Lì xì năm mới: An ninh hệ thống Internet vạn vật (IoT)

[nktung]

Internet of Things (IoT), còn được gọi là Internet vạn vật, là một chủ đề rộng, liên quan đến công nghệ - kinh tế - xã hội. Có thể hiểu IoT là một mạng lưới các thiết bị vật lý, có địa chỉ IP, tích hợp cảm biến, có khả năng thu thập, xử lý và gửi dữ liệu lên đám mây thông qua mạng. IoT mang lại nhiều giải pháp hữu ích cho nhiều lĩnh vực kinh tế xã hội khác nhau, tuy nhiên hiện nay vấn đề bảo mật cho hệ thống IoT cần được quan tâm. Bài viết này nêu tổng quan về IoT và các vấn đề liên quan đến bảo mật.

Trong IoT, một thiết bị được cấy ghép trên vật thể tự nhiên, nhân tạo hoặc máy móc và có chức năng giao tiếp qua mạng. IoT sử dụng công nghệ mới về cảm biến, công nghệ mạng và công nghệ robot, do đó cho phép người dùng phân tích, tự động hóa và tích hợp sâu trong một hệ thống.

Hình 1. Nguyên lý hoạt động hệ thống IoT (Nguồn: Internet)​

IoT làm việc thông qua 3 hệ thống chính :

• Các thiết bị IoT
• Hệ thống Gateway
• Hệ thống lưu trữ dữ liệu sử dụng Cloud và điều khiển từ xa bằng các ứng dụng di động.

Một vài thành phần quan trọng để hệ thống IoT hoạt động như:

• Sensing Technology (Công nghệ cảm biến)
• IoT Gateway ( Cổng IoT )
• Cloud Server/Data Storage ( Lưu trữ dữ liệu )
• Remote Control using Mobile App (Ứng dụng điều khiển từ xa)

Như trên hình 1, các thiết bị IoT (ví dụ: các thiết bị đo nhiệt độ, độ ẩm, áp suất, âm thanh) có thể giao tiếp với thiết bị Gateway để gửi và nhận dữ liệu qua mạng đến các máy chủ lưu trữ (Data storage) trên đám mây. Các dữ liệu này được phân tích (Analysis) để từ đó có các thông tin hỗ trợ ra quyết định. Các thông tin này thường là các báo cáo thống kê, các dự báo dự đoán (về tình trạng thiết bị, về xu hướng..v.v.). Khi có các thông tin phân tích, người quản lý có thể điều khiển hệ thống IoT bằng app trên mobile mọi lúc mọi nơi. Như vậy có thể thấy được khả năng nổi trội của hệ thống IoT là việc dự báo xu hướng và tính thời gian thực.

Một ví dụ điển hình cho hoạt động của hệ thống IoT là giám sát hoạt động của hệ thống thang máy. Tại Hà Nội hiện có hàng nghìn tòa nhà, mỗi tòa nhà lại có nhiều thang máy. Mỗi khi thang máy gặp sự cố thì thời gian sửa chữa có thể kéo dài cả ngày, làm ảnh hưởng đến sinh hoạt. Vậy nếu áp dụng giải pháp IoT để gửi các thông số vận hành thang máy lên cloud để phân tích, từ đó dự đoán trước được thang nào sắp hỏng để từ đó kịp thời bảo trì sớm.

IoT được ứng dụng trong nhiều lĩnh vực như nhà thông minh (smart home), thành phố thông minh, y tế, nông nghiệp công nghệ cao, thanh toán, giao thông vận tải, ...Mặc dù IoT mang lại những giải pháp sáng tạo không giới hạn nhờ sự kết nối và phân tích dữ liệu, nhưng mặt trái của IoT là tính an toàn. Vấn đề bảo vệ cho các hệ thống IoT hiện nay chưa được quan tâm đúng mức. Qua khảo sát của OWASP (một cộng đồng trực tuyến tạo ra các bài báo, phương pháp luận, tài liệu, công cụ và công nghệ có sẵn miễn phí trong lĩnh vực bảo mật ứng dụng web), có 10 mối đe dọa IoT hàng đầu được liệt kê dưới đây:

1. Mật khẩu yếu, có thể đoán được hoặc mật khẩu được đặt mặc định
2. Các dịch vụ mạng được sử dụng để truy cập các thiết bị IoT không an toàn.
3. Các kết nối mở rộng trong hệ sinh thái IoT không an toàn.
4. Thiếu các cơ chế cập nhật an toàn (hoặc cơ chế cập nhật còn nhiều thụ động).
5. Sử dụng các thành phần, thư viện phần mềm không an toàn hoặc lỗi thời.
6. Bảo vệ quyền riêng tư không đầy đủ.
7. Truyền và lưu trữ dữ liệu không an toàn.
8. Thiếu sự quản lý các thiết bị IoT.
9. Cài đặt mặc định không an toàn.
10. Thiếu sự tăng cường về vật lý.

Các mối đe dọa trên có thể dẫn tới một số các cuộc tấn công

• DDoS Attack: tấn công từ chối dịch vụ
• Rolling Code Attack: tấn công phát lại
• Jamming Attack (Cuộc tấn công gây nhiễu)
• Remote Access using Backdoor (Truy cập từ xa bằng Backdoor)
• Remote Access using Telnet (Truy cập từ xa bằng Telnet)
• Sybil Attack (tấn công mạo nhận)
• Man-in-the-Middle Attack (Tấn công xen giữa)

Các bài tiếp theo tôi sẽ đi sâu phân tích cho các bạn hiểu về các dạng tấn công vào hệ thống IoT, phương pháp tấn công, các công cụ tấn công và cuối cùng là giải pháp để ngăn chặn.