Por qué la fabricación de confianza cero es fundamental para la creación de dispositivos IoT de confianza

The internet of things (IoT) has arrived, and so have a host of security challenges along with it.

A pesar de que las complejas cadenas de suministro de los fabricantes hacen que los atacantes dispongan de muchas vías para poner en peligro un dispositivo, la seguridad suele añadirse como una característica más en lugar de ser un elemento crítico diseñado al principio del ciclo de vida de un producto.

Es hora de cambiar este enfoque. Y todo comienza con la fabricación de confianza cero.

Por qué la fabricación de confianza cero es importante, especialmente en el mundo del IoT

The more supply chain partners involved in the manufacturing process, the less you can trust that elements like hardware, firmware, and credentials haven’t been altered. As a result, all manufacturers must take a “zero trust” approach to security, especially those that produce IoT devices given the ultra complexity of their supply chains.

What is zero trust manufacturing? Zero trust manufacturing is an approach to manufacturing

trustworthy devices along a supply chain that inherently can’t be trusted. It’s not achieved by any single technology; rather, it describes an approach to designing, manufacturing, testing, and delivering products that can be trusted by the owner.

Es importante destacar que la fabricación de confianza cero engloba numerosos conceptos, incluyendo seguridad basada en Hardware, seguridad embebida, infraestructura de clave pública (PKI), gestión del ciclo de vida de claves y certificados, confiabilidad de dispositivos, firma de código y autenticación. 

Why does zero trust manufacturing matter? According to Global Market Insights, the market for electronic manufacturing services (EMS) is expected to grow from $500 billion in 2019 to $650 billion by 2026. The EMS market comprises global companies that design, manufacture, test, distribute and provide return/repair services for electronic components and assemblies for original equipment manufacturers (OEMs). This means even more parties will be involved in the manufacturing process, which creates even more opportunities for security gaps.

La fabricación de confianza cero también permite a los OEM trasladar más rápidamente la fabricación por contrato a empresas de todo el mercado EMS, lo que proporciona una ventaja competitiva significativa que ayuda a acelerar el tiempo de comercialización, minimizar los riesgos de producción y mantener la competitividad de costos.

Los desafíos de seguridad comunes solo aumentan la necesidad de la fabricación de confianza cero.

Profundizando, varios desafíos de seguridad comunes aumentan aún más la necesidad de la fabricación de confianza cero, especialmente entre los fabricantes de IoT.

Los fabricantes están sujetos a una serie de ciberataques debilitantes y brechas de seguridad, y muchos de estos ataques utilizan medios sofisticados para robar credenciales de seguridad. Según el Informe de Investigación de Brechas de Datos de Verizon 2020, el 45 por ciento de las brechas involucraron hacking, y de esas brechas, el 80 por ciento implicó fuerza bruta o el uso de credenciales robadas. 

Stolen user and device credentials, including private keys and digital certificates, are typically the basis for these attacks and directly affect businesses. In a study by the Ponemon Institute, sponsored by Keyfactor, 92% of organizations experienced at least one certificate-related outage in the past 24 months and 81% of organizations experienced multiple disruptive outages due to expired certificates.

Como resultado, proteger y gestionar claves privadas y certificados digitales con un enfoque de confianza cero es fundamental para proteger dispositivos y aplicaciones de ataques sofisticados a lo largo de la cadena de suministro. Algunas de las amenazas y vulnerabilidades más comunes del IoT contra las que un enfoque de confianza cero puede ayudar a proteger incluyen:

• Man-in-the-middle attacks: An attack in which hackers use stolen credentials to impersonate a user and modify information.
• Root CA impersonation: An attack in which hackers authenticate rogue devices and users on a network by compromising the root Certificate Authority (CA).

• Unauthorized firmware updates: An attack in which hackers compromise code signing credentials to modify firmware.
• IP theft and counterfeiting: An attack in which hackers use compromised credentials to steal intellectual property and bring counterfeit products to market.

Mejores prácticas para la fabricación de confianza cero

Afortunadamente, la implementación de la fabricación de confianza cero y la gestión adecuada de todos los componentes que la integran, como la PKI, la gestión del ciclo de vida de los certificados y la seguridad embebida, pueden ayudar a evitar ataques como los señalados anteriormente. Además, los fabricantes pueden beneficiarse de seguir varias mejores prácticas:

• Hardware-based security: Introducing device-based, tamper-resistant hardware secure elements creates a trustworthy root of trust.
• On-device key generation: Generating and storing private keys securely on a device means it can attest to its own identity.
• PKI management: Automating PKI and certificate lifecycle management can ensure standardized operations and avoid outages.
• Secure communication with end-to-end encryption: Implementing encrypted SSL/TLS or IP VPN communications ensures data privacy.
• Secure bootstrap certificate: Replacing the initial bootstrap certificate with an updated certificate ensures the device boots up with the intended firmware.

• Enable mutual M2M authentication: Implementing strong user access controls and machine-to-machine (M2M) mutual authentication provides two-way verification.
• Centralized code signing: Ensuring firmware updates are signed by the developer and authenticated by the device avoids compromising situations.

Cómo los fabricantes de diversas industrias ya se están beneficiando de la fabricación de confianza cero

Dado el valor que la fabricación de confianza cero puede ofrecer, ¿cómo se ve esta práctica en acción? Considere estos casos de uso de fabricantes de tres industrias diferentes:

Salud

El auge de los dispositivos médicos conectados a la red ha exigido una autenticación más robusta, ya que la manipulación puede generar problemas graves, incluyendo el daño al paciente. Como resultado, los fabricantes de dispositivos médicos deben poder autenticar y autorizar positivamente a todo aquel que pueda acceder, gestionar y operar cualquier punto de la línea de fabricación. Una vez entregado, la seguridad debe gestionarse con la misma rigurosidad, ya que el propietario del dispositivo debe poder garantizar que el operador no comprometa la integridad del dispositivo ni acceda a claves secretas que permitan falsificaciones.

Servicios públicos

A medida que las redes de servicios eléctricos fusionan sus sistemas de control de tecnología operativa (OT) y sus redes de TI para una comunicación más efectiva, un mejor acceso remoto y una gestión más eficiente, han tenido que eliminar los firewalls tradicionales que protegían sus redes. Esta situación ha generado la necesidad de identificar y autenticar de forma única tanto a los usuarios como a los dispositivos en la red, ya que muchos de los sistemas y dispositivos utilizados son de misión crítica y su uso indebido puede acarrear efectos económicos masivos o incluso la muerte.

Transporte

Los avances en la fabricación han transformado los vehículos en dispositivos electrónicos conectados. Estos vehículos deben comunicarse con una red extendida de sensores, así como directamente con humanos, lo que exige la capacidad de autenticar positivamente en puntos clave del ciclo de vida. Por ejemplo, al conectarse a una red de carga electrónica, la red debe poder autenticar el vehículo, el usuario y el método de pago utilizado para adquirir la carga.

Ahora es el momento de adoptar la fabricación de confianza cero

The manufacturing supply chain has become increasingly complex, and with the continued explosion of IoT devices, this shift will only continue. To successfully navigate this complexity, manufacturers must ensure security at every step of the way. And the only way to do so effectively is to take a zero-trust approach.

¿Listo para saber más sobre lo que implica adoptar la fabricación de confianza cero? Descargue nuestro informe técnico, Cómo navegar cadenas de suministro complejas para construir dispositivos IoT de confianza.