Sigurnost interneta stvari

IoT (Internet of Things) sigurnost pokriva zaštitu uređaja povezanih s mrežom koji nisu prijenosna računala, telefoni ili tradicionalni poslužitelji — kamere, usmjerivači, pametni zvučnici, termostati, zvona na vratima, žarulje, monitori za bebe, industrijski senzori. Kategorija je eksplodirala s nekoliko stotina milijuna uređaja u 2015. na više od 25 milijardi u 2026., a sigurnosna pozicija nije zadržala korak.

Zašto je IoT sigurnost jedinstveno loša

Četiri strukturalna razloga:

• Marže poput britve. IP kamera od 20 USD se natječe na cijenu; proizvođač nema proračun za sigurnosni inženjering ili dugoročnu podršku.
• Zadane vjerodajnice. Većina uređaja isporučuje se s admin/admin, admin/password ili dokumentiranim zadanim podacima po dobavljaču. Mnogi ih korisnici nikada ne mijenjaju.
• Mehanizam za ažuriranje nedostaje ili je pokvaren. Mnogi uređaji nemaju automatizirano ažuriranje; neki imaju ažuriranja koja zahtijevaju ručno preuzimanje i instalaciju; neki imaju ažuriranja koja proizvođač prestaje izdavati nakon 1-2 godine.
• Povezan prema zadanim postavkama. Mnogi IoT uređaji dopiru do usluga u oblaku bez upita, zahtijevajući dolazne putove ili trajne izlazne veze koje zaobilaze NAT.

Priča o Miraiju

In 2016. Mirai botnet ugrozio je stotine tisuća IoT uređaja — prvenstveno DVR-ova i IP kamera — i koristio ih u rekordnim DDoS napadima protiv Krebs on Security, OVH i DNS providera Dyn (koji je satima ukinuo polovicu potrošačkog interneta).

Pristup Miraija bio je nesofisticiran: skenirajte Internet za telnet/SSH na portu 23/22, isprobajte mali popis tvornički zadanih parova korisničko ime/lozinka, instalirajte bota ako uspije. Nije bilo podviga, nultih dana, pametnih trikova. Ranjivost je bila "uređaj se isporučuje s admin/adminom i nalazi se na javnom internetu." Samo to je bilo dovoljno za stotine tisuća infekcija.

Miraijev izvorni kod je procurio u javnost krajem 2016. Deseci izvedenica — Hajime, Persirai, Reaper, Mozi, IZ1H9 — su uslijedili. Isti obrazac napada radi 2026.; razvijaju se samo ciljevi uređaja i popisi vjerodajnica.

Glavne klase ranjivosti IoT-a

• Zadane ili tvrdo kodirane vjerodajnice. Još uvijek najčešće.
• Izložena sučelja za upravljanje na Internetu. Telnet, SSH, HTTP administrativni paneli dostupni s bilo kojeg mjesta.
• Zastarjeli softver. Ugrađene Linux distribucije godinama nakon sigurnosnih ažuriranja kernela.
• Ranjivosti oštećenja memorije. C i C++ ugrađeni kod bez modernih ublažavanja (bez ASLR-a, nema stack canary na nekima platforme).
• Nesigurne usluge u oblaku. Mobilne aplikacije koje komuniciraju s oblakom dobavljača putem API-ja koji nemaju autentifikaciju, izlažući uređaje drugih korisnika.
• Površine za fizički napad. Zaglavlja za otklanjanje pogrešaka, JTAG, izloženi serijski, nekriptirani flash pohranjivanje.

Problem životnog ciklusa

A tipična sigurnosna kamera koju kupite 2026. ima:

• 1–3 godine ažuriranja firmvera od proizvođača (ako ih ima)
• A korisni životni vijek od 5–10 godina na vašoj mreži
• Nema mehanizma za upozoriti vas kada ažuriranja prestanu

Nakon što ažuriranja prestanu, uređaj nastavlja raditi, ali gomila nezakrpane ranjivosti. Korisnik nema signal da nešto nije u redu. Uređaj je sretno ugrožen i godinama mu je dostupan s interneta.

Što regulatori rade

Reakcija pravila je započela:

• EU Cyber Resilience Act (na snazi od 2026.) nalaže sigurnosne zahtjeve, rukovanje ranjivostima i sigurnosno ažuriranje obveze za povezane proizvode koji se prodaju u EU.
• UK Zakon o sigurnosti proizvoda i telekomunikacijskoj infrastrukturi (2022.) zabranjuje uređaje sa zadanim vjerodajnicama i zahtijeva otkrivena razdoblja podrške.
• California SB-327 (2020.) zahtijeva "razumne" sigurnosne značajke i jedinstvene zadane lozinke.
• FCC-ov Cyber Trust Mark (SAD, izlazi 2024. – 2026.) — dobrovoljno označavanje kompatibilnih uređaja.

Učinak na tržište je spor, ali vidljiv: glavni proizvođači (TP-Link, Netgear, Eufy) počeli su isporučivati uređaje s jedinstvenim nasumičnim početnim lozinkama i barem su najavili prozore ažuriranja.

Što možete učiniti kao korisnik

• Promijenite zadanu lozinku. Prvi korak za svaki uređaj.
• Onemogućite izloženost upravljačkim sučeljima Internetu. Ako kamera ne mora biti dostupna izvana, nemojte joj prosljeđivati port-forward.
• Segment mrežu. Odvojeni VLAN/SSID za IoT uređaje, izolirane od vaših prijenosnih računala i telefona. Većina korisničkih usmjerivača sada podržava mreže za goste; neki podržavaju potpunu segmentaciju VLAN-a.
• Ažurirajte firmver. Povremeno provjeravajte; mnogi dobavljači ne guraju automatski.
• Preferirajte uređaje s dokumentiranim obvezama ažuriranja. Marke koje objavljuju vremensku traku podrške pouzdanije su od onih koje to ne čine.
• Kupujte od velikih dobavljača kada je to moguće. No-name kamera na Amazonu od 7 USD gotovo je sigurno manje sigurna od 40 USD Eufy ili Ring proizvod. Ne uvijek, ali u prosjeku.
• Zamijenite napuštene uređaje. Kada ažuriranja prestanu, uređaj treba povući, a ne nastaviti raditi.