"Am I Just That Dumb?": Applicability, Action and Verification in Consumer IoT Security Advice
Questo studio valuta l'applicabilità, l'azionabilità e la verificabilità dei consigli sulla sicurezza dei dispositivi IoT per i consumatori emessi dal governo nei Paesi Bassi, rivelando lacune significative tra la guida generica e le capacità effettive dei dispositivi più venduti, che spesso mancano di credenziali predefinite condivise e di chiari meccanismi di aggiornamento, ostacolando così la capacità degli utenti di mettere in sicurezza efficacemente i propri dispositivi.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nella casa moderna, una rivoluzione silenziosa ha avuto luogo. Oggetti quotidiani — dagli altoparlanti intelligenti e campanelli agli elettrodomestici e lampadine — sono stati connessi a Internet, creando una rete di dispositivi che possono essere controllati da remoto. Questa comodità, tuttavia, comporta un costo nascosto: la sicurezza. Proprio come una casa fisica ha bisogno di una serratura sulla porta d'ingresso, questi dispositivi digitali hanno bisogno di protezione contro gli intrusi che potrebbero tentare di prenderne il controllo. Per anni, i governi e gli esperti di sicurezza hanno offerto una soluzione semplice, divisa in due parti, per mantenere sicure queste case: cambiare la password predefinita che viene fornita con il dispositivo e mantenere aggiornato il software del dispositivo. L'assunto alla base di questo consiglio è che chiunque possa seguire queste istruzioni, trovare le impostazioni corrette sul proprio gadget specifico e verificare di averlo fatto. Ma questo assunto si basa sulla convinzione che il consiglio si adatti perfettamente a ogni dispositivo e che il percorso verso la sicurezza sia chiaro e visibile per la persona comune.
Un team di ricercatori della Delft University of Technology, nei Paesi Bassi, ha deciso di testare se questo semplice consiglio funzioni effettivamente nel mondo reale. Non hanno chiesto alle persone cosa pensassero di fare; le hanno osservate mentre lo facevano. I ricercatori hanno reclutato ventotto volontari e hanno dato loro una sfida specifica. A ciascuno è stata consegnata una scheda stampata contenente il classico consiglio governativo di cambiare la password predefinita e controllare gli aggiornamenti. Sono stati poi invitati a provare a seguire questo consiglio su tre diversi dispositivi smart selezionati dalle liste dei prodotti più venduti di un importante rivenditore online. I dispositivi includevano una presa intelligente, un sensore di umidità, un campanello, un altoparlante intelligente, una stampante e una telecamera di sicurezza interna. Ai partecipanti è stato detto di immaginare di possedere questi dispositivi e di cercare di proteggerli, ma non era loro permesso cambiare effettivamente le impostazioni o installare aggiornamenti, solo mostrare dove sarebbero andati per farlo. Ciò ha permesso ai ricercatori di vedere esattamente dove le istruzioni portavano e dove gli utenti si bloccavano, senza alterare lo stato reale dei dispositivi.
I risultati hanno rivelato un divario significativo tra il consiglio dato e la realtà dei dispositivi. Quando i partecipanti hanno cercato di cambiare la password predefinita, si sono trovati di fronte a un labirinto confuso. In trentatré ottantaquattro tentativi, non riuscivano a trovare alcuna impostazione della password. In cinquanta casi, hanno trovato un posto per cambiare una password, ma era per un account online collegato al dispositivo, non per il dispositivo stesso. Solo una sessione è arrivata alla specifica impostazione sull'hardware del dispositivo dove si cambierebbe una password predefinita. I ricercatori hanno scoperto che nessuno dei sei popolari dispositivi testati possedeva il tipo di password condivisa e preimpostata in fabbrica descritta dal consiglio. Inveve, alcuni dispositivi avevano password uniche per ogni unità, mentre altri non avevano affatto una password predefinita, richiedendo al proprietario di crearne una da zero. Poiché il consiglio non spiegava come fare la distinzione, i partecipanti spesso si sentivano di aver avuto successo quando in realtà avevano cambiato la cosa sbagliata, come il login del proprio account, lasciando il dispositivo stesso vulnerabile.
La situazione è stata simile quando i partecipanti hanno cercato di aggiornare il software. In ventisette sessioni, non riuscivano a trovare alcuna opzione di aggiornamento. In diciannove sessioni, hanno trovato un aggiornamento, ma era per l'app di accompagnamento sul loro telefono, non per il software interno del dispositivo. Solo trentotto sessioni sono arrivate con successo allo stato di aggiornamento del firmware per il dispositivo. I ricercatori hanno scoperto che il linguaggio usato nel consiglio e le etichette sui dispositivi spesso non corrispondevano. Termini come "firmware" erano estranei a molti utenti, i quali esitavano a cliccarci sopra per timore di rompere qualcosa. Su alcuni dispositivi, le informazioni sull'aggiornamento erano nascoste in menu profondi, mentre su altri erano visualizzate chiaramente. La confusione era così profonda che in diversi casi i partecipanti hanno concluso di aver seguito il consiglio perfettamente, anche se non avevano effettivamente messo in sicurezza il dispositivo. Un partecipante, frustrato dalla difficoltà, ha chiesto ai ricercatori: "Sono solo io che sono stupido?". La risposta dei ricercatori è stata chiara: il problema non era l'intelligenza dell'utente, ma il disallineamento tra le istruzioni generiche e il design specifico, spesso nascosto, dei dispositivi.
Lo studio ha dimostrato che l'attuale approccio ai consigli sulla sicurezza è difettoso perché assume che tutti i dispositivi funzionino nello stesso modo. Quando a un utente viene detto di "cambiare la password predefinita", non ha modo di sapere se il suo dispositivo ne abbia anche una, o se l'impostazione che trova sia quella corretta. I ricercatori hanno scoperto che gli utenti seguivano naturalmente la via più ovvia, che spesso li portava a cambiare la password del proprio account invece di quella del dispositivo. Questo dava loro un falso senso di sicurezza, la sensazione di aver svolto il compito quando il dispositivo rimaneva invece scoperto. L'evidenza suggerisce che non sia sufficiente dire alle persone di essere più attente o di leggere le istruzioni. Il consiglio stesso deve cambiare per aiutare gli utenti a determinare se l'azione sia anche necessaria per il loro specifico dispositivo, e i dispositivi devono essere progettati in modo che le impostazioni di sicurezza siano visibili e facili da comprendere. Finché il divario tra il consiglio e la tecnologia non verrà colmato, gli utenti continueranno a lottare, non perché siano incapaci, ma perché il percorso verso la sicurezza è oscurato da un design che non parla la loro lingua.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.