Kameraet over hoveddøren virkede perfekt. I flere uger havde det også en anden ejer.
Hvordan en liste med 62 fabriksadgangskoder gjorde omkring 600.000 almindelige apparater til et våben, og hvorfor CRA lægger ansvaret hos producenten.
Fakta
Hvad skete der
Malwaren Mirai scannede internettet efter enheder som kameraer, videooptagere og routere og forsøgte at logge ind via Telnet med en indbygget liste over 62 standardbrugernavne og -adgangskoder.
Hvad det førte til
På sit højeste var omkring 600.000 enheder inficeret og gjort til et botnet, der blev brugt til at angribe hjemmesider og tjenester. De fleste ejere opdagede aldrig, at deres enhed var overtaget.
Hvad CRA nu kræver
Sikker standardkonfiguration (bilag I, del I, nr. 2, litra b); beskyttelse mod uautoriseret adgang (bilag I, del I, nr. 2, litra d); begrænsede angrebsflader (bilag I, del I, nr. 2, litra j).
Kilde: Antonakakis m.fl., "Understanding the Mirai Botnet", USENIX Security 2017
Historien
Tomás købte kameraet, efter at nogen havde stjålet hans cykel fra trappen, og det fik ham til at føle sig som en mand, der havde styr på tingene. Han satte det op over hoveddøren en lørdag i 2016, åbnede appen på telefonen, og der var den: hans egen trappe, live, i grynet sort-hvid. Han skiftede aldrig den adgangskode, det kom med. Ingen bad ham om det, og helt ærligt, hvem gider bryde ind i et kamera, der peger på en dørmåtte?
Nogle uger senere fandt noget det. Ikke en person. Et program, der aldrig sov, og som bevægede sig fra det ene internetforbundne apparat til det næste og prøvede de samme 62 adgangskoder, som kameraer og andre enheder kommer med fra fabrikken. På Tomás' kamera virkede en af dem. Det tog sekunder. Intet ændrede sig i appen. Trappen var der stadig. Men fra det øjeblik havde kameraet en anden ejer, og den ejer styrede en tavs hær af omkring 600.000 apparater ligesom det, klar til at blive rettet mod hvem som helst.
Tomás fandt aldrig ud af det. Det gjorde de fleste ikke. Det er det, der gør historien så foruroligende: ejerne var ikke skødesløse. De var helt almindelige. Cyber Resilience Act lægger ansvaret, hvor det hører hjemme, hos virksomheden, der lavede apparatet. Produkter skal være sikre fra kassen, og det betyder ingen adgangskode, der er fælles for alle enheder. EU's regler for trådløse produkter kræver allerede det samme i dag. Tomás' kamera kommer med en adgangskode, ingen andre har, og programmet går videre.
Personerne og scenerne er illustrative. Hændelsen og fakta er virkelige.
Systemet, der ville have fanget det
Sikker som standard er et designkrav til selve produktet. At sende én adgangskode ud, som alle enheder deler, er en beslutning, og den skal ejes af en, der har myndighed til at stoppe releasen.
5. Beslut og tag ejerskab
Én navngiven person med ansvar for CRA-arbejdet, med et budget og myndighed til at stoppe en release. Beslutninger skrives ned på én side.
Sådan virker systemetKunne I gøre det i dag?
Har hver enhed, I sender ud, sin egen adgangskode eller slet ingen, i stedet for én, der er fælles for alle?
Hvis den gælder, hvor klar er vi?
Seks ja-eller-nej-spørgsmål, to minutter. Jeres nej'er kommer tilbage i den rækkefølge, de skal løses.
Usikker på, om CRA gælder for jeres produkt? Tjek det først