El internet de las cosas (IoT) ha llegado, y con él, una serie de desafíos de seguridad.
A pesar de que las complejas cadenas de suministro de los fabricantes hacen que los atacantes dispongan de muchas vías para poner en peligro un dispositivo, la seguridad suele añadirse como una característica más en lugar de ser un elemento crítico diseñado al principio del ciclo de vida de un producto.
Es hora de cambiar este enfoque. Y todo comienza con la fabricación de confianza cero.
Por qué la fabricación de confianza cero es importante, especialmente en el mundo del IoT
Cuantos más socios de la cadena de suministro estén involucrados en el proceso de fabricación, menos se puede confiar en que elementos como el Hardware, el firmware y las credenciales no hayan sido alterados. Como resultado, todos los fabricantes deben adoptar un “enfoque de confianza cero” hacia la seguridad, especialmente aquellos que producen dispositivos IoT, dada la ultracomplejidad de sus cadenas de suministro.
¿Qué es la fabricación de confianza cero? La fabricación de confianza cero es un enfoque para la fabricación
dispositivos confiables a lo largo de una cadena de suministro que, por su naturaleza, no puede ser confiable. No se logra mediante una única tecnología; más bien, describe un enfoque para diseñar, fabricar, probar y entregar productos en los que el propietario pueda confiar.
Es importante destacar que la fabricación de confianza cero engloba numerosos conceptos, incluyendo seguridad basada en Hardware, seguridad embebida, infraestructura de clave pública (PKI), gestión del ciclo de vida de claves y certificados, confiabilidad de dispositivos, firma de código y autenticación.
¿Por qué es importante la fabricación de confianza cero? Según Global Market Insights, se espera que el mercado de servicios de fabricación electrónica (EMS) crezca de 500 mil millones de dólares en 2019 a 650 mil millones de dólares para 2026. El mercado EMS comprende empresas globales que diseñan, fabrican, prueban, distribuyen y proporcionan servicios de devolución/reparación para componentes y ensamblajes electrónicos para fabricantes de equipos originales (OEM). Esto significa que aún más partes estarán involucradas en el proceso de fabricación, lo que crea aún más oportunidades para brechas de seguridad.
La fabricación de confianza cero también permite a los OEM trasladar más rápidamente la fabricación por contrato a empresas de todo el mercado EMS, lo que proporciona una ventaja competitiva significativa que ayuda a acelerar el tiempo de comercialización, minimizar los riesgos de producción y mantener la competitividad de costos.
Los desafíos de seguridad comunes solo aumentan la necesidad de la fabricación de confianza cero.
Profundizando, varios desafíos de seguridad comunes aumentan aún más la necesidad de la fabricación de confianza cero, especialmente entre los fabricantes de IoT.
Los fabricantes están sujetos a una serie de ciberataques debilitantes y brechas de seguridad, y muchos de estos ataques utilizan medios sofisticados para robar credenciales de seguridad. Según el Informe de Investigación de Brechas de Datos de Verizon 2020, el 45 por ciento de las brechas involucraron hacking, y de esas brechas, el 80 por ciento implicó fuerza bruta o el uso de credenciales robadas.
Las credenciales de usuario y dispositivo robadas, incluidas las claves privadas y los certificados digitales, suelen ser la base de estos ataques y afectan directamente a las empresas. En un estudio del Ponemon Institute, patrocinado por Keyfactor, el 92% de las organizaciones experimentaron al menos una interrupción relacionada con certificados en los últimos 24 meses y el 81% de las organizaciones experimentaron múltiples interrupciones disruptivas debido a certificados caducados.
Como resultado, proteger y gestionar claves privadas y certificados digitales con un enfoque de confianza cero es fundamental para proteger dispositivos y aplicaciones de ataques sofisticados a lo largo de la cadena de suministro. Algunas de las amenazas y vulnerabilidades más comunes del IoT contra las que un enfoque de confianza cero puede ayudar a proteger incluyen:
- Ataques de intermediario (Man-in-the-middle): Un ataque en el que los hackers utilizan credenciales robadas para suplantar a un usuario y modificar información.
- Suplantación de CA raíz: Un ataque en el que los hackers autentican dispositivos y usuarios maliciosos en una red al comprometer la Autoridad de Certificación (CA) raíz.
- Actualizaciones de firmware no autorizadas: Un ataque en el que los hackers comprometen las credenciales de firma de código para modificar el firmware.
- Robo de propiedad intelectual y falsificación: Un ataque en el que los hackers utilizan credenciales comprometidas para robar propiedad intelectual y lanzar productos falsificados al mercado.
Mejores prácticas para la fabricación de confianza cero
Afortunadamente, la implementación de la fabricación de confianza cero y la gestión adecuada de todos los componentes que la integran, como la PKI, la gestión del ciclo de vida de los certificados y la seguridad embebida, pueden ayudar a evitar ataques como los señalados anteriormente. Además, los fabricantes pueden beneficiarse de seguir varias mejores prácticas:
- Seguridad basada en Hardware: La introducción de elementos seguros de Hardware resistentes a manipulaciones y basados en dispositivos crea una raíz de confianza fiable.
- Generación de claves en el dispositivo: Generar y almacenar claves privadas de forma segura en un dispositivo significa que este puede atestiguar su propia identidad.
- Gestión de PKI: Automatizar la PKI y la gestión del ciclo de vida de los certificados puede garantizar operaciones estandarizadas y evitar interrupciones.
- Comunicación segura con cifrado de extremo a extremo: Implementar comunicaciones cifradas SSL/TLS o VPN IP garantiza la privacidad de los datos.
- Certificado de arranque seguro: Reemplazar el certificado de arranque inicial por uno actualizado garantiza que el dispositivo se inicie con el firmware previsto.
- Habilitar la autenticación mutua M2M: Implementar controles de acceso de usuario robustos y autenticación mutua máquina a máquina (M2M) proporciona una verificación bidireccional.
- Firma de código centralizada: Asegurar que las actualizaciones de firmware sean firmadas por el desarrollador y autenticadas por el dispositivo evita situaciones de compromiso.
Cómo los fabricantes de diversas industrias ya se están beneficiando de la fabricación de confianza cero
Dado el valor que la fabricación de confianza cero puede ofrecer, ¿cómo se ve esta práctica en acción? Considere estos casos de uso de fabricantes de tres industrias diferentes:
Salud
El auge de los dispositivos médicos conectados a la red ha exigido una autenticación más robusta, ya que la manipulación puede generar problemas graves, incluyendo el daño al paciente. Como resultado, los fabricantes de dispositivos médicos deben poder autenticar y autorizar positivamente a todo aquel que pueda acceder, gestionar y operar cualquier punto de la línea de fabricación. Una vez entregado, la seguridad debe gestionarse con la misma rigurosidad, ya que el propietario del dispositivo debe poder garantizar que el operador no comprometa la integridad del dispositivo ni acceda a claves secretas que permitan falsificaciones.
Servicios públicos
A medida que las redes de servicios eléctricos fusionan sus sistemas de control de tecnología operativa (OT) y sus redes de TI para una comunicación más efectiva, un mejor acceso remoto y una gestión más eficiente, han tenido que eliminar los firewalls tradicionales que protegían sus redes. Esta situación ha generado la necesidad de identificar y autenticar de forma única tanto a los usuarios como a los dispositivos en la red, ya que muchos de los sistemas y dispositivos utilizados son de misión crítica y su uso indebido puede acarrear efectos económicos masivos o incluso la muerte.
Transporte
Los avances en la fabricación han transformado los vehículos en dispositivos electrónicos conectados. Estos vehículos deben comunicarse con una red extendida de sensores, así como directamente con humanos, lo que exige la capacidad de autenticar positivamente en puntos clave del ciclo de vida. Por ejemplo, al conectarse a una red de carga electrónica, la red debe poder autenticar el vehículo, el usuario y el método de pago utilizado para adquirir la carga.
Ahora es el momento de adoptar la fabricación de confianza cero
La cadena de suministro de fabricación se ha vuelto cada vez más compleja, y con la continua explosión de dispositivos IoT, este cambio solo continuará. Para navegar con éxito esta complejidad, los fabricantes deben garantizar la seguridad en cada paso del proceso. Y la única forma de hacerlo eficazmente es adoptar un enfoque de confianza cero.
¿Listo para saber más sobre lo que implica adoptar la fabricación de confianza cero? Descargue nuestro informe técnico, Cómo navegar cadenas de suministro complejas para construir dispositivos IoT de confianza.
