Para se preocupar ou não se preocupar: respondendo a perguntas sobre segurança de casa inteligente

Views: 458

e você está preocupado com a segurança e a privacidade de dados em sua casa inteligente, acredite, você não está sozinho. “Considerando que dois terços dos consumidores concordam que é impossível manter os dados completamente seguros, não é surpresa que 55% estejam ‘muito preocupados’ – com classificação de 6 a 7 em uma escala de 7 pontos – com a segurança dos dados pessoais”, diz Chris White, diretor de pesquisa da Parks Associates, uma empresa de pesquisa de tecnologia de consumo.

A preocupação não é injustificada, uma vez que as violações de dados fazem manchetes de notícias regularmente. Algumas dessas notícias estão mais perto de casa do que outras. Tomemos, por exemplo, o recente acordo da Amazon Ring com a FTC por US$ 5,8 milhões por supostas violações de privacidade e segurança.

A preocupação não é injustificada, uma vez que as violações de dados fazem manchetes de notícias regularmente

“A denúncia da FTC deixa claro que essa prática cessou depois que a Amazon adquiriu a Ring”, diz Cobun Zweifel-Keegan, diretor-gerente da Associação Internacional de Profissionais de Privacidade (IAPP), uma comunidade e recurso global de privacidade de informações sem fins lucrativos. “Esperamos que outras empresas estejam observando de perto essa aplicação da FTC e garantindo que seus controles de acesso internos garantam que o acesso não autorizado a dados de vídeo não aconteça.”

A Amazon foi atingida com mais US$ 25 milhões em penalidades por violações da Alexa da Regra da Lei de Proteção à Privacidade Online das Crianças (COPPA Rule). “A ação da FTC da semana passada contra o serviço Alexa da Amazon alegou que a empresa estava usando algumas dessas gravações de áudio e transcrições para ajudar a melhorar seus recursos de reconhecimento de fala. O fato de que as vozes das crianças poderiam ser capturadas e usadas para treinar modelos [algoritmos] mesmo depois que os arquivos de áudio foram excluídos foi um problema para a FTC”, diz Zweifel-Keegan.

Isso provavelmente é um problema com muitos pais também.

(De acordo com a porta-voz da Amazon, Emma Daniels, “Na Amazon, levamos nossas responsabilidades para com nossos clientes e suas famílias muito a sério. Nossos dispositivos e serviços são criados para proteger a privacidade dos clientes e fornecer aos clientes controle sobre sua experiência. Embora discordemos das alegações da FTC em relação à Alexa e à Ring, e neguemos violar a lei, esses acordos colocam essas questões para trás.”)

É sempre prudente tomar medidas para garantir que os seus dados pessoais permaneçam privados e seguros. No entanto, ir além do mar não alcançará o objetivo. É importante saber quais dispositivos e circunstâncias representam uma ameaça potencial e quais provavelmente não representam. Dessa forma, você saberá o que fazer para proteger seus dados.

Para ajudá-lo a resolver os riscos, aqui estão respostas sólidas para algumas preocupações comuns sobre privacidade e segurança de casas inteligentes.

Meu alto-falante inteligente está me ouvindo? Porque, sim, é. Mas é só “sempre ouvir” para quando se diz a sua palavra de despertar. É quando ele vai começar a gravar e depois analisar suas palavras. “Embora seja uma crença comum que os dispositivos domésticos inteligentes estejam sempre monitorando você, isso não é totalmente preciso. Normalmente, eles só gravam ou ouvem quando você usa uma palavra ou comando específico”, diz Doug Roberson, COO da Allterco, que oferece uma linha de produtos de automação residencial inteligente chamada Shelly.

Você pode melhorar sua privacidade escolhendo uma palavra de despertar incomum.Foto: Jennifer Pattison Tuohy / The Verge

“No entanto, é crucial lembrar que os assistentes inteligentes são essencialmente mecanismos de busca operados por voz, e esses serviços geralmente geram receita por meio de publicidade. Você pode melhorar sua privacidade escolhendo uma palavra de ativação incomum, se possível, [para evitar gravações acidentais indesejadas] e excluindo regularmente os dados armazenados de sua conta”, acrescenta Roberson.

Se uma empresa usa seu assistente inteligente para publicidade depende de qual você está usando. A Apple é uma das únicas empresas que afirmou categoricamente que não usa sua assistente (Siri) para construir um perfil de marketing.

E se você está preocupado, há passos que você pode tomar. Você pode silenciar os alto-falantes Alexa e Google para que eles sejam impedidos de ouvir. Você também pode desligar dispositivos e / ou excluir gravações para que eles não sejam armazenados indefinidamente. A Apple fornece instruções sobre como excluir gravações aqui, o Google as fornece aqui e a Amazon aqui.

Por fim, saiba que manter os alto-falantes inteligentes fora de casa não garante que nada esteja ouvindo. Por um lado, o seu smartphone — e os telefones de toda a sua família, mais os smartphones de qualquer visitante — também estão potencialmente ouvindo palavras de despertar (embora as empresas de telefonia gastem muitos recursos para garantir que seus telefones e sistemas operacionais estejam seguros). Idem para dispositivos com alto-falantes e microfones embutidos em aparelhos domésticos, como aqueles escondidos dentro de um termostato Ecobee, uma geladeira inteligente, smart TVs ou um controle remoto de TV ativado por voz.

A minha casa inteligente sabe tudo sobre mim? Os dispositivos domésticos inteligentes precisam de acesso a alguns dados pessoais para lhe fornecer o melhor serviço para que as informações que fornecem sejam relevantes e adaptadas às suas preferências e circunstâncias pessoais, como a sua localização para relatórios meteorológicos. Mas dar amplo acesso aos seus dados pessoais parece arriscado.

“Os sistemas comerciais de casas inteligentes dependem de uma ampla gama de sensores para coletar dados sobre o ambiente, alguns dos quais podem ser dados pessoais ou podem ser usados para inferir dados pessoais”, diz Zweifel-Keegan, da IAPP. “Microfones e câmeras são amplamente compreendidos, mas os consumidores podem não reconhecer sensores de ultrassom ou sistemas de mapeamento espacial que podem ser incorporados em alto-falantes inteligentes e fones de ouvido de realidade virtual, por exemplo”, que podem ser usados para coletar ou inferir informações, como sua localização dentro de sua casa.

É aconselhável ficar de olho em quais dados são coletados e como as empresas os estão coletando.Imagem: Morada

Ficar de olho em quais dados são coletados e como as empresas estão coletando, bem como como eles os usam e protegem após a coleta, é fundamental para manter as informações da sua família privadas. A maioria das empresas adere aos padrões gerais de privacidade e às leis de proteção ao consumidor. Mas é prudente estar atento às políticas de privacidade de dados de cada empresa.

Como sabemos que as políticas de privacidade podem ser, bem, complexas, você pode querer copiar a política de privacidade de dados de uma empresa e, mesmo que já tenha concordado com ela, lê-la quando tiver tempo. Você pode tentar colá-lo em um prompt do ChatGPT para obter uma versão condensada em linguagem simples e compreensível. Por exemplo, levei a política de privacidade de dados de uma empresa para o ChatGPT e digitei na barra de prompt que queria uma versão condensada da política em inglês de quarta série. O resultado foi esclarecedor.

Você também pode verificar com a agência de proteção ao consumidor do governo local para ver reclamações que podem ajudá-lo a evitar empresas com más práticas de dados. Muitas vezes, essa agência também pode ajudá-lo a resolver problemas de privacidade de dados.

No entanto, “a privacidade é tão boa quanto as salvaguardas que implementamos em torno dela. Mais dispositivos conectados e sensores onipresentes significam que há mais oportunidades para que deslizes de privacidade aconteçam”, diz Zweifel-Keegan.

Meu bloqueio inteligente pode ser hackeado? É verdade que nada nesta terra é inhackeável. No entanto, também é verdade que nenhuma fechadura física é inquebrável.

“Tanto as fechaduras inteligentes quanto as fechaduras regulares são, em última análise, vulneráveis a um forte ataque de força bruta. Se alguém chega à sua porta com um aríete estilo policial, não há muito que você possa fazer para mantê-lo fora. Além disso, as fechaduras tradicionais podem ser escolhidas; fechaduras inteligentes [sem chaves] não podem. Isso, por si só, torna as fechaduras inteligentes mais seguras”, diz Rob Gabriele, especialista em segurança doméstica da SafeHome.org, fornecedora de produtos de segurança doméstica.

As fechaduras tradicionais podem ser escolhidas, as fechaduras inteligentes não podem (a menos que tenham chaveiros).Foto: Jennifer Pattison Tuohy / The Verge

O importante é lembrar que você quer tornar o arrombamento da sua casa tão difícil que simplesmente não vale a pena o esforço. No caso das fechaduras físicas, os atributos físicos são os mais importantes. No caso das fechaduras inteligentes, comprar de fornecedores confiáveis é uma necessidade absoluta. Os fornecedores de alto nível ficam a par dos problemas de segurança e atualizam seus produtos regularmente para evitar ataques.

“Embora alguns exemplos de hacking de fechaduras inteligentes tenham sido mostrados, isso é difícil em comparação com um lockpick que provavelmente poderia abrir a porta em minutos”, diz Grayson Milbourne, diretor de inteligência de segurança da OpenText Cybersecurity.

Mas se alguém de alguma forma obtiver a senha ou a chave, “é fácil alterar a senha do bloqueio inteligente, e é difícil substituir um cadeado normal se a chave ficar comprometida”, diz Milbourne.

E se você tem uma fechadura inteligente, pode verificar se deixou a porta destrancada — o que por si só já é uma grande vantagem de segurança.

Os medidores inteligentes de serviços públicos e outros dispositivos de energia podem criar problemas de privacidade e segurança? Alguns dispositivos inteligentes que coletam dados de sua casa pertencem a empresas de serviços públicos — seus medidores de gás, eletricidade e água coletam seus dados de uso por definição. Outros pertencem a você, mas servem como uma extensão dos serviços de energia – muitas empresas de eletricidade oferecem descontos se você lhes der acesso ao seu termostato inteligente, por exemplo. Os dados coletados a partir deles podem revelar mais sobre sua família do que apenas a quantidade de energia utilizada. Por exemplo, os dados de uso de energia podem revelar quando você está em casa e quando está fora, quando tem companhia e quando pode estar sozinho e muito mais.

As empresas de serviços públicos podem usar dispositivos como termostatos inteligentes para limitar o uso de energia durante os horários de pico de demanda. Esse acesso apresenta possíveis problemas de segurança.

Entre em contato com sua empresa de serviços públicos e quaisquer provedores de serviços, como fabricantes de termostato inteligente, para aprender suas políticas de privacidade e segurança de dados, bem como para obter informações sobre quais etapas adicionais você deve tomar — e quanto acesso você deseja que sua empresa de serviços públicos tenha ao seu termostato.

Alguém pode acessar as imagens de vídeo da minha câmera de segurança? Os hacks de câmeras domésticas inteligentes mais divulgados vieram de funcionários de empresas de segurança agindo indevidamente para espionar clientes ou de hackers externos obtendo acesso às suas informações de login por meio de phishing e outros meios. Uma empresa de câmeras também pode fornecer à polícia e a outros funcionários da lei acesso às suas imagens sem sua permissão ou conhecimento. A lista continua, mas em causa está uma falta básica de controlo sobre vídeos que podem revelar bastante sobre a sua vida pessoal.

A melhor maneira de evitar que suas câmeras domésticas inteligentes, incluindo câmeras de segurança e babás, sejam hackeadas é comprá-las de fornecedores conhecidos em quem você confia que priorizarão sua reputação – câmeras de segurança domésticas hackeadas não são uma boa aparência. Mesmo assim, verifique as medidas de segurança que eles têm em vigor. Evite marcas sem nome.

A melhor maneira de garantir que suas câmeras domésticas inteligentes estejam seguras é verificar as medidas de segurança do fornecedor.Imagem: Ring

Procure produtos que forneçam atualizações de segurança. “Um desafio com os dispositivos IoT é que nem todos são capazes de atualizar seu firmware. Se uma vulnerabilidade for descoberta, esses dispositivos ficarão permanentemente em risco. Alguns dispositivos são atualizados automaticamente, enquanto outros exigem que os usuários verifiquem se há atualizações”, diz Milbourne.

Verifique se há atualizações de segurança no software que seus dispositivos usam também. “As vulnerabilidades de segurança de software são descobertas em um ritmo mais rápido do que nunca. O mundo está adicionando mais software em mais lugares do que nunca, então essa tendência continuará. Para se manter o mais seguro possível, priorize manter dispositivos e softwares atualizados”, diz Milbourne.

Não compre produtos de uma empresa que não forneça atualizações de segurança ou habilite a autenticação de dois fatores

Não compre produtos de uma empresa que não forneça atualizações de segurança ou que não habilite a autenticação de dois fatores como um recurso de segurança adicional. Certifique-se de procurar produtos com criptografia de ponta a ponta também, como os oferecidos pelo Apple HomeKit Secure Video, Ring e outros. A maioria dos aplicativos do fabricante atualizará automaticamente o firmware do dispositivo ou verificará se há atualizações em intervalos regulares, mas você deve verificar os aplicativos regularmente para se certificar de que não perdeu uma atualização.

Minha geladeira pode iniciar um ataque DDoS — ou me atacar? Uma coisa é descobrir que você está acidentalmente cultivando um projeto de ciência grotesco em sua geladeira. Outra coisa é encontrá-lo infestado de bots de computador e se juntar a legiões de botnets para iniciar um ataque de negação de serviço distribuído (DDoS). Um ataque DDoS inunda um servidor com tráfego de internet para impedir que qualquer outra pessoa acesse os serviços disponíveis nesse site. Normalmente, ele desliga os serviços on-line ou o site de comércio eletrônico de uma empresa.

Embora sua geladeira participando de um ataque a uma grande empresa possa soar como o enredo de um filme de ficção científica ruim, isso aconteceu. Em 2016, um ataque DDoS maciço contra os servidores DNS (serviços de nomes de domínio) da Dyn quebrou a Internet. O hacker usou um malware chamado botnet Mirai para conectar dispositivos IoT, como geladeiras inteligentes, para lançar um ataque. Este ataque foi o primeiro de seu tipo tanto no alvo quanto na execução.

“Dar aos dispositivos acesso à sua rede doméstica confiável apresenta uma série de maneiras para os cibercriminosos ganharem dinheiro. Em particular, eles podem vender acesso à sua rede para passar tráfego esboçado”, diz o pesquisador de segurança de campo Kody Kinzie, da Varonis, uma empresa de segurança cibernética. “Uma sub-rede pode limitar os danos que podem ser causados se um dispositivo for comprometido.”

Uma sub-rede é simplesmente um corte de rede separado da sua rede doméstica principal e é comumente chamada de “rede convidada”. As sub-redes podem ser bons complementos às suas proteções de segurança para evitar ataques a frigoríficos e tal, mas também podem tornar os seus dispositivos mais difíceis e complexos de gerir.

Um melhor curso de ação é adicionar senhas fortes e autenticação de dois fatores aos seus dispositivos e à sua rede doméstica. Priorize seus esforços de segurança para resolver as maiores vulnerabilidades primeiro. Por exemplo, é mais útil e eficaz manter o firmware do roteador atualizado e proteger toda a sua rede doméstica com autenticação de dois fatores do que definir uma nova senha em seus plugues inteligentes.

Certifique-se de descartar todos os dispositivos antigos da rede que você não tem mais ou usa. Além disso, tenha cuidado com o descarte de dispositivos antigos. A maioria das pessoas sabe que deve apagar seus dados pessoais, mas também é fácil ignorar o apagamento da senha da sua rede.

Quando tudo estiver dito e feito, deixe que avaliações práticas em vez de medos guiem suas decisões de casa inteligente. Não existe 100% seguro. Seu objetivo é reunir obstáculos suficientes para fazer com que o ataque não valha a pena.

“Sim, absolutamente foram encontradas explorações em dispositivos IoT domésticos, como fechaduras de portas, e continuará a sê-lo”, diz Chris Clymer, CISO da Inversion6, um provedor de gerenciamento de riscos de segurança cibernética. “Isso muitas vezes gera manchetes, mas você tem que se perguntar o que é mais fácil e mais provável: um hacker escolhendo hackear remotamente meu cadeado para que mais tarde eles possam entrar fisicamente no local e entrar em minha casa ou um criminoso escolhendo simplesmente quebrar uma janela ou abrir uma porta lateral?”

Atualização 16 de junho de 2023, 2:54 ET: Este artigo foi atualizado para incluir uma declaração da porta-voz da Amazon, Emma Daniels, sobre suas negociações com a FTC.

FONTE: THE VERGE