ETN järjesti eilen sulautettuun tekniikkaan keskittyvän Embedded Conference Finlandin Helsingissä. Yksi tapahtuman pääpuhujista oli Etteplanin teknologiajohtaja Jaakko Ala-Paavola, jonka aiheena oli IoT-tietoturva. Hän itse toivoisi, ettei aiheesta enää tarvitsisi puhua. – Selvästikään asiat eivät ole vielä kunnossa, sillä uutisia tietoturvamurroista tulee koko ajan
Yksi ongelma on se, että kehittäjien tausta on sulautetuissa, eivätkä he tunne internetiä. Tai sitten kehittäjät tulevat internet-maailmasta, mutta heillä on hyvin vähän tietämystä IoT:n ”esineistä” eli sulautetuista laitteista.
Ala-Paavola kertoi esimerkin, joka on kuvaava. Etteplan toimitti asiakkaalleen pilottilaitteen teollisuusympäristöön. Pian asiakas palautti laitteen sanoen, ettei se enää toimi.
- Tietysti oletimme, että laitteeseen oli tullut jokin rautavika. Tutkimuksissamme selvisi, että tämä Linux-laite oli täynnä haittaohjelmia. Itse luulimme, että olimme suunnitelleet tietoturvallisen tuotteen, Ala-Paavola sanoi.
Kävi ilmi, että asiakas oli ostanut SIM-kortin liittääkseen laitteen mobiiliverkkoon. – Asiakas nimenomaisesti maksoi lisärahaa SIM-kortista, jossa oli julkinen IP-osoite ja kaikki portit auki. Lisäksi SIM-kortilla käytettiin oletussalasanaa.
- Tässä tapauksessa ei ollut kyse siitä, että asiakas ei olisi laittanut laitteensa ovia lukkoon. Enemmänkin kyse oli siitä, ettei ollut ovia lainkaan, Ala-Paavola naurahti.
Tämä oli tietysti hyvä opetus kaikille osapuolille. – Ei pidä koskaan ajatella, että joku kolmas osapuoli tekee järjestelmästäsi turvallisemman. Ne tekevät siitä aina vähemmän turvallisen. Turvallisuuden kanssa ei voi koskaan tehdä kompromisseja, Ala-Paavola evästi.
Kuluttajan kannalta kyse ei välttämättä ole valtavan fataalisista seurauksista. - Ei se haittaa, jos robotti-imuri alkaa imuroida väärään aikaan, mutta teollisissa tuotantolaitoksissa tilanne on aivan toinen.
Sulautettu maailma eroaa merkittävästi vaikkapa PC- tai palvelinympäristön kehittämisestä. PC-puolella on vain pieni joukko alustoja (Win, Mac ja Linux) ja niillä kaikilla on vakaa, toimiva päivitysmekanismi. Sulautettujen puolella tilanne on hyvin kirjava. Alustoja on paljon, eikä ohjelmiston osia yleensä voi päivittää erikseen. Tämä tarkoittaa, että usein täytyy päivittää koko ohjelmistopino.
- Tämä tarkoittaa, että sulautetun IoT-ratkaisun toimittajan täytyy pitää huolta järjestelmän ylläpidosta. Asiakkaalla ei koskaan ole ylläpitäjää, joka huolehtii ohjelmistopinon päivittämisestä.
Tästä seuraa monia asioita. Yksi tärkeimpiä on se, että vaikka laite toimitetaan täysin tietoturvallisena, vuoden tai parin päästä voi paljastua uusia haavoittuvuuksia, jotka tekevät IoT-laitteesta vähemmän ja vähemmän turvallisen. Toimittajan vastuulla on silti huolehtia siitä, että laite on turvallisen koko elinkaarensa ajan.
Ala-Paavolan keynote on katsottavissa ECF-tapahtuman Youtube-kanavalla.
