مواقع الأجهزة، ومعرفة مالكيها، وحتى مشاهدة تغذية الكاميرات في بعض التقارير.
- استغلال الشبكات: يمكن للروبوتات المتأثرة مسح الشبكات المحلية، سرقتها، أو دمجها في بوتنت.
استجابت شركة ياربو بشكل مفصل وغير مسبوق بالنسبة لمورد أجهزة الإنترنت الأشياء (IoT) المستهلكة، حيث اعترفت بصراحة بأن Findings الباحث كانت دقيقة. قامت الشركة بإيقاف مؤقت للبوابات التشخيصية عن بعد، وإعادة تعيين كلمات المرور الجذرية، وتأمين نقاط النهاية غير المصادقة، بالإضافة إلى إزالة المسارات القديمة غير الضرورية.
أهم ما وعدت به الشركة هو التغييرات الهيكلية التالية:
- اعتماد كلمات مرور فريدة لكل جهاز.
- دوران الاعتمادات عبر الهواء (OTA).
- تشخيص عن بعد مبني على قائمة السماح (allowlist) ومدقق.
- اتصال مخصص للأمن، مع إمكانية تقديم مكافأة للأخطاء (bug bounty) في المستقبل.
هذه هي نوعية النظافة الأمنية طويلة الأمد التي نادرًا ما يتم شرحها بوضوح بعد فضيحة في مجال أجهزة الإنترنت الأشياء. من حيث الكشف والإصلاح، فإن ياربو تفعل الكثير بشكل صحيح: تكريم الباحث، الاعتذار، إعطاء الأولوية للإصلاحات، وتوضيح التغييرات قصيرة المدى وطويلة الأمد بلغة بشرية.
لكن ياربو اختارت بشكل صريح الاحتفاظ بوابة الوصول عن بعد، على الرغم من أن هذه البوابة تم تغليفها بأفضل Controls وlogs، بدلاً من تقديم خيار للمستخدمين لإزالة أو التخلص منها تمامًا.
كيفية تأمين أجهزة الإنترنت الأشياء
تظهر الثغرات الأمنية المكتشفة في حالة ياربو مثل مثال حي لما تحاول قانون تحسين أمن الإنترنت الأشياء (IoT Cybersecurity Improvement Act) منعها في استخدامات الحكومة الأمريكية. على الرغم من أن القانون لا ينطبق على ياربو مباشرة، فإن متطلبات معهد المعايير الوطني للتكنولوجيا (NIST) التي يدعمها القانون تتطابق بشكل جيد مع ما حدث هنا.
لذلك، من على المستخدمين التأكد من:
- تغيير كلمات المرور الافتراضية.
- التحقق من ما إذا كان المورد سيوفر تحديثات، وسهولة تثبيتها قبل شراء منتج الإنترنت الأشياء.
- تثبيت التحديثات عند توفرها.
- وضع أجهزة الإنترنت الأشياء على شبكة منفصلة إذا كان ذلك ممكنًا.
- استخدام واي فاي الضيف أو VLAN منفصل عند توفرهما.
- تعطيل ما لا تحتاج إليه، مثل تعطيل UPnP، الوصول عن بعد، التحكم السحابي، والخدمات غير الضرورية إذا لم تكن تستخدمها نشطًا.
- مراجعة سجلات الروتر أو مجموعة الأمان الخاصة بك للاتصالات من أجهزة الإنترنت الأشياء بحثًا عن ارتفاعات غير عادية أو وجهات غير معروفة.
لا يمكن أن يفعل نافذة الاستعراض الخفية الكثير. انتهاكات البيانات، والتجارة في الدارك ويب، والاحتيال في الائتمان. يراقب Malwarebytes Identity Theft Protection كل هذه المخاطر، ويخبرك بسرعة، ويأتي مع تأمين ضد سرقة الهوية.
