Digitale veiligheid van slimme apparaten niet op orde | Klantcase Agentschap Telecom

Voor Agentschap Telecom heeft Strict een onderzoek uitgevoerd naar de veiligheid van slimme apparaten. Hierin heeft Strict 22 apparaten getest op hun digitale veiligheid en op privacyaspecten. Naar aanleiding van dit onderzoek heeft Agentschap Telecom gepleit voor Europese regels en hebben ze een meldpunt geopend. In deze klantcase lichten we toe wat de rol van Strict is geweest binnen dit project en wat dit Agentschap Telecom heeft opgeleverd.

Welke vraag had Agentschap Telecom aan Strict?

Een van de missies van Agentschap Telecom is om toezicht te houden op betrouwbare communicatienetwerken. In het kader hiervan is Agentschap Telecom bezig met het ontwikkelen van Nederlandse standaarden en richtlijnen waar slimme apparaten aan moeten voldoen en verlangen ze een Europees keurmerk. Hiervoor was er eerst inzicht nodig in de veiligheid van dergelijke apparaten. Daarom heeft Strict voor Agentschap Telecom door middel van een steekproef diverse consumentenapparaten getest, waaronder routers, slim speelgoed, IP-camera’s, slimme sloten, babymonitors en slimme thermostaten.

Vanwege de actualiteit en de urgentie van dit onderwerp zat er een behoorlijke tijddruk op dit project. Ondanks die tijddruk, heeft het team met een hoge technische expertise dit onderzoek correct uitgevoerd en de resultaten op de juiste manier geïnterpreteerd. Een gave uitdaging voor ons cyber security team!

Hoe heeft Strict geholpen? Het plan

De ethical hackers van Strict waren verantwoordelijk voor de technische expertise en uitvoering. In totaal heeft het team 22 apparaten getest. De eerste stap was het opstellen van een rigoureus plan voor het testen van de apparaten. Want wat was precies belangrijk om te testen?

Na vele brainstormsessies heeft het team de belangrijkste facetten op een rijtje gezet. Deze waren het testen en controleren van de kwetsbaarheden van de apparaten, het toetsen van de veiligheidsmaatregelen aan moderne standaarden en het in detail kijken naar de veiligheid van de verschillende communicatiestromen. Zo is onder andere getest of kwaadwillenden gemakkelijk in een apparaat kunnen komen en zo het apparaat kunnen overnemen. Of dat ze bijvoorbeeld kunnen meekijken via de camera van het apparaat.

Met dit plan in handen hebben de experts zich vervolgens met elkaar in een lab opgesloten om in een representatieve thuisomgeving het onderzoek uit te voeren. Deze representatieve thuisomgeving was noodzakelijk omdat de geteste apparaten gericht zijn op consumenten. Zij installeren de apparaten thuis en kijken daarna meestal niet naar de instellingen. Om een goed beeld te krijgen van de privacy en veiligheid, moest het apparaat dus direct na installatie getest worden. Dit betekent dat de veiligheid van de standaardinstellingen van de thuisomgeving heel belangrijk waren. Hoe deze thuisomgeving er precies uitzag, is hieronder schematisch weergegeven.

Hoe heeft Strict geholpen? De uitvoering

In het lab hebben de onderzoekers geprobeerd om de apparaten te hacken. Dit is gedaan door naar kwetsbaarheden in de software te zoeken, naar de standaard instellingen te kijken en de communicatiestromen te onderzoeken. Daarna zijn de apparaten gecontroleerd op basis van moderne standaarden op het gebied van security. Hierbij kan gedacht worden aan een moderne en goed geconfigureerde versie van TLS en of bijvoorbeeld goed omgaan wordt met wachtwoorden.

Vervolgens hebben ook onze juridische experts de apparaten onder de loep genomen. Zij hebben getoetst of de communicatie met externe partijen voldoet aan de actuele privacywetgevingen, zoals de AVG. Hierbij hebben ze onder andere de volgende vragen beantwoord: wordt de data van de minderjarigen op de juiste manier verwerkt? Of wordt de data naar derde partijen gestuurd zonder medeweten of toestemming van de gebruiker?

Dankzij de cyber security consultants en hun verschillende expertises zijn zo alle slimme apparaten getest, binnen de tijdsdruk van dit project. De uiteindelijke resultaten mogen er dan ook zijn.

Het resultaat

Door middel van de juiste technische en juridische expertise, het goede contact met Agentschap Telecom en omdat Strict écht de handen uit de mouwen heeft gestoken, hebben we een mooi rapport kunnen opleveren. Uit het onderzoek is gebleken dat vier van de 22 apparaten bevindingen hadden die als ‘kritiek’ werden geclassificeerd. Respectievelijk vier en negen van de apparaten hadden bevindingen waarvan de ernst ‘hoog’ of ‘medium’ was. Voor slechts twee van de apparaten hadden we helemaal geen bevindingen.

Versleuteling en informatie-uitwisseling zijn onderdelen die nog verder verbeterd moeten worden, in het bijzonder waar de verwerking van persoonsgegevens plaatsvindt. Verbeteringen zijn ook nodig bij het oplossen van kwetsbaarheden door middel van (automatische) software-updates, aangezien dit in diverse gevallen niet veilig ingericht is. Verder zijn er bij verschillende apparaten onnodige en onveilige services aangetroffen, dit behoeft ook extra aandacht. In het onderzoek scoren met name connected toys en babyfoons slechter op het gebied van veiligheid.

Het rapport is op 25 september door Agentschap Telecom gepubliceerd en overhandigd aan Staatssecretaris Mona Keijzer (Economische Zaken en Klimaat). Dit onderzoek draagt bij aan de digitale veiligheid van Nederland en de doelstellingen van Agentschap Telecom. Op basis hiervan heeft Agentschap Telecom een meldpunt geopend voor onveilige slimme apparaten en zijn ze een stap dichterbij Nederlandse richtlijnen.

Over Agentschap Telecom

Agentschap Telecom is onderdeel van het ministerie van Economische Zaken en Klimaat. Agentschap Telecom houdt toezicht op betrouwbare communicatienetwerken en voert beleid uit op frequentiegebruik van radio en televisie, telefonie en allerlei radiozendapparatuur. Ook houdt het agentschap toezicht op veilig gebruik van internet en op meetapparatuur zoals weegschalen en benzinepompen. Want wie kan zich nog een samenleving voorstellen zonder telecommunicatie en internet?