Kinyago changu mahiri cha kulala hutangaza mawimbi ya ubongo ya watumiaji kwa wakala aliye wazi wa MQTT

Vinyago mahiri vya kulala vinavyofuatilia shughuli za wimbi la ubongo vinafichua data nyeti ya neva kwa mtu yeyote kwenye mtandao kwa kutuma mawimbi ya EEG kwa vidalali vya MQTT ambavyo havijaidhinishwa na vinavyoweza kufikiwa na umma. Hii si hatari ya kinadharia - ni muundo uliorekodiwa kwenye vifaa vya afya vya watumiaji wa IoT ambao unawakilisha mojawapo ya uvujaji wa data wa karibu zaidi katika historia ya teknolojia inayoweza kuvaliwa.

Ni Nini Hasa Kinachoendelea Wakati Barakoa Yako ya Usingizi Inapotangaza Mawimbi ya Akili?

MQTT (Usafiri wa Kupanga Foleni kwa Telemetry) ni itifaki nyepesi ya utumaji ujumbe iliyoundwa kwa ajili ya mazingira ya data ya chini ya IoT. Hufanya kazi kwenye muundo wa kuchapisha/kujisajili: kifaa huchapisha data kwa "mada" kwenye wakala, na mteja yeyote anaweza kusoma mada hiyo kwa wakati halisi. Usanifu ni mzuri na wa kifahari - lakini ni hatari sana wakati wakala hajahitaji uthibitishaji.

Masks kadhaa ya usingizi mahiri ya kiwango cha watumiaji, ikiwa ni pamoja na vifaa vinavyouzwa kwa ajili ya kutafakari, kuota ndoto na uboreshaji wa usingizi, hutumia vitambuzi vilivyopachikwa vya EEG ili kunasa mawimbi ya ubongo kwenye bendi za delta, theta, alpha, beta na gamma. Data hii inatiririshwa kwa mfululizo kwa wakala wa wingu. Madalali hao wanapoachwa wazi - hakuna jina la mtumiaji, hakuna nenosiri, hakuna TLS - mtu yeyote anayejua au kukisia anwani ya wakala anaweza kujisajili kwa mada na kupokea mipasho ya moja kwa moja ya hali ya neva ya mtu mwingine. Zana kama Shodan na MQTT Explorer hufanya ugunduzi wa madalali hawa wazi kuwa jambo dogo.

Data inayofichuliwa si telemetry dhahania. Mitindo ya wimbi la ubongo inaweza kufichua matatizo ya usingizi, viwango vya wasiwasi, mzigo wa utambuzi, na katika baadhi ya miktadha ya utafiti, hali za kihisia. Ni miongoni mwa data ya kibinafsi zaidi ya kibayometriki ambayo mwanadamu hutoa.

Kwa Nini Athari Hii Imeenea Sana katika Vifaa vya Watumiaji vya IoT?

Chanzo kikuu ni mchanganyiko wa kalenda za matukio zilizobanwa, vikwazo vya gharama, na ukosefu wa shinikizo la udhibiti kwa watengenezaji wa maunzi ya ustawi wa watumiaji. Mengi ya makampuni haya yanatanguliza uendelezaji wa kipengele na muda hadi soko kuliko usanifu wa usalama. Madalali wa MQTT ni wa bei nafuu na ni rahisi kusokota, na kuwezesha ufikiaji wazi wakati wa uundaji ni njia ya mkato ya kawaida ambayo mara nyingi huendelea katika ujenzi wa uzalishaji.

• Hakuna uthibitishaji kwa chaguo-msingi: Mipangilio mingi ya wakala wa MQTT husafirishwa ikiwa na ufikiaji usiojulikana, unaohitaji wasanidi kuizima kimakusudi - hatua ambayo hurukwa mara kwa mara.
• Hakuna usimbaji fiche wa usafiri: Data hutumwa mara kwa mara kupitia bandari 1883 (isiyosimbwa) badala ya bandari 8883 (TLS), kumaanisha kwamba mtiririko wa data unaweza kusomeka na mwangalizi yeyote wa mtandao, si tu waliojisajili wakala.
• Daraja bapa: Vifaa mara nyingi huchapisha kwa miundo ya mada inayoweza kutabirika, na kuifanya iwe rahisi kuhesabu na kujisajili kwa data ya watumiaji wengi kwa wakati mmoja.
• Hakuna uthibitishaji wa kifaa: Bila TLS ya pande zote au utambulisho wa kifaa unaotegemea tokeni, vifaa vilivyoibiwa vinaweza kuingiza data ya uwongo kwenye mpasho au kuiga vifaa halali kabisa.
• Hakuna ukaguzi wa kumbukumbu: Madalali wazi kwa kawaida hawana njia ya kugundua au kutoa tahadhari kwa shughuli ya usajili ambayo haijaidhinishwa, kwa hivyo udhihirisho hauonekani kwa mtengenezaji na mtumiaji.

"Ukaribu wa data hufanya aina hii ya ukiukaji kuwa mbaya sana. Data ya fedha inaweza kubadilishwa. Data ya mfumo wa neva haiwezi. Wasifu uliovuja wa wimbi la ubongo ni mfiduo wa kudumu, usioweza kubatilishwa wa mazingira ya ndani ya utambuzi wa mtu."

Je, Athari za Ulimwengu Halisi kwa Biashara na Wafanyikazi Wao ni Gani?

Hili si suala la faragha la mtumiaji pekee. Wafanyakazi wanazidi kutumia vifaa vya afya - ikiwa ni pamoja na vazi la kuboresha usingizi - kama sehemu ya mipango ya afya ya shirika, na baadhi ya watendaji hutumia zana za kuzingatia EEG wakati wa saa za kazi. Ikiwa data ya wimbi la ubongo kutoka kwa vifaa hivi inaweza kufikiwa kwa mawakala walio wazi, italeta kufichua kwa kiwango cha biashara.

Akili shindani inayotokana na data ya mfumo wa neva ni ya kubahatisha leo lakini haiwezi kueleweka kesho kadri zana za uchanganuzi zinavyokua. Mara moja, udhihirisho wa dhima ya kisheria ni muhimu. Chini ya GDPR, CCPA, na sheria zinazoibuka za data ya kibayometriki katika majimbo kama Illinois na Texas, data ya mfumo wa neva inahitimu kuwa taarifa nyeti za kibayometriki. Biashara inayopendekeza au kutoa ruzuku kwa kifaa kilicho na athari hii inaweza kukabiliwa na uchunguzi wa udhibiti ikiwa data ya mfanyakazi imechujwa - hata kama biashara haikuwa na ushiriki wa moja kwa moja katika muundo wa kifaa.

Kwa makampuni yanayounda mipango ya ustawi, HR, au ushirikiano wa wafanyakazi, kuelewa mkao wa usalama wa data wa kila sehemu ya kugusa teknolojia sasa ni hitaji la msingi, si kitofautishi.

Je! Mashirika Yanaweza Kujilindaje na Hatari za Mfichuo wa Data ya IoT?

Kulinda dhidi ya aina hii ya athari kunahitaji udhibiti wa kiufundi na mchakato wa shirika. Kwa upande wa kiufundi, kifaa chochote cha IoT kinachoshughulikia data nyeti ya kibayometriki kinapaswa kutathminiwa kabla ya kupitishwa kwa shirika: kuthibitisha kwamba miunganisho ya wakala inahitaji uthibitishaji, thibitisha kuwa TLS inatekelezwa, na uangalie ikiwa mchuuzi anachapisha sera ya ufichuzi wa usalama.

Kwa upande wa mchakato, mashirika yanahitaji mwonekano wa kati katika zana na mifumo inayotumiwa na wafanyikazi - haswa zile zinazogusa data ya kibinafsi. Hapa ndipo ugumu wa uendeshaji wa kuendesha biashara ya kisasa unachanganya hatari. Bila mfumo mmoja wa kufuatilia mahusiano ya wauzaji, makubaliano ya kushughulikia data na tathmini za usalama, ufichuo hujilimbikiza kimyakimya kwenye vifaa vingi vilivyokatwa.

Kudhibiti utata huu kunahitaji jukwaa linalounganisha mwonekano wa kiutendaji bila kuongeza kichwa cha juu cha usimamizi - tatizo haswa ambalo mifumo ya uendeshaji ya biashara ya kisasa imeundwa kutatua.

Je, Watengenezaji wa Kifaa Wafanye Nini Ili Kurekebisha Matatizo ya Uwazi ya Wakala wa MQTT?

Njia ya kurekebisha inaeleweka vyema, hata kama kuasili ni polepole. Watengenezaji wanapaswa kutekeleza uthibitishaji kwenye miunganisho yote ya wakala wa MQTT, kutekeleza TLS kwenye chaneli zote za data, kuzungusha kitambulisho mahususi cha kifaa mara kwa mara, na kuwapa watumiaji hati zilizo wazi, zinazoweza kufikiwa kuhusu data inayokusanywa, inakokwenda na ni nani anayeweza kuipata. Programu zinazowajibika za ufichuzi na ukaguzi wa usalama wa wahusika wengine zinapaswa kuwa mazoea ya kawaida kwa kifaa chochote cha kushughulikia data ya kibayometriki.

Mifumo ya udhibiti inaanza kushika kasi. Sheria ya Umoja wa Ulaya ya Kustahimili Ustahimilivu wa Mtandao na mpango wa Marekani wa Mfumo wa Uaminifu wa Mtandao kwa ajili ya vifaa vya IoT vyote vinaunda motisha za kimuundo kwa watengenezaji kushughulikia hasa udhaifu huu. Lakini shinikizo la soko kutoka kwa watumiaji wenye ujuzi na makampuni ya biashara ndilo kigezo cha haraka zaidi.

Maswali Yanayoulizwa Sana

Je, ninaweza kujua ikiwa barakoa yangu mahiri ya usingizi inatangaza kwa wakala aliye wazi wa MQTT?

Unaweza kutumia zana za ufuatiliaji wa mtandao kama vile Wireshark ili kukagua trafiki kutoka kwa kifaa chako kwenye mtandao wa karibu nawe. Tafuta miunganisho ya bandari 1883 (MQTT ambayo haijasimbwa) badala ya 8883 (TLS MQTT). Ikiwa kifaa chako kitaunganishwa na IP ya nje kwenye mlango 1883, huenda mtiririko wako wa data haujasimbwa. Unaweza pia kuwasiliana na mtengenezaji moja kwa moja na kuuliza usanidi na uthibitishaji wa wakala wao wa MQTT — ubora wa majibu yao wenyewe ni wa kuarifu.

Je, data ya wimbi la ubongo inalindwa kisheria kama data ya kibayometriki?

Katika kuongezeka kwa idadi ya mamlaka, ndiyo. Sheria ya Faragha ya Taarifa ya Biometriska ya Illinois (BIPA), kwa mfano, inashughulikia data ya "neural" kwa uwazi. Texas na Washington zina sheria zinazolingana. Katika ngazi ya shirikisho nchini Marekani, bado hakuna sheria ya kina ya faragha ya kibayometriki, lakini FTC imechukua hatua za utekelezaji dhidi ya makampuni kwa mbinu potofu za data zinazohusisha bayometriki. Katika Umoja wa Ulaya, data ya EEG inachukuliwa kuwa data ya afya chini ya GDPR na inategemea mahitaji yake ya usindikaji yenye vikwazo.

Je, kuendesha biashara kwenye mfumo uliounganishwa kunapunguza vipi hatari ya usalama wa data na IoT?

Zana za biashara zilizogawanyika huunda usimamizi wa data uliogawanyika. Wakati shughuli, HR, usimamizi wa wauzaji, na mawasiliano yanapoendeshwa kwenye mifumo mingi iliyokatwa, tathmini za usalama hazilingani na mapungufu ya uwajibikaji hayaepukiki. Mfumo wa uendeshaji wa biashara uliounganishwa huunda sehemu moja ya utekelezaji wa sera, tathmini ya wauzaji, na uangalizi wa uendeshaji - kupunguza eneo la mashambulizi na kufanya utiifu kuwa rahisi kudumisha na ukaguzi.

Uendeshaji biashara usio na nguvu, salama zaidi, na jumuishi zaidi huanza na msingi sahihi. Mewayz — Mfumo wa Uendeshaji wa biashara wa moduli 207 unaotumiwa na zaidi ya watumiaji 138,000 — hukupa uwazi wa kiutendaji ili kudhibiti kila nyanja ya biashara yako katika sehemu moja, kuanzia mtiririko wa kazi wa timu hadi uhusiano wa wauzaji, kuanzia $19/mwezi. Acha kuruhusu ugumu uunde kufichua. Anzisha nafasi yako ya kazi ya Mewayz leo.