Η κυβέρνηση Μπάιντεν πλασάρει την ετικέτα κυβερνοασφάλειας Cyber Trust για τις έξυπνες συσκευές

Η κυβέρνηση Μπάιντεν παρουσιάζει σήμερα μια νέα ετικέτα κυβερνοασφάλειας για έξυπνες συσκευές. Σε ενημέρωση του Τύπου, η πρόεδρος της Ομοσπονδιακής Επιτροπής Επικοινωνιών (FCC) Τζέσικα Ρόζενγουορσελ δήλωσε ότι η νέα ετικέτα, που ονομάζεται US Cyber Trust Mark, θα υποδηλώνει ότι οι συσκευές που την φέρουν πληρούν πρότυπα ασφαλείας με βάση αυτά που καθορίζονται σε έκθεση του Εθνικού Ινστιτούτου Προτύπων και Τεχνολογίας (NIST). Το εθελοντικό πρόγραμμα αναμένεται να τεθεί σε εφαρμογή το 2024, με τις ετικέτες να φτάνουν στις συσκευές "αμέσως μετά".

Το πρόγραμμα προορίζεται να καλύψει συνδεδεμένες συσκευές που βρίσκονται συνήθως στο σπίτι, όπως έξυπνα ψυγεία, έξυπνους φούρνους μικροκυμάτων, έξυπνες τηλεοράσεις και έξυπνα συστήματα ελέγχου του κλίματος. Αλλά η ανακοίνωση παραθέτει επίσης "έξυπνους ιχνηλάτες γυμναστικής" ως συσκευή που θα καλύπτεται από το πρόγραμμα πιστοποίησης και επισήμανσης, υποδηλώνοντας φιλοδοξίες πέρα από την κάλυψη του έξυπνου σπίτιου. Το πρόγραμμα έχει την εθελοντική υποστήριξη αρκετών κατασκευαστών ηλεκτρονικών ειδών, συσκευών και καταναλωτικών προϊόντων, λιανοπωλητών και εμπορικών ενώσεων, όπως η Google, η Samsung, η Logitech, η Amazon, η Best Buy και η Connectivity Standards Alliance (η οποία είναι η έδρα του προτύπου Matter για το έξυπνο σπίτι).

Η FCC "ενεργεί στο πλαίσιο των αρμοδιοτήτων της για τη ρύθμιση των συσκευών ασύρματης επικοινωνίας" για να προτείνει το πρόγραμμα πιστοποίησης και επισήμανσης, το οποίο, όπως λέει, θα απαιτεί "ισχυρούς προεπιλεγμένους κωδικούς πρόσβασης, προστασία δεδομένων, ενημερώσεις λογισμικού και δυνατότητες ανίχνευσης περιστατικών", σύμφωνα με δελτίο τύπου. Ο Rosenworcel το παρομοίασε με το Energy Star, το οποίο υποδηλώνει προϊόντα όπως υπολογιστές ή συσκευές που πληρούν ορισμένα πρότυπα ενεργειακής απόδοσης.

Το σήμα Cyber Trust αποτελείται από δύο μέρη: ένα λογότυπο που σφραγίζεται στο κουτί ενός προϊόντος και έναν κωδικό QR που οι αγοραστές μπορούν να σαρώσουν αργότερα για να επαληθεύσουν ότι η συσκευή εξακολουθεί να είναι πιστοποιημένη καθώς οι απειλές για την κυβερνοασφάλεια εξελίσσονται και χρειάζονται διορθώσεις. Αναρωτήθηκα σε μια συνέντευξη με την αναπληρώτρια σύμβουλο εθνικής ασφάλειας Anne Neuberger αν ο κωδικός QR θα χρησιμοποιηθεί για να δώσει πιο λεπτομερείς πληροφορίες για την ασφάλεια ενός προϊόντος, όπως για παράδειγμα αν ένα προϊόν απαιτεί συνεχή σύνδεση στο διαδίκτυο για να είναι λειτουργικό. Η Neuberger επανέλαβε ότι ο κώδικας QR θα βοηθήσει τους πελάτες να είναι ενήμεροι, ενθαρρύνοντας ιδέες όπως αυτή μέσω δημόσιων σχολίων όταν έρθει η ώρα.

Ένας ανώτερος αξιωματούχος της FCC δήλωσε κατά τη διάρκεια της συνεδρίασης ερωτήσεων και απαντήσεων μετά την ενημέρωση ότι η Επιτροπή εξετάζει το ενδεχόμενο ετήσιων επαναπιστοποιήσεων, αλλά τα διαστήματα δεν έχουν ακόμη αποφασιστεί. Όσον αφορά το ποιος θα αναλάβει την πιστοποίηση, ο Neuberger δήλωσε ότι αυτό θα ανατεθεί σε εργαστήρια τρίτων, όπως η Connectivity Standards Alliance ή η Consumer Technology Association.

Ο Neuberger δήλωσε ότι η ετικέτα είναι απαραίτητη για να "ωθήσει την αγορά να κατασκευάσει πιο ασφαλή προϊόντα από το σχεδιασμό", λέγοντας ότι οι εταιρείες που θα μπορούν να διαφοροποιηθούν με μια τέτοια ετικέτα θα μπορούσαν να τις κάνουν να νιώθουν πιο άνετα με το υψηλότερο κόστος της καλύτερης ασφάλειας.

Είπε επίσης ότι το πρόγραμμα θα συμβάλει στην προώθηση της λογοδοσίας, καθώς τα προϊόντα έξυπνου σπιτιού θα πρέπει να συνεχίσουν να εκδίδουν διορθώσεις ασφαλείας όπως απαιτείται για να διατηρήσουν την ετικέτα Cyber Trust. Ο Neuberger δήλωσε σε συνέντευξή του στο The Verge ότι πάντα θα υπάρχει "μια νέα zero-day", χαρακτηρίζοντας "ενοχλητικό" το γεγονός ότι, κατά καιρούς, όταν η κοινότητα πληροφοριών αποκαλύπτει μια ευπάθεια IoT στις εταιρείες, αυτές λένε ότι τελείωσαν με αυτά τα προϊόντα και δεν θα εκδώσουν διορθωτικό.

Κατά τη διάρκεια της συνέντευξης, ο Neuberger επεσήμανε την έκθεση του NIST όταν ρωτήθηκε τι θα θεωρήσει η FCC ως "προϊόν IoT" στο πλαίσιο του προγράμματος σήμανσης Cyber Trust. Ουσιαστικά, σύμφωνα με το NIST, οποιαδήποτε συσκευή συνδεδεμένη στο δίκτυο με "αισθητήρα ή ενεργοποιητή" μπορεί να θεωρηθεί "συσκευή IoT", ενώ το σύνολο της εν λόγω συσκευής - η σχετική εφαρμογή, το backend του cloud και οι απαιτούμενοι κατά παραγγελία κόμβοι - θεωρείται "προϊόν IoT".

Οι ξεχωριστές συσκευές δικτύωσης, όπως οι κόμβοι Zigbee και Z-Wave, που δεν συνδέονται με καμία συσκευή, ωστόσο, αντί για αυτές, συγκαταλέγονται στους δρομολογητές Wi-Fi, οι οποίοι δεν εξετάστηκαν στο πλαίσιο της έκθεσης. Το NIST καθορίζει τις απαιτήσεις κυβερνοασφάλειας των δρομολογητών καταναλωτικής ποιότητας ως προτεραιότητα, δεδομένων των κινδύνων που παρουσιάζουν για υποκλοπές, κλοπές κωδικών πρόσβασης και άλλες κακόβουλες δραστηριότητες σε στοχευμένα σπίτια. Αναμένεται να ολοκληρώσει τις εργασίες αυτές έως το τέλος του 2023, ώστε η Επιτροπή να εξετάσει τις απαιτήσεις κυβερνοασφάλειας των δρομολογητών για να τις συμπεριλάβει στο πρόγραμμα σήμανσης.

Η κυβέρνηση Μπάιντεν αναμένεται να αποκαλύψει το νέο λογότυπο Cyber Trust αργότερα σήμερα με ζωντανή μετάδοση από τον Λευκό Οίκο, αποκαλύπτοντας περισσότερες λεπτομέρειες σχετικά με το πρόγραμμα και ποιες εταιρείες έχουν ήδη δεσμευτεί σε αυτό. Μέχρι στιγμής, η διοίκηση απαριθμεί τους ακόλουθους "συμμετέχοντες" για την υποστήριξη της σημερινής ανακοίνωσης:

Amazon, Best Buy, Carnegie Mellow University, CyLab, Cisco Systems, Connectivity Standards Alliance, Consumer Reports, Consumer Technology Association, Google, Infineon, Information Technology Industry Council, IoXT, KeySight, LG Electronics U.S.A., Logitech, OpenPolicy, Qorvo, Qualcomm, Samsung, UL Solutions, Yale και August U.S.