Veel IoT-apparaten missen basale privacybescherming

[Captain Kirk]

Veel Internet of Things-apparaten missen basale beveiligings- en privacymaatregelen, delen informatie met derde partijen en maken het mogelijk om het gedrag van gebruikers af te leiden, zo blijkt uit onderzoek van de Princeton University. De onderzoekers zijn een grootschalig onderzoek naar de privacy en digitale veiligheid van IoT-apparatuur gestart en de eerste resultaten zijn niet bemoedigend.

Zo blijkt dat de meeste onderzochte IoT-apparaten basale versleuteling en authenticatie missen. Een slimme bloeddrukmeter van Withings blijkt bijvoorbeeld verzoeken onversleuteld te versturen, waardoor een aanvaller kan achterhalen dat iemand een bloeddrukmeter bezit en hoe vaak die wordt gebruikt. Informatie die via het gebruik van encryptie kan worden afgeschermd. Ook het onderzochte IoT-speelgoed blijkt geen gebruik van versleutelde verbindingen te maken.

Wanneer het verkeer van de IoT-apparaten wel wordt versleuteld is het mogelijk om aan de hand hiervan het gebruikersgedrag af te leiden. Het verkeer van een slaapmonitor laat bijvoorbeeld de slaappatronen van de gebruiker zien, terwijl een slim stopcontact laat zien wanneer er apparatuur in de woning wordt gebruikt. De onderzoekers zijn nu bezig om obfuscatietechnieken te ontwikkelen om ervoor te zorgen dat het gedrag van gebruikers niet via netwerkmetadata is af te leiden.

Een andere constatering die de onderzoekers deden is dat veel IoT-apparaten met de servers van derde partijen communiceren. Iets wat gebruikers vaak niet weten. Zo maakt de onderzochte Samsung Smart TV een minuut na het aanzetten verbinding met Google Play, Double Click, Netflix, FandangoNOW, Spotify, CBS, MSNBC, NFL, Deezer en Facebook, ook al hebben de onderzoekers geen account bij deze diensten aangemaakt en probeerden ze er ook niet in te loggen.

"Een derde partij kan gebruikersdata van een groot aantal apparaten verzamelen, waardoor het mogelijk wordt om het gedrag van een gebruiker over allerlei apparaten te volgen", zo waarschuwen de onderzoekers. Als onderdeel van het onderzoek werden meer dan 50 IoT-apparaten geanalyseerd, maar het is de bedoeling dat het aantal wordt uitgebreid. Zo kunnen mensen via deze website zelf IoT-apparaten aandragen waar ze zich zorgen over maken die de onderzoekers dan mogelijk gaan onderzoeken.

 

 

bron: security.nl