Tendencias y predicciones para PKI y IoT en 2025

In last year’s trends and predictions blog, we predicted an increase in IoT devices. Sure enough, 2024 saw a large increase, with a groundbreaking 18 billion. For 2025, we predict that this will continue to be an upward trend.

Sin embargo, este aumento conllevará una ampliación de la superficie de ataque, un mayor número de dispositivos IoT con características de seguridad inadecuadas (debido a la prisa de los fabricantes por satisfacer la demanda), más ciberataques verticales y un mayor compromiso de la identidad de las máquinas.

Esas son las consecuencias obvias. ¿Y las menos obvias? ¿Como las tendencias que vendrán a raíz de esto? ¿Y las posibles soluciones de seguridad?

He aquí cinco de nuestras predicciones más candentes para PKI y IoT en 2025.

# 1 PQC en IoT

Predicción

PQC will be adopted more in high-value (industrial) IoT devices than in high-volume (consumer) ones. 

Durante los últimos más de 30 años, RSA y ECC han sido los principales algoritmos de cifrado asimétrico, pero las capacidades de descifrado de la computación cuántica han llevado a la creación de cuatro nuevos algoritmos. En la era de la PQC, el cifrado se basará en múltiples algoritmos, permitiendo que uno proteja cuando el otro es descifrado.

Por desgracia, esta estructura de cifrado sólo puede realizarse en dispositivos cripto-ágiles, algo que sólo tienen los dispositivos de alto valor de IoT . Además, los algoritmos PQC requieren una potencia de procesamiento considerable, lo que los hace incompatibles con dispositivos de consumo como cámaras y timbres, que tienen chips más pequeños y recursos limitados.

Hasta que se desarrollen algoritmos de PQC más pequeños, es de esperar verlos sobre todo en dispositivos de alto valor (industrial) IoT como turbinas, satélites y dispositivos militares IoT .

Seguridad para llevar

Incluso sin algoritmos PQC adecuados para dispositivos IoT más pequeños, hay varias formas de mantener sus dispositivos IoT de consumo resistentes a la cuántica.

Una forma de hacerlo es mediante la seguridad por capas. En primer lugar, mantenga el cifrado habitual de los dispositivos IoT de los consumidores y, a continuación, considere la posibilidad de incrustar el cifrado PQC en capas de seguridad, como la capa de pasarela, la capa de aplicación, la capa de servidor, etc., que dispongan de suficientes recursos y potencia de procesamiento. De este modo, sus dispositivos IoT estarán rodeados de una infraestructura que los protegerá de los ataques cuánticos.

 - Ellen Boehm, SVP IoT Estrategia y Operaciones en Keyfactor

# 2 Gestión de identidades de máquinas y PKI

Predicción

Critical sectors will increasingly rely on PKI to manage machine identities due to the expanding IoT attack surface. 

Al igual que en 2024, el número de identidades de máquinas seguirá creciendo en 2025, sobre todo en sectores críticos como el financiero y el energético, impulsado por el auge de los dispositivos conectados IoT .

Dados los datos y servicios sensibles que manejan estos sectores, las identidades de sus máquinas deben estar protegidas con los más altos estándares. ¿El reto? Muchos dispositivos IoT de estos sectores carecen de compatibilidad con protocolos avanzados para automatizar la gestión de identidades.

Seguridad para llevar

To address this, implement “secure by design” practices. Embedding security into the device’s architecture ensures support for secure machine identities. These “secure by design” features include secure booting, encrypted communications, identity verification protocols, etc. 

Además, puede utilizar herramientas PKI de firma de código para garantizar que sólo se ejecuta software fiable y autenticado en sus dispositivos IoT , salvaguardando aún más las identidades de las máquinas y evitando manipulaciones no autorizadas.

SignServer is an example of a PKI tool that you can use for code signing. It is a flexible and secure digital signing solution that ensures that signing is effortless for developers and easy to manage for security. It allows teams to digitally sign any code from anywhere while ensuring that sensitive code-signing keys are protected. That way, security teams can centralize signing tools and workflows, and developers and DevOps engineers can focus on code instead of handling secrets.

 – Tomas Gustavsson, Director de PKI en Keyfactor

# 3 IoT Higiene y conformidad

Predicción

IoT los fabricantes europeos darán prioridad a la higiene del entorno de los dispositivos IoT , estableciendo una norma que influirá en los fabricantes de todo el mundo.

Europe’s Cyber Resilience ACT (CRA) took effect in the second half of 2024, and although its compliance won’t be required until 2027, chip manufacturers and retailers are already making moves to follow the mandatory compliance requirements.

El objetivo principal de la CRA es garantizar que sólo lleguen al mercado productos seguros, lo que ha llevado a los fabricantes de dispositivos de todos los sectores, incluidos el médico y el industrial, a adoptar normas de seguridad más estrictas.

Similarly, Embedded World North America’s first U.S. event spotlighted strategies for ensuring major chip vendors like STMicro, NXP, Infineon, and Silicon Labs secure IoT devices from the hardware level.

Seguridad para llevar

IoT los desarrolladores deberán conocer en profundidad el código y las bibliotecas utilizados en sus dispositivos. Esto se debe a que pueden existir vulnerabilidades de seguridad en los componentes de software incluidos en un producto IoT , que más tarde podrían convertirse en potenciales puntos de entrada para los atacantes.

Además, se les exigirá que mantengan registros detallados de todo el código, incluidos los componentes de terceros y de open-source , para garantizar la trazabilidad e identificar y abordar de forma proactiva las vulnerabilidades que podrían explotar los atacantes.

Además, los fabricantes de chips extenderán la "raíz de confianza" de software a hardware, utilizando certificados basados en PKI para asegurar los chips antes de su lanzamiento al mercado. Esto garantiza que los componentes subcontratados de hardware estén protegidos contra accesos no autorizados y ataques verticales.

 - Ellen Boehm, SVP IoT Estrategia y Operaciones en Keyfactor

# 4 Objetivos de ataque de gran volumen y valor

Predicción

Los ataques DDoS dirigidos a entornos ricos en IoT, incluidas las redes municipales y energéticas, serán cada vez más sofisticados.

Los dispositivos de gran volumen (de consumo) IoT son los principales objetivos de los atacantes DDoS. Cuanto mayor sea el número de dispositivos que un atacante pueda controlar, más devastadores serán los efectos de su ataque. Por ejemplo, comprometer dispositivos domésticos inteligentes como cámaras, timbres o routers Wi-Fi puede proporcionar acceso a miles o incluso millones de dispositivos que podrían aprovecharse en un ataque descendente.

IoT Los dispositivos utilizados en sectores críticos como el agua, la electricidad y el transporte también son susceptibles de sufrir ataques DoS directos. El impacto de estos ataques en dispositivos críticos puede ser grave, ya que controlan sistemas esenciales fundamentales para la vida cotidiana.

También preocupa el impacto de los ataques DDoS en la infraestructura inalámbrica. Ahora bien, esto va mucho más allá de las propias torres. Hay un montón de hardware de apoyo y otros componentes de red necesarios para que estos sistemas funcionen con eficacia. La complejidad y la escala de esta infraestructura la convierten en un objetivo potencial para los atacantes. Si se ve comprometida, podría tener un impacto significativo. La red mundial de operadores inalámbricos añade otra capa de complejidad y riesgo, con vulnerabilidades potenciales que pueden abarcar diferentes regiones y proveedores.

 Security Takeaway

Para reducir el riesgo de ataques DDoS de gran volumen, aplique la segmentación de red para aislar los dispositivos IoT de los sistemas críticos, limitando así el impacto de los atacantes. Combine esta estrategia con herramientas de supervisión específicas de IoT para detectar patrones de tráfico y comportamientos inusuales, lo que permitirá detectar y mitigar los ataques antes de que provoquen una interrupción generalizada.

 – Chris Hickman, Chief Security Officer at Keyfactor

# 5 Automatización

Predicción

IoT la automatización de la seguridad avanzará para gestionar la creciente diversidad de entornos IoT , especialmente en configuraciones segmentadas y nativas de la nube.

Los procesos manuales no pueden seguir el ritmo de la escala de dispositivos IoT , desde la gestión de certificados hasta la detección de anomalías. Una empresa del sector crítico que gestione manualmente millones de dispositivos IoT corre el riesgo de perderse actualizaciones clave, como un parche de día cero o la renovación de un certificado, lo que podría tener consecuencias catastróficas.

IoT la automatización de la seguridad avanzará para gestionar la creciente diversidad de entornos IoT , especialmente en configuraciones segmentadas y nativas de la nube.

The solution lies in automating processes using PKI SaaS tools.

Seguridad para llevar

Invest in automated security solutions that support real-time management of IoT devices. An example is the EJBCA PKI for IoT tool. It allows you to secure the machine identity of your IoT devices either for manufacturing, for your customers, or for devices you use for your company’s operation. You can deploy this tool as a turnkey software appliance, hardware appliance, in the cloud, as a service (SaaS PKI), or in a hybrid model.

Una vez que su plan de automatización esté en marcha, puede empezar a desplegar algoritmos PQC y otras buenas prácticas de seguridad necesarias para garantizar una identidad de máquina segura.

 - Ted Shorter, Director de Tecnología de Keyfactor

Conclusión

A medida que los dispositivos de IoT siguen creciendo en número y complejidad, la seguridad no es negociable. Los dispositivos de alto valor liderarán la adopción de protecciones avanzadas como el PQC, mientras la normativa mundial empuja a los fabricantes a dar prioridad a la seguridad desde el principio.

Las soluciones de automatización y PKI serán esenciales para salvaguardar las identidades de las máquinas y garantizar la resistencia a medida que más dispositivos se conecten a las redes corporativas y a Internet.