Case intelligenti: ambienti affidabili e sicuri?
Le case intelligenti stanno diventando sempre più interconnesse, comprendendo una vasta gamma di dispositivi IoT, da smartphone e smart TV ad assistenti virtuali e telecamere di videosorveglianza. Questi dispositivi sono dotati di sensori come telecamere, microfoni e altri strumenti per rilevare e monitorare ciò che accade nei nostri spazi più privati: le nostre case. Ma la domanda è: possiamo fidarci di questi dispositivi per la gestione e la protezione sicura dei dati sensibili a cui accedono?
"Quando pensiamo a ciò che accade tra le mura domestiche, lo immaginiamo come uno spazio privato e sicuro. In realtà, stiamo scoprendo che i dispositivi intelligenti stanno infrangendo questo velo di fiducia e privacy, consentendo a quasi tutte le aziende di sapere quali dispositivi sono presenti in casa nostra, quando ci siamo e dove si trovano. In genere, questo comportamento non viene comunicato ai consumatori ed è necessario migliorare la sicurezza domestica", afferma David Choffnes, professore associato di informatica e direttore esecutivo del Cybersecurity and Privacy Institute presso la Northeastern University.
L'ampio studio condotto dal team di ricerca, intitolato "In the Room Where It Happens: Characterizing Local Communication and Threats in Smart Homes", è stato presentato questa settimana all'ACM Internet Measurement Conference (ACM IMC'23) a Montreal, in Canada. Il documento analizza, per la prima volta, le complessità delle interazioni di rete locale tra 93 dispositivi IoT e applicazioni mobili, rivelando un numero significativo di minacce alla sicurezza e alla privacy precedentemente sconosciute, con implicazioni concrete.
Sebbene la maggior parte degli utenti consideri generalmente le reti locali un ambiente affidabile e sicuro, i risultati dello studio evidenziano nuove minacce associate all'esposizione involontaria di dati sensibili da parte dei dispositivi IoT all'interno delle reti locali, a causa dell'uso improprio di protocolli standard come UPnP o mDNS. Questi dati includono l'esposizione di nomi univoci dei dispositivi, UUID e persino dati di geolocalizzazione domestica, che possono essere raccolti dall'industria ombra dei dati digitali e del marketing all'insaputa dell'utente.
Secondo Vijay Prakash, dottorando presso la NYU Tandon e coautore dell'articolo, "Analizzando i dati raccolti dallo strumento IoTInspector, abbiamo trovato prove che i dispositivi IoT espongono inavvertitamente almeno un'informazione personale identificabile, come indirizzi hardware univoci (MAC), UUID o nomi univoci dei dispositivi, in migliaia di case intelligenti reali. Qualsiasi identificatore e metadato è utile per identificare una casa, ma la combinazione di tutti e tre rende una casa unica e facilmente identificabile a livello globale. Per fare un paragone, se un utente web viene profilato utilizzando la più semplice tecnica di fingerprinting, è unico come una persona su 1.500. Se una casa intelligente viene profilata con soli tre dati provenienti da dispositivi IoT, è unica come una su 1,12 milioni di case intelligenti".
Questi protocolli di rete locale possono essere utilizzati come canali laterali per accedere a dati che dovrebbero essere protetti da varie autorizzazioni Android, come la posizione della casa. “Un canale laterale è un modo piuttosto subdolo per accedere indirettamente a dati sensibili. Ad esempio, gli sviluppatori di app Android dovrebbero richiedere le autorizzazioni di sistema per ottenere il consenso dell'utente ad accedere a dati come la geolocalizzazione. Tuttavia, abbiamo dimostrato che alcune app spyware e società pubblicitarie abusano dei protocolli di rete locale per accedere silenziosamente a queste informazioni sensibili senza che l'utente ne sia consapevole. Tutto ciò che devono fare è chiedere gentilmente ad altri dispositivi IoT distribuiti sulla rete locale utilizzando protocolli di rete standard come UPnP”,afferma Narseo Vallina-Rodríguez, professore associato presso IMDEA Networks e co-fondatore di AppCensus.
“Il nostro studio dimostra che i protocolli di rete locale utilizzati dai dispositivi IoT non sono sufficientemente protetti ed espongono informazioni sensibili sulle nostre case e su come utilizziamo questi dispositivi. Queste informazioni vengono raccolte in modo opaco e facilitano la creazione di profili delle nostre abitudini e del nostro status socioeconomico”, aggiunge Juan Tapiador, professore presso UC3M. Implicazioni più ampie
L'impatto di questa ricerca si estende ben oltre il mondo accademico. I risultati sottolineano l'urgente necessità che produttori, sviluppatori di software, operatori di piattaforme IoT e mobili e autorità di regolamentazione adottino misure per migliorare la privacy e la sicurezza dei dispositivi e delle abitazioni intelligenti. Il team di ricerca ha comunicato responsabilmente queste problematiche ai fornitori di dispositivi IoT vulnerabili e al team di sicurezza Android di Google, il che ha già portato a miglioramenti della sicurezza in alcuni di questi prodotti.
