Comprendiendo la ciberseguridad en IoT: El poder de los pequeños pasos

In today’s digital world, the Internet of Things (IoT) is everywhere. From smart watches and televisions to connected vehicles and medical devices, it’s hard to find an aspect of our lives that’s not impacted by the IoT.

Y a medida que el IoT se entrelaza cada vez más en nuestro día a día, la seguridad adquiere aún mayor importancia. Necesitamos confiar en estos dispositivos, y el pilar fundamental para la confianza en el mundo digital es la ciberseguridad.

Por supuesto, todos sabemos que encontrar soluciones escalables para fortalecer la ciberseguridad y establecer la confianza digital es bastante complejo. Por ello, adoptar pequeños pasos que dividan el trabajo en partes más manejables es el mejor enfoque para construir una solución escalable de ciberseguridad en IoT.

This was the premise behind a recent Keyfactor webinar on understanding cybersecurity in IoT. Here are the top highlights from the discussion.

Establecimiento de identidades digitales como base para la seguridad en IoT

Las identidades son la base de la seguridad del IoT. Sustentan todo, desde los certificados digitales que ayudan a establecer una conexión TLS hasta la autenticación de dispositivos.

Pero, una vez más, la aplicación y el diseño de una infraestructura de identidad digital son complejos. Esta complejidad a menudo lleva a las organizaciones a tomar atajos o, sin saberlo, a implementar soluciones de forma incorrecta. Por ejemplo, es demasiado común encontrar organizaciones que utilizan certificados TLS autofirmados y no gestionados. El hecho de que estos certificados sean tanto autofirmados (lo que significa que no hay una autoridad de confianza detrás de ellos) como no gestionados (lo que implica que no hay caducidad ni revocación tras los problemas) los hace inherentemente inseguros.

Considere cómo funcionan las identidades para las personas en el mundo real: Es probable que tenga un pasaporte, una licencia de conducir y una tarjeta de seguridad social que verifican su identidad para diferentes propósitos (viajar, conducir, acceso a servicios, etc.). Cada uno de estos documentos es emitido por un organismo gubernamental de confianza y, en el caso de un pasaporte y una licencia de conducir, tienen fechas de caducidad. A su vez, varios grupos pueden utilizar estas formas de identificación para confirmar que usted es quien dice ser y que no hay órdenes de arresto pendientes en su contra.

Las identidades de dispositivos funcionan de manera similar, con métodos de identificación como direcciones MAC, tarjetas SIM y certificados, todos en uso hoy en día. El documento de identidad más robusto para un dispositivo es un certificado de corta duración emitido por una infraestructura de clave pública (PKI) bien controlada y alojada. Estos certificados son la forma más sólida de identificación porque proporcionan el mayor nivel de detalle, requieren actualizaciones periódicas y se remontan a múltiples raíces de confianza. Además, permiten la autenticación mutua, lo que significa que cuando un dispositivo intenta conectarse a un servidor, no solo el servidor puede confirmar la identidad del dispositivo, sino que el dispositivo también puede confirmar que se está conectando al servidor apropiado.

Construyendo sobre la base de la identidad digital con un entorno de confianza cero

Si bien las identidades de dispositivos robustas y su gestión sientan las bases para una ciberseguridad escalable en el IoT, son solo el principio. La siguiente capa de seguridad proviene del establecimiento de un entorno de confianza cero, o uno en el que no se confía en ningún dispositivo por defecto y solo se concede acceso con los privilegios mínimos requeridos después de comprobaciones de identidad regulares y un monitoreo constante.

Este tipo de enfoque de confianza cero contrasta con el enfoque de seguridad perimetral más tradicional, en el que los dispositivos dentro de un perímetro definido y protegido por un firewall son generalmente de confianza. Sin embargo, en un mundo impulsado por el IoT, este enfoque perimetral ya no proporciona suficiente seguridad.

Un enfoque de confianza cero proporciona una ciberseguridad más estricta al:

• Centrarse en la autenticación de dispositivos basada en identidades, en lugar de la ubicación.
• Comprobar (y volver a comprobar) regularmente las identidades para autenticar de forma continua, en lugar de confiar a largo plazo basándose en una verificación inicial.

Sin embargo, es importante señalar que ciertos dispositivos IoT podrían no tener el ancho de banda suficiente para manejar comprobaciones de identidad frecuentes. En estos casos, aún es posible mantener un enfoque de confianza cero con conexiones TLS, que ofrecen una opción a más largo plazo manteniendo un nivel de seguridad superior.

Además, los servidores en un entorno de confianza cero suelen ser capaces de filtrar las solicitudes de conexión de dispositivos no autorizados, lo que puede ayudar a resistir ciertos ataques como los DDoS. También pueden detectar comportamientos anómalos de los dispositivos y tomar medidas inmediatas para desconectar o poner en cuarentena el dispositivo.

Y, por supuesto, es fundamental que el enfoque de confianza cero funcione en ambos sentidos, ya que las aplicaciones IoT deben tener puntos de conexión TLS que solo concedan permiso o acceso para cargar ciertos datos desde una base de datos limitada. También deben verificar todas las actualizaciones de Software en busca de una firma de código para asegurar que provienen de la fuente correcta, enviar periódicamente informes sobre su estado e incluir capacidades de administración remota como medida de seguridad.

Creando escalabilidad a largo plazo con criptoagilidad

Finally, building IoT devices and establishing cybersecurity with cryptoagility in mind is essential for long-term scalability. This has recently become a big topic of discussion following Google’s announcement about shutting down its core IoT service – a move that has many companies that built around the service scrambling to plan for established devices.

En general, esta situación pone de manifiesto que diseñar una arquitectura en torno a un único proveedor sin el uso de estándares abiertos, especialmente uno para el que la criptografía no es fundamental para su existencia, puede ser arriesgado. Los programas más estables, en cambio, se basarán en estándares abiertos (que muchos proveedores siguen), porque el uso de estos protocolos estandarizados facilita mucho el cambio de proveedor cuando sea necesario.

El uso de estándares abiertos no solo permite una mayor independencia del proveedor (tanto por elección como por necesidad, en el caso de que los proveedores descontinúen sus ofertas como lo está haciendo Google), sino que también favorece una mayor criptoagilidad a medida que los algoritmos evolucionan y se fortalecen con el tiempo.

Mantener una alta criptoagilidad para poder evolucionar junto con los algoritmos y actualizar los certificados utilizados en los dispositivos en consecuencia es extremadamente importante para construir una ciberseguridad para su programa IoT que pueda resistir el paso del tiempo. Y dado que algunos dispositivos permanecen en el campo durante décadas, esta longevidad es esencial.

Primeros pasos con la ciberseguridad en el IoT

Empezar con la ciberseguridad en el IoT puede ser desalentador: Es un tema complejo que requiere una atención seria y continua. Afortunadamente, dividir lo que hay que hacer en pasos más pequeños puede ayudar a que sea más fácil alcanzar el nivel de seguridad necesario.

For more on what’s involved, click here to watch the full webinar on understanding cybersecurity in IoT.