Fabrikanten van Internet of Things-apparaten moeten meer beveiligingsmaatregelen nemen om hun apparaten tegen aanvallen te beschermen, zo stelt het Bundesamtes für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken.

Aanleiding zijn de ddos-aanvallen op dns-aanbieder Dyn van afgelopen vrijdag waardoor populaire websites slecht of niet bereikbaar waren. De aanvallen waren onder andere afkomstig van gehackte Internet of Things-apparaten, zoals digitale videorecorders en ip-camera's. Het BSI wil dat fabrikanten van deze apparatuur gepaste beveiligingsmaatregelen doorvoeren. "Het incident laat zien dat de digitalisering geen succes zonder cybersecurity zal worden", zegt BSI-president Arne Schönbohm.

Hij merkt op dat gebruikers vaak niet door hebben dat hun apparaten zijn gehackt. "We roepen daarom de fabrikanten van netwerkapparaten op om de veiligheid van hun producten te verbeteren en bij het ontwikkelen van nieuwe producten zich niet alleen op functionele en prijsaspecten te richten, maar ook op de noodzakelijke veiligheidsmaatregelen." Volgens Schönbohm zal het BSI het gesprek met de fabrikanten aangaan.

Maatregelen

In de tussentijd heeft de overheidsorganisatie een lijst met beveiligingspunten opgesteld waar netwerkapparaten aan zouden moeten voldoen. Zo moeten vooraf ingestelde wachtwoorden voor alle toegangsmogelijkheden, zoals ftp, ssh en telnet, door de gebruiker kunnen worden gewijzigd. In het geval van generieke standaard wachtwoorden moeten die bij het eerste gebruik door de gebruiker worden veranderd. Gebruikers moeten daarnaast niet verplichte diensten kunnen uitschakelen en het in- en uitgaande verkeer van IoT-apparaten moet alleen versleuteld plaatsvinden.

Verder wil het BSI dat IoT-apparaten geen Universal Plug and Play (UPnP) gebruiken om onveilige aanpassingen in de router door te voeren om zo met onveilige diensten te verbinden. Verder moeten fabrikanten regelmatig beveiligingsupdates uitbrengen. Het uitrollen en installeren van deze updates moet via encryptie zijn beschermd. Als laatste punt stelt het BSI dat de firmware van IoT-apparaten voldoende is beveiligd om bijvoorbeeld het ongecontroleerd herladen van internetcontent te voorkomen. Dit moet helpen bij het tegengaan van ddos-aanvallen.