Правительство Великобритании обнародовало проект закона, который призван защитить миллионы устройств Интернета вещей от кибератак. Он обязывает всех, кто продаёт такие устройства, снабжать их уникальным паролем. Примитивные пароли вроде 1234 или admin будут запрещены.
«Сильный» пароль значительно снижает вероятность того, что устройство умного дома, например умный термостат или камера видеонаблюдения, будет удалённо взято под контроль злоумышленником, использующим для этого вредоносный код. Кроме того, он полностью защищает от тех хакеров, которые просто сканируют множество устройств подряд, вводя в них простые пароли по умолчанию, а также отыскивая случаи, когда пароля нет вообще.
Новый законопроект также требует от производителя обеспечивать точку для контактов с ним как часть «политики раскрытия данных об уязвимостях». Кроме того, он должен чётко определить минимальный срок, в течение которого устройство будет продолжать получать обновления защиты.
Устройства Интернета вещей более уязвимы, чем традиционные IT-системы, поскольку мощности их процессоров часто бывает недостаточно для работы межсетевых экранов или антивирусного ПО. Потребительские устройства нередко имеют также «заднюю дверь», которая задаётся производителем для того, чтобы автоматически загружать обновления.
Новый закон, если он будет принят, станет продолжением той работы, которая воплотилась в утверждённый в октябре 2018 года «Свод правил» (Code of practice). Он продемонстрирует серьёзное отношение британского правительства к данной проблеме и привлечёт внимание общественности к вопросам кибербезопасности Интернета вещей. Эксперты, тем не менее, опасаются, что закон может внушать потребителю ложное ощущение безопасности, поскольку он касается только самих устройств, хотя основная угроза находится не в них.
Несмотря на то, что Великобритания опережает другие страны в работе над законодательством в сфере Интернета вещей, она не стала в этом деле первой в мире. В США, в штате Калифорния, в октябре был принят закон, запретивший пароли по умолчанию в сетевых устройствах. Он вступит в действие в 2020 году.
