Top 10 IoT Vulnerabilidades en sus dispositivos

IoT representan el 30% de todos los puntos finales conectados a la red (sin incluir los dispositivos móviles), lo que convierte a muchas empresas en los principales objetivos de los ciberdelincuentes.

IoT proporcionan a los ciberdelincuentes una base para eludir cortafuegos, acceder a redes privadas y robar información confidencial cuando viaja a través de entornos de dispositivos conectados. El riesgo que entrañan estos dispositivos comprometidos también permite que los ciberataques se propaguen a otros sistemas conectados en red.

OWASP Top 10 IoT esboza diez vulnerabilidades que han causado el mayor impacto y daño en el diseño, implementación y manejo de sistemas IoT en los últimos años.

Este blog examina más a fondo los detalles de cada vulnerabilidad, cómo proteger a su empresa, sus empleados y sus clientes de las posibles amenazas y riesgos que conlleva.

Índice 

• Falta de un mecanismo de actualización seguro
• Falta de gestión de dispositivos
• Transferencia y almacenamiento de datos inseguros
• Contraseñas débiles, adivinables o predeterminadas
• Servicios de red inseguros
• Interfaces de ecosistema inseguras
• Uso de componentes inseguros o anticuados
• Protección insuficiente de la intimidad
• Configuración insegura por defecto
• Falta de endurecimiento físico

"Falta de capacidad para actualizar el dispositivo de forma segura. Esto incluye la falta de validación del firmware en el dispositivo, la falta de entrega segura (sin cifrar en tránsito), la falta de mecanismos anti-retroceso y la falta de notificaciones de cambios de seguridad debidos a actualizaciones."

Es necesario considerar cómo se producirán estas actualizaciones y cómo hacerlas más seguras. Por ejemplo, al diseñar un dispositivo como un smartwatch o un sensor, habrá que considerar la posibilidad de incorporar un mecanismo de actualización para que se produzcan las actualizaciones oportunas.

Las empresas suelen tener dificultades para mantener actualizados sus sistemas IoT porque muchos fabricantes de dispositivos rara vez ofrecen parches de seguridad actualizados. Algunos dispositivos pueden haber llegado al final de su vida útil, mientras que otros nunca ofrecieron la posibilidad de actualizarse.

La capacidad del dispositivo para recibir actualizaciones Over-the-Air (OTA) es fundamental para solucionar esta vulnerabilidad. Las actualizaciones OTA permiten actualizar los últimos parches de seguridad de hardware, software, y firmware a través de una red inalámbrica, incluidas las conexiones 2G, 3G, 4G, 5G, Wi-FI y CDMA.

Las actualizaciones periódicas minimizan el número de vectores de ataque en sistemas operativos, firmware y aplicaciones.

Si hay actualizaciones disponibles, es posible que algunos dispositivos no notifiquen al usuario que hay una actualización disponible. Por el contrario, mientras que otros dispositivos pueden instalar las actualizaciones automáticamente, puede ser necesario reiniciar hardware antes de que la actualización surta efecto. Este reinicio deja los sistemas vulnerables y no disponibles mientras se aplica la actualización.

Es esencial comprobar el origen y la integridad de cada actualización y utilizar únicamente aplicaciones legítimas de proveedores legítimos.

Algunos mecanismos de actualización disponibles carecen de garantías de integridad, lo que los hace vulnerables a ataques MITM y de modificación. El dispositivo IoT también puede utilizar métodos de autenticación de máquina a máquina para autenticar un servidor de actualización antes de descargar una nueva imagen de firmware, lo que añade una capa de protección.

Esto garantiza que las actualizaciones del dispositivo procedan únicamente del fabricante del mismo o de otra fuente de confianza.

La implementación de certificados digitales X.509 con actualizaciones OTA garantiza una actualización sin cambios desde la fuente verificada. Al utilizar el arranque seguro, la validación hash criptográficamente segura garantiza la integridad comprobando el parche antes de almacenarlo en el dispositivo.

"Falta de soporte de seguridad en los dispositivos desplegados en producción, incluida la gestión de activos, la gestión de actualizaciones, el desmantelamiento seguro, la supervisión de sistemas y las capacidades de respuesta."

Uno de los riesgos y retos de seguridad más importantes de IoTes la gestión de todos nuestros dispositivos y el cierre del perímetro.

Sin embargo, en las redes seguras se instalan sin autorización dispositivos rogue o falsificaciones de dispositivos maliciosos IoT . Un dispositivo fraudulento sustituye o integra al dispositivo original como miembro de un grupo para recopilar o alterar información sensible. Estos dispositivos rompen el perímetro de la red.

La gestión de dispositivos es como otros sistemas de gestión de activos informáticos: las principales preocupaciones son el aprovisionamiento, el funcionamiento y la actualización de los dispositivos. Estas preocupaciones se aplican a todos los dispositivos, incluidas las pasarelas.

El descubrimiento y la identificación de los dispositivos IoT es un primer paso necesario para la supervisión y protección de estos dispositivos. Las grandes redes IoT , compuestas por muchos dispositivos casi idénticos, son objetivos atractivos para los ciberatacantes.

Sin embargo, resulta costoso y lento recuperarse de las situaciones comprometidas por medios convencionales, sobre todo si distribuyen los dispositivos por una zona geográfica extensa en la que los administradores u operadores de red tendrían que desplazarse hasta los dispositivos para recuperarlos manualmente.

Un inventario anticuado y estático de los activos de IoT controla la caja, pero dista mucho de ser una gestión eficaz de la seguridad. La identificación de dispositivos mediante las características tradicionales de los dispositivos informáticos, como las direcciones IP y los sistemas operativos subyacentes, no funciona para IoT. Sólo mediante la identificación de un dispositivo específico puede una organización planificar con precisión sus requisitos de acceso a la red, las tácticas de despliegue, la optimización de la estrategia de seguridad y los planes operativos.

Una vez determinadas las identidades de los dispositivos, los sistemas de seguridad pueden realizar un seguimiento del comportamiento de los dispositivos en el contexto del flujo de trabajo de una organización, en lugar de verlo como direcciones IP dinámicas de un tipo de dispositivo desconocido.

IoT Las soluciones de seguridad permiten a las organizaciones descubrir e identificar dispositivos IoT en sus redes. A pesar del importante crecimiento del número de activos IoT , la mayoría de las organizaciones desconocen las vulnerabilidades de los dispositivos y no gestionan sus posturas de seguridad ni sus perfiles de riesgo.

El escaneado y perfilado inteligente de dispositivos permite a los equipos de seguridad informática tener visibilidad de sus dispositivos en red IoT , sus perfiles de riesgo y su comportamiento en la red cuando interactúan con otros dispositivos de la red. Las soluciones de seguridad IoT más avanzadas de la actualidad utilizan el aprendizaje automático para identificar dispositivos IoT que nunca antes se habían visto y reconocer patrones de comunicación de red maliciosos antes de que causen daños.

"Falta de cifrado o control de acceso de datos sensibles en cualquier lugar del ecosistema, incluso en reposo, en tránsito o durante el procesamiento".

Las capas de red y comunicación desempeñan un papel central en todas las aplicaciones e implementaciones de IoT , ya que facilitan el intercambio de información entre las distintas capas y generan valor a través de la interacción en tiempo real entre los dispositivos de IoT .

Una de las características clave de las aplicaciones IoT es la transferencia de información entre dispositivos IoT , redes, redes y redes, e infraestructuras de procesamiento de información de alto nivel (por ejemplo, nubes, centros de datos, etc.).

Sin embargo, las posibilidades de comprometer los datos recogidos por un dispositivo inteligente que se desplaza por la red, o que se almacena en una nueva ubicación, son cada vez mayores. Por ejemplo, los ataques MITM aprovechan las malas prácticas de intercambio de claves y permiten a un dispositivo malicioso interceptar toda la información que pasa por el ecosistema.

La mayoría de los equipos informáticos diseñan su red de forma dinámica a bordo de los dispositivos informáticos mediante el protocolo de control de acceso a la red, pero no extienden esta capacidad a los activos de IoT .

A medida que las comunicaciones y el almacenamiento de datos basados en la nube siguen creciendo, más datos fluyen hacia la nube y los ordenadores de IoT . Los clientes esperan que sus datos estén seguros durante el tránsito.

Hoy en día, las mejores prácticas de transferencia y almacenamiento de datos en IoT exigen una criptografía segura de clave pública a través del protocolo DTLS para la comunicación cifrada de dispositivos IoT a través de redes públicas. La criptografía de clave pública es un método de cifrado robusto que se basa en claves de cifrado privadas y públicas en lugar de secretos codificados.

Varias soluciones de seguridad deIoT ofrecen integración con DTLS, PKI y seguridad de próxima generación hardware para gestionar identidades, permisos y perfiles de riesgo de los dispositivos.

La seguridad de la comunicación de datos en movimiento se consigue mediante un modelo de cadena de confianza utilizado en la PKI típica. Los certificados PKI tienen el cifrado y la autenticación más comunes y son los más utilizados en el protocolo de Internet HTTPS.

La autoridad de certificación que certifique la validación completa de la identidad de la parte certificada emitirá cada certificado digital. La tokenización de datos puede proteger datos sensibles cifrados que sólo los dispositivos autorizados pueden descifrar.

"Uso de credenciales fácilmente forzadas por fuerza bruta, públicamente disponibles o inalterables, incluidas puertas traseras en firmware o cliente software que conceden acceso no autorizado a los sistemas desplegados."

Una vulnerabilidad común y generalizada en los sistemas IoT en la actualidad se deriva de las contraseñas por defecto débiles o no modificadas. Una mala gestión de las credenciales de los dispositivos hace que los dispositivos IoT corran un mayor riesgo de convertirse en blanco de un ataque de fuerza bruta.

Las prácticas de gestión incoherentes permiten ataques orientados a las contraseñas. Por ejemplo, las contraseñas de los empleados pueden no coincidir con las políticas de gestión de contraseñas más avanzadas de TI.

En 2018, se aprobó la ley SB-327 IoT de California para prohibir el uso de certificados predeterminados. Esta ley pretende por fin solucionar el uso de vulnerabilidades de contraseñas débiles.

Hasta que los fabricantes de IoT no sean plenamente conscientes de la necesidad de estos cambios, la seguridad de los equipos de IoTrecae en los usuarios, los proveedores de servicios de IoT y los servicios informáticos.

El paso inmediato para asegurar estos sistemas es que los administradores de TI establezcan nuevas políticas de inicio de sesión que exijan a los usuarios y administradores cambiar las contraseñas predeterminadas de los dispositivos. Esta política implica añadir capas de combinaciones de caracteres especiales y complejos antes de volver a desplegarlas en entornos activos.

"Los servicios de red innecesarios o inseguros que se ejecutan en los dispositivos, en particular los que están expuestos a Internet, ponen en peligro la disponibilidad de la confidencialidad, integridad / autenticidad de la información, y abren el riesgo de control remoto no autorizado de los dispositivos IoT ."

IoT están integrados en la infraestructura de red y pueden transmitir, recuperar e interpretar datos de dispositivos inteligentes conectados, como detectores de humo, sensores de proximidad o dispositivos ópticos. Los mecanismos de comunicación del sistema variarán, pero pueden incluir protocolos de red que van desde BLE y ZigBee hasta WiFi, datos celulares y Ethernet.

La capacidad de las tecnologías inteligentes para tomar decisiones sin interferencia humana las hace únicas. Este nivel de autonomía de los dispositivos plantea el reto de garantizar una movilidad y una interoperabilidad a la altura del consumidor sin comprometer la seguridad de los dispositivos de IoT .

Para funcionar correctamente, cualquier servicio conectado a Internet requiere la apertura de puertos específicos. Dejar abiertos puertos y servicios que proporcionan acceso a dispositivos u otras máquinas es un error de seguridad típico. Unestudio conjunto de BitSight y Advisen realizado en mostró que el 60% de las organizaciones vulneradas tenían diez o más puertos vulnerables abiertos.

Las vulnerabilidades de servicio explotadas en los dispositivos IoT pueden permitir servicios de malware sigilosos como virus, spyware, ransomware y troyanos. Los ciberdelincuentes pueden utilizar estos servicios de puerto abierto para acceder a datos confidenciales, escuchar comunicaciones privadas o ejecutar ataques de denegación de servicio (DoS) y de intermediario (MITM).

Sin embargo, se carece de opciones de seguridad automatizadas para abordar esta vulnerabilidad de la capa de red a pesar de las graves amenazas a la seguridad. Con más de 65.000 puertos TCP y un número correspondiente de puertos UDP, no existe una forma sencilla de abrir y cerrar puertos.

El mantenimiento de puertos requiere un administrador que sepa qué puertos deben permanecer abiertos para conectar servicios esenciales a la red. Si el puerto está abierto y no está conectado a ningún servicio de red crucial, debe cerrarse inmediatamente.

Una red pequeña con relativamente pocas direcciones IP no debería tardar mucho en cerrar los puertos vulnerables. Sin embargo, la supervisión y gestión de los puertos abiertos puede llevar mucho tiempo en redes empresariales con una adición constante de nuevos dispositivos.

Los administradores de sistemas deben escanear y cerrar los puertos y servicios abiertos innecesarios que intercambian información en sus redes.

"Interfaces web, API backend, nube o móviles inseguras en el ecosistema fuera del dispositivo que permiten comprometer el dispositivo o sus componentes relacionados. Los problemas comunes incluyen la falta de autenticación/autorización, la falta de cifrado o un cifrado débil, y la falta de filtrado de entrada y salida."

Muchas empresas suelen pasar por alto las políticas y procedimientos de seguridad del sistema IoT cuando se conectan a las API backend. Es crucial comprender todos los dispositivos y sensores del ecosistema y todos los dispositivos que interactúan.

IoT transmiten y reciben grandes cantidades de información y aseguran la transferencia de datos entre dispositivos/sensores, dispositivos de pasarela y bases de datos back-end mediante API basadas en REST.

Aunque las API ofrecen una potente extensibilidad, estas mismas API proporcionan una nueva entrada para que un atacante se conecte y acceda a los datos de sus dispositivos IoT . Los piratas informáticos pueden penetrar en la interfaz web de un router o dispositivo si no están correctamente protegidos. La autenticación, el cifrado y la infraestructura de clave pública(PKI) ayudan a garantizar que las API sólo se comunican con otros dispositivos y aplicaciones validados previamente.

Otro problema común son los routers conectados a interfaces web remotas, una función conocida como gestión remota o telegestión. Los administradores pueden probar la disponibilidad de un router para la gestión remota comprobando los puertos abiertos 80 (HTTP) y 443 (HTTPS). Esto les permite desactivar esta función de forma segura.

La red que conecta los dispositivos de IoT con los sistemas back-end también debe ser segura.

La seguridad de la red es más difícil en las aplicaciones de IoT debido a la gran variedad de normas, dispositivos y protocolos de comunicación. IoT la seguridad de la red requiere mucha atención durante el diseño y la implantación.

Los desarrolladores deben diseñar aplicaciones IoT más seguras sin dar por sentado que los propios dispositivos están protegidos. Los cortafuegos, antivirus y sistemas de detección y prevención de intrusiones deben proporcionar una red IoT segura.

IoT Los dispositivos deben autenticarse entre sí para verificar la identidad del dispositivo al que pretenden conectarse. Si la máquina lleva a cabo la validación de la identidad en varios dispositivos, puede resultar beneficiosa una autoridad de certificación central.

También es esencial que los administradores bien formados actualicen periódicamente los paquetes y detecten y eliminen los servicios y paquetes obsoletos.

"Uso de componentes/bibliotecas software obsoletos o inseguros que podrían permitir comprometer el dispositivo. Esto incluye la personalización insegura de plataformas de sistemas operativos, y el uso de componentes software o hardware de terceros procedentes de una cadena de suministro comprometida."

Los problemas potenciales pueden surgir de las vulnerabilidades de las dependencias de software o de los sistemas heredados.

Una vulnerabilidad importante que afecta a millones de dispositivos inteligentes IoT es el uso de componentes, bibliotecas y marcos de terceros obsoletos o inseguros software, utilizados por los fabricantes para construir dispositivos IoT . Este software es difícil de rastrear y es vulnerable a ciberataques si no se conoce o gestiona correctamente.

Los sistemas heredados que utilizan los protocolos de actualización tradicionales de software para los dispositivos IoT imponen a los usuarios la carga de localizar y parchear los agujeros de seguridad. Estos protocolos se ejecutan en dispositivos cortafuegos sin interactuar con otros sistemas o dispositivos. Como resultado, los sistemas de ciberseguridad ven los dispositivos IoT como puntos finales desconocidos; por lo tanto, no conocen su tipo de dispositivo específico, perfil de riesgo y comportamiento esperado.

Esto difiere de los sistemas tradicionales de ciberseguridad basados en la red, que tienen visibilidad de todos los puntos finales conectados a la red pero no pueden escalar lo suficiente como para identificar, rastrear y proteger los entornos empresariales de IoT .

Se necesitan prácticas de gestión de riesgos más sólidas para que los activos de IoT eviten la ejecución de estas distintas amenazas. PKI y los certificados digitales son más críticos que nunca para asegurar las conexiones tanto dentro como fuera del cortafuegos corporativo. Cada persona, máquina y aplicación debe tener una identidad que pueda verificarse y en la que se pueda confiar.

A medida que las modernas infraestructuras de seguridad basadas en la nube sustituyen a los perímetros de red tradicionales, es crucial estar al tanto de cualquier firmware obsoleto o software en sus sistemas de seguridad heredados.

"Información personal del usuario almacenada en el dispositivo o en el ecosistema que se utiliza de forma insegura, indebida o sin permiso".

Cuando una persona solicita la supresión de sus datos personales, el proveedor debe asegurarse de que todos los terceros los suprimen.

A diferencia de los sitios web, muchos dispositivos IoT no ofrecen un acceso fácil para consultar las políticas de privacidad. A menudo se incluyen aparte del manual del dispositivo. A veces sólo están disponibles después de abrir e instalar el sistema, o puede haber un aviso en algún lugar de la documentación que dirija al usuario a visitar el sitio web del fabricante.

Debido a preocupaciones legítimas por causar daños, como distraer a los conductores, los dispositivos de IoT no tienen una forma excelente de advertir a la gente de que están recopilando datos. Peor aún, las declaraciones de política de privacidad de algunos proveedores de servicios de IoT son difíciles de identificar las capacidades del sistema y poco claras sobre la recopilación de datos.

IoT también son vulnerables a las vulnerabilidades de fuga de datos. Cuando los investigadores analizaron 230 aplicaciones de SmartThings, descubrieron que 138 de ellas exponían al menos un dato sensible a través de Internet o de servicios de mensajería. Los autores también mostraron que la mitad de las aplicaciones analizadas filtran al menos tres fuentes de datos sensibles diferentes, como información del dispositivo, estado del dispositivo, entrada del usuario, Internet o servicios de mensajería.

"Los dispositivos o sistemas se envían con configuraciones por defecto inseguras o carecen de la capacidad de hacer que el sistema sea más seguro restringiendo a los operadores la posibilidad de modificar las configuraciones."

La incorporación de dispositivos se produce cuando se añade un nuevo dispositivo al ecosistema restringido de IoT . Las escuchas pueden tener lugar durante la etapa de incorporación de un nuevo dispositivo, en la que el pirata informático puede interceptar claves secretas que se utilizan para establecer comunicaciones dentro de una red restringida.

Los hackers pueden empezar desde la capa más profunda del dispositivo IoT , la placa base física. El puerto de depuración hardware o puerto de comunicación, por ejemplo, JTAG UART, I2C, y SPI, se puede encontrar allí. A partir de ahí, pueden buscar contraseñas codificadas, puertas traseras ocultas y vulnerabilidades en el firmware volcado.

Para configurar las aplicaciones en los dispositivos, revise los permisos que requieren y restrinja el acceso a estas apps. Deben anotarse los ajustes, las credenciales, las versiones de firmware y los parches recientes. Este paso puede ayudar a evaluar qué medidas de seguridad deben tomar los usuarios e identificar qué dispositivos deben sustituirse o actualizarse.

Habilitar un cortafuegos en el router, desactivar WPS, activar el protocolo de seguridad WPA2 y utilizar una contraseña Wi-Fi segura son algunas de estas prácticas. Ahora también es posible cifrar todo el tráfico a través de tu ISP instalando una red privada virtual (VPN) en tu router.

"Falta de medidas de endurecimiento físico, lo que permite a posibles atacantes obtener información sensible que puede ayudar en un futuro ataque remoto o tomar el control local del dispositivo."

Debido a la ubicuidad de la informática IoT , los dispositivos no suelen guardarse en un lugar seguro, sino que deben exponerse sobre el terreno para realizar sus tareas. En ausencia de vigilancia, esto podría permitir fácilmente a agentes malintencionados manipular los dispositivos o acceder a ellos.

En particular, los dispositivos IoT son vulnerables porque carecen de la seguridad integrada necesaria para contrarrestar las amenazas. A diferencia de nuestros teléfonos, portátiles y ordenadores personales, muchos dispositivos de IoT funcionan sin vigilancia, lo que facilita que los delincuentes los manipulen y pasen desapercibidos.

Los protocolos de seguridad protegen los datos mientras se transmiten a través de las redes, pero no los protegen mientras están almacenados en el dispositivo. Las violaciones masivas de datos se produjeron a partir de datos recuperados de equipos robados o desechados.

La falta de cifrado permite a los hackers modificar el sistema de archivos de cada dispositivo. Los ingenieros deben tener cualquier dato sensible almacenado en el dispositivo.

Existe una importante vulnerabilidad en hardware , tanto en sistemas de control de consumo como industriales, con acceso sin restricciones al transmisor receptor asíncrono universal (UART), lo que permite modificar las secuencias de arranque del dispositivo. Al modificar las secuencias de arranque, los piratas informáticos pueden obtener acceso de bajo nivel al dispositivo y extraer información de inicio de sesión.

Un solo atacante puede impedir que los elementos IT y OT del sistema interactúen entre sí. La interferencia y manipulación de la capa física podría impedir que los sensores detectaran riesgos como incendios, inundaciones y movimientos inesperados.

Asegúrese de que hardware está a salvo de manipulaciones, accesos físicos, manipulaciones y sabotajes.

Una forma de lograr una seguridad sólida en IoT hardware es almacenar las claves en módulos de plataforma de confianza (TPM) y entornos de ejecución de confianza (TEE). TPM es esencialmente un chip instalado en un dispositivo IoT cerca de la CPU. Se utiliza principalmente para operaciones criptográficas que crean una clave de seguridad, la guardan, almacenan datos y otras operaciones relacionadas. Pueden garantizar la integridad de la plataforma de cifrado de discos y protección de contraseñas.

Asegúrese de que conoce bien cada una de estas vulnerabilidades de IoT . Puede que disponga de las herramientas de seguridad adecuadas para supervisar su entorno o que necesite buscar una forma mejor de proteger sus dispositivos IoT .

La detección precoz de intrusiones siempre ha sido una de las mejores formas de evitar los peores incidentes de seguridad, lo que sigue siendo cierto en la era de IoT .