Negozio
I fari sono poco appariscenti, dispositivi wireless compatti che trasmettono ripetutamente piccoli pacchetti di dati di posizione e sensori utilizzando Bluetooth Low Energy (DIVENNE) segnali. Quando nel raggio d'azione, gli smartphone compatibili possono ricevere queste trasmissioni per consentire una miriade di casi d'uso basati sulla posizione, dalla pubblicità mirata al tracciamento dei contatti e al tracciamento delle risorse. Per qualsiasi azienda che distribuisce beacon, garantire che siano in atto robuste protezioni di sicurezza dei beacon è ora imperativo.
Perché la sicurezza dei beacon è importante
Questa versatilità ha alimentato una rapida adozione globale della tecnologia beacon in tutti i settori, con dimensioni del mercato degli smart beacon superiori $127.4 miliardi di 2032. però, con gran parte di questo potenziale però, comporta un rischio maggiore in termini di sicurezza e uso improprio dei dati degli utenti. La ricerca suggerisce che la maggior parte dei consumatori si preoccupa dei beacon “monitorando ogni tua mossa” dall’infrastruttura dei beacon ambientali. E queste preoccupazioni sono fondate: difetti nell’infrastruttura dei beacon, dispositivi, o l'utilizzo può esporre dati sensibili dell'utente e dell'azienda. Per qualsiasi azienda che distribuisce beacon, garantire che siano in atto protezioni solide è ora imperativo.
Oltretutto, l'implementazione dei beacon si sta rapidamente spostando dalla fase di introduzione a un'attività seria che comporta più denaro, terzi, e informazioni a cui la maggior parte delle persone è interessata.
Nei dispositivi IoT, la sicurezza è la seconda cosa più essenziale. Quando un faro è acceso e ben protetto, questa è l'unica volta in cui svolge in modo efficiente il suo lavoro come la posizione di prossimità, trasmissione di dati tramite canali sicuri, o interagire con il mondo reale attorno a un faro.
Come funzionano i beacon e rischi per la sicurezza
I beacon utilizzano la tecnologia BLE per comunicare con smartphone e tablet nelle vicinanze. In realtà trasmettono in due modalità chiave:
- Modalità pubblicitaria: Trasmette ripetutamente un pacchetto generico unidirezionale contenente solo l'ID del beacon.
- Modalità di connessione: Stabilisce un bidirezionale, connessione dati crittografata tra due dispositivi.
La maggior parte delle applicazioni di vendita al dettaglio e di prossimità si affidano alla modalità pubblicitaria per rilevare gli smartphone dei consumatori. Mentre si trova nel raggio d'azione, il beacon identifica il telefono ma non accede ai dati privati. Quindi i beacon puramente trasmittenti non possono “tracciare” gli utenti in termini di raccolta di informazioni. però, una rete beacon combinata con l’app mobile di un marchio consente di monitorare i clienti all’interno dei negozi per scopi di analisi o coinvolgimento. Gli utenti acconsentono a questo livello di monitoraggio tramite i termini di servizio dell'app e autorizzazioni come l'attivazione del Bluetooth. Vale la pena notare che puoi disabilitare i servizi di localizzazione e il Bluetooth sul tuo dispositivo per disattivare il rilevamento dei beacon.
Esame di un tipico ecosistema faro
Mentre i beacon stessi sono dispositivi di trasmissione relativamente semplici, gli ecosistemi più ampi costruiti attorno ad essi comprendono molti componenti interconnessi:
Questi componenti dell'ecosistema beacon variano ampiamente a seconda dell'implementazione dei prodotti. Le valutazioni continue della sicurezza di tutti i punti di contatto in un ecosistema sono fondamentali per garantire che le difese rimangano solide anche quando emergono nuove minacce.
- Dispositivi beacon hardware integrati – I trasmettitori BLE, prodotto da aziende come MOKOSmart e Kontakt.io. Disponibile per $5 per $30 per unità. È fondamentale garantire che l’hardware disponga di protezioni di sicurezza contro la modifica del codice o gli attacchi di interferenza.
- Servizi web cloud – Repository centralizzati in cui le aziende gestiscono i metadati dei beacon registrati (durata della batteria, posizioni, dati del sensore ecc.) e analizzare la telemetria aggregata. È importante proteggere tutti i dati archiviati nel cloud in modo appropriato. Anche, assicurarsi che tutte le funzioni dell'API siano adeguatamente autenticate e non presentino vulnerabilità che consentano attacchi dannosi o accesso a dati non autenticati.
- Software per la gestione dei segnalatori – Pannelli di amministrazione di fornitori che consentono la configurazione in blocco delle impostazioni del beacon anziché dispositivo per dispositivo. Deve crittografare le comunicazioni e l'archiviazione dei dati proteggendoli anche via etere (OTA) aggiornamenti del firmware.
- Applicazioni mobili per l'utente finale – Le app su smartphone e tablet consumer rilevano i segnali beacon trasmessi in prossimità e sfruttano i dati sulla posizione per consentire l'engagement. Test rigorosi essenziali per l'autenticazione, raccolta dati, crittografia delle comunicazioni, ecc.
Exploit comuni dei beacon – come vengono attaccati i fari
Ogni comunicazione nel beacon Bluetooth viene decodificata e avviene in modo chiaro. Dal momento che i beacon stanno rapidamente diventando gateway per connessioni complesse, alcune persone li usano sempre di più in modi non previsti che provocano attacchi. I fari possono essere attaccati attraverso:
Portarsi sulle spalle & Clonazione di beacon
Il piggybacking si verifica quando gli hacker spiano un faro, catturare i suoi UUID, Maggiori, e Minori, e aggiungerli alla loro app senza il consenso del proprietario. Gli hacker possono fare affidamento sull'infrastruttura del beacon nella loro applicazione poiché la maggior parte dei beacon trasmette lo stesso segnale per diversi anni. Anche se diventa scomodo condividere gratuitamente l'infrastruttura del beacon con estranei, non ha effetti negativi sui clienti e non danneggia l'applicazione.
Ogni volta che gli hacker acquisiscono le informazioni di un beacon, possono anche clonare facilmente il beacon. La clonazione implica la copia della configurazione del beacon e l'impostazione su un'altra applicazione, ingannando così gli utenti. Questo è devastante poiché l'hacker controlla dove e quando si attiva un beacon, ma attiva comunque i pagamenti dell'app.
Dirottamento dei beacon
I beacon sono impostati in modo tale da comunicare solo ma non possono crittografare le informazioni inviate loro. Perciò, quando ti colleghi a un beacon e un hacker vede la password che hai usato per connetterti, possono usarlo o cambiarlo in modo tale che diventi impossibile connettersi più. Ciò offre all'hacker il controllo completo sul tuo beacon, mettendo a rischio l'intera infrastruttura IoT.
Cracking dei beacon Bluetooth
Anche quando un beacon è protetto da attacchi remoti, qualcuno può ancora sondare la memoria del faro rimuovendo fisicamente il faro dal muro e aprendolo. Sebbene questo tipo di attacco abbia una bassa probabilità di verificarsi, è comunque essenziale difendere il tuo beacon da questo se hai un beacon che controlla le applicazioni sensibili.
Affrontare ciascuna di queste vie di attacco comuni richiede una difesa diligente tra le persone, processi e tecnologia: coordinare la sicurezza della catena di fornitura dell'hardware, governance dell’accesso al cloud, linee guida per la configurazione dei beacon e altro ancora.
Come rendere i beacon più sicuri
Nessuno è stato in grado di proteggere i beacon dagli attacchi poiché è piuttosto complicato. Sebbene molte aziende abbiano sviluppato strategie per proteggere i propri beacon dal piggybacking e le difese dei produttori di chip che proteggono un dispositivo dal cracking, gli sforzi sono inutili in quanto non coprono l'intera catena di dati. inoltre, nessuno ha sviluppato un meccanismo in grado di proteggere i dispositivi dal dirottamento. Poiché la tecnologia beacon è straordinariamente semplice, puoi utilizzare i seguenti meccanismi di sicurezza del beacon per proteggere il tuo beacon in modo efficiente da tutti i tipi di attacchi.
Comunicazione sicura
Secure Communication protegge i beacon dal dirottamento. È un protocollo informatico beacon che utilizza Bluetooth Low Energy (DIVENNE) ed è supportato da vari dispositivi. L'intero canale di comunicazione è completamente crittografato dal beacon al dispositivo di gestione. Un beacon personalizzato con la connessione sicura è impossibile da dirottare poiché ha una crittografia end-to-end e non richiede l'invio della password tra l'SDK e i beacon. Questo canale di comunicazione sicuro è gestito tramite l'SDK o l'API di prossimità. Qualsiasi beacon con questo canale di comunicazione è adeguatamente protetto da qualsiasi attacco. Questo perché il dispositivo è protetto in modo efficiente da qualsiasi attacco dannoso che gli hacker potrebbero tentare di sfruttare.
Blocco software
Il blocco del software può proteggere tutti i nostri beacon dal cracking diretto. Qualsiasi tentativo di accedere alla memoria di un dispositivo installato con un blocco software cancella tutti i dati nella memoria. Sebbene le semplici configurazioni dei beacon rimangano disponibili, il cracker non può accedere ad altre informazioni. Quando un blocco software è installato nel beacon, puoi essere certo che la tua infrastruttura è sicura. Inizialmente, avevamo questo servizio in tutti i nostri beacon, ma ora lo facciamo solo quando i clienti ne hanno bisogno poiché alcuni sviluppano il firmware da soli.
Utilizzo dell'UUID sicuro per la pubblicità iBeacon
Secure UUID è un meccanismo di sicurezza che salvaguarda l'ID reale di un beacon. Ti dà un migliore controllo sull'accesso al segnale del beacon. Questo livello di sicurezza aggiuntivo opzionale è consigliato per ogni distribuzione di beacon.
Durante la produzione, una chiave beacon univoca può essere assegnata a ciascun beacon. La chiave può essere riconosciuta solo dal beacon o dalla piattaforma cloud IoT. Durante la crittografia e la decrittografia dell'ID visibile del beacon, gli algoritmi UUID sicuri utilizzano una chiave beacon insieme al timestamp di rotazione più recente.
Dal momento che il beacon è responsabile della crittografia, crea un nuovo ID beacon visibile in base al suo intervallo di rotazione univoco. Il beacon trasmette i nuovi ID visibili in un pacchetto iBeacon. La decrittazione avviene nel cloud che risolve la chiave beacon, riconoscendo così eccezionalmente il faro. C'è un dispositivo iOS/Android tra il beacon e il cloud. Il dispositivo ascolta gli ID visibili del beacon e si collega al cloud per scoprire l'ID reale del beacon.
Poiché il dispositivo funge solo da proxy, non riesce a riconoscere la chiave beacon. Quindi, una parte malintenzionata può rimuovere facilmente la chiave dalla tua app e decrittografare l'ID visibile di qualsiasi beacon in futuro. Ciò può essere evitato impostando la decrittazione nel cloud, anche se l'UUID sicuro deve avere una connessione Internet attiva per funzionare.
Quali sono le prospettive per proteggere i tuoi beacon
Se stai cercando un modo per proteggere i tuoi beacon da qualsiasi attacco, allora sei nel posto giusto. MOKOSmart è un leader globale di alta qualità Beacon Bluetooth. Sentiti sempre il benvenuto a visitare o contattarci per ulteriore assistenza.
