የእኔ ብልጥ የእንቅልፍ ጭንብል የተጠቃሚዎችን የአእምሮ ሞገዶች ወደ ክፍት MQTT ደላላ ያስተላልፋል

የአእምሮ ሞገድ እንቅስቃሴን የሚቆጣጠሩ የስማርት እንቅልፍ ጭንብል የ EEG ምልክቶችን ወደ ላልተረጋገጠ እና በይፋ ተደራሽ MQTT ደላሎች በማስተላለፍ በይነመረብ ላይ ላለ ለማንም ሰው ስሱ የነርቭ መረጃዎችን እያጋለጠ ነው። ይህ በንድፈ ሃሳባዊ ስጋት አይደለም - በተጠቃሚዎች የ IoT ደህንነት መሳሪያዎች ላይ በተለባሽ ቴክኖሎጂ ታሪክ ውስጥ በጣም ቅርብ ከሆኑ የመረጃ ፍንጣቂዎች ውስጥ አንዱን የሚወክል በሰነድ የተደገፈ ንድፍ ነው።

የእርስዎ የእንቅልፍ ጭንብል የአንጎል ሞገዶችን ሲያሰራጭ በትክክል ምን እየሆነ ነው?

MQTT (Message Queuing Telemetry Transport) ለዝቅተኛ ባንድዊድዝ አይኦቲ አካባቢዎች የተነደፈ ቀላል ክብደት ያለው የመልእክት መላላኪያ ፕሮቶኮል ነው። በአታሚ/ተመዝጋቢ ሞዴል ነው የሚሰራው፡ አንድ መሳሪያ በደላላ ላይ ያለውን "ርእስ" ላይ መረጃን ያትማል እና ማንኛውም ተመዝጋቢ ያንን ርዕስ በቅጽበት ማንበብ ይችላል። አርክቴክቸር ቀልጣፋ እና የሚያምር ነው - ነገር ግን ደላላው ማረጋገጫ የማይፈልግ ከሆነ በጣም አደገኛ ነው።

በርካታ የሸማች ደረጃ ዘመናዊ የእንቅልፍ ጭምብሎች፣ ለማሰላሰል የሚሸጡ መሣሪያዎችን፣ ግልጽ ህልምን እና እንቅልፍን ለማሻሻል፣ በዴልታ፣ ቲታ፣ አልፋ፣ ቤታ እና ጋማ ባንዶች ላይ የአንጎል ሞገድ ድግግሞሾችን ለመያዝ የተከተተ EEG ዳሳሾችን ይጠቀሙ። ይህ ውሂብ ያለማቋረጥ ወደ ደመና ደላሎች ይለቀቃል። እነዚያ ደላላዎች ክፍት ሆነው ሲቀሩ - የተጠቃሚ ስም የለም፣ የይለፍ ቃል የለም፣ ምንም TLS - የደላላውን አድራሻ የሚያውቅ ወይም የሚገምት ማንኛውም ሰው ለርዕሱ መመዝገብ እና የሌላ ሰው የነርቭ ሁኔታ የቀጥታ ምግብ ማግኘት ይችላል። እንደ ሾዳን እና MQTT ኤክስፕሎረር ያሉ መሳሪያዎች እነዚህን ክፍት ደላላዎች ማግኘት ቀላል ያደርገዋል።

እየተጋለጠ ያለው መረጃ ረቂቅ ቴሌሜትሪ አይደለም። የBrainwave ቅጦች የእንቅልፍ መዛባትን፣ የጭንቀት ደረጃዎችን፣ የግንዛቤ ጫና እና በአንዳንድ የምርምር አውዶች ውስጥ ስሜታዊ ሁኔታዎችን ሊያሳዩ ይችላሉ። የሰው ልጅ ከሚያመነጨው በጣም የግል ባዮሜትሪክ መረጃ አንዱ ነው።

ለምንድነው ይህ ተጋላጭነት በሸማቾች አይኦቲ መሳሪያዎች ውስጥ በጣም የተስፋፋው?

ዋናው መንስኤ የተጨመቁ የልማት የጊዜ ሰሌዳዎች፣ የዋጋ ገደቦች እና በሸማቾች ደህንነት ሃርድዌር አምራቾች ላይ የቁጥጥር ጫና አለመኖር ነው። አብዛኛዎቹ እነዚህ ኩባንያዎች ከደህንነት አርክቴክቸር ይልቅ ለባህሪ ልማት እና ለገበያ ጊዜ ቅድሚያ ይሰጣሉ። MQTT ደላሎች ርካሽ እና በቀላሉ ለማሽከርከር ቀላል ናቸው፣ እና በልማት ወቅት ክፍት መዳረሻን ማስቻል በተደጋጋሚ ወደ ምርት ግንባታዎች የሚተርፍ የተለመደ አቋራጭ ነው።

• በነባሪነት ማረጋገጫ የለም፡ ብዙ የMQTT ደላላ አወቃቀሮች ስም-አልባ መዳረሻ የነቃ ሲሆን ይህም ገንቢዎች ሆን ብለው እንዲያሰናክሉት ይፈልጋሉ - ይህ ደረጃ በመደበኛነት የሚዘለል ነው።
• ምንም የትራንስፖርት ምስጠራ የለም፡መረጃው በተደጋጋሚ ወደብ 1883 (ያልተመሰጠረ) ወደብ 8883 (TLS) ይተላለፋል፣ ይህ ማለት የመረጃ ዥረቱ በደላላ ተመዝጋቢዎች ብቻ ሳይሆን በማናቸውም የኔትወርክ ታዛቢዎች ሊነበብ ይችላል።
• ጠፍጣፋ የርዕስ ተዋረድ፡ መሳሪያዎች ብዙ ጊዜ ሊገመቱ ወደሚችሉ የርዕስ አወቃቀሮች ያትማሉ፣ ይህም የበርካታ ተጠቃሚዎችን ውሂብ በአንድ ጊዜ መቁጠር እና መመዝገብ ቀላል ያደርገዋል።
• ምንም የመሣሪያ ማረጋገጫ፡ ያለ የጋራ TLS ወይም በቶከን ላይ የተመሰረተ የመሣሪያ ማንነት፣ የተነጠቁ መሳሪያዎች የውሸት ውሂብ ወደ ዥረቱ ውስጥ ማስገባት ወይም ህጋዊ መሳሪያዎችን ሙሉ ለሙሉ ማስመሰል ይችላሉ።
• የኦዲት ምዝገባ የለም፡ ክፍት ደላሎች ያልተፈቀደ የደንበኝነት ምዝገባ እንቅስቃሴን ለመለየት ወይም ለማስጠንቀቅ ምንም ዘዴ ስለሌላቸው ተጋላጭነቱ ለአምራቹ እና ለተጠቃሚው የማይታይ ነው።

"የመረጃው መቀራረብ ይህን የጥሰቱን ምድብ ልዩ አሳሳቢ ያደርገዋል። የፋይናንሺያል መረጃ ሊቀየር ይችላል። ኒውሮሎጂካል መረጃ አይቻልም። የፈሰሰው የአንጎል ሞገድ መገለጫ የአንድን ሰው ውስጣዊ የግንዛቤ መልከአምድር ዘላቂ እና የማይሻር መጋለጥ ነው።"

በንግዶች እና በሰራተኞቻቸው ላይ ያለው የገሃዱ አለም አንድምታ ምንድን ነው?

ይህ የደንበኛ ግላዊነት ጉዳይ ብቻ አይደለም። ሰራተኞች የጤንነት መሳሪያዎችን - የእንቅልፍ ማሻሻያ ተለባሾችን ጨምሮ - እንደ የኮርፖሬት የጤና ፕሮግራሞች አካል እየጨመሩ ይጠቀማሉ፣ እና አንዳንድ ስራ አስፈፃሚዎች በስራ ሰዓት EEG ላይ የተመሰረቱ የትኩረት መሳሪያዎችን ይጠቀማሉ። የእነዚህ መሳሪያዎች የአንጎል ሞገድ መረጃ በክፍት ደላላዎች ላይ ተደራሽ ከሆነ በድርጅት ደረጃ ተጋላጭነትን ይፈጥራል።

ከኒውሮሎጂካል መረጃ የተገኘ ተወዳዳሪ የማሰብ ችሎታ ዛሬ ግምታዊ ነው ነገር ግን የመተንተኛ መሳሪያዎች እየበሰለ በመምጣቱ ነገ ሊታመን የማይችል ነው። ወዲያውኑ፣ የሕግ ተጠያቂነት መጋለጥ ጠቃሚ ነው። በGDDR፣ CCPA እና እንደ ኢሊኖይ እና ቴክሳስ ባሉ ግዛቶች ውስጥ እየወጡ ያሉ የባዮሜትሪክ ዳታ ህጎች፣ የነርቭ መረጃ እንደ ሚስጥራዊ የባዮሜትሪክ መረጃ ብቁ ይሆናል። ይህ የተጋላጭነት ችግር ያለበትን መሳሪያ የሚመክር ወይም የሚደግፍ ንግድ የሰራተኛ መረጃ ከተጋለጠ የቁጥጥር ቁጥጥር ሊደረግበት ይችላል - ምንም እንኳን ንግዱ በመሳሪያው ዲዛይን ላይ ምንም አይነት ቀጥተኛ ተሳትፎ ባይኖረውም።

ጤና፣ HR ወይም የሰራተኛ ተሳትፎ ፕሮግራሞችን ለሚገነቡ ኩባንያዎች የእያንዳንዱን የቴክኖሎጂ ንክኪ የመረጃ ደህንነት አቀማመጥ መረዳት አሁን መለያ ሳይሆን የመነሻ መስፈርት ነው።

ድርጅቶች ከአይኦቲ መረጃ ተጋላጭነት አደጋዎች እራሳቸውን እንዴት መጠበቅ ይችላሉ?

ከዚህ የተጋላጭነት ክፍል መጠበቅ ሁለቱንም ቴክኒካዊ ቁጥጥር እና ድርጅታዊ ሂደትን ይጠይቃል። በቴክኒካል በኩል፣ ማንኛውም የአይኦቲ መሳሪያ ሚስጥራዊ የባዮሜትሪክ መረጃን ከድርጅታዊ ጉዲፈቻ በፊት መገምገም አለበት፡ የደላሎች ግንኙነቶች ማረጋገጥ እንደሚያስፈልጋቸው ያረጋግጡ፣ TLS መተግበሩን ያረጋግጡ እና ሻጩ የደህንነት መረጃን ይፋ ማድረጊያ ፖሊሲ ማተም አለመሆኑን ያረጋግጡ።

በሂደቱ በኩል ድርጅቶች ሰራተኞች በሚጠቀሙባቸው መሳሪያዎች እና መድረኮች ላይ - በተለይም የግል መረጃን በሚነኩ ማእከላዊ ታይነት ያስፈልጋቸዋል። ዘመናዊ የንግድ ሥራን የማስኬድ የአሠራር ውስብስብነት አደጋውን የሚያጣምረው እዚህ ላይ ነው። የአቅራቢ ግንኙነቶችን፣ የውሂብ አያያዝ ስምምነቶችን እና የደህንነት ምዘናዎችን ለመከታተል የተዋሃደ ስርዓት ከሌለ ተጋላጭነት በደርዘን በሚቆጠሩ የግንኙነት መሣሪያዎች ላይ በጸጥታ ይከማቻል።

ይህን ውስብስብነት ማስተዳደር አስተዳደራዊ ወጪን ሳይጨምር የተግባር ታይነትን የሚያጠናክር መድረክን ይፈልጋል - የዘመናዊ የንግድ ኦፕሬቲንግ ሲስተሞች ለመፍታት የተነደፉት ትክክለኛ ችግር።

የ MQTT ደላላ ተጋላጭነቶችን ለማስተካከል የመሣሪያ አምራቾች ምን ማድረግ አለባቸው?

የማደሻ መንገዱ በደንብ ተረድቷል፣ ምንም እንኳን ጉዲፈቻ ቀርፋፋ ቢሆንም። አምራቾች በሁሉም የMQTT ደላላ ግንኙነቶች ማረጋገጥን ማስገደድ፣ TLS በሁሉም የዳታ ቻናሎች ላይ መተግበር፣ መሳሪያ-ተኮር ምስክርነቶችን በመደበኛነት ማሽከርከር እና ለተጠቃሚዎች መረጃ ምን እንደሚሰበሰብ፣ የት እንደሚሄድ እና ማን ሊደርስበት እንደሚችል ግልጽ እና ተደራሽ ሰነድ ማቅረብ አለባቸው። የባዮሜትሪክ መረጃን ለሚይዝ ማንኛውም መሳሪያ ኃላፊነት ያለው ይፋ የማድረጊያ ፕሮግራሞች እና የሶስተኛ ወገን የደህንነት ኦዲቶች መደበኛ ልምምድ መሆን አለባቸው።

የቁጥጥር ማዕቀፎች መታየት ጀምረዋል። የአውሮፓ ህብረት የሳይበር መቋቋም ህግ እና የዩኤስ የሳይበር ትረስት ማርክ ፕሮግራም ለአይኦቲ መሳሪያዎች ሁለቱም አምራቾች እነዚህን ተጋላጭነቶች በትክክል ለመፍታት መዋቅራዊ ማበረታቻዎችን ይፈጥራሉ። ነገር ግን በመረጃ የተደገፉ ሸማቾች እና ኢንተርፕራይዞች የገበያ ግፊት ፈጣኑ ማንሻ ነው።

ብዙ ጊዜ የሚጠየቁ ጥያቄዎች

የእኔ ዘመናዊ የእንቅልፍ ጭንብል ወደ ክፍት MQTT ደላላ እየተላለፈ መሆኑን ማወቅ እችላለሁ?

በአካባቢያዊ አውታረ መረብዎ ላይ ካለው መሳሪያዎ ላይ ያለውን ትራፊክ ለመመርመር እንደ Wireshark ያሉ የአውታረ መረብ መከታተያ መሳሪያዎችን መጠቀም ይችላሉ። ከ 8883 (TLS MQTT) ይልቅ ወደ ወደብ 1883 (ያልተመሰጠረ MQTT) ግንኙነቶችን ይፈልጉ። መሣሪያዎ በፖርት 1883 ላይ ካለው ውጫዊ አይፒ ጋር ከተገናኘ፣የእርስዎ የውሂብ ዥረት ያልተመሰጠረ ነው። እንዲሁም አምራቹን በቀጥታ ማግኘት እና የ MQTT ደላላ ውቅር እና የማረጋገጫ ሰነዶችን መጠየቅ ይችላሉ - የምላሻቸው ጥራት ራሱ መረጃ ሰጪ ነው።

የአእምሮ ሞገድ ውሂብ እንደ ባዮሜትሪክ መረጃ በህጋዊ የተጠበቀ ነው?

ከጊዜ ወደ ጊዜ እየጨመረ በሚሄድ የግዛት ክልል ውስጥ፣ አዎ። የኢሊኖይ ባዮሜትሪክ መረጃ ግላዊነት ህግ (BIPA)፣ ለምሳሌ፣ “የነርቭ” መረጃን በግልፅ ይሸፍናል። ቴክሳስ እና ዋሽንግተን ተመጣጣኝ ህጎች አሏቸው። በዩኤስ ውስጥ በፌዴራል ደረጃ፣ ሁሉን አቀፍ የባዮሜትሪክ የግላዊነት ህግ እስካሁን የለም፣ ነገር ግን ኤፍቲሲ ባዮሜትሪክን በሚያካትቱ አታላይ የውሂብ ልምዶች በኩባንያዎች ላይ የማስፈጸሚያ እርምጃ ወስዷል። በአውሮፓ ህብረት ውስጥ፣ EEG መረጃ በGDPR ስር እንደ ጤና መረጃ ይቆጠራል እና እጅግ በጣም ገዳቢ የማስኬጃ መስፈርቶች ተገዢ ነው።

ንግድ በተዋሃደ መድረክ ላይ ማስኬድ የአይኦቲ እና የውሂብ ደህንነት ስጋትን እንዴት ይቀንሳል?

የተቆራረጡ የንግድ መሳሪያዎች የተበታተነ የውሂብ አስተዳደርን ይፈጥራሉ። ኦፕሬሽኖች፣ የሰው ሃይል፣ የአቅራቢዎች አስተዳደር እና ግንኙነቶች በደርዘን በሚቆጠሩ የተቋረጡ መድረኮች ላይ ሲሰሩ፣ የደህንነት ግምገማዎች የማይጣጣሙ እና የተጠያቂነት ክፍተቶች የማይቀሩ ናቸው። የተጠናከረ የቢዝነስ ኦፐሬቲንግ ሲስተም ለፖሊሲ ማስፈጸሚያ፣ ለአቅራቢዎች ግምገማ እና ለአሰራር ቁጥጥር አንድ ወለል ይፈጥራል - የጥቃቱን ገጽታ በመቀነስ እና ተገዢነትን ለመጠበቅ እና ኦዲት ለማድረግ ቀላል ያደርገዋል።

መለስተኛ፣ ይበልጥ ደህንነቱ የተጠበቀ እና የተቀናጀ የንግድ ሥራ መሥራት የሚጀምረው በትክክለኛው መሠረት ነው። Mewayz — ከ138,000 በላይ ተጠቃሚዎች የሚጠቀሙበት ባለ 207-ሞዱል ንግድ ኦኤስ — በየወሩ ከቡድን የስራ ፍሰቶች እስከ ሻጭ ግንኙነቶች ድረስ ያለውን እያንዳንዱን የንግድ ስራዎን ለማስተዳደር የሚያስችል ግልጽነት ይሰጥዎታል። ውስብስብነት መጋለጥን መፍጠር አቁም. የሜዌይዝ የስራ ቦታዎን ዛሬ ይጀምሩ።