El mundo de los dispositivos y máquinas IoT se divide en dos clases: aquellos con abundante energía y ancho de banda de conectividad, y aquellos con un presupuesto mucho más estrictamente limitado. Pero ambas clases de dispositivos siguen teniendo los mismos requisitos de seguridad.
La primera categoría no prioriza el ahorro de energía ni la eficiencia del protocolo de comunicación. Estos dispositivos dominan IP, TCP, TLS, HTTP, MQTT, etc., y no tienen excusa para no utilizar certificados X.509 y PKI privada para asegurar sus comunicaciones. Automóviles, maquinaria de fábrica, turbinas eólicas, sistemas HVAC, pasarelas, asistentes domésticos y televisores: sus medios preferidos son Ethernet, WiFi y la conectividad celular 4G/5G. Estos tipos de dispositivos están siempre conectados y listos para interactuar con servidores distantes, lo que facilita su actualización con nuevo firmware cuando sea necesario.
Aunque la segunda categoría de dispositivos no dispone de la misma abundancia de energía o conectividad que el primer grupo, se siguen denominando dispositivos «inteligentes». Incluye elementos como contadores alimentados por batería, termostatos inteligentes para el hogar, rastreadores inteligentes de activos o mascotas, sensores inteligentes para cultivos, contadores inteligentes de electricidad conectados por celular, e incluso bicicletas o patinetes eléctricos. Todos tienen en común la necesidad vital de encajar en un modelo de negocio estricto donde cada coste ha sido cuidadosamente planificado. Por ejemplo, un contador inteligente debe funcionar con la misma batería de 10 Ah durante al menos 15 años, ya que enviar a alguien a reemplazarla duplicaría con creces el coste total de propiedad. O considere una bicicleta eléctrica: tiene una asignación de conectividad de no más de 12 MB al mes porque así es como el fabricante ha negociado y prepagado su contrato de seis años con el operador celular. Estos activos están constantemente tratando de optimizar todo lo que hacen. Se conectan a internet a través de WiFi, celular LTE-M o NB-IoT, LoRaWAN, BLE, SIGFOX, Zigbee o Thread, pero necesitan permanecer lo más silenciosos posible y entrar en modo de suspensión tanto como puedan.
Se requiere una gran reflexión para diseñar esta última clase de dispositivos inteligentes debido a su perfil «bajo»: silicio de bajo coste y bajo consumo, conectividad de bajo ancho de banda, pilas con poca huella de memoria y, más recientemente, bajo impacto ambiental. Dado que estos dispositivos generalmente transmiten cantidades menores de datos –desde unos pocos bytes hasta unos pocos cientos a la vez–, necesitan optimizar la forma en que se conectan a otros dispositivos o servidores. En este sentido, la pila TCP/TLS/HTTP, diseñada principalmente para páginas web y navegación por internet, con un tamaño de paquete promedio de 1500 bytes, no es una buena opción, ya que añade demasiada sobrecarga en cada capa.
Por esta razón, en su RFC7252 el Internet Engineering Task Force (IETF) ha estandarizado el Constrained Application Protocol (CoAP) como una alternativa eficiente a HTTP para esta clase de dispositivos. Es compatible con transmisiones de paquetes con pérdidas y es, por lo tanto, una opción perfecta para UDP, la alternativa más ligera a TCP en la capa de transporte.
Pero es importante tener en cuenta que, en este contexto, un perfil «inferior» no significa «de calidad inferior» o «barato». En el pasado, los dispositivos de menor potencia dependían de claves simétricas precompartidas que se comisionaban de forma incómoda y nunca se renovaban, ya que los certificados digitales se consideraban demasiado pesados para estos dispositivos. Ahora, sin embargo, con los avances en tecnología y protocolos, los certificados X.509 y la PKI privada pueden utilizarse en ambas clases, proporcionando a los dispositivos con recursos limitados la misma seguridad que sus contrapartes más potentes utilizan actualmente.
Los estándares Matter y WiSUN para hogares inteligentes y medición inteligente, respectivamente, son la ilustración perfecta de cómo el bajo consumo de energía y el bajo ancho de banda pueden coexistir con una PKI de última generación. Al seleccionar la Criptografía de Curva Elíptica (ECC) en lugar de la RSA tradicional, el tamaño de un certificado X.509 puede limitarse a unos pocos cientos de bytes, perfectamente diseñado para dispositivos con recursos limitados.
Y al elegir un Software o servicio PKI que permita el Enrollment over Secure Transport (EST – RFC7030) sobre CoAP (EST over CoAP), ahora es posible extraer de forma segura certificados de dispositivo iniciales únicos de una PKI privada e inyectarlos en los dispositivos durante la fabricación. Además, se pueden renovar los certificados operativos de los dispositivos por aire, a voluntad, durante toda la vida útil de los mismos, sin necesidad de diseñar ningún agente especial de gestión del ciclo de vida de los certificados ni de dedicar presupuestos de energía y conectividad a esta tarea. Ahora, el registro, el nuevo registro y la renovación se gestionan mediante solicitudes y respuestas CoAP hacia y desde la PKI, y están protegidos por DTLS.
La última versión de Keyfactor, EJBCA 8.0, introduce EST sobre CoAP para soportar el registro y la renovación de certificados de contadores inteligentes conectados a WiSUN, NB-IoT y LWM2M en la PKI privada del proveedor de electricidad, agua o gas. Hasta hace poco, los contadores inteligentes estaban protegidos por claves simétricas permanentes o dependían únicamente de la seguridad parcial de su conexión inalámbrica. Ahora, con los certificados X.509 emitidos y gestionados por los proveedores de servicios públicos, pueden garantizar la autenticación y seguridad de extremo a extremo a los servidores back-end de estos proveedores y aceptar de forma segura actualizaciones ocasionales de firmware por aire.
Descubra cómo las nuevas capacidades de EJBCA refuerzan la seguridad de los dispositivos IoT.
