De router is het Grand Central Station voor thuistechnologie. Het werkt in alle slimme apparaten thuis, van Den’s computer- en salontafeltablet tot de slimme thermostaat van de muur en babymonitor met internetverbinding in de kinderkamer. Klanten hopen dat deze route met router -doorstuurgegevens een beperkte toegang tot snelweg wordt en tegelijkertijd ongeautoriseerde toegang wordt geblokkeerd. Tech Giant Asustek Computer, Inc. Een FTC -klacht ertegen – de meeste mensen kennen ASU – het falen van het bedrijf om routers te beveiligen en “cloud” -diensten is onrechtvaardig en frauduleus om het niet op de markt te brengen aan klanten. De zaak biedt ook inzicht om het internet van andere bedrijven binnen te gaan.
Hoe Asus zijn producten adverteerde. ASUS adverteert dat zijn routers talloze beveiligingsfuncties hebben die ‘computers kunnen beschermen tegen ongeautoriseerde toegang, hacking en virusaanvallen en’ het lokale netwerk beschermen tegen de aanvallen van hackers. Volgens de FTCAsus ‘routers namen niet aan die beloften. Meer belangrijk, de routers van het bedrijf omvatten de diensten die bekend staan als iCloud en IDSK, waarmee klanten een USB -harde schijf op de router kunnen aansluiten om hun eigen “cloud” -opslag te maken, toegankelijk vanaf elk apparaat – een type centrale opslaghub voor smart home. ASUS “Persoonlijke persoonlijke wolken om Select File te delen” en “Uw waardevolle gegevens geserveerd en toegang tot uw gewaardeerde gegevens via uw router, heeft FTC geklaagd dat ze allesbehalve beschermd waren.
Waar Asus fout ging met zijn routersDe Ondanks de belangrijke rol van de router bij de bescherming van het thuisnetwerk, zegt FTC dat ASUS geen eerste stappen heeft ondernomen om de software op zijn routers te beveiligen. De klanten exploiteerden bijvoorbeeld de router (inclusief die beveiligingsfuncties) via de webgebaseerde interface die we de admin-console zouden noemen. Door het exploiteren van brede beveiligingsbugs op de admin -console, kunnen hackers echter de beschermingsinstellingen van de router wijzigen – zelfs de firewall van de router sluiten, de “cloud” -opslag van de klant kan de router configureren voor de publieke toegang tot openbare toegang tot de vervuilde websites. In feite, een uitbuitingscampagne die dit alleen deed, vooral de vele ASUS -routermodellen, deed dit, herconfigureren zwakke routers zodat hackers het webverkeer van klanten beheersen. Volgens de klacht, zo ver weg van de bescherming van de thuisnetwerken van klanten, staan de routers van ASU’s toe dat hackers ze kunnen vernietigen.
Asus ‘Onzekere’ cloud’ -servicesDe De “cloud” -opslagservices van Asus werden ook niet beschermd. Volgens de FTC kan iedereen die het IP -adres van de router kende – wandelen in het park voor de hacker – het inlogscherm van de iCloud -service zonder enig certificaat omzeild en toegang tot klantopslagapparaten, waardoor de klanten breed op internet worden gehouden. IDSK betaalde niet beter dan dit. FTC heeft die service uitgegeven om een misleidend instelproces te hebben met een onveilige standaard, afhankelijk van een onveilig protocol. Wanneer klanten bijvoorbeeld de service starten, biedt deze bijvoorbeeld een niet -geïdentificeerde toegang tot alle bestanden op het opslagapparaat van de klant op internet. Het ergste is dat de Setup Wizard die standaardwaarden niet heeft uitgelegd en niet duidelijk had gemaakt wat er aan de hand was. Als de consument een beperkt account probeert aan te maken, presenteerden de servicegegevens voor iedereen dezelfde zwakke gebruikersnaam en wachtwoord (familie/familie). Al deze beveiligingszwaktes en ontwerpfouten zijn van grote problemen voor klanten.
Asus ‘vertraagde reactie en het niet nalaten om klanten op de hoogte te stellenDe De FTC zegt dat als ASUS goed bekend is, beschermd softwareontwerp, codering en examenpraktijken, veel problemen kunnen worden voorkomen. Bovendien namen beveiligingsonderzoekers contact op met ASUS voor een waarschuwing, maar het duurt vaak enkele maanden – en soms meer dan een jaar – om op ASUS te reageren. Wanneer een onderzoeker bijvoorbeeld zegt dat volgens zijn schatting 25.000 klanten openbaar toegankelijke IDSK -opslagapparaten op internet hadden, was het Cricket van ASUS. In feite was het pas na de toepassing van een grote Europese retailer, Asus begon zich te concentreren op het probleem. Het was te laat.
FTC -klacht, nog verontrustender, is dat wanneer ASUS beschermingspatchs produceert, dit klanten niet heeft geïnformeerd. De admin -console van de router had een hulpmiddel dat moest verifiëren of hun router de nieuwste beschikbare firmware gebruikte (software gebouwd op de router). Zoals onderzoekers ASUS echter waarschuwden, werkt de verbeterde apparatuur niet zoals het hoort. Volgens de klacht is het meer dan een jaar oud geweest en ontvangen klanten nog steeds het bericht dat hun nieuwe firmware de nieuwste versie is van de huidige firmware van de router “wanneer nieuwe firmware met kritieke beveiligingsupdates beschikbaar was.
DuizendenDe Dit betekent dat de routers en “cloud” -services van ASUS het thuisnetwerk en persoonlijke bestanden van klanten overlaten aan hackers en identiteitsdieven. Kun je raden wat er daarna is gebeurd. Hackers gebruikten tools om de IP -adressen van duizenden zwakke Asus -routers te detecteren en dat is waar het verhaal echt aantrekkelijk wordt. Ze hebben ongeautoriseerde toegang tot duizenden USB -opslagapparaten voor klanten verkregen door gebruik te maken van de kwetsbaarheid van iCloud en IDSK -ontwerp. Maar ze kwamen niet stil. Ze hebben een tekstbestand achtergelaten op de apparaten die stonden, gezegd, “Dit is een automatisch bericht dat naar iedereen wordt verzonden (sic). Uw ASUS -router (en uw document) heeft toegang tot iedereen ter wereld met een internetverbinding. “
Asus ‘beschermingsclaims kunnen frauduleus zijn, maar één ding was waar te zijn: hackers waarschuwden dat de routers en documenten van klanten toegankelijk waren voor iedereen ter wereld. Een consument heeft bijvoorbeeld gezegd dat ID -dieven gevoelige informatie gebruiken op zijn USB -opslagapparaat, inclusief belastingaangifte en andere financiële gegevens om ongeautoriseerde kosten op te nemen en om hun identiteitsgeluid te maken. Anderen klaagden dat een grote zoekmachine persoonlijke bestanden aangaf die hun zwakke ASU -routers openden, waardoor ze online doorzoekbaar werden.
FTCDe De Geval Asus ‘beweert uitdagingen als vals of misleidend dat zijn routers redelijke stappen hebben gezet om te zorgen voor lokale netwerken die beschermd waren tegen aanvallen, die mensen een veilige manier hadden om toegang te krijgen tot de iCloud- en IDSK -gevoelige informatie en de firmware -upgradeapparatuur was correct. De klacht beweerde verder dat het falen om redelijke stappen te nemen om software voor de routers van ASUS te beveiligen een oneerlijke praktijk was.
Asus hoe te veranderenDe De Voorgestelde bevel De FTC omvat beveiligingsbepalingen die standaard zijn geworden in nederzettingen, maar er is nog iets anders. Als klanten een software -update of andere actie kunnen ondernemen om zichzelf te beschermen tegen een beveiligingsfout in de toekomst, moet ASUS deze op de hoogte stellen. Ik ben vooral, de verwijdering maakt duidelijk dat het niet voldoende is om gewoon een bericht op zijn website te plaatsen. (Die regelmatig naar de website van hun routerfabrikant gaat op het Internet of Things, waar klanten het vaak “instellen en vergeten”, dit soort directe contacten kunnen belangrijke tools zijn om ervoor te zorgen dat klanten berichten hebben ontvangen. U kunt een opmerking indienen over verwijdering over verwijdering tegen 24 maart 2016.
Als het Internet of Things uw bedrijf plot, biedt de case zes tips om de verbinding met voorzichtigheid te behouden.
- Begin met bescherming. Asus ‘routers leed aan een groot aantal klassieke zwakte, maar het probleem van IDSK was uit insecten of glits gegaan. Volgens de klacht was het een onveilige protocolkeuze en de verwarrende en onveilige gebruikersinterfaces waren beide onzeker uit de poort. Ja, als u uw product op de ASAP -markt wilt krijgen, neem dan de tijd voor beveiligingsontwerp in het begin. Dit is een bijzonder belangrijke overweging op internet waar het onzekere ontwerp van een product meerdere verbonden apparaten kan beïnvloeden.
- Ontwerp uw producten door de ogen van klanten. Als u een verbonden product verkoopt voor thuisgebruik, zullen klanten waarschijnlijk Gumut van de nieuwkomer naar Pro uitvoeren. Dus hoe kunnen ontwikkelaars communiceren met mensen aan beide zijden van het spectrum? Er is hier een kijk om te overwegen. Lage technologiegease klanten klagen vaak over complexe producten. Maar heb je ooit gehoord van een verfijnde gebruiker dat een interface erg schoon of heel rechtop was?
- Maak het voor mensen gemakkelijker om vanaf het begin de veilige optie te kiezen. Besteed speciale aandacht aan de beveiligingseffecten van uw standaard- en instelbenadering. Klanten die worden ontmoedigd door een complexe scherm van het scherm, kunnen hun apparaten correct configureren of vast komen te zitten met voorkeuren buiten de doos. Dit is de reden waarom het gevaarlijk is om uw systeemstandaards in te stellen als “blootgesteld” – of onveilig, zoals in de IDSK. Het verstrekken van aangepaste functies voor technologie DAB Hand is geweldig, maar wijze ontwikkelaars houden rekening met de voordelen van standaardwaarden voor standaard.
- Beschermingswaarschuwing. In veel recente gevallen heeft FTC opgemerkt dat bedrijven geen geloofwaardige meldingen aanpakken over potentiële productzwaktes. Wanneer de beveiligingsproblemen in je oog komen, is de intelligente cursus om de klanten te onderzoeken en te leveren als de angst correct is gebleken.
- Bedenk hoe u klanten zou laten weten over fixes. Stel dat iemand een probleemvlekken geeft en u ontwerpt een patch om deze aan te pakken. Dit is een belangrijke eerste stap, maar het werk is niet voltooid. Een beveiligingspatches zijn effectief wanneer klanten deze installeren. Ontwikkelaars op afstand opstellen een sleutelbewijsplan om de uitdagingen op te lossen van het op de hoogte stellen van mensen na de waarheid.
- Leer lessen uit andere FTC -gevallen. Volgens de FTC Begin met bescherming Publicaties, er zijn geen eenzijdig passende formules voor redelijk. Elke klacht van gegevensbescherming geeft echter lessen over de praktijk die in bepaalde omstandigheden problemen kunnen veroorzaken. 30 paragrafen van ASUS -klacht Herstelt enkele tientallen van hen, inclusief slechte standaard login-referenties, het kiezen van onveilige protocollen als SAFE gemakkelijk beschikbaar is, vermeed het nemen van kunstafhankelijke tests en slaagt er niet in om lage dure bescherming tegen bekende zwakte te implementeren.
Op zoek naar meer tips? Lees de verbindingen zorgvuldig: bescherming maken tegen dingen op internet.
