Ask HN: Ich bin FCC-Kommissar und schlage Regulierung für IoT-Sicherheitsupdates vor

• FCC-Kommissar Nathan Simington möchte das Problem angehen, dass schwerwiegende Schwachstellen bei IoT-Geräten häufig sind, Hersteller Updates verspätet oder gar nicht bereitstellen und die Supportdauer beim Verkauf oder am Ende der Laufzeit nicht klar kommuniziert wird
• Die FCC hat einen Regelungsvorschlag für ein Cybersecurity-Labeling-Programm für vernetzte Geräte vorgelegt und möchte Kriterien aufnehmen, die offenlegen, wie lange ein Produkt Sicherheitsupdates erhalten wird
• Da Hersteller Zusagen zu Sicherheitsupdates ablehnen, muss die FCC diese Argumente prüfen, wenn bis zum 25. September 2023 um Mitternacht ET Stellungnahmen im FCC-Verfahren eingereicht werden

[GN⁺]

Hacker-News-Diskussion

• Ein FCC-Kommissar schlägt eine Regulierung für Sicherheitsupdates bei IoT-Geräten vor und tritt mit der Hacker-News-Community in den Austausch, um die Vorschläge zu diskutieren und Feedback einzuholen.
• Die FCC nimmt bis zum 25. September online offizielle Stellungnahmen zu diesem Vorschlag entgegen. Alle eingereichten Kommentare sollen in die endgültige Regelung einfließen.
• In der Diskussion kommen verschiedene Perspektiven zur Sprache, darunter die von Firmware-Ingenieuren, die Fragen zur Definition von Sicherheitslücken, zu den potenziellen Sicherheitsrisiken von Remote-Updates und zur Haftung von Herstellern für Schäden durch Angriffe auf verwundbare Geräte aufwerfen.
• Einige Beiträge heben die Zunahme von Cyberkriminalität im Zusammenhang mit IoT-Geräten hervor, insbesondere in Konfliktgebieten, sowie die Möglichkeit, dass solche Geräte für illegale Überwachung oder zur Koordination von Angriffen verwendet werden.
• Es gibt Bedenken hinsichtlich der Herausforderungen, vor denen Hersteller – insbesondere kleine Teams – bei der Identifizierung von Schwachstellen und der Aufrechterhaltung der Sicherheit stehen, sowie für den Fall, dass sie ihr Geschäft aufgeben oder ihre Website kompromittiert wird.
• Vorgeschlagen wird, dass IoT-Geräte auch ohne Verbindung zu zentralen Diensten funktionsfähig bleiben sollten und dass Regeln eine minimale Funktionalität in isolierten oder selbstverwalteten Umgebungen verlangen sollten, um inhärente Sicherheitsrisiken zu vermeiden.
• Gefordert wird außerdem, dass Hersteller ihre Geräte mindestens für einen festgelegten Zeitraum unterstützen und nach dem Ende des Supports den vollständigen Quellcode offenlegen, damit Verbraucher die Firmware kontrollieren können und Geräte nicht unbrauchbar werden.
• Es gibt Bedenken hinsichtlich der Durchsetzbarkeit der vorgeschlagenen Regulierung, insbesondere gegenüber Herstellern im Ausland, sowie den Vorschlag, dass mächtige IoT-Plattformen Geräte auditieren und solche sperren sollten, die die Standards nicht erfüllen.