El mundo de los dispositivos y máquinas de IoT se divide en dos clases: los que disponen de abundante potencia y ancho de banda de conectividad y los que tienen un presupuesto mucho más estrictamente limitado. Pero ambas clases de dispositivos siguen teniendo los mismos requisitos de seguridad.
La primera categoría no da prioridad al ahorro de energía ni a la eficiencia de los protocolos de comunicación. Estos dispositivos dominan IP, TCP, TLS, HTTP, MQTT, etc., y no tienen excusa para no utilizar certificados X.509 y PKI privadas para proteger sus comunicaciones. Coches, maquinaria de fábrica, turbinas eólicas, sistemas HVAC, pasarelas, asistentes domésticos y televisores: sus medios favoritos son ethernet, WiFi y 4G/5G celular. Estos tipos de dispositivos están siempre conectados y listos para interactuar con servidores distantes, lo que facilita su actualización con nuevo firmware siempre que sea necesario.
Aunque la segunda categoría de dispositivos no tiene la misma abundancia de potencia o conectividad que el primer grupo de dispositivos, siguen llamándose dispositivos "inteligentes". Incluye cosas como contadores que funcionan con baterías, termostatos domésticos inteligentes, rastreadores inteligentes de activos o mascotas, sensores inteligentes de cultivos, contadores inteligentes de electricidad conectados a móviles e incluso bicicletas o patinetes eléctricos. Todos ellos tienen en común la necesidad vital de encajar en un estricto modelo de negocio en el que cada coste ha sido cuidadosamente planificado. Por ejemplo, un contador inteligente debe funcionar con la misma batería de 10 Ah durante al menos 15 años, porque enviar a alguien a sustituirla duplicaría con creces el coste total de propiedad. O pensemos en una bicicleta eléctrica: tiene una asignación de conectividad de no más de 12 MB al mes porque así es como el fabricante ha negociado y prepagado su contrato de seis años con el operador de telefonía móvil. Estos activos intentan optimizar constantemente todo lo que hacen. Se conectan a Internet a través de WiFi, LTE-M celular o NB-IoT, LoRaWAN, BLE, SIGFOX, Zigbee o Thread, pero necesitan permanecer lo más silenciosos posible y dormir todo lo que puedan.
Hay que pensar mucho para diseñar esta última clase de dispositivos inteligentes debido a su perfil "bajo": silicio de bajo coste y bajo consumo, conectividad de bajo ancho de banda, pilas de poca memoria y, más recientemente, bajo impacto ambiental. Dado que estos dispositivos suelen transmitir cantidades menores de datos -de unos pocos bytes a unos cientos cada vez-, necesitan optimizar su forma de conectarse a otros dispositivos o servidores. En este sentido, la pila TCP/TLS/HTTP, que se diseñó principalmente para páginas web y navegación por Internet, con un tamaño medio de paquete de 1.500 bytes, no es una buena combinación, ya que añade demasiada sobrecarga en cada capa.
Por esta razón, en su RFC7252 el Grupo de Trabajo de Ingeniería de Internet (IETF) ha estandarizadoed el Protocolo de restringido (CoAP) como alternativa eficaz a HTTP para esta clase de dispositivos. Es complaciente a con pérdidas transmisión de paquetes y espor lo tanto un ajuste perfecto para UDPla alternativa más ligera a la capa de transporte TCP.
Pero es importante tener en cuenta que, en este contexto, un perfil "más bajo" no significa "inferior" o "barato". En el pasado, los dispositivos de menor potencia dependían de claves simétricas precompartidas que se encargaban incómodamente y nunca se renovaban, ya que los certificados digitales se consideraban demasiado pesados para los dispositivos. Ahora, sin embargo, con los avances en tecnología y protocolos, los certificados X.509 y la PKI privada pueden utilizarse en ambas clases, proporcionando a los dispositivos con recursos limitados la misma seguridad que utilizan actualmente sus homólogos más potentes.
Los estándaresMatter y WiSUN para hogares y contadores inteligentes, respectivamente, son el ejemplo perfecto de cómo el bajo consumo y el escaso ancho de banda pueden coexistir con una PKI de vanguardia. Al elegir la criptografía de curva elíptica (ECC ) en lugar de la RSA heredada, el tamaño de un certificado X.509 puede limitarse a unos cientos de bytes, perfectamente diseñados para dispositivos con limitaciones.
Y eligiendo una PKI software o un servicio que permita la Inscripción sobre Transporte Seguro (EST - RFC7030) sobre CoAP (EST over CoAP), ahora es posible extraer certificados iniciales únicos de dispositivos de forma segura desde una PKI privada e inyectarlos en los dispositivos en el momento de la fabricación. Además, se pueden renovar los certificados operativos de los dispositivos en el aire, a voluntad, durante toda la vida útil de los dispositivos sin necesidad de diseñar ningún agente especial de gestión del ciclo de vida de los certificados ni dedicar presupuestos de energía y conectividad a la tarea. Ahora, la inscripción, reinscripción y renovación se gestionan mediante solicitudes y respuestas CoAP hacia y desde la PKI y están protegidas por DTLS.
KeyfactorLaúltima versión de WiSUN, EJBCA 8.0, introduce EST sobre CoAP para apoyar la inscripción y renovación de certificados de contadores inteligentes conectados a WiSUN, NB-IoT y LWM2M en la PKI privada del proveedor de electricidad, agua o gas. Hasta hace poco, los contadores inteligentes estaban protegidos por claves simétricas permanentes o se basaban únicamente en la seguridad parcial de su conexión inalámbrica. Ahora, con los certificados X.509 emitidos y gestionados por los proveedores de servicios públicos, pueden garantizar la autenticación y la seguridad de extremo a extremo a los servidores back-end de estos proveedores y aceptar de forma segura las actualizaciones ocasionales de firmware.
Descubra cómo las nuevas funciones de EJBCA refuerzan la seguridad de los dispositivos IoT .
