چگونه قانون تاب‌آوری سایبری اتحادیه اروپا، بازطراحی جهانی دستگاه‌های خانه هوشمند را الزامی می‌کند

برای بخش عمده‌ای از یک دهه، اکوسیستم خانه هوشمند یک مشکل امنیتی فراگیر و خطرناک را در خود جای داده است. مصرف‌کنندگان با اشتیاق اتاق‌های نشیمن، آشپزخانه‌ها و اتاق‌خواب‌های خود را با دوربین‌های ارزان‌قیمت، دوشاخه‌های هوشمند و لوازم خانگی متصل به اینترنت پر کرده‌اند که اغلب با رمزهای عبور سخت‌کد شده و به راحتی قابل حدس زدن عرضه می‌شوند.

بدتر اینکه، این دستگاه‌ها اغلب به محض خروج از کارخانه توسط تولیدکنندگانشان رها می‌شوند و هرگز یک به‌روزرسانی نرم‌افزاری برای رفع آسیب‌پذیری‌های تازه کشف شده دریافت نمی‌کنند. این رویکرد «شلیک کن و فراموش کن» میلیون‌ها گجت خانگی را به بمب‌های ساعتی تبدیل کرده است که به راحتی توسط عوامل مخرب ربوده می‌شوند تا بات‌نت‌های عظیمی را تشکیل دهند که قادر به فلج کردن زیرساخت‌های اصلی اینترنت هستند.

اکنون اتحادیه اروپا با اجرای قانون تاب‌آوری سایبری (CRA) در حال تحمیل یک حسابرسی جهانی است. این قانون جامع که برای محافظت از مصرف‌کنندگان در برابر نقض داده‌ها و حملات سایبری سیستماتیک طراحی شده است، الزامات سخت‌گیرانه «امنیت از طریق طراحی» را بر هر محصول دارای عناصر دیجیتال که در بازار اروپا فروخته می‌شود، تحمیل می‌کند.

از یخچال‌های هوشمند گران‌قیمت گرفته تا ارزان‌ترین لامپ‌های عمومی، تولیدکنندگان دیگر نمی‌توانند امنیت را به عنوان یک ویژگی اختیاری و لوکس در نظر بگیرند. این قانون حکم می‌کند که پروتکل‌های امنیتی باید از همان مراحل اولیه توسعه در معماری سخت‌افزاری و نرم‌افزاری گنجانده شوند.

اگرچه این قانون از نظر فنی محدود به اتحادیه اروپا است، اما تأثیر آن به دلیل پدیده‌ای که به عنوان «اثر بروکسل» شناخته می‌شود، در سراسر جهان طنین‌انداز شده است. از آنجایی که برای تولیدکنندگان بزرگ چندملیتی مانند سامسونگ (Samsung)، آمازون (Amazon) یا تی‌پی-لینک (TP-Link) از نظر اقتصادی مقرون به صرفه نیست که دستگاه‌های جداگانه، بسیار ایمن برای مصرف‌کنندگان اروپایی و نسخه‌های ناامن و ارزان‌تر برای ایالات متحده یا آسیا طراحی کنند، قانون CRA به عنوان یک استاندارد جهانی بالفعل عمل می‌کند.

زنجیره‌های تأمین به طور کامل برای برآورده کردن الزامات سخت‌گیرانه اتحادیه اروپا در حال بازسازی هستند، به این معنی که مصرف‌کنندگان در سراسر جهان از مزایای این اصلاح نظارتی بهره‌مند خواهند شد.[2]

تحول‌آفرین‌ترین دستورالعمل در چارچوب جدید، الزام به پشتیبانی نرم‌افزاری بلندمدت و اجباری است. تحت قانون CRA، تولیدکنندگان موظف هستند که به‌روزرسانی‌های امنیتی رایگان را حداقل به مدت پنج سال یا طول عمر مورد انتظار محصول، هر کدام که کوتاه‌تر است، ارائه دهند. این امر اساساً اقتصاد اینترنت اشیاء را تغییر می‌دهد. یک دوشاخه هوشمند ۱۵ دلاری دیگر نمی‌تواند یک کالای یک‌بار مصرف باشد؛ اکنون یک تعهد نگهداری نرم‌افزاری بلندمدت را به همراه دارد که شرکت‌ها باید آن را در قیمت‌گذاری اولیه و استراتژی‌های مهندسی خود لحاظ کنند.

علاوه بر این، این قانون صراحتاً استفاده از رمزهای عبور پیش‌فرض جهانی – ترکیب‌های بدنام «admin» و «12345» که از لحاظ تاریخی حملات سایبری خودکار عظیمی مانند بات‌نت میرای (Mirai) را تغذیه کرده‌اند – ممنوع می‌کند.

در عوض، دستگاه‌ها باید یا کاربران را ملزم کنند که در اولین راه‌اندازی، یک رمز عبور منحصر به فرد و پیچیده تنظیم کنند، یا با یک اعتبارنامه تصادفی و مختص دستگاه که به صورت ایمن روی سخت‌افزار فیزیکی چاپ شده است، عرضه شوند. انتظار می‌رود این یک حکم به تنهایی تعداد ربودن‌های ساده دستگاه‌ها را که بلای جان خانه هوشمند مدرن شده‌اند، به شدت کاهش دهد.

این قانون همچنین یک پنجره زمانی سخت‌گیرانه و سریع برای گزارش آسیب‌پذیری‌ها معرفی می‌کند. اگر تولیدکننده‌ای یک آسیب‌پذیری فعالاً مورد سوءاستفاده قرار گرفته را در محصول خود کشف کند، یا اگر نقص جدی توسط محققان امنیتی مستقل به آن‌ها گزارش شود، باید ظرف ۲۴ ساعت به آژانس امنیت سایبری اتحادیه اروپا (ENISA) اطلاع دهند.

این الزام افشای سریع طراحی شده است تا از پنهان‌کاری شرکت‌ها در مورد شکست‌های امنیتی حیاتی در حالی که ماه‌ها صرف توسعه یک پچ می‌کنند، جلوگیری کند و تضمین کند که تهدیدات سیستماتیک فوراً در سطح قاره‌ای ردیابی می‌شوند.[1]

برای اطمینان از اینکه این دستورات صرفاً به عنوان پیشنهاد نادیده گرفته نمی‌شوند، اتحادیه اروپا قانون تاب‌آوری سایبری را به جریمه‌های مالی هنگفت مبتنی بر درآمد مجهز کرده است.

شرکت‌هایی که در نقض جدی الزامات امنیتی اصلی مقصر شناخته شوند، می‌توانند با جریمه‌هایی تا سقف ۱۵ میلیون یورو یا ۲.۵ درصد از کل گردش مالی سالانه جهانی خود، هر کدام که بیشتر باشد، مواجه شوند. این ساختار تنبیهی تضمین می‌کند که حتی بزرگترین شرکت‌های فناوری نیز نمی‌توانند جریمه‌های عدم انطباق را صرفاً به عنوان یک هزینه استاندارد کسب و کار در نظر بگیرند.

برای مهندسان سخت‌افزار و توسعه‌دهندگان نرم‌افزار، انطباق با CRA مستلزم بازنگری اساسی در معماری دستگاه است. میکروکنترلرهایی که قبلاً فقط به قدرت پردازشی کافی برای روشن و خاموش کردن یک رله نیاز داشتند، اکنون باید شامل ویژگی‌های امنیتی در سطح سخت‌افزار مانند بوت امن (Secure Boot)، ذخیره‌سازی رمزگذاری شده و سربار محاسباتی لازم برای پردازش به‌روزرسانی‌های رمزنگاری شده از طریق هوا (OTA) باشند.

این امر یک تغییر عظیم در تأمین قطعات را تحمیل می‌کند، زیرا تولیدکنندگان سیلیکون‌های بسیار ارزان و قدیمی را به نفع تراشه‌های مدرن و تقویت‌شده از نظر امنیتی کنار می‌گذارند.

مسیر رسیدن به این نقطه عطف نظارتی بدون اصطکاک قابل توجه، به ویژه از سوی جامعه نرم‌افزار منبع باز (Open-Source) نبود. پیش‌نویس‌های اولیه این قانون، واکنش شدید توسعه‌دهندگان داوطلب و بنیادهای غیرانتفاعی را برانگیخت، زیرا آن‌ها نگران بودند که مسئولیت قانونی و مالی محصولات تجاری که از کد منبع باز و رایگان آن‌ها استفاده می‌کنند، بر عهده آن‌ها قرار گیرد. چشم‌انداز جریمه‌های هنگفت، تهدید می‌کرد که تأثیر بازدارنده‌ای بر همکاری جهانی نرم‌افزاری ایجاد کند.

در پاسخ به این نگرانی‌ها، متن نهایی CRA شامل معافیت‌های خاصی برای نرم‌افزار منبع باز است که خارج از چارچوب فعالیت‌های تجاری ارائه می‌شود. اگرچه این مصالحه وحشت فوری را کاهش داد، کارشناسان حقوقی خاطرنشان می‌کنند که مرزهای دقیق آنچه «فعالیت تجاری» در زنجیره‌های تأمین نرم‌افزاری مدرن و بسیار یکپارچه محسوب می‌شود، پیچیده باقی مانده و احتمالاً با شروع اجرا نیاز به شفاف‌سازی مداوم خواهد داشت.

در حالی که این قانون رسماً تصویب شده است، صنعت در حال حاضر در حال گذراندن یک مرحله انتقال ۳۶ ماهه است. در پشت صحنه، تولیدکنندگان با عجله در حال ممیزی کدهای خود، مذاکره مجدد در مورد قراردادها با تأمین‌کنندگان قطعات و ساخت زیرساخت‌های ابری لازم برای ارائه به‌روزرسانی‌های تضمین شده به میلیون‌ها دستگاه در طول نیم دهه آینده هستند. این دوره مهلت برای جلوگیری از فروپاشی ناگهانی بازار الکترونیک اروپا حیاتی است.[1]

برای مصرف‌کننده عادی، فوری‌ترین و قابل مشاهده‌ترین تأثیر قانون تاب‌آوری سایبری احتمالاً افزایش جزئی در هزینه خرده‌فروشی اولیه دستگاه‌های خانه هوشمند سطح پایین خواهد بود. از آنجایی که شرکت‌ها اکنون باید هزینه جاری نگهداری سرورهای به‌روزرسانی نرم‌افزار و استخدام مهندسان امنیتی را برای سال‌ها پس از فروش یک محصول در قیمت‌گذاری لحاظ کنند، دوران لامپ وای‌فای ۵ دلاری که قیمت آن به طرز غیرممکنی ارزان بود، احتمالاً به پایان می‌رسد.[2]

با این حال، حامیان مصرف‌کننده استدلال می‌کنند که این هزینه اولیه بیش از آنکه با حذف دستگاه‌های «از کار افتاده» و هزینه‌های پنهان جرایم سایبری جبران شود. مصرف‌کنندگان دیگر مجبور نخواهند بود یک اسپیکر هوشمند، دوربین امنیتی یا ترموستات کاملاً کاربردی را صرفاً به این دلیل که تولیدکننده تصمیم گرفته است سرور احراز هویت را خاموش کند یا برنامه همراه را پس از دو سال رها کند، دور بیندازند.

در نهایت، قانون تاب‌آوری سایبری نشان‌دهنده بلوغ دیرینه اینترنت اشیاء است. با برخورد با گجت‌های خانگی متصل به اینترنت با همان جدیت نظارتی و استانداردهای ایمنی که به طور سنتی برای خودروها یا تجهیزات پزشکی در نظر گرفته شده است، اتحادیه اروپا صنعت فناوری را مجبور می‌کند که ایمنی و قابلیت اطمینان بلندمدت را بر سرعت صرف برای ورود به بازار اولویت دهد.