Abordando problemas de ciberseguridad en aplicaciones de IoT

Los dispositivos del Internet de las Cosas se han convertido en objetivos de ataques maliciosos

Los dispositivos IoT están permeando varios aspectos de nuestras vidas, y con el tiempo, tanto los consumidores como las empresas han adoptado gradualmente productos IoT para mejorar la conveniencia de la vida diaria y el trabajo. Sin embargo, los hackers y actores malintencionados, que tradicionalmente atacaban computadoras, ahora están cambiando su enfoque hacia los dispositivos IoT. Fortalecer la seguridad de los dispositivos IoT se ha convertido en una preocupación tanto para los desarrolladores de productos, como para los gobiernos y los consumidores.

Los ataques a dispositivos IoT suelen ocurrir de dos maneras: ataques remotos que tienen como objetivo los dispositivos a través de internet y ataques locales donde los atacantes tienen proximidad física al dispositivo objetivo. Los ataques remotos o lógicos se dirigen al software, mientras que los ataques locales o físicos se enfocan en el chip dentro del propio dispositivo. En el pasado, la mayoría de los ataques a redes eran iniciados de forma remota por individuos, pero en los últimos años, los esfuerzos organizados se han centrado en ataques y ransomware por sumas considerables, alejándose de atacar a individuos por unos cientos de dólares para atacar y extorsionar a corporaciones por millones.

Además, una vez que los hackers obtienen acceso a los sistemas de redes de una corporación, utilizan herramientas existentes para infiltrarse y programar ataques en momentos específicos cuando es probable que los sistemas de defensa estén comprometidos, retrasando el tiempo de respuesta de la corporación. Otra tendencia es el cambio de los ataques de remotos a locales, en parte porque el personal responsable de asegurar las redes corporativas ha desempeñado bien su labor defendiendo contra ataques centrados en la nube, lo que dificulta más a los atacantes vulnerar la infraestructura de TI desde internet.

Con el aumento de la conciencia sobre la seguridad de la red en las empresas, los criminales están recurriendo a ataques de pivote. Los ataques de pivote tienen como objetivo los dispositivos terminales con la intención de explotarlos para atacar la infraestructura de nivel superior. Dado que los dispositivos terminales no se consideraban tradicionalmente como objetivos y, a menudo, tienen una seguridad integrada débil, junto con el auge del IoT y el IoT Industrial, ha habido un aumento significativo en el número de dispositivos inteligentes subyacentes. Esto hace que estos dispositivos IoT e IoT Industrial sean fácilmente accesibles en el mercado, lo que permite a los hackers dedicar tiempo a buscar vulnerabilidades y puntos de entrada, incrementando así el riesgo de intrusión en estos dispositivos IoT.

El enfoque de los ataques de ransomware está cambiando de los centros de TI a los de OT

El ransomware no solo se ha vuelto más dirigido, sino que también está cambiando su enfoque de la Tecnología de la Información (IT) a la Tecnología Operativa (OT). Este cambio se debe a la relevancia de la OT para los objetivos principales de operar un negocio, como aplicaciones relacionadas con la automatización de edificios, la automatización de fábricas o el control de edificios. Las interrupciones en la continuidad del negocio para este tipo de operaciones pueden resultar en pérdidas financieras significativas. Los atacantes son conscientes de que estas operaciones pueden causar daños sustanciales a las empresas, lo que las hace más propensas a pagar un rescate.

La capacidad de obtener beneficios está impulsando el cambio de enfoque hacia los OT como objetivo, pero no es el único factor. La facilidad de implementación también es una razón significativa, ya que los dispositivos operativos, incluidos los sistemas de fabricación, robots, sistemas de alarma contra incendios y sistemas de control de acceso, a menudo carecen de seguridad integrada debido a consideraciones de costo. Las tendencias del IoT y el IoT industrial están introduciendo dispositivos en sistemas que no existían previamente. Particularmente en el caso del IoT industrial, con frecuencia se colocan sensores económicos en el piso de la fábrica, enviando datos a la nube. Estos dispositivos pueden provenir de empresas muy pequeñas o startups que carecen de recursos para centrarse en las mejores características de seguridad disponibles.

Cada sensor introduce un nuevo vector de ataque y podría convertirse en un método para causar la falla de sistemas críticos, utilizando el tiempo de inactividad para exigir rescates significativos a cambio de la restauración del servicio. Los sensores económicos de todo el mundo son más accesibles en la cadena de suministro y se estudian y explotan en laboratorios de hackers bien equipados. Por ejemplo, considere el caso de un sistema de alarma contra incendios en un edificio de oficinas de gran altura en el distrito financiero de Nueva York siendo comprometido. El sistema de alarma podría activarse, evacuando a las personas de un edificio de 300 pisos. ¿Qué pasaría si el sistema de control de acceso del mismo edificio también estuviera comprometido? Disyuntores estratégicamente colocados podrían incluso sumir a toda una ciudad en la oscuridad. Imagine cuánto rescate podría exigir un criminal en una situación como esta, y exigir un rescate de mil millones de dólares, dado el monto perdido por minuto, no es un escenario implausible.

La atención del gobierno a los estándares de ciberseguridad está aumentando de manera constante

En respuesta a las demandas de ciberseguridad, el gobierno de California en los Estados Unidos promulgó la Ley de Privacidad del Consumidor de California, que entró en vigor el 1 de enero de 2020. La ley exige la inclusión de características de seguridad 'razonables' aplicables a la naturaleza y funcionalidad de los dispositivos, así como a la información recopilada, contenida o transmitida por dichos dispositivos. El diseño de estas características debe ser capaz de proteger el dispositivo y cualquier información que contenga contra acceso no autorizado, destrucción, uso, modificación o divulgación. También requiere que las contraseñas preprogramadas en cada dispositivo fabricado sean únicas. En esencia, la ley exige que estos dispositivos sean resistentes a los ataques de piratería. Muchos otros estados de los Estados Unidos han introducido legislaciones similares, afectando aproximadamente al 30% de la población estadounidense.

Para los Estados Unidos, el Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés) actúa como el organismo rector para determinar lo que se considera 'razonable.' Podemos anticipar que más legislación y casos judiciales continuarán guiando las leyes futuras. NIST ha publicado el NISTIR 8259A, que establece una base de ciberseguridad para dispositivos IoT escalables, y lideró el desarrollo del estándar UL 2900-1, que aclaró los requisitos generales para las especificaciones de ciberseguridad de software de productos conectables a la red.

Estados Unidos no es el único país comprometido con garantizar la seguridad de los dispositivos IoT. El Reino Unido y otros países europeos están colaborando actualmente dentro del Instituto Europeo de Normas de Telecomunicaciones (ETSI) para formular características normativas de seguridad similares para el IoT de consumo. ETSI está reconocido por la Comisión Europea y es responsable de desarrollar estándares europeos de Tecnología de la Información y la Comunicación (TIC). NISTIR 8259A comparte muchos temas similares, exigiendo características de seguridad como la posibilidad de actualizar el software/firmware y garantizar la integridad del software, lo que requerirá un inicio seguro (secure boot) y actualizaciones seguras para el firmware de los dispositivos integrados. Además, ETSI también ha lanzado la norma EN 303 645, que es el primer estándar de ciberseguridad para dispositivos IoT de consumo global, y tiene como objetivo combinar medidas técnicas y organizativas para lograr buenas prácticas en ciberseguridad.

La plataforma para proteger los requisitos de seguridad de los dispositivos IoT

Con el fin de ayudar a los clientes a enfrentar los desafíos planteados por las tendencias de seguridad en constante evolución y a cumplir con las normativas, Silicon Labs ha presentado Secure Vault, una plataforma galardonada diseñada para proteger y preparar para el futuro a los dispositivos IoT. Recientemente, se convirtió en la primera solución de seguridad para IoT en lograr la certificación PSA Certified Level 3. Una de las categorías clave de Secure Vault incluye la provisión de nuevas características de seguridad, como la identidad segura del dispositivo, gestión y almacenamiento seguros de claves, así como detección avanzada de manipulaciones.

Como parte de este proceso, Secure Vault utiliza huellas digitales únicas generadas por funciones físicamente inclonables (PUFs, por sus siglas en inglés). Estas pueden ser utilizadas para crear claves simétricas AES, las cuales desaparecen físicamente cuando el sistema pierde energía, haciendo que la clave simétrica AES sea prácticamente inexistente incluso cuando el chip está apagado. Esta es una solución extremadamente efectiva para abordar los desafíos de gestión de claves, y esta funcionalidad puede ampliarse para admitir una multitud de claves según las necesidades de la aplicación del desarrollador. Secure Vault también incluye un sistema de detección de manipulación; una vez que ocurre un evento de manipulación, el dispositivo se apaga y las claves no pueden ser reconstruidas. Secure Vault es el conjunto de protección de seguridad de hardware y software más avanzado disponible en la actualidad, proporcionado certificados de identidad segura para dispositivos. Concebido de manera similar a un certificado de nacimiento para cada chip, permite seguridad post-implementación, autenticidad y verificaciones de salud basadas en atestación, asegurando la autenticidad del chip durante todo su ciclo de vida.

Secure Vault también admite funciones avanzadas de detección de manipulación, lo que permite a los desarrolladores establecer acciones de respuesta adecuadas cuando el dispositivo enfrenta comportamientos inesperados (como variaciones extremas de voltaje, frecuencia y temperatura que pueden indicar vulnerabilidades). Secure Vault también admite la gestión y el almacenamiento seguros de claves, un componente central que cifra las claves y las aísla del código de la aplicación, utilizando una clave maestra de cifrado (KEK) generada por funciones físicamente inclonables (PUF) para evitar el acceso directo a los dispositivos IoT y su hardware de datos.

El SoC inalámbrico que admite las funciones de seguridad de Secure Vault

Silicon Labs ha introducido una serie de productos habilitados con Secure Vault, incluidos el SoC inalámbrico Sub-GHz EFR32FG23, el SoC inalámbrico multiprotocolo Serie 2 EFR32MG24 y el SoC inalámbrico multiprotocolo Serie 2 EFR32MG27. Todos los productos de la Serie 2 pueden incluirse en la categoría Secure Vault, incluidos xG21, xG22, xG23, xG24, xG25, xG27 y xG28.

El SoC inalámbrico sub-GHz EFR32FG23 Flex Gecko es una solución ideal para la conectividad inalámbrica sub-GHz en IoT para hogares inteligentes, seguridad, iluminación, automatización de edificios y medición. La radio sub-GHz de alto rendimiento proporciona un alcance largo y no es susceptible a interferencias de 2.4 GHz de otras tecnologías. La solución de chip único y multicore ofrece una seguridad líder en la industria, un bajo consumo de energía con tiempos de activación rápidos y un amplificador de potencia integrado para habilitar la próxima generación de conectividad segura para dispositivos IoT.

Los SoCs inalámbricos multiprotocolo de la Serie 2 EFR32MG24 son ideales para la conectividad inalámbrica de IoT en malla utilizando los protocolos Matter, OpenThread y Zigbee para productos de hogares inteligentes, iluminación y automatización de edificios. Con características clave como RF de alto rendimiento a 2.4 GHz, bajo consumo de corriente, un acelerador de hardware de IA/ML y Secure Vault™, los fabricantes de dispositivos IoT pueden crear productos inteligentes, robustos y energéticamente eficientes que estén protegidos contra ciberataques remotos y locales. Un ARM Cortex®-M33 que funciona a hasta 78 MHz y con hasta 1.5 MB de Flash y 256 kB de RAM proporciona recursos para aplicaciones exigentes, dejando espacio para el crecimiento futuro. Las aplicaciones objetivo incluyen puertas de enlace y concentradores, sensores, interruptores, cerraduras de puertas, iluminación LED, luminarias, servicios de localización, mantenimiento predictivo, detección de rotura de vidrio, detección de palabras clave para activación y más.

Además, el SoC EFR32MG27 amplía la cartera Zigbee de Silicon Labs y ha sido desarrollado específicamente para dispositivos finales de bajo consumo y pequeño tamaño. El DCDC Boost integrado ofrece a los fabricantes de dispositivos IoT la capacidad de operar con hasta 0.8 voltios, permitiendo el uso de baterías alcalinas de celda única y baterías de tipo botón, lo que reduce el tamaño y el costo del dispositivo.

Además, todos los productos de la Serie 2 incluyen un subsistema de seguridad integrado y pueden aprovechar completamente la tecnología de Secure Vault. Secure Vault ofrece características avanzadas de software de seguridad y tecnología de hardware de Función Física No Clonable (PUF, por sus siglas en inglés) para reducir significativamente los riesgos de vulnerabilidades de seguridad en IoT y el compromiso de la propiedad intelectual.

Todos los productos actuales de la Serie 2 son fácilmente migrables utilizando las herramientas de desarrollo de Simplicity Studio 5. Pueden utilizar kits de desarrollo, SDK, aplicaciones móviles, el perfilador de energía de Silicon Labs y analizadores de red patentados para acelerar el tiempo de comercialización de los productos.

Conclusión

Los dispositivos IoT se utilizan ampliamente en entornos personales, domésticos y empresariales. Sin embargo, esto también proporciona un posible vector de ataque para actores malintencionados. Por lo tanto, la seguridad de los dispositivos IoT no debe considerarse una función opcional, sino una necesidad. Secure Vault de Silicon Labs comprende un conjunto integral de funciones avanzadas de seguridad de última generación diseñadas para abordar significativamente las amenazas en constante evolución al IoT. Reduce enormemente el riesgo de vulnerabilidades de seguridad en el ecosistema IoT, minimizando el impacto de la pérdida de propiedad intelectual o ingresos debido a la falsificación. Adoptar Secure Vault puede mejorar la seguridad de los dispositivos IoT, lo que hace que valga la pena para los fabricantes que desarrollan productos relacionados explorarlo e implementarlo más a fondo.