רובוטים הם סיכוני אבטחה: מחקר חדש חושף

מחקר חדש מגלה שרובוטים לשימוש ביתי, עסקי או תעשייתי הזמינים בשוק רגישים מאוד להתקפות סייבר - מה שהופך אותם לסיכון אבטחה.

לרובוטים ניתן לפרוץ מרחוק והתוקף יכול להשתמש בו כדי לספק את מטרתם המרושעת. תוקף יכול להשתמש במצלמה ובמיקרופון כדי לרגל אחר אנשים או ארגונים או יכול לנתב דרכו כדי לגנוב נתונים אישיים או עסקיים.

במקרים קיצוניים, רובוטים עלולים אפילו לגרום לנזק פיזי אם יפקוד זאת על ידי התוקף.

סרטים פופולריים כמו זכיינית Terminator כבר תיארו את הרעיון של רובוטים מתנוכלים בסדרת הסרטים שלה בת חמישה חלקים נייר מחקר שכותרתו 'פריצת רובוטים לפני Skynet' על ידי עובדי IOActive חוזר על האפשרות.

החוקרים התמקדו בתוכנת בקרת הרובוטים המשמשת מספר ספקי רובוטים מובילים עבור בית, עסקים ו רובוטים תעשייתיים.

"כבר התחלנו לראות תקריות של רובוטים לא תקינים שגורמים נזק חמור לסביבתם, החל מנזק פשוט לרכוש ועד אובדן של חיי אדם, והמצב רק יחמיר ככל שהתעשייה תתפתח ואימוץ הרובוטים ימשיך לגדול", אמר סזאר סרודו, סמנכ"ל הטכנולוגיה, IOActive.

רובוטים המחוברים לאינטרנט אינם נמצאים בשימוש נרחב עד כה והיישום מוגבל ל מעבדות מחקר ברוב המקרים, אך עם מדינות שמציגות רובוטים בטיפול רפואי כ כמו כן לשמור על אבטחה במקומות ציבוריים, היישום שלהם בעתיד נראה נפוץ - ובלתי נמנע.

"מצאנו כמעט 50 פרצות אבטחת סייבר רק במחקר הראשוני שלנו, החל מתקשורת לא מאובטחת ואימות בעיות של קריפטוגרפיה חלשה, שחיתות זיכרון ובעיות פרטיות, רק כדי להזכיר כמה", אמר לוקאס אפה, יועץ אבטחה בכיר, IOActive.

החוקרים הצביעו על בעיות עם המסגרת המשמשת לתכנות הרובוטים הללו - כלומר, ROS שהוא הפופולרי ביותר.

לרוב הרובוטים שנבדקו על ידי החוקרים היה פרוטוקול אימות גרוע, מה שאומר שאם תוקף מקבל כניסה לאותה רשת כמו הרובוט, ואז שינוי התוכנה של הרובוט והשליטה בו היא של ילד לְשַׂחֵק.

"הרובוטים יהיו בקרוב בכל מקום - מצעצועים ועד עוזרים אישיים ועד עובדי ייצור - הרשימה אינסופית. בהתחשב בהתפשטות זו, התמקדות באבטחת סייבר חיונית כדי להבטיח שהרובוטים האלה בטוחים ולא מציגים איומי סייבר חמורים או פיזיים כלפי האנשים והארגונים שהם נועדו לשרת", סרודו הוסיף.

החוקרים גילו גם נקודות תורפה בתוכנת העדכון של מערכת ההפעלה של הרובוט, שניתן לפרוץ גם מספר מקרים בהם איפוס היצרן של הרובוט אינו זמין, לאחר הדבקה, לא ניתן להחזיר רובוט למקור שלו מדינה.

המחקר בוצע על פני תקופה של שישה חודשים והחוקרים בדקו יישומים ניידים, מערכות הפעלה של רובוטים, תמונות קושחה ותוכנות נוספות.

רובוטים והטכנולוגיה שלהם הגיעו משישה ספקים, הכוללים את Asratec Corp, SoftBank Robotics, Universal Robots, UBTECH Robotics, Rethink Robotics ו-ROBOTIS.

החוקרים ציינו כי הטמעת מחזור החיים של פיתוח תוכנה מאובטח (SSDLC), ביקורת אבטחה, הצפנה ושדרוג תהליך האימות, בין היתר, יועיל בשיפור האבטחה של רובוטים כדי למנוע מהם ליפול לטעות ידיים.