Si cree que los únicos dispositivos que posee capaces de conectarse a Internet son su ordenador portátil, su teléfono móvil y su televisión, es que no ha prestado suficiente atención. Un concepto tecnológico bastante reciente podría cambiar por completo la forma en que consideramos que Internet afecta a nuestras vidas en tan sólo unos años. Sin embargo, según las primeras investigaciones, este avance tecnológico podría tener graves ramificaciones en materia de seguridad.
Más conexiones
El concepto se conoce como «Internet de las cosas» (IoT). El concepto es sencillo, aunque pueda parecer un poco extraño a primera vista: con la tecnología IoT, cualquier dispositivo
con una función de encendido y apagado puede conectarse de forma inalámbrica a la red mundial. Eso significa que dispositivos domésticos comunes como una tostadora o un cepillo de dientes eléctrico podrían, en teoría, tener acceso a Internet. Este concepto va más allá de los electrodomésticos comunes, como éstos; puede aplicarse incluso a piezas formidables de maquinaria, como aviones y excavadoras. Se calcula que para 2020 podría haber entre 26.000 y 100.000 millones de
dispositivos capaces de conectarse a Internet a través de la tecnología IoT.
¿Por qué el deseo?
Quizá se pregunte por qué tantos dispositivos necesitarían acceso a Internet, y la razón es sencilla: para hacernos la vida más sencilla. La conectividad a Internet de dispositivos, como un cepillo de dientes eléctrico o una tostadora, podría significar que los dispositivos se comunican entre sí a través de la tecnología de la nube y los sensores, funcionando así al máximo de sus capacidades y con mayor rapidez. Su detector de humo con capacidad Wi-Fi podría enviar una alerta a su ordenador portátil notificándole que sus baterías están a punto de agotarse, y eso es sólo un logro doméstico relativamente modesto. Con la tecnología IoT, las «ciudades inteligentes» podrían adquirir un significado totalmente nuevo, con una comunicación interconectada que abarque a las metrópolis y sus necesidades permanentes, desde el transporte hasta el control de la contaminación.
¿Cuál es el riesgo?
La gente ya está preocupada por la seguridad de la red cuando se trata de dispositivos como sus ordenadores y teléfonos inteligentes; cuando eso se extiende a todos los dispositivos que ellos y todos los demás poseen con acceso a Internet, es comprensible que surja la ansiedad. Además, ya se han realizado pruebas de dispositivos con capacidades de IoT, y las posibilidades de que se vean comprometidas son bastante elevadas.
En HP Fortify, los investigadores descubrieron que en un grupo de muestra de 10 dispositivos, se descubrieron 250 vulnerabilidades
vulnerabilidades. Esta muestra incluía artículos domésticos comunes como aspersores, abridores de puertas de garaje y cámaras web.
Del grupo de muestra de diez, siete de los dispositivos revelaron quiénes eran los usuarios del dispositivo cuando se combinaron con aplicaciones móviles y en la nube. Nueve de ellos pudieron recibir al menos un dato personal del usuario, y seis de ellos corrieron el riesgo de sufrir ataques como un XSS persistente. Para los usuarios puede ser suficiente molestia tratar de defender uno o dos dispositivos contra los piratas informáticos; la idea de tener que proteger cada dispositivo podría ser demasiado para manejar, especialmente para los propietarios de negocios que tendrían que lidiar con el aseguramiento de una empresa
cuando toda la empresa podría verse comprometida por piratas informáticos expertos.
Esperanza para el futuro
Los implicados en la tecnología IoT son conscientes de los problemas que se han presentado y están trabajando contra ellos. El estudio fue dirigido por Daniel Miessler, director de prácticas de Fortify on Demand en HP Fortify. Miessler afirma que un porcentaje considerable de las vulnerabilidades que salieron a la luz después de las pruebas no eran recurrentes. Según Miessler, el proceso es muy complejo, ya que los dispositivos, las redes y la autenticación se entremezclan.
«Si no se mira el panorama general, se pierden muchas cosas», dijo Miessler.
Miessler y otros investigadores están trabajando juntos en el proyecto OWASP Internet of Things Top Ten, un medio para centrarse en los diez principales problemas de seguridad de los dispositivos IoT y tratarlos de la mejor manera posible para que nuestro mundo pueda estar conectado sin verse comprometido
Gracias a la rápida progresión del Internet de las Cosas (IoT) en el ámbito doméstico, la posibilidad de controlar los dispositivos electrónicos con una palmada o con la voz ya no es un sueño descabellado. De hecho, los dispositivos domésticos habilitados para el IoT, como televisores, frigoríficos, cámaras de circuito cerrado de televisión, cerraduras de puertas y sistemas estéreo, se están convirtiendo rápidamente en algo más común que en una adición exótica a un hogar obsesionado por la tecnología.
Sin embargo, un hogar inteligente es vulnerable a los hackers en más de un sentido y puede resultar en daños más graves de lo que podrías imaginar.
1. Cámaras de circuito cerrado, cerraduras de puertas, sensores de movimiento y aparatos de seguridad
Si los ciberestafadores consiguen hackear estos sistemas de seguridad basados en Internet de tu casa inteligente, les resultará muy fácil saber cuándo no estás en casa. Una vez que tengan acceso a los sistemas de seguridad, podrán tomar el control de toda tu casa y desactivar cualquier sistema que deseen.
2. Televisión inteligente
Los televisores inteligentes llevan cámaras y micrófonos incorporados para facilitar el reconocimiento facial y de voz. Y una vez que se hackea un televisor inteligente, existe la posibilidad de que su televisor grabe vídeos y audios sin su conocimiento o consentimiento. ¡Estos audios o vídeos podrían ser publicados en sitios inapropiados y/o ser utilizados para robar tu identidad o chantajearte a ti o a tus familiares!
3. Coche
Si los ciberdelincuentes consiguen hackear el sistema informático de un coche inteligente a través de instalaciones como la radio en streaming, la navegación o la navegación web que están conectadas a Internet, los frenos del coche podrían fallar, el sistema de navegación podría estropearse y la pantalla del coche podría empezar a comportarse de forma extraña. Estos impactantes actos han sido mostrados por el Investigador de Seguridad de Twitter, Charlie Miller, y el Director de Inteligencia de Seguridad de IOActive, Chris Valasek con un reportero de Forbes tras las ruedas dentro de un coche inteligente.
4. Nevera inteligente
Los frigoríficos inteligentes pueden llevar la cuenta de los artículos que hay dentro de la nevera para avisar en caso de que haya que rellenar algo. De hecho, le ofrece la opción de comprar alimentos en línea utilizando su panel LCD inteligente incorporado. Pues bien, si los ciberdelincuentes lo piratean, pueden acceder a los datos de acceso de su tienda de comestibles en línea y realizar pedidos no deseados en su nombre.
Tenemos más blogs sobre ciberseguridad y análisis forense. Consulta la sección de blogs de nuestro sitio web (Incognito Forensic Foundation) para obtener más información.
Si se toma su casa en este momento, la amenaza es muy pequeña. Pero si miras un poco más allá en el futuro, donde la mayoría de las cosas en tu casa estarán conectadas, los dispositivos son
Depende de lo mucho que se quiera entrar en ello, si se mira fuera de la casa, por ejemplo, las señales de tráfico, los semáforos, etc., un ataque contra ellos puede ser bastante devastador. Volviendo a un nivel privado/individual, si se envía un ataque de denegación de servicio a la puerta de tu garaje que no te permite salir de casa cuando tienes prisa por llegar al trabajo, o no te permite desbloquear la puerta para entrar en la casa, no es horrible pero sí bastante molesto. Si a eso le sumas una sobreescritura de los sensores del garaje, que permite que la puerta se cierre cuando le da la gana, destripas un coche arruinado o un animal herido.
En mi opinión puede ser una amenaza tan grande como alguien lo haga. Dependiendo de la cantidad de IoT que tengamos a nuestro alrededor y de nuestra dependencia de ellos, así como de los niveles de imaginación de un hacker y de lo lejos que llegaría.
El internet de las cosas (IoT) está por fin aquí en 2018, y empresas como Google y Amazon se apresuran a salir y convertirse en la principal compañía para convertirse en el centro de este revolucionario concepto. Ha habido múltiples predicciones a lo largo de los años que declaran que habrá al menos decenas de miles de millones de dispositivos conectados para 2020, e incluso objetos tan mundanos como monitores de bebés o neumáticos podrían formar parte de este mundo interconectado.
Desafíos de la seguridad de IoT
En el desarrollo de cualquier aplicación de IoT la seguridad y las pruebas, los frameworks juegan un papel importante. Para ayudarle a crear dispositivos y aplicaciones habilitadas para el Internet de las cosas más seguros y a prueba de ataques, hemos descrito los principales problemas de seguridad que debe abordar.
1. Cifrado de datos
Las aplicaciones de Internet de las cosas recogen toneladas de datos. La recuperación y el procesamiento de los datos es una parte integral de todo el entorno del Internet de las cosas. La mayoría de estos datos son personales y deben ser protegidos mediante encriptación.
2. Autenticación de datos
Después de cifrar los datos con éxito, siguen existiendo cambios de que el propio dispositivo sea pirateado. Si no hay forma de establecer la autenticidad de los datos que se comunican desde y hacia un dispositivo IoT, la seguridad se ve comprometida.
3. Ataques de canal lateral
El cifrado y la autenticación, ambos en su lugar, siguen dejando margen para los ataques de canal lateral. Estos ataques se centran menos en la información y más en cómo se presenta esa información. Por ejemplo, si alguien puede acceder a datos como la información sobre la temporización, el consumo de energía o la fuga electromagnética, toda esta información puede utilizarse para ataques de canal lateral.
Más información sobre el Internet de los objetos
¿Qué utilidad tiene el Internet de las Cosas (IOT) para la gente común?
¿Cuáles son los mejores proyectos de IoT?
¿Cómo puede el Internet de las Cosas transformar el sector sanitario?
¿Cómo puedo asegurar una carrera sólida en IoT para 2025?
Una respuesta muy breve sobre este tema. Estoy haciendo un resumen de la respuesta para ir directamente a los puntos:
Los dispositivos IoT tienen poca capacidad de procesamiento y memoria ==> Casi, no hay mucho espacio para implementar y ejecutar algoritmos de alta seguridad.
Los dispositivos IoT necesitan tener un bajo consumo de energía ==> esto se contradice con tener una mayor seguridad porque más seguridad necesita más procesamiento necesita más energía.
Casi todos los dispositivos IoT vienen con una contraseña por defecto. Si no las cambias, es fácil entrar en ellos.
Si alguien puede entrar en uno de tus dispositivos en la LAN, entonces él/ella sería capaz de controlar cualquier cosa conectada a este dispositivo. Por ejemplo, si puedo hackear tu puntero logitech (lo que podría haber hecho), entonces podré abrir un firefox con un sitio web porno mientras estás haciendo una presentación.
Probablemente no hay suficiente desarrollo en torno a la seguridad, la mayor parte de la atención se centra en llevar los productos al mercado. Muchos dispositivos del IoT son generalmente de naturaleza «desechable», más baratos de sustituir que de actualizar y mantener, etc.
El problema es que la seguridad no es lo suficientemente prioritaria para los vendedores, y es probable que a los consumidores no les importe (mucho/suficiente), si es que son conscientes de las consideraciones. Además, todavía no existen normas industriales bien establecidas ni una comunidad que se ocupe de estos problemas. Alguna certificación de la industria relacionada con la seguridad podría ayudar, un poco.
La buena noticia es que la mayoría de los dispositivos IoT no son directamente accesibles al público. La mala noticia es que mucho de su software (firmware) tiene mucho en común en cuanto a diseño, código y metodología. La otra buena noticia es que, con alguna inversión en la mejora de la protección de salida del consumidor (routers domésticos, cortafuegos de salida), muchas de las consecuencias pueden mitigarse bastante bien. En resumen, la solución probable será que se desarrollen más sistemas centrales de gestión doméstica «inteligentes» (el router principal, núcleo de una red doméstica) y que sean comercializables.
Ahora que ha habido ejemplos de problemas, es más probable que los proveedores inviertan algunos recursos adicionales en seguridad. Y la comunidad de Internet en general también lo hará. No beneficia a los vendedores/fabricantes/comunidad del IoT ser responsables de causar o desempeñar un papel en estos problemas, o confiar en una conexión a Internet que puede no ser estable. Si quieren hacer crecer dicho mercado, tienen incentivos para establecer normas comunitarias.
Al estar en el campo de la seguridad del IoT durante los últimos dos años y ayudar a más de 200 empresas a asegurar sus dispositivos IoT, para ser honesto, la seguridad actual del IoT que se encuentra en los dispositivos es extremadamente mala.
Profundizando en ello, estos son los problemas de la seguridad de la IO:
Los fabricantes no saben qué asegurar. La falta de concienciación sobre lo que hay que asegurar exactamente y qué tipo de vulnerabilidades hay en los dispositivos IoT es la principal razón por la que los dispositivos son vulnerables. Por ejemplo, un fabricante de dispositivos IoT de automatización doméstica no es consciente de que alguien puede saltarse su pobre mecanismo de verificación de la integridad o realizar un ataque de repetición tras capturar sus paquetes de radio.
Los fabricantes no saben cómo asegurar. Dado que la industria de la seguridad del IoT está todavía en su fase inicial, es difícil encontrar personas que sepan cómo proteger los distintos componentes de un ecosistema del IoT: dispositivos integrados, firmware, aplicaciones móviles, aplicaciones web, activos basados en la nube, protocolos de radio, etc.
La falta de recursos disponibles en línea es otra razón por la que la gente no sabe lo suficiente sobre qué hacer y cómo hacerlo. Esta es también la razón por la que comparto toneladas de información gratuita a través de mi blog – Internet of Things (IoT) Blog – Attify Newsroom
porque quiero que la industria en general madure y sea más consciente de las amenazas a la seguridad.
Como nota positiva, me alegra decir que en los últimos 5 años he visto que esta industria está madurando y comprendiendo mejor los problemas de seguridad y está más dispuesta a tomar medidas para reforzar la seguridad de sus productos.
Eso es todo lo que se me ocurre. Para más discusiones, no dude en ponerse en contacto conmigo a través de DM o golpearme en twitter – Aditya Gupta (@adi1391) | Twitter
.
Para crear un producto de confianza y garantizar el mayor nivel de seguridad posible, es fundamental no pasar por alto las cuestiones de:
Identificación
Autenticación
Encriptación
Heterogeneidad
(imagen de Oleksandr Mosiichuk
)
Afortunadamente, los dos primeros problemas de seguridad pueden gestionarse mediante la integración de una única tecnología denominada infraestructura de clave pública. El problema de la heterogeneidad se recomienda gestionar con la implementación de la arquitectura IDRA para soportar el mayor número posible de dispositivos IoT. En cuanto al cifrado, es mejor elegir el algoritmo de seguridad específico más adecuado para el proyecto, en función de las prioridades de desarrollo.
Mi equipo ha realizado recientemente una investigación sobre este tema, que puede dar una respuesta más profunda a su pregunta. Consulte «Los principales retos de seguridad del IoT y cómo afrontarlos»
en el blog de Stromotion.
Los fallos de seguridad son las vulnerabilidades de los dispositivos IoT que los hackers utilizan para tomar el control de los dispositivos de forma remota. Estas vulnerabilidades pueden estar en el hardware o en el software, y pueden ser explotadas por los hackers para controlar los dispositivos. Los fallos de seguridad en los dispositivos IoT son bastante comunes.
Por ejemplo, en 2016 hubo una red de bots llamada Mirai que hackeó dispositivos IoT desprotegidos, como cámaras web y sistemas domésticos inteligentes, para crear una enorme cantidad de tráfico de spam en la web.
El fallo de seguridad que permitió esto fue la débil autenticación de la contraseña. Por eso es importante que los fabricantes proporcionen actualizaciones de firmware seguras para sus productos y que los usuarios no utilicen contraseñas por defecto en sus redes Wi-Fi o fácilmente adivinables como «contraseña».
1. Problemas de seguridad en la capa de percepción
Los principales dispositivos de la capa de percepción son varios sensores inalámbricos como RFID y Zigbee. Su función es percibir y recoger información sobre objetivos específicos. Sin embargo, la mayoría de los dispositivos sensores están desplegados en zonas públicas y no pueden ser controlados artificialmente en tiempo real, por lo que pueden ser fácilmente controlados y utilizados por los atacantes.
Los métodos de ataque más comunes son
Ataque físico: Ataques dirigidos principalmente al propio dispositivo sensor, que pueden provocar una fuga de información sensible o un seguimiento malicioso.
Ataque de falsificación: El atacante falsifica los puntos de vigilancia electrónica o los datos, y encuentra la forma de transmitirlos al sistema a través de la aprobación del mismo.
Ataque de repetición: El atacante intercepta los datos en el proceso de transmisión de información, los modifica en sus propios datos maliciosos y los vuelve a enviar.
Malversación de información: La información de autentificación de la identidad específica del usuario se obtiene y utiliza de forma maliciosa.
Espionaje de información sensible: El atacante roba la información transmitida en el canal, y finalmente analiza la información sensible.
Enrutamiento: El atacante engaña, manipula y retransmite la información de enrutamiento y finalmente forma información errónea en el canal o la transmisión de información se retrasa.
2. Problemas de seguridad en la capa de red
Ataques DDOS: Los ataques DDOS se originan en Internet y pueden extenderse a la Internet móvil. Los atacantes pueden crear ataques DDOS a través de botnets, provocando la congestión de la red.
Datos maliciosos: El atacante transmite datos maliciosos como spam, virus, etc.
Revelación de la privacidad: La transmisión de la capa de red no puede garantizar totalmente la seguridad de la información sensible, y seguirá habiendo personas que obtengan la privacidad de los usuarios.
3. Problemas de seguridad en la capa de aplicación
Robo de identidad: Los dispositivos del Internet de las Cosas suelen estar totalmente automatizados, por lo que es posible que un atacante secuestre estos dispositivos, haciéndose pasar por un usuario real a través de la verificación de identidad del sistema, y luego envíe datos no seguros al sistema.
Vulnerabilidades de los dispositivos de la capa de aplicación: La mayor parte de la capa de aplicación del Internet de las Cosas se utiliza en conjunto con otros dispositivos, y son fáciles de explotar directamente por los atacantes. Los expertos dicen ahora que es sólo cuestión de tiempo que los atacantes de ransomware empiecen a apuntar a los dispositivos inteligentes. Los investigadores de seguridad han demostrado la capacidad de instalar ransomware en termostatos inteligentes. Por ejemplo, pueden aumentar la temperatura a 95 grados y negarse a volver a la temperatura normal a menos que la víctima acepte pagar el rescate en Bitcoin.
Protección de datos: La capa de aplicación procesará una gran cantidad de datos. Si el método de procesamiento no es perfecto o el procesamiento no es oportuno, causará problemas como la pérdida de datos.
1) Falta de cumplimiento por parte de los fabricantes de IoT. …
2) Falta de conocimiento y concienciación de los usuarios. …
3) Problemas de seguridad del IoT en la gestión de las actualizaciones de los dispositivos. …
4) Falta de endurecimiento físico. …
5) Ataques de botnets. …
6) Espionaje industrial y escuchas. …
7) Highjacking de sus dispositivos IoT.
Ve a conectar tu microondas, nevera, o aire acondicionado, etc… a Internet. El problema es que estos sistemas son muy simples, tienen contraseñas por defecto y un niño puede hackearlos. No van a quemar tu tostada o apagar el congelador, lo cual podrían hacer, pero lo utilizarán como un vector de ataque en cadena para retransmitir a otro ordenador y atacar a otra persona. O incluso para enviar spam por correo electrónico a otros. Imagínate que tu microondas es utilizado para enviar millones de spam en su tiempo libre, o tu frigorífico para hackear un aire acondicionado o un sistema telefónico para luego hackear un servidor en el Departamento de Defensa.
Falta de conocimiento y concienciación de los usuarios
A lo largo de los años, los clientes de Internet han aprendido a mantenerse alejados del spam o de los mensajes de phishing, a realizar exámenes de infección en sus ordenadores y a asegurar sus sistemas WiFi con contraseñas sólidas.
Sea como fuere, IoT es otra innovación, los individuos a pesar de todo no piensan mucho en ello. Mientras que la mayor parte de los peligros de los problemas de seguridad de IoT están todavía en el lado del montaje, los clientes y los procedimientos de las organizaciones pueden hacer mayores peligros. Uno de los mayores peligros y dificultades de seguridad de IoT es el adormecimiento del cliente y la ausencia de familiaridad con la utilidad de IoT. En consecuencia, todos se ponen en peligro.
Engañar a un humano es, a menudo, el enfoque más directo para acceder a un sistema. Un tipo de oportunidad de seguridad de IoT que se ignora con frecuencia es el diseño social de los asaltos. En lugar de centrarse en los aparatos, un programador se centra en un humano, utilizando el IoT.
La construcción social se utilizó en el asalto Stuxnet de 2010 contra una oficina atómica en Irán. El asalto fue coordinado a los modernos controladores racionales programables (PLC), que además entran en la clase de gadget IoT. El asalto socavó 1.000 rotadores y provocó la detonación de la planta. Se acepta que el sistema interno estaba desconectado del sistema abierto para evitar los asaltos, sin embargo, todo lo que se necesitó fue que un trabajador conectara una racha de USB en uno de los PCs internos.
Problemas de seguridad de IoT en la gestión de las actualizaciones de los dispositivos
Otro manantial de peligros para la seguridad del IoT es la programación o el firmware poco fiables. Aunque un fabricante pueda vender un gadget con la actualización de programación más reciente, es prácticamente ineludible que salgan nuevas vulnerabilidades.
Las actualizaciones son básicas para mantener la seguridad de los gadgets IoT. Deben actualizarse justo después de que se encuentren nuevas vulnerabilidades. En cualquier caso, a diferencia de los teléfonos móviles o los ordenadores que se actualizan de forma programada, algunos aparatos IoT siguen utilizándose sin las actualizaciones esenciales.
Otro peligro es que, durante una actualización, un gadget enviará su refuerzo a la nube y aguantará un breve tiempo personal. En el caso de que la asociación sea descifrada y los documentos de actualización estén desprotegidos, un programador podría tomar datos sensibles.
Falta de solidificación física
La ausencia de solidificación física puede igualmente causar problemas de seguridad de IoT. Aunque algunos gadgets IoT deberían tener la opción de trabajar de forma independiente sin la mediación de un cliente, deberían estar realmente asegurados de los peligros externos. En algunos casos, estos gadgets pueden estar situados en áreas remotas durante largos períodos de tiempo, y podrían ser realmente desordenados, por ejemplo, utilizando una unidad USB con malware.
Garantizar la seguridad física de un gadget IoT comienza desde el productor. Sea como fuere, la construcción de sensores y transmisores seguros en los gadgets de esfuerzo efectivamente mínimo es una tarea difícil para los fabricantes a pesar de todo.
Los clientes son además responsables de mantener los gadgets IoT genuinamente asegurados. Un sensor de movimiento agudo o una cámara de vídeo que se encuentra fuera de una casa podría ser alterado si no se asegura adecuadamente.
Riesgos de integridad de datos de la seguridad de IoT en la sanidad
Con IoT, la información está en constante movimiento. Se transmite, se guarda y se maneja. La mayoría de los aparatos de IoT concentran y recogen datos de las condiciones exteriores. Es muy posible que se trate de un regulador interior brillante, un sistema de climatización, un televisor o un aparato clínico. Sin embargo, aquí y allá estos gadgets envían la información recogida a la nube sin encriptación.
Posteriormente, un programador puede acceder a un gadget clínico IoT, tratándolo y teniendo la opción de modificar la información que recoge. Un gadget IoT clínico controlado puede ser utilizado para impartir señales falsas, lo que puede hacer que los expertos en bienestar tomen actividades que pueden dañar la salud de sus pacientes.
Por ejemplo, un gadget IoT clínico hackeado puede reportar una batería completamente energizada a la estación de mantenimiento, mientras que en realidad la batería va a estirar la pata. Más lamentable, hay peligros de seguridad de IoT en los gadgets de la seguridad social como los marcapasos o los que crean las inyecciones de insulina. Las vulnerabilidades encontradas en el corazón implantable de St. Jude Medical ofrecían acceso a los programadores, lo que les permitía ajustar el ritmo o los aturdimientos, o lo que es más detestable, agotar la batería.
Minería de criptomonedas con robots IoT
La minería de divisas digitales requiere activos monstruosos de CPU y GPU, y otro problema de seguridad de IoT se ha desarrollado debido a esta condición previa: la minería de criptomonedas con bots de IoT. Este tipo de asalto incluye botnets contaminados centrados en gadgets IoT, con el objetivo no de hacer daño, sino de minar moneda digital.
La moneda digital de código abierto Monero es una de las primeras en ser minada utilizando aparatos IoT contaminados, por ejemplo, videocámaras. Aunque una videocámara no tiene activos increíbles para minar la moneda digital, una multitud de ellos lo hace.
Los excavadores de redes de bots IoT representan un peligro increíble para la publicidad de las criptomonedas, ya que pueden inundar y perturbar todo el mercado en un asalto solitario.
Espionaje industrial y espionaje
En el caso de que los programadores asuman el control del reconocimiento en el área contaminando los gadgets de IoT, el espionaje probablemente no será la principal alternativa Pueden igualmente realizar tales asaltos para solicitar la emancipación de dinero.
De esta manera, el ataque a la protección es otro problema de seguridad de IoT inconfundible. El espionaje y el allanamiento de morada a través de gadgets IoT es un verdadero problema, ya que una tonelada de información sensible puede ser socavada y utilizada en contra de su propietario.
En un nivel fundamental, un programador debe asumir el control de una cámara y utilizarla para espiar. En cualquier caso, no hay que pasar por alto que numerosos aparatos IoT registran los datos de los clientes, independientemente de si se trata de hardware de bienestar, juguetes inteligentes, wearables, etc. En un nivel moderno, la enorme información de una organización que puede ser recopilada por los programadores para descubrir datos empresariales delicados.
Algunos países están empezando a boicotear los gadgets IoT explícitos con problemas de seguridad. Por ejemplo, el intuitivo muñeco de IoT con un pin de Bluetooth, que ofrecía acceso a la boquilla y al altavoz del juguete a cualquier persona dentro del barrido de 25-30 metros. El muñeco fue denominado como un gadget de actividades secretas y fue prohibido en Alemania.
La seguridad del Internet de las Cosas (IoT) es el área tecnológica que se ocupa de salvaguardar los dispositivos y redes conectados en el Internet de las Cosas (IoT).
En IoT se trata de añadir una conectividad a Internet a un sistema de dispositivos informáticos interrelacionados, como máquinas mecánicas y digitales, animales, objetos y/o personas. Cada «cosa» está dotada de unos datos únicos reconocidos y de la capacidad de transferir automáticamente datos a través de mil redes. Permitir que los dispositivos se conecten a Internet los expone a una serie de graves riesgos si no están debidamente protegidos.
La seguridad de IoT se ha convertido en el tema de la seguridad después de que se produzcan una serie de incidentes de alto perfil y también en áreas comerciales en las que se utilizó un dispositivo IoT común para insertar el virus y atacar el mayor número de redes. La aplicación de problemas y medidas de seguridad es fundamental para garantizar la seguridad de las redes con dispositivos IoT conectados a ellas.
Te gusta el artículo Por favor, Upvote
Sin duda, el IoT está entrando cada vez más en nuestra vida cotidiana. Como resultado, los riesgos causados por esta misma tecnología también están aumentando enormemente. En la era actual, los ciberataques no se limitan a las ocasiones que se pueden referir con un término «si», sino que ha llegado a un punto que puede ser motivo de preocupación con un término «cuando»… leer más
El Internet de las Cosas (IoT) puede aumentar la eficiencia, pero también conlleva nuevos riesgos. En realidad, el IoT conecta dispositivos inteligentes que incluyen, entre otros, ordenadores, teléfonos inteligentes, electrodomésticos inteligentes, herramientas de automatización, etc.
IoT es también un arma de doble filo. Tiene sus ventajas, pero hay graves amenazas que acompañan a esta tecnología.
Problemas de seguridad en IoT
Dado que los dispositivos IoT están conectados a Internet, pueden ser pirateados como cualquier otro dispositivo con acceso a Internet.
Al igual que los dispositivos que son secuestrados y convertidos en servidores de correo electrónico para el spam masivo, los dispositivos inteligentes de IoT también pueden ser utilizados como redes de bots para llevar a cabo ataques DDoS (Denegación de Servicio Distribuida).
En el pasado, los hackers han utilizado monitores de bebés, cámaras web, cajas de streaming, impresoras e incluso smartwatches para llevar a cabo ataques DDoS a gran escala. Los fabricantes deben entender los riesgos asociados a los dispositivos conectados al IoT y tomar todas las medidas necesarias para asegurar sus dispositivos.
Muchos dispositivos IoT no cifran los mensajes al enviarlos por la red. Este es uno de los mayores retos de seguridad de IoT que existen. Las empresas deben asegurarse de que la comunicación entre los dispositivos y los servicios en la nube sea segura y esté cifrada.
Uno de los principales retos del IoT es que los dispositivos suelen grabar, tener acceso y transmitir datos sensibles. Los sistemas de seguridad, como las cámaras y los timbres, forman parte cada vez más de las redes de las pequeñas empresas, y pueden crear rápidamente problemas importantes si son pirateados por un ciberdelincuente. Los equipos de oficina, como las impresoras, también son puntos de acceso potenciales: una impresora comprometida podría significar fácilmente que el atacante puede ver todo lo que se imprime o escanea en una oficina.
El Grupo Gartner tiene una larga trayectoria en la evaluación de tecnologías emergentes, y ha definido un ciclo típico de hype que sigue
1) una innovación tecnológica desencadena un nuevo potencial
2) las expectativas se disparan y alcanzan un pico de expectativas infladas
3) el sentimiento se hunde en una depresión de desilusión
4) cuando la realidad se impone, las tecnologías prometedoras ascienden lentamente por la pendiente de la iluminación
5) finalmente se alcanza una meseta de productividad que está por debajo del pico exagerado
Obsérvese la posición de la «Plataforma IOT» en el gráfico del año pasado. El riesgo número uno para la seguridad laboral de la IoT son las expectativas infladas que conducen al bajo rendimiento y a la desilusión de las personas que se juegan su carrera en iniciativas de IoT mal planificadas.
Hay diferentes nodos en IOT.
Servidor, Gateway, Dispositivo
Y estos se comunican con diferentes protocolos como entre el Servidor y el Gateway, generalmente el protocolo es HTTP, entre el Gateway y los Dispositivos podría ser COAP, MQTT, Websocket sobre la Red de Radio de Área Local.
El problema con la seguridad de IOT es
O se puede ser rápido o seguro, ya que la seguridad viene con una sobrecarga de mensajes pesados y menor velocidad.
Así que si alguien puede diseñar un protocolo que sea seguro y que tenga menos sobrecarga, estaría resolviendo muchos problemas de seguridad.
Uno de los principales problemas de seguridad en el IoT es la prevención de la conexión de dispositivos fraudulentos a su red. Los usuarios de IT Central Station que se enfrentan a estos problemas han encontrado algunas soluciones de seguridad para el IoT que ayudan a resolver estos problemas. Puede encontrar reseñas de usuarios reales de este tipo de soluciones aquí: Proveedores de Seguridad IoT | IT Central Station
Como ejemplo, este usuario escribe en su reseña de ForeScout CounterACT: «Nos proporciona visibilidad de lo que está conectado a nuestra red, como contratistas, dispositivos móviles, y si forman parte de nuestra lista de activos corporativos o no.» Puedes leer el resto de su reseña aquí: Revisión de ForeScout CounterACT por un usuario real
La principal es que, en general, no existe.
La mayoría de los productos ya entregados al mercado, por ejemplo, vienen con un usuario y una contraseña de inicio de sesión configurados originalmente por el fabricante.
No es que haya algunos problemas con los módulos de mitigación de la seguridad introducidos en los dispositivos IoT que causen riesgos de seguridad, las empresas tienen y están entregando productos con prácticamente ninguna atención a los posibles problemas de seguridad.
Breve análisis de Mirai, el bot que está detrás de la última discusión en torno a la seguridad del IoT
Y el artículo que expuso la filtración del código fuente de Mirai (por el bloguero que fue su primer objetivo DDOS, Brian Krebs)
Se publica el código fuente de la red de bots IoT ‘Mirai’
Actualmente, las empresas de seguridad y los fabricantes están uniendo posiciones para asegurar el mundo del IoT antes de que se convierta en una locura. La organización de seguridad digital Gemalto quiere utilizar su participación en las instalaciones móviles para asegurar los dispositivos IoT. Gemalto pondrá su tecnología Secure Element a disposición de las organizaciones de automóviles y servicios. SE es un segmento de seguridad alterado que se implanta en los dispositivos para potenciar la seguridad digital avanzada y la gestión del ciclo de vida por medio de la encriptación y la restricción del control de acceso a los datos táctiles.
Neil K. Jones
Director del segmento de mercado de IBM:
«El 18 de enero, Ponemon Institute publicó los resultados de su estudio ‘2017 State of Mobile & IoT Application Security’. El estudio independiente, copatrocinado por IBM y Arxan Technologies, analizó 593 respuestas de profesionales de la seguridad de aplicaciones y TI. La encuesta identificó muchas lagunas en las prácticas de seguridad de IoT de las organizaciones.
A continuación aparece un resumen de las principales conclusiones del estudio:
1. Existe una preocupación generalizada en las organizaciones por la seguridad de las aplicaciones de IoT.
Los encuestados están ligeramente más preocupados por la posibilidad de ser hackeados a través de las aplicaciones de IoT (58%) que de las aplicaciones móviles (53%), pero ambas cifras reflejan porcentajes elevados.
2. La «inseguridad» de IoT ha provocado violaciones de datos importantes.
En total, el 46% de los encuestados dijo que sabía con certeza (4%), que era muy probable que lo supiera (11%) o que era probable que lo supiera (31%) que su organización había sufrido un ataque derivado de aplicaciones de IoT inseguras.
3. Las aplicaciones de IoT suponen una amenaza para las sólidas posturas de seguridad de las organizaciones.
El setenta y cinco por ciento de los encuestados indicó que el uso de las aplicaciones de IoT aumenta el riesgo de seguridad de forma significativa o muy significativa.
4. Existe un alto nivel de preocupación por las aplicaciones de IoT inseguras.
El setenta por ciento de los encuestados informó que estaba muy preocupado por el uso de aplicaciones de IoT inseguras en sus lugares de trabajo.
5. Las organizaciones no están seguras de conocer todas las aplicaciones de IoT que se utilizan en sus lugares de trabajo.
El 75% de los encuestados no confía (38%) o no confía (37%) en conocer todas las aplicaciones de IoT que se utilizan en sus empresas. Sin embargo, los encuestados estimaron que los empleados de sus organizaciones utilizan activamente, en promedio, una asombrosa cantidad de 241 aplicaciones de IoT.
6. Los posibles incidentes de seguridad y las nuevas normativas impulsan el crecimiento presupuestario de la seguridad de las aplicaciones.
Sólo el 30 por ciento de los encuestados dijo que su organización asigna suficiente presupuesto para proteger las aplicaciones móviles y los dispositivos IoT. Si sus organizaciones experimentaran un incidente de seguridad grave, el 54 por ciento de los encuestados indicaron que muy probablemente considerarían aumentar sus presupuestos de seguridad. Mientras tanto, el 46% de los encuestados dijo que su organización probablemente aumentaría los presupuestos de TI para prepararse para las nuevas regulaciones, y el 25% informó que la cobertura de los medios de comunicación de una violación de datos grave animaría a sus organizaciones a hacer lo mismo.
7. La precipitación en la publicación es una de las principales razones por las que las aplicaciones móviles y de Internet de las cosas contienen código vulnerable.
El setenta y cinco por ciento de los encuestados citó la presión sobre el equipo de desarrollo como la principal razón por la que las aplicaciones de IoT contienen código vulnerable. Los errores de codificación accidentales en las aplicaciones móviles y de IoT también dan lugar a código vulnerable, según el 65 por ciento de los encuestados. La falta de políticas o normas internas que aclaren los requisitos de seguridad también puede afectar negativamente a la seguridad de las aplicaciones.
8. Hay una falta de urgencia para abordar los riesgos de seguridad de las aplicaciones de IoT.
Sólo el 42 por ciento de los encuestados dijo que su organización quiere asegurar urgentemente las aplicaciones de IoT. Esta falta de urgencia puede deberse a que los presupuestos de seguridad de las aplicaciones son bajos, o a que la organización no delega la protección de los datos en un líder de TI dedicado. Más bien, la protección de las aplicaciones y los datos suele residir en las líneas de negocio, desarrollo o ingeniería.
9. Las pruebas de seguridad de las aplicaciones del IoT se realizan de forma ad hoc, si es que se realizan.
Las organizaciones pueden reconocer el riesgo general, pero muchas tardan en reaccionar. Esta falta de urgencia se refleja en las prácticas de seguridad de las aplicaciones de IoT: Casi la mitad de los encuestados (48%) informó de que su organización no probaba las aplicaciones IoT para detectar posibles vulnerabilidades.
De media, sólo el 20 por ciento de las aplicaciones de IoT se someten a pruebas para detectar vulnerabilidades. Una media del 38 por ciento de las aplicaciones IoT probadas contenían vulnerabilidades significativas.
10. Las pruebas de seguridad de las aplicaciones se retrasan con frecuencia hasta la fase de producción del ciclo de vida del desarrollo de software (SDLC).
El 58% de los encuestados afirmó que su organización suele esperar hasta la producción para probar las aplicaciones de IoT. Es de sobra conocido que el tratamiento de los defectos en esta fase del ciclo de vida supone los mayores costes globales para las organizaciones.
Para obtener una copia gratuita de los resultados completos de la encuesta, visite esta publicación del blog
.
Y, haga clic aquí
para escuchar la repetición de nuestro seminario web sobre los resultados de la encuesta, presidido por Larry Ponemon del Ponemon Institute, Mandeep Khera de Arxan Technologies y yo.
Como siempre, estaré encantado de responder a cualquier pregunta adicional que pueda tener… ¡Gracias!»
Cualquier información que IBM proporcione no es asesoramiento legal.
Los dispositivos IoT son actualmente muy vulnerables a las violaciones de seguridad. La mayoría de los dispositivos IoT vienen sin nombre de usuario/contraseña o con un nombre de usuario/contraseña por defecto. En el momento de la instalación, esto es lo último que el usuario se preocupa por cambiar. La vulnerabilidad comienza desde aquí. Hay algunos otros puntos de vulnerabilidad, estos son :
Interfaz web insegura: Muchos de estos dispositivos tienen un servidor web integrado que aloja una aplicación web para gestionar el dispositivo. Como cualquier servidor web/app, puede haber fallos en el código que permitan atacar el dispositivo. Al tratarse de dispositivos conectados, los puntos débiles pueden ser explotados de forma remota.
Servicios de red inseguros: Los dispositivos IoT pueden tener servicios de diagnóstico y prueba. Incluso pueden tener servicios de depuración. Si éstos se encuentran en puertos abiertos, inseguros o vulnerables, son potenciales agujeros de seguridad. Estos servicios de «mantenimiento» probablemente han sido poco probados, por lo que es más probable que tengan código explotable detrás de ellos
Falta de encriptación del transporte : Si un dispositivo envía información privada a través de un protocolo inseguro, cualquiera podría leerla.
Cuestiones de privacidad: en general, la digitalización conduce a un mundo más abierto, lo que abre un gran debate sobre la privacidad.
Software/firmware inseguro: Al aplicarse los parches remotos, algunos de estos parches pueden no ser realmente auténticos y podrían desplegarse para explotar la información
Hoy en día, el Internet de las cosas ofrece grandes oportunidades y tiene un enorme potencial, pero al mismo tiempo conlleva un gran número de amenazas relacionadas con la seguridad. Y las empresas desarrolladoras deben prever todas las contingencias y prevenir el peligro.
En los últimos años, el concepto de Internet de los objetos ha evolucionado desde el control de las bombillas a través de una aplicación de smartphone hasta la creación de aparatos con IA capaces de tomar decisiones, y también lo han hecho las ciberamenazas.
Hoy en día, cualquier cosa -incluida la electrónica de consumo, las redes y las redes inteligentes- puede ser hackeada.
He aquí un breve registro de los retos de seguridad y privacidad que surgieron en el Internet de las Cosas en su día:
Durante la conferencia Black Hat de 2011, Jay Radcliffe, un destacado investigador de seguridad y antiguo empleado de IBM, escribió una sencilla aplicación que podía emitir órdenes a su bomba de insulina, lo que permitía a los atacantes aumentar o reducir a distancia los niveles de azúcar en sangre de un paciente. Radcliffe no estaba seguro de cuántos fabricantes de bombas producían artilugios vulnerables y sugirió implementar un sólido proceso de verificación para que los usuarios pudieran aprobar los cambios realizados en sus dispositivos;
Dos años más tarde, Proofpoint, una empresa californiana especializada en seguridad empresarial, descubrió el primer gran ciberataque al Internet de las Cosas, que afectó a 100.000 electrodomésticos inteligentes y generó más de 750.000 correos electrónicos de spam. Según Proofpoint, los ciberataques y las amenazas a la seguridad del Internet de las Cosas no son fáciles de mitigar: la red de bots media está formada por varios miles de aparatos y cada nodo realiza una pequeña tarea (como enviar cinco correos electrónicos a una empresa o a un particular). Además, la mayoría de las vulnerabilidades de seguridad del Internet de las Cosas se deben a una mala configuración y al uso de contraseñas por defecto (que dejan los aparatos expuestos en las redes públicas);
A lo largo de 2015, varias familias de Estados Unidos y Europa Occidental informaron de casos de pirateo de monitores para bebés. Varios incidentes afectaron a las cámaras inalámbricas Foscam. El fabricante publicó rápidamente una actualización del firmware e instó a los padres a actualizarlo a la última versión cada seis meses;
El 21 de octubre de 2016 será probablemente recordado como el 11 de septiembre del IoT. Ese día, la red de bots Mirai, compuesta por routers Wi-Fi pirateados, cámaras de vigilancia y otros aparatos electrónicos de consumo que ejecutaban versiones obsoletas de Linux, bombardeó los servidores de Dyn, haciendo caer varios sitios web importantes (como GitHub, Twitter y The Verge);
Hace unos días, aparatos IoT comprometidos intentaron bloquear la dirección web del kill-switch que había detenido WannaCry, el programa malicioso que infectó más de 230 mil ordenadores con Windows en 150 países y exigió el pago de un rescate en Bitcoin.
A partir de 2017, el 90% de los dispositivos IoT son objeto de
a ataques remotos. Entre ellos se encuentran juguetes, termostatos, aparatos sanitarios e incluso vehículos de autoconducción. Muchos de estos dispositivos ya han salido al mercado.
¿Qué hacemos ahora? Ese es otro tema de debate.
Las razones de la inseguridad de la IO se remontan a la naturaleza del modelo de negocio de la IO, al hecho de que la IO es una tecnología emergente y a la ausencia de normativas que impongan la seguridad como requisito para la IO. Algunas de las causas fundamentales de la vulnerabilidad de la IO pueden enumerarse como sigue:
Algunos proveedores son nuevos en la seguridad y no son conscientes de lo que puede salir mal, ya que su principal experiencia es en iluminación, electrónica, aire acondicionado, etc., pero no en seguridad. Además, las capacidades de la IO son limitadas, especialmente en lo que respecta a la codificación, y una mayor potencia de cálculo implica un mayor coste.
Muchos de los IoT son baratos y los proveedores no pueden permitirse un análisis profundo de las vulnerabilidades de sus productos.
Los usuarios no suelen actualizar el firmware de su IoT a tiempo, y los proveedores no proporcionan una actualización automática de la seguridad. Además, la corta vida del IoT hace que los mecanismos de actualización sean más difíciles.
La fragmentación de la cadena de suministro del IoT dificulta la colaboración entre los distintos agentes del mercado del IoT (por ejemplo, componentes, herramientas, desarrolladores, proveedores de servicios de apoyo).
La diversidad de normas y tecnologías dificulta el diseño de un producto seguro.
En ocasiones, la incertidumbre sobre el riesgo asociado a los productos de IoT, por ejemplo, un riesgo asociado al desarrollo de IoT para vehículos conectados puede ser mayor de lo esperado.
Muchos dispositivos del IoT son de bajo coste y bajo margen. Se fabrican sin pensar seriamente en la seguridad. Si el firmware se actualiza, puede que no haya una buena manera de informar a los usuarios. Los usuarios no suelen actualizar el firmware por desconocimiento o por miedo a bloquear el dispositivo. Algunos dispositivos IoT tienen cuentas de administrador sin contraseña o con una contraseña por defecto muy sencilla. No se aconseja a los usuarios que cambien la contraseña por defecto. Por último, los dispositivos IoT se comunican con el teléfono inteligente del usuario a través de una cuenta en el servidor del fabricante. Los usuarios utilizan contraseñas fáciles de adivinar y no activan la autenticación de dos factores, lo que facilita a los hackers el acceso a la cuenta. Los dispositivos IoT suelen contener potentes ordenadores y se consideran dispositivos «de confianza» en la red local. Eso hace que sea fácil utilizarlos como punto de entrada a los ordenadores, enviar correos electrónicos, etc.
Para protegerse: Si un dispositivo IoT tiene una cuenta de administrador, cambie la contraseña. Utilice una contraseña segura y única para la cuenta con el fabricante y active la autenticación de 2 factores. Configure una red de invitados con aislamiento de clientes y coloque los dispositivos IoT en la red de invitados.
