De Stichting Internet Domeinregistratie Nederland (SIDN), de organisatie die de .nl-domeinnamen beheert, luidt de noodklok over het toenemend aantal onveilige Internet of Things-apparaten dat op internet wordt aangesloten en de gevolgen die dit voor onze veiligheid en privacy kan hebben.

"Het gemak waarmee consumenten allerlei goedkope apparaatjes direct aanschaffen via online marktplaatsen over de hele wereld om die vervolgens aan te sluiten op hun thuisnetwerk is zowel onthutsend als zorgwekkend", aldus SIDN. De organisatie verwacht dat veel onveilige IoT-apparaten nooit beveiligingsupdates voor gevonden kwetsbaarheden zullen ontvangen. Sommige van deze apparaten hebben niet eens het geheugen dat voor een software-update is vereist.

Hierdoor ontstaat het risico dat kwaadwillenden de onveilige IoT-apparaten overnemen en voor allerlei soorten aanvallen gebruiken. Het kan dan gaan om ddos-aanvallen, maar ook om aanvallen waarbij wordt geprobeerd om andere apparaten in het netwerk over te nemen. Het probleem wordt vergroot door de opkomst van het "smart home", dat uit steeds meer apparaten bestaat. "Als we geen stappen ondernemen om de risico's die aan deze nieuwe hyper-connected wereld kleven te beperken, zouden we de controle over onze smarthomes weleens kunnen verliezen", waarschuwt SIDN.

SPIN

Om het probleem tegen te gaan ontwikkelde SIDN een oplossing genaamd SPIN, wat staat voor Security and Privacy for In-home Networks. Het is een 'omgekeerde firewall' voor IoT-apparaten. De SPIN-software is gebaseerd op OpenWRT, een populair opensourcebesturingssysteem dat voornamelijk voor routers wordt gebruikt. SPIN heeft als doel om het internet te beschermen tegen aanvallen die via gecompromitteerde IoT-apparaten worden uitgevoerd. Het gaat dan bijvoorbeeld om ddos-aanvallen.

De software fungeert als een 'omgekeerde firewall' en blokkeert aanvalsverkeer van IoT-apparaten dat vanaf het thuisnetwerk van de gebruiker afkomstig is. SPIN verwerkt alle gegevens lokaal. Volgens SIDN verlaten persoonlijke gegevens dan ook nooit het apparaat. De organisatie stelt dat access providers de SPIN-functionaliteit in hun bestaande security management-infrastructuur en zelfhulp-portals kunnen integreren. "Daarmee wordt geautomatiseerde interactie met eindgebruikers over veiligheidsaangelegenheden mogelijk en kunnen gebruikers zelf hun problemen verhelpen."

SPIN is momenteel als een werkend prototype beschikbaar. De software werd eerder gedemonstreerd als onderdeel van de TrustBox thuis-router op de laatste Consumer Electronics Show (CES) in Las Vegas. Andere partijen die met SPIN werken zijn CZ.NIC (de Tsjechische registry voor de .cz-zone), CIRA (de Canadese registry voor de .ca-zone) en DistributIT. Daarnaast is SPIN ook beschikbaar als image voor de Raspberry Pi.