Il Cyber ​​Trust Mark è un marchio IoT volontario in arrivo nel 2024. Cosa significa?

Kevin Purdy - 19 luglio 2023 18:56 UTC

L’obiettivo del nuovo Cyber ​​Trust Mark statunitense, che verrà introdotto volontariamente sui dispositivi Internet of Things (IoT) entro la fine del 2024, è quello di evitare che le persone debbano fare ricerche approfondite prima di acquistare un termostato, un controller per irrigatori o un baby monitor.

Se vedi uno scudo con un microchip di un certo colore, saprai qualcosa confrontandolo con altri scudi. Cosa significherà esattamente quello scudo non è ancora stato deciso. Il relativo rapporto del National Institute of Standards and Technology suggerisce che ciò comporterà trasmissione e archiviazione crittografate, aggiornamenti software e il controllo che un acquirente ha sulle password e sulla conservazione dei dati. Ma l’unica cosa veramente nuova dall’annuncio dell’iniziativa nell’ottobre 2022 è l’aspetto dell’etichetta, una tempistica leggermente più precisa e più incontri di input e discussione da seguire.

Al momento, il marchio esiste come avviso di proposta di regolamentazione (NPRM) presso la Federal Communications Commission. La FCC vuole ascoltare le parti interessate sulla portata dei dispositivi che possono essere etichettati e su quale entità dovrebbe supervisionare il programma, verificare gli standard e gestire l’educazione dei consumatori.

I router di livello consumer, secondo la Casa Bianca, sono l'obiettivo prioritario, con il completamento dei lavori di valutazione entro la fine del 2023. Il Dipartimento dell'Energia intende sviluppare l'etichettatura per i contatori intelligenti e gli inverter di potenza.

Il movimento verso l’implementazione di uno standard è lento e vago, ma il problema per i dispositivi IoT è reale. Il comunicato della FCC cita una "stima di un terzo" (apparentemente Kaspersky) di oltre 1,5 miliardi di attacchi contro dispositivi IoT nei primi sei mesi del 2021. E i dispositivi IoT sono ovunque: la FCC indica la stima del gruppo di ricerca Transforma di oltre 25 miliardi dispositivi IoT connessi operativi in ​​tutto il mondo entro il 2030.

Quando i dispositivi connessi sono così comuni e onnipresenti, diventa facile trascurarli. La presidente della FCC Jessica Rosenworcel ha citato un caso in questione raccontato per la prima volta dall'autore di crimini informatici Misha Glenny nei suoi commenti martedì. Una banca, pesantemente rafforzata in termini di conti, trasferimenti e altre misure di sicurezza informatica, è stata infine violata. Il vettore non era un server, un computer e nemmeno un essere umano fallibile. Si trattava di un distributore automatico, a cui era stato assegnato un proprio indirizzo IP e non aggiornato contro le minacce comuni.

L'implementazione dello standard "non è un compito da poco", ha affermato Rosenworcel all'annuncio del programma. "Perché il futuro dei dispositivi intelligenti è grande. E ancora più grande è l'opportunità per noi di garantire che ogni consumatore, azienda e ogni banca dotata di un distributore automatico possa fare scelte intelligenti riguardo ai dispositivi connessi che utilizza. Quindi veniamo al dunque. "

Non è ancora chiaro cosa significhi uno scudo "Aqua" su una telecamera di sicurezza domestica rispetto a uno scudo nero, verde, rosso o bianco su nero. Ogni scudo verrà fornito con un codice QR di accompagnamento, in cui un cliente può vedere i dettagli di come il dispositivo ha ottenuto la sua particolare tonalità di scudo.

Molte etichette sono arrivate a definire l'esperienza di acquisto comparativo: UL, EnergyStar, JD Power e simili. Ma i dispositivi IoT presentano uno scenario più complicato per un’etichetta con uno scudo distintamente ombreggiato su una scatola (o sulla pagina di un prodotto e-commerce). Solo alcune di queste complicazioni, alcune sollevate dagli stessi sostenitori, sono:

Il CyLab della Carnegie Mellon University, uno dei gruppi chiave consultati dalla FCC e dalla Casa Bianca, sta spingendo per maggiori informazioni sulle confezioni dei prodotti e sulle pagine sulla raccolta dei dati, piuttosto che scaricare tutto su uno scanner del telefono. "La nostra ultima ricerca mostra che, sebbene l'accesso a queste informazioni tramite un codice QR possa essere utile, i consumatori preferiscono avere informazioni importanti sulla sicurezza e sulla privacy prontamente disponibili sulla confezione del prodotto."

Amazon, Best Buy, LG, Samsung, Google e altre aziende hanno espresso sostegno all'iniziativa, così come il gruppo industriale della Consumer Technology Association. Come notato da Geoffrey Fowler del Washington Post, Apple è un'assenza evidente. Ciò solleva ancora un’altra questione sull’efficacia di un’etichetta se un importante venditore rifiuta di parteciparvi.