Ask HN: Tôi là ủy viên FCC đề xuất quy định về cập nhật bảo mật IoT

• Ủy viên FCC Nathan Simington muốn xử lý vấn đề các lỗ hổng nghiêm trọng trên thiết bị IoT là chuyện phổ biến, nhà sản xuất phát hành bản cập nhật chậm hoặc hoàn toàn không cung cấp, và thời gian hỗ trợ không được truyền đạt rõ ràng vào thời điểm bán hàng hoặc khi kết thúc hỗ trợ
• FCC đã đưa ra đề xuất xây dựng quy định cho chương trình dán nhãn an ninh mạng dành cho thiết bị kết nối, và muốn đưa vào tiêu chí công bố sản phẩm sẽ nhận cập nhật bảo mật trong bao lâu
• Các nhà sản xuất đang phản đối những cam kết liên quan đến cập nhật bảo mật, vì vậy nếu gửi ý kiến cho quy trình của FCC trước 0 giờ ET ngày 25/9/2023 thì FCC sẽ phải xem xét các lập luận đó

[GN⁺]

Ý kiến trên Hacker News

• Một ủy viên FCC đang đề xuất quy định về cập nhật bảo mật cho IoT và trao đổi với cộng đồng Hacker News để thảo luận cũng như nhận phản hồi.
• FCC đang nhận ý kiến chính thức về đề xuất này trực tuyến đến hết ngày 25 tháng 9. Mọi ý kiến sẽ được phản ánh vào quy định cuối cùng.
• Cuộc thảo luận bao gồm nhiều góc nhìn khác nhau, trong đó có quan điểm của các kỹ sư firmware; họ đặt câu hỏi về định nghĩa của lỗi bảo mật, rủi ro an ninh tiềm ẩn của cập nhật từ xa và trách nhiệm bồi thường thiệt hại của nhà sản xuất khi thiết bị dễ bị tấn công bị khai thác.
• Một số ý kiến nhấn mạnh sự gia tăng của tội phạm mạng liên quan đến thiết bị IoT, đặc biệt tại các khu vực xung đột, cũng như khả năng những thiết bị này bị dùng cho giám sát trái phép hoặc điều phối tấn công.
• Có những lo ngại về các thách thức mà nhà sản xuất, đặc biệt là các nhóm nhỏ, phải đối mặt trong việc xác định lỗ hổng và duy trì bảo mật, cũng như điều gì xảy ra nếu họ đóng cửa doanh nghiệp hoặc website của họ bị xâm phạm.
• Có đề xuất rằng thiết bị IoT phải có thể hoạt động mà không cần liên lạc với dịch vụ trung tâm, và nên có quy định yêu cầu mức chức năng tối thiểu trong môi trường tách biệt hoặc tự quản lý để tránh các rủi ro bảo mật cố hữu.
• Có ý kiến yêu cầu nhà sản xuất phải hỗ trợ thiết bị của mình trong ít nhất một khoảng thời gian tối thiểu và khi kết thúc hỗ trợ thì phải công khai toàn bộ mã nguồn, để người tiêu dùng có thể kiểm soát firmware và ngăn thiết bị trở nên vô dụng.
• Có những lo ngại về khả năng thực thi của quy định được đề xuất, đặc biệt với các nhà sản xuất ở nước ngoài, cùng đề xuất rằng các nền tảng IoT lớn nên kiểm toán thiết bị và cấm những thiết bị không đáp ứng tiêu chuẩn.