IoT Seguridad de los dispositivos + Cómo empezar

IoT Los dispositivos tienen tanto potencial para el cambio positivo -su capacidad para conectar objetos, compartir información y realizar acciones- también los hace intensamente vulnerables. Esto se debe a que cada punto de conexión que existe conlleva el riesgo de ser pirateado.

Por desgracia, no faltan ejemplos que ilustran la vulnerabilidad de los dispositivos de IoT . Algunos de los ejemplos más notables de los últimos años son:

• Un vigilabebés pirateadoque permitió al pirata informático ver al bebé y hablar con los padres con la amenaza de secuestrarlo.
• Dispositivos médicos comprometidos, incluyendo:
  • Los hackers que accedieron a dispositivos cardíacos implantados y pudieran agotar la batería o emitir un marcapasos incorrecto
  • Los piratas informáticos que accedieron a bombas de insulina y podían suministrar dosis incorrectas de insulina a usuarios diabéticos
• Conexiones defectuosas para vehículos de consumo que permitían a los piratas informáticos tomar el control a distancia y realizar acciones como cortar los frenos, apagar el motor e incluso sacar el coche de la carretera.

Estos ejemplos son sólo algunos de los muchos que ilustran la importancia de la seguridad de los dispositivos IoT . También ponen de relieve lo fácil que era para los hackers llevar a cabo estas actividades. Por ejemplo, en el caso de un pirateo de Chrysler en 2015, los investigadores descubrieron que podían acceder fácilmente a cualquier vehículo Chrysler de Estados Unidos en la red móvil de Sprint debido a un fallo en el sistema de conexión inalámbrica.

Y lo que es más importante, a medida que los dispositivos IoT se vuelven cada vez más comunes, sobre todo en sectores como la automoción, los dispositivos médicos y la fabricación de equipos originales, los riesgos asociados a los hackeos aumentan enormemente hasta el punto de poner en peligro la vida de las personas.

En los últimos años, hemos visto a demasiados piratas informáticos aprovecharse de los puntos débiles de seguridad de los dispositivos de IoT . Más allá de los muchos puntos de conexión que intrínsecamente crean riesgo, una de las razones de esta multitud de ataques es que muchas empresas se apresuraron a sacar esta nueva tecnología al mercado y se centraron más en la innovación competitiva que en el aspecto de la seguridad.

Sin embargo, a medida que se generalice el uso de los dispositivos IoT , la seguridad se convertirá en una necesidad absoluta para lograr cualquier tipo de tracción. Dicho esto, se ha promulgado nueva legislación para acelerar la adopción de nuevas normas de seguridad.

La legislación aprobada hasta ahora incluye:

• Ley de Regulación de la Seguridad de California IoT (SB-327): Esta ley, que entrará en vigor el 1 de enero de 2020, exige que todos los fabricantes de dispositivos conectados utilicen credenciales únicas para cada dispositivo. Esta legislación abarca tanto los dispositivos de consumo como los de empresa.
• IoT Ley de regulación de la seguridad de Oregón (HB-2395): Esta ley, que entrará en vigor el 1 de enero de 2020, es similar a la de California. Exige credenciales únicas para cada dispositivo conectado, pero se aplica principalmente a los dispositivos de consumo.

Se han propuesto otros proyectos de ley que han recibido mayor o menor apoyo:

• Ley federal de ciberescudo (S-2020): Propuesta en el Senado en 2017, esta ley exigiría al Departamento de Comercio crear un Comité Asesor sobre el Escudo Cibernético para recomendar el formato y el contenido de las etiquetas del Escudo Cibernético para los dispositivos de consumo conectados a internet e introducir normas de cumplimiento de los parámetros de seguridad de los datos para protegerlos mejor.
• Ley de protección de la intimidad en nuestros hogares (S-2432): Propuesto en el Senado en 2019, este proyecto de ley requeriría que la Comisión Federal de Comercio introduzca regulaciones sobre cómo los fabricantes comunican las cámaras y micrófonos en los dispositivos habilitados para Internet de cara al consumidor.
• Ley de Explotación de la Escucha Automática (HR-4048): Propuesto en la Cámara de Representantes en 2019, este proyecto de ley limitaría el uso (incluida la grabación o transmisión) de cualquier sonido o vídeo capturado por un altavoz inteligente o un timbre de vídeo y prohibiría cualquier tipo de servicio sin el consentimiento expreso del consumidor.
• Ley de mejora de la ciberseguridad del Internet de las cosas de 2019 (S-734): Propuesto en el Senado en 2019, este proyecto de ley otorgaría al gobierno federal amplios poderes para aumentar los estándares de ciberseguridad en torno a los dispositivos del Internet de las Cosas.

Más allá de la legislación formal, la FDA, el Industrial Internet Consortium (IIC) y la IoT Security Foundation (ISF) han introducido orientaciones sobre marcos de seguridad para proteger los dispositivos IoT que rigen desde los dispositivos médicos hasta los productos de consumo.

En particular, tanto las orientaciones como la legislación en torno a la seguridad de los dispositivos de IoT se están multiplicando, por lo que es esencial que los fabricantes se aseguren de aplicar los niveles de seguridad más altos posibles para proteger a los consumidores y las empresas que utilizan los dispositivos y cumplir las normativas de seguridad actuales y futuras.

A pesar de la importancia cada vez mayor de reforzar la seguridad de los dispositivos IoT , sobre todo a medida que surgen nuevas leyes, existen muchos retos. Entre los principales retos de seguridad de IoT figuran:

Al más alto nivel, existe una falta de normas que rijan la seguridad de los dispositivos IoT . Aunque es indudable que esta situación está cambiando, en la mayoría de los casos los fabricantes de dispositivos y sus equipos de seguridad siguen sin tener una norma clara a la que aspirar. Como resultado, existe mucha ambigüedad en el mercado. A su vez, esta ambigüedad ha creado un caldo de cultivo para otros retos en áreas como las prácticas de autenticación, las actualizaciones continuas de seguridad y las comunicaciones entre dispositivos conectados.

Muchos fabricantes han reequipado dispositivos heredados con sensores inteligentes para habilitarlos para Internet y conseguir las ventajas de IoT sin un coste tan elevado. Este planteamiento puede resultar rentable y ahorrar tiempo, pero plantea graves riesgos de seguridad.

En concreto, los dispositivos heredados que no se conectan a Internet suelen tener poca o ninguna seguridad. Como resultado, incluso si los sensores añadidos ofrecen algún tipo de seguridad, el dispositivo en sí crea oportunidades adicionales para que las partes maliciosas se infiltren en el sensor y potencialmente en la red más amplia.

Muchos dispositivos no ofrecen funciones de seguridad avanzadas, ni siquiera la posibilidad de alcanzarlas con el tiempo mediante actualizaciones. La incapacidad de los fabricantes para publicar parches para cualquier riesgo descubierto o actualizaciones de seguridad para mantener los dispositivos alineados con los estándares más recientes crea numerosos retos. Esto deja a muchos dispositivos de IoT con problemas de seguridad sobre el terreno. Este reto crecerá exponencialmente en los próximos años a medida que el ecosistema IoT siga envejeciendo y se desarrollen nuevas normas de seguridad.

Incluso en los casos en que los fabricantes introducen actualizaciones, existen retos. Por ejemplo, cuando los desarrolladores crean un nuevo código y lo trasladan a la producción, necesitan una forma de verificar su autenticidad, lo que hacen firmando el código con un par de claves criptográficas públicas/privadas de confianza. Sin embargo, la forma en que muchos fabricantes sacan al mercado los dispositivos IoT es diferente de la que utilizan para otras soluciones. Muchos no han verificado tradicionalmente que el nuevo código firme correctamente con una clave de confianza. Esta falta de comprobación de seguridad abre la puerta al riesgo al permitir que cualquiera que acceda al sistema introduzca un nuevo código en los dispositivos IoT , lo que da lugar a numerosos riesgos de seguridad, financieros y de reputación.

Es habitual que los fabricantes introduzcan contraseñas o claves de cifrado en los dispositivos de IoT para agilizar su implantación. Esta práctica es arriesgada, pero lo es aún más si los desarrolladores incrustan esta información en texto plano para facilitar el acceso, lo que ocurre a menudo. Si alguien encuentra esta información, puede acceder fácilmente al dispositivo y controlarlo de cualquier forma.

Muchos dispositivos de IoT se programan con contraseñas estáticas o predeterminadas que los usuarios no pueden cambiar fácilmente en la misma línea. Este débil nivel de autenticación crea graves riesgos al facilitar a los piratas informáticos el acceso a los dispositivos y el despliegue de malware. Esto suele ocurrir con los dispositivos de menor coste de IoT , como las cámaras de seguridad. Sin embargo, es importante señalar que incluso estos dispositivos obtienen información sensible que, cuando se piratea, puede poner en peligro a las personas y violar su intimidad, lo que supone un grave riesgo financiero y de reputación para los fabricantes.

Muchos dispositivos de IoT utilizan el cifrado simétrico, en el que se utiliza una única clave para cifrar y descifrar los datos. El hecho de que los datos se cifren ofrece una capa segura de seguridad, sobre todo si se compara con el uso de contraseñas codificadas o predeterminadas, pero compartir y almacenar la clave de cifrado crea riesgos. Esto se debe a que si una parte malintencionada intercepta la clave, puede utilizarla para cifrar y descifrar datos. Esto significa que pueden acceder a todo el sistema y compartir datos, e incluso pueden actuar como "hombre en el medio" manipulando los datos sin que el fabricante o los usuarios finales lo sepan. Como consecuencia de este riesgo, los fabricantes deben tomar precauciones adicionales para asegurar la clave de cifrado, lo que puede llegar a ser costoso y difícil de mantener a gran escala.

Con el cifrado asimétrico se genera un par único de claves pública y privada. Cada una sirve para un propósito distinto (la clave pública descifra los datos y puede compartirse abiertamente, mientras que la privada cifra los datos y debe protegerse), lo que ayuda a resolver los problemas del cifrado simétrico. Sin embargo, incluso con el cifrado asimétrico, la clave privada debe protegerse adecuadamente; de lo contrario, se aplican los mismos riesgos. Por desgracia, muchos equipos de desarrollo no toman las debidas precauciones a la hora de almacenar estas claves privadas.

El cifrado ofrece una seguridad casi impenetrable, pero sólo cuando se hace correctamente. En concreto, la fuerza del cifrado depende del algoritmo utilizado para generar las claves pública y privada. Idealmente, la clave pública debería ser relativamente fácil de calcular a partir de la clave privada, pero lo contrario debería ser imposible.

Hoy en día existen muchos estándares, como RSA 2048 y Diffie-Hellman, para regular la fuerza de las claves de cifrado. Por desgracia, muchos dispositivos de IoT utilizan algoritmos débiles que no cumplen estas normas para generar claves de cifrado. Cuando esto ocurre, resulta más fácil para los malintencionados determinar la clave privada, lo que les da acceso a comprometer el dispositivo.

Todos los problemas de seguridad que rodean a los dispositivos IoT los hacen especialmente vulnerables a los ataques distribuidos de denegación de servicio (DDoS). Estos ataques se producen cuando los piratas informáticos utilizan varios dispositivos para inundar un sistema con peticiones de datos y saturarlo de forma que deje de funcionar por completo.

IoT son vulnerables a los ataques DDoS debido a los numerosos problemas de seguridad enumerados. Como resultado, los hackers pueden acceder rápidamente a estos dispositivos conectados para formar una botnet (también conocida como "ejército zombi") de modo que todos los dispositivos puedan inundar simultáneamente un único sistema con peticiones. Los ataques DDoS son especialmente frecuentes entre los dispositivos de IoT porque son relativamente más fáciles de piratear, dadas las normas de seguridad generalmente laxas, y porque los kits de herramientas DDoS tienden a ser fáciles de comprar y lanzar.

La seguridad de los dispositivos IoT plantea hoy numerosos retos, pero es posible superarlos.

Los equipos deben dar prioridad a la seguridad de los dispositivos IoT en cada paso del proceso. Esta priorización implica invertir más en seguridad e integrarla en los procesos de desarrollo lo antes posible.

Por el camino, la seguridad de los dispositivos IoT debe centrarse en crear una identidad de dispositivo de confianza, garantizar la confidencialidad de los datos y mantener la integridad de los datos y el firmware que se ejecutan en cada dispositivo. Lograr estos objetivos requiere elementos de seguridad críticos para la autenticación, el cifrado y la firma de código. Los equipos de fabricación pueden adoptar varias prácticas recomendadas para satisfacer estas necesidades, entre las que se incluyen:

El envío de datos protegidos es una función esencial de cualquier dispositivo IoT . Para que esta función sea eficaz, tanto los usuarios como los fabricantes deben confiar en que los datos que reciben son auténticos y están destinados a ellos. La mejor manera de lograr este objetivo es emitir credenciales únicas en forma de certificados digitales para cada dispositivo IoT .

Dar a cada dispositivo un certificado digital único ayuda a mejorar la autenticación y ofrece una enorme protección frente a las prácticas habituales hoy en día de utilizar contraseñas por defecto o incluso claves compartidas para el cifrado simétrico. Esto se debe a que las contraseñas conllevan un alto riesgo de compromiso, y las claves de cifrado simétrico, que ofrecen más protección que las contraseñas por defecto, no proporcionan ningún tipo de diferenciación entre dispositivos. Esta falta de diferenciación hace imposible compartir información única con un dispositivo conectado específico o determinar el dispositivo concreto del que proceden los datos individuales.

En cambio, los certificados digitales pueden crear un método de autenticación único y muy seguro para cada dispositivo, lo que ofrece mucha más seguridad. Por ejemplo, este enfoque permite a los fabricantes compartir actualizaciones y datos con dispositivos específicos de forma segura y ayuda a validar mejor la autenticidad de la información entrante procedente de los propios dispositivos.

La creación de certificados digitales únicos para cada dispositivo IoT requiere criptografía asimétrica, que genera un par de claves pública y privada. Por ello, los fabricantes deben tomar precauciones adicionales para almacenar esas claves privadas.

La mejor manera de hacerlo es con la tecnología Trusted Platform Module (TPM) o Secure Storage hardware, que ofrece seguridad basada en hardware. Por ejemplo, un chip TPM ofrece un criptoprocesador seguro habilitado para hardware que protege las claves criptográficas y los certificados digitales. Este tipo de inversión merece la pena para alcanzar los más altos niveles de seguridad IoT . Ofrece una sólida protección contra el riesgo de que se pongan en peligro las claves privadas utilizadas para la autenticación de dispositivos y el cifrado de datos.

Un riesgo importante para la seguridad de IoT es la posibilidad de que los piratas informáticos introduzcan actualizaciones maliciosas de software en los dispositivos conectados. Los fabricantes pueden protegerse contra este riesgo exigiendo que los dispositivos verifiquen la autenticidad de cualquier nuevo firmware o software antes de su instalación. Para ello es necesario que los equipos de desarrollo de los fabricantes firmen su código con una firma digital, lo que puede lograrse con un par de claves pública/privada.

En este caso, cada dispositivo conectado necesitaría una clave pública que coincidiera con una clave privada en poder del equipo de desarrollo del fabricante. Si los desarrolladores utilizan la clave privada para "firmar su código", cualquier dispositivo con la clave pública puede (a) verificar que la actualización ha sido efectivamente enviada por el fabricante (o cualquiera que tenga la clave privada) y (b) confirmar que la actualización no ha sido modificada en tránsito. Como resultado, exigir la firma del código ayuda a proteger los dispositivos conectados contra la instalación de software corruptos enviados por un tercero malintencionado.

Una raíz de confianza (RoT) contiene claves de cifrado y ayuda con la validación de identidad inicial al emitir nuevas claves o certificados digitales. Establecer una RoT específica de la organización ofrece a los fabricantes un control total sobre la validación de la identidad de cualquier dispositivo o persona a la que emitan una clave de cifrado. Mantener la RoT específica de la organización permite a los fabricantes establecer sus normas de verificación de identidad para crear una sólida cadena de confianza en lugar de utilizar una raíz compartida y confiar en el modelo de confianza y las operaciones de ese tercero.

Y lo que es más importante, las prácticas recomendadas anteriormente para la seguridad de los dispositivos en IoT no se aplican de manera automática. Por el contrario, todos estos esfuerzos requieren una gestión continua del ciclo de vida. Esto se debe a que cualquier tipo de sistema estático es intrínsecamente inseguro. Los certificados digitales, pares de claves y RoT en uso se debilitarán con el tiempo sin una gestión adecuada del ciclo de vida.

Esta gestión del ciclo de vida debe incluir:

• Mapear todo lo que se utiliza para tener un inventario exacto de lo que se crea
• Supervisión de todos los certificados, claves y la RoT para identificar cualquier amenaza potencial y realizar rápidamente los ajustes necesarios.
• Mantener la salud de esta seguridad actualizando los certificados, las claves y el RoT según sea necesario y revocando los certificados y las claves cuando los dispositivos pertinentes ya no se utilicen.

Las necesidades de seguridad de IoT y las mejores prácticas para ayudar a abordar estas necesidades apuntan a una solución clara: Infraestructura de Clave Pública (PKI).

PKI es un marco de confianza compuesto por hardware, software, políticas y procedimientos necesarios para gestionar certificados digitales de confianza y cifrado de clave pública. Ayuda a verificar las identidades digitales y a proteger los datos, lo que satisface las necesidades críticas de seguridad de IoT en materia de autenticación, cifrado y firma de código. Y lo que es más importante, también es escalable para dar cabida a millones de identidades de dispositivos con una huella mínima en cada uno de ellos.

PKI ofrece varias ventajas fundamentales a la hora de reforzar la seguridad de IoT , entre ellas:

• Identidades únicas: PKI permite a los fabricantes de dispositivos IoT integrar una identidad verificable criptográficamente mediante un certificado digital en cada dispositivo para garantizar un acceso seguro y la entrega de software a lo largo del tiempo. Es importante destacar que los fabricantes también pueden actualizar o revocar estos certificados en dispositivos individuales según sea necesario.
• Flexibilidad: PKI es un enfoque altamente flexible que permite a los fabricantes utilizar una variedad de opciones (incluyendo REST API, SCEP y EST) para raíces de confianza, revocaciones e inscripción y despliegue de certificados.
• Escalabilidad: Los fabricantes pueden emitir certificados digitales desde una única autoridad de certificación de confianza, lo que permite a los dispositivos IoT autenticarse entre sí de forma segura sin ningún tipo de servidor centralizado.
• Seguridad robusta: Suponiendo que la PKI esté bien gestionada, los certificados digitales proporcionan una seguridad significativamente mayor que otros métodos de autenticación, incluidas las contraseñas predeterminadas y la criptografía simétrica.
• Huella mínima: Las claves asimétricas utilizadas para PKI tienen una huella mínima, lo que significa que no es una carga para los dispositivos conectados con baja potencia de cálculo albergar la información necesaria.
• Enfoque probado: PKI se ha utilizado durante mucho tiempo para proporcionar un método seguro para la autenticación digital y la comunicación de datos y es reconocida como una solución práctica y escalable para proteger contra el secuestro de dispositivos y el robo de datos.

La PKI es un método de seguridad de eficacia probada con una larga trayectoria en el ámbito de la TI empresarial. Sin embargo, la PKI para la seguridad de IoT es algo diferente de la PKI para la seguridad empresarial. Las diferencias más notables son:

• Escalabilidad y disponibilidad: PKI para IoT requiere mayores niveles de escalabilidad y disponibilidad por parte de las autoridades de certificación. Estas entidades de confianza expiden certificados digitales a los dispositivos necesarios para la PKI empresarial. Esto se debe a que, en el caso de IoT, los fabricantes necesitarán entregar un mayor volumen de certificados con mayor rapidez.
• Generación y almacenamiento de claves privadas: En la PKI empresarial, las organizaciones suelen utilizar certificados digitales para proteger los servidores web, que viven en centros de datos protegidos inaccesibles para la mayoría de las personas. La seguridad de los dispositivos IoT es totalmente diferente, ya que estos dispositivos son físicamente accesibles al público. Por ello, lo ideal es que los fabricantes generen y almacenen las claves privadas de los dispositivos IoT en un componente seguro de hardware para que nunca estén fuera del dispositivo.
• Política de certificados: Los fabricantes que utilizan PKI para la seguridad de IoT deben ser más estrictos a la hora de adherirse a la política de certificados, que rige los niveles de confianza y garantía, en comparación con la PKI empresarial. Este cumplimiento estricto ayuda en las auditorías de seguridad y establece la confianza a lo largo de la cadena de suministro de IoT .
• Gestión del ciclo de vida: El ciclo de vida de un certificado digital que vive en un dispositivo IoT es muy diferente del de un certificado digital utilizado para proteger un servidor web en una PKI empresarial. En el caso de la seguridad de IoT , los fabricantes deben entender cómo se aprovisionarán y actualizarán las identidades a lo largo del tiempo para un dispositivo determinado y poner en marcha un plan de respuesta claro para cualquier certificado o raíz de confianza comprometidos.

Y lo que es más importante, aprovechar todas las ventajas de la PKI para la seguridad de IoT requiere una gestión completa del ciclo de vida que abarque todo, desde el establecimiento y mantenimiento de las normas del programa para las raíces de confianza y la firma de código hasta la emisión y revocación de certificados.

Dada la escala requerida de PKI para IoT, una de las mejores opciones para mantener altos niveles de disponibilidad y seguridad sin sacrificar la eficiencia es confiar en un modelo SaaS que ofrezca PKI como servicio. Además, consumir PKI a través de un modelo de servicio gestionado alivia la carga de los fabricantes a la hora de mantener adecuadamente el sistema en cuanto a funcionalidad, rendimiento y niveles de garantía de seguridad. Como resultado, pueden centrarse en seguir sacando rápidamente al mercado dispositivos innovadores IoT , todo ello con el nivel de seguridad necesario para generar confianza entre los clientes.

IoT ya no es un concepto futurista: ha llegado oficialmente, y el número de dispositivos conectados crece exponencialmente. A medida que estos dispositivos inteligentes se hacen más comunes y más maduros, la seguridad de IoT tiene que ponerse al día.

Hasta la fecha, la seguridad de los dispositivos IoT ha sido un poco relajada. Esta situación se ha debido a que muchos fabricantes se han esforzado por sacar al mercado dispositivos innovadores de forma más rápida y relativamente desconocida. Pero a medida que el ecosistema IoT madura, han surgido graves problemas de seguridad que pueden causar estragos tanto en las organizaciones como en los consumidores. En el mejor de los casos, las brechas en la seguridad de IoT pueden costar a los fabricantes de dispositivos millones de dólares y una pérdida de confianza. En el peor de los casos, pueden poner en peligro vidas humanas. En respuesta, están surgiendo nuevas normativas que pondrán más barreras a la seguridad de IoT .

Ante esta situación, ha llegado el momento de tomarse en serio la seguridad de los dispositivos IoT . Y aunque existen graves retos para mejorar la seguridad de IoT , no son en absoluto imposibles para los fabricantes. La mejor forma de superarlos es introducir un programa PKI que ayude a reforzar la seguridad de IoT mediante autenticación, cifrado y firma de código. Si se aplica correctamente, este enfoque puede ayudar a los fabricantes a introducir en el mercado nuevos dispositivos innovadores, manteniendo al mismo tiempo altos niveles de seguridad, lo que supondrá una ventaja competitiva de cara al futuro.