Puede ser una circunstancia de pesadilla. Nadie quiere recibir esa llamada del proveedor de servicios de Internet en la que se le informa de que su frigorífico o su tostadora forman parte de una red de bots. Por eso nos referimos a ello como el idiota de las cosas. No hay ninguna razón para que tu nevera esté conectada a Internet. Es aún más aterrador que hagas pedidos a través de él. Nunca sabes a dónde va esa información, ni quién la tiene.
En general, la «seguridad» es un acto de equilibrio entre la funcionalidad o la comodidad y la exposición.
Por ejemplo, en teoría es más seguro utilizar una contraseña diferente cada día y no tener un ordenador conectado a ninguna red, incluso tener el ordenador completamente blindado para que no pueda salir ninguna radiación de él.
Pero eso es muy poco práctico, así que hay que hacer concesiones.
En general, abrir los riesgos de alguien expuesto es peligroso.
Por lo general, es posible mitigar la mayoría de los riesgos con cada exposición. También hay que tener en cuenta cuál es la naturaleza de la exposición.
Por ejemplo, digamos que tienes un timbre que accede a un servicio en la nube para enviar vídeo y notificaciones a tu teléfono si alguien llama al timbre.
Si esa conexión está encriptada utilizando las mejores prácticas, en teoría está mayormente mitigada.
Digo mayormente porque cualquier encriptación puede ser descifrada con suficiente tiempo y energía. Para los mejores esquemas de encriptación en circunstancias ordinarias, este tiempo y energía es totalmente impracticable incluso para el individuo más dedicado.
También vale la pena examinar cuál es el riesgo real. Volviendo al timbre:
Expones un vídeo del exterior de tu casa, en la puerta principal. ¿Qué puede hacer alguien que sólo tenga acceso de lectura a esto?
Pueden averiguar cuándo sales de casa, si sales por la puerta principal.
Pueden averiguar cuándo vuelves a casa, si sales por la puerta principal
Pueden tomar nota de cualquier horario regular que utilices
Pueden ver si alguien deja un paquete en la puerta de su casa
Pueden vigilar el tráfico fuera de tu casa (esto es digno de mención porque ni siquiera te afecta a ti, necesariamente, sino que puede afectar a tus vecinos, que quizá no hayan querido exponerse a estos riesgos).
Con un poco más de acceso:
Sobrescribir la grabación de vídeo
Bloquear la grabación de vídeo
Crear una molestia al activar el timbre una y otra vez.
Los riesgos de una exposición real inadvertida pueden ir desde lo molesto hasta lo potencialmente muy peligroso… suponiendo que alguien vaya realmente a por ti.
Después de analizar el impacto potencial, es importante analizar la probabilidad de que ocurra. La mayoría de los dispositivos inteligentes no le expondrán a mucho más que una molestia, como se ha señalado anteriormente. Los timbres con vídeo permitirán que alguien te vigile a distancia, pero es bastante sencillo que también te vean hacer lo tuyo en persona, o incluso con un dron. No vas a evitarlo todo por no tener uno de estos dispositivos, a menos que estés realmente en tu juego de contravigilancia, en cuyo caso no estarías conectado a la nube de todos modos.
Algunos de ellos, como los dispositivos activados por voz, tienen el peligro de que, aunque las empresas nos aseguran que no almacenan estas conversaciones y que sólo escuchan las palabras clave que se dicen antes de grabarlas (Como: «Alexa…» o «Hey Siri…» u «Ok Google…»), no podemos saber eso, y estos dispositivos en realidad funcionan llegando a la base de operaciones y procesando todo allí, por lo que simplemente estamos confiando en que la empresa haga lo «correcto para nosotros».
Pero el verdadero problema de estos dispositivos inteligentes conectados a Internet viene con las actualizaciones y los parches.
El software es complicado.
Mezclar el software con el hardware es aún más complicado.
Además, la gente es brillante y es capaz de descubrir formas de sortear las soluciones de encriptación y autenticación sin crackearlas directamente.
Este artículo cubre cosas como los dispositivos médicos. Cosas que están en los consultorios médicos, hospitales, etc.
En realidad, los productos de consumo podrían ser un poco mejores en algunas áreas, ya que tienen una base de uso mucho más amplia y las empresas podrían tener un mayor personal de desarrolladores de parches para impulsar estos parches.
Sin embargo, la mayoría de los dispositivos que he visto no buscan automáticamente los parches y, aun así, puede ser necesario tener cierta experiencia para instalarlos.
Además, aunque el software está mejorando, la accesibilidad del hardware no es muy práctica en la mayoría de los dispositivos IOT. En otras palabras, si no se actualiza algo a través de Internet, no hay recurso. Podrías acabar brickeando el dispositivo y dejándolo inservible, ya que no hay forma de acceder físicamente a los ordenadores que contiene y la empresa podría no respetar la garantía en ese momento (un aspecto de la seguridad es la recuperación a posteriori).
El consumidor medio no es un manitas de la tecnología. Sólo quieren poder precalentar su horno mientras van de camino a casa con la pizza congelada o poder averiguar el tiempo sin salir a la calle.
Con los millones de dispositivos que existen, con las empresas que aparecen y desaparecen, no hay garantía de que lo que se compra ahora siga teniendo parches dentro de 10 años. Podrías pensar que estarías seguro comprando Amazon o Phillips, en lugar de algún advenedizo, pero la realidad es que mañana Phillips podría ser comprada por Apple, que entonces decide cerrar el departamento Hue dejando tu hub sin parchear… o la empresa advenediza de hogar inteligente (una industria que no es un mercado alcista) simplemente desaparece, dejando una pieza de tecnología de la que dependes sin protección.
Con los «smarthubs», además, estás añadiendo aún más riesgo al consolidar el control en una sola interfaz. Si tienes el timbre con vídeo, las luces, las persianas, el horno, el frigorífico, el termostato, las cerraduras de la puerta principal y la puerta del garaje, todo controlado por el mismo dispositivo, y alguien averigua tu autentificación, puede tener vía libre en tu casa.
Al diversificar los controles no se mejoran necesariamente las cosas, ya que entonces tendrías la misma contraseña para todo o aumentarías los riesgos de perder una de esas contraseñas.
No es un panorama seguro para los dispositivos habilitados para Internet de grado de consumidor, desde los riesgos de seguridad hasta la pérdida de privacidad.
Dicho esto, la mayoría de la gente renunciaría a su privacidad y arriesgaría su seguridad por un poco de comodidad si todo funcionara. Lo que no ocurre para la mayoría de la gente.
La mayoría de la gente clasifica su conveniencia bastante alto y no piensan que en realidad tienen mucho en riesgo … pero no creo que realmente miraron lo mucho que han expuesto a sí mismos (Incluso diciendo esto, tengo 3 Echoes en mi casa, luces Hue, puerta de garaje a distancia, video timbre, y cerraduras de cerrojo a distancia).
Siempre he sido una de esas personas que creen que algún día tu tostadora necesitará su propia dirección IP y no es descabellado que un propietario de una casa espere necesitar su propio bloque de espacio de direcciones IP. Pero hablando como profesional de la seguridad, esto debería asustar francamente a la mayoría de nosotros.
Muchas de las últimas innovaciones son fantásticas para hacer nuestra vida más fácil o al menos añadir un factor WOW, pero el triste hecho es que la seguridad es a menudo un pensamiento posterior o una prioridad mínima para las empresas que hacen estas grandes invenciones.
Como ejemplo rápido, coge tu teléfono y mira las redes wifi disponibles en tu barrio. Dando un paseo por mi manzana encontré numerosas impresoras, un timbre, unos cuantos termostatos, muchas redes inalámbricas e incluso unos cuantos coches dispuestos a hablar conmigo. Algunos de ellos tenían nombres y contraseñas por defecto.
Multiplica esto por el número de dispositivos que hay en tu casa y piensa por un momento en lo bien que se lo podría pasar alguien si «hackeara tu casa». Esta misma mañana he estado jugando con un sistema inalámbrico para acceder a la red de agua.
El poder de una casa que puede escuchar cada palabra que dices y seguir cada orden que le das para abrir las ventanas, cerrar y bloquear las puertas, encender las luces, pedir comida, cocinar, todo mientras se asegura de que nunca te pierdas tus programas favoritos. La música que escuchas te sigue mientras te mueves por la casa y tu asistente personal informatizado programa las citas y te mantiene puntual a todos los acontecimientos más importantes de tu vida.
Pero una mañana el despertador no le despierta a tiempo. La casa parece más fría de lo habitual. Las luces no se encienden. El agua parece haberse cortado. Tu lista de reproducción está reproduciendo algo llamado Ópera Klingon. Incluso tu tostadora está reproduciendo esa cosa.
Llegas tarde, así que te apresuras a salir por la puerta y te vas a trabajar. Lo extraño es que la casa no se cierra automáticamente, sino que hay que hacerlo manualmente. Para cuando vuelves a casa esa noche tu casa es PROPIA. Docenas de paquetes han sido entregados por Amazon y otros servicios. El cartel de SE VENDE en el patio delantero es nuevo. El agua sigue cortada. Su cuenta bancaria está vacía. Has comprado un coche nuevo en Texas y has hecho una oferta en efectivo por una casa en Florida. Tiene 9 tarjetas de crédito adicionales de las que no se enterará hasta dentro de unos meses y otras líneas de crédito nuevas.
Su número de la seguridad social está siendo utilizado por una empleada doméstica en Illinois y un peón agrícola en California, pero no se preocupe, ellos declararon sus impuestos por usted.
El diablo está en los detalles…
El hecho de que un dispositivo mantenga los alimentos fríos en lugar de mantener los datos disponibles en caliente no significa que necesite menos protección contra la piratería informática, el adelantamiento o el uso indebido, ya sea accidental o intencionado. Tu nevera, termostato o bombillas IoT necesitan una seguridad extremadamente alta mediante un cifrado implementado con los más altos estándares.
No es fácil (léase, es caro), pero si se hace bien, estos dispositivos pueden aportar grandes beneficios. Si se hace mal, se puede desatar el infierno.
Pero supongamos que los fabricantes de la mayoría de los dispositivos IoT acaban haciéndolo bien o son expulsados del mercado. La pregunta es entonces: ¿cuáles son las reglas? En otras palabras, ¿qué leyes rigen el uso de estos dispositivos y, especialmente, qué normas limitan y protegen la privacidad de las personas que los utilizan?
Ese es el verdadero problema.
Hola Thomas-
Bueno, mi opinión, y la del otro ISSO oficial de ciberseguridad de mi oficina, es que no nos gusta tener esos dispositivos monitorizando nuestras conversaciones y llamando a casa con información recogida que ni siquiera conocemos.
Él tiene un Echo -desenchufado, en su armario. Eso es porque su mujer y su hijo se lo pidieron. Yo no tengo ninguna de estas cosas. Sí tengo una consola de juegos. Está apagada y no está conectada a mi red. Mi SMART TV no es tan inteligente, y las funciones inteligentes están apagadas. Me parece que usar un teclado y un ratón es más funcional a través de un PC que usar un mando a distancia. Mi novia tiene un televisor mucho más nuevo… y todavía tiene que pelearse con el mando.
Por otro lado, mi analista de TI de ciberseguridad tiene tanto un Amazon Echo como un Google Home en su casa. Su objetivo es conseguir que los dos se peleen entre sí. Le pregunté acerca de la citación para la conversación cuando su esposa lo mate, y dijo que no le preocupaba tanto.
En general, creo que la idea es estupenda: me encantaría poder consultar mis sistemas en cualquier momento cuando estoy a distancia y descubrir, por ejemplo, que me queda poco aliño para la ensalada. Pero no me gusta que Samsung recoja y venda mis preferencias a las tiendas de comestibles locales. No me gusta tanto la falta de privacidad como para arriesgarme a que mi hija utilice todo mi aliño de ensalada y no me lo diga.
Y, como se menciona más adelante, si tengo suerte en el sofá -y mi novia también es experta en tecnología-, ¡prefiero que no lo descubra hackeando mi reloj! (Ok-verdad en la publicidad-no tengo un sofá, ya sea, y mientras que mi novia es en la tecnología, ella no es capaz en este momento para hackear mi reloj. Además, eso requeriría tiempo y una vida social que no tengo).
Mi respuesta fue un poco irónica, pero los comentarios que aparecen a continuación realmente dan cuenta de los problemas técnicos de seguridad. Espero que lo que digo resulte útil… cuando añades una pieza más de tecnología conectada -sobre la que realmente no tienes control- a tu hogar, tu superficie de ataque aumenta exponencialmente al cuadrado del número total de dispositivos conectados. ¿Cuáles son las probabilidades de que un dispositivo desarrollado para la publicidad se configure teniendo en cuenta tu privacidad? Podría ocurrir…
Espero que esto ayude.
Darin
Tengo un Echo. Es una de las unidades Beta 2. Tiene algunos problemas.
Normalmente se apaga a menos que se esté usando.
Recuerdo haber discutido con el resto del primer equipo de TCP sobre lo grande que iban a ser las cosas. Yo -y algunos otros- argumentábamos que todo lo que tuviera una CPU y una conexión de red acabaría queriendo hablar con todo lo que tuviera una CPU y una conexión de red. La mayoría de los asistentes se burlaron de ello: se trataría de grandes sistemas en instituciones importantes, dedicadas a la ciencia, la educación y la investigación.
Ninguno de nosotros vio lo que todo eso significaba realmente. Nadie imaginó que habría literalmente miles de millones de dispositivos conectados, constantemente.
No hay ninguna noción de identidad, ni de seguridad, ni de garantía incorporada a ninguno de los protocolos. Todo se diseñó en una época en la que, literalmente, conocíamos a todo el mundo en la red, y no había «tipos malos».
Siempre recuerdo a la gente que la «S» de «IOT» significa «Seguridad».
A2A
Mi primera respuesta es: «Eso es total y absolutamente estúpido». Mi segunda respuesta es: «Está bien siempre que se planifique adecuadamente cómo se van a implementar y se les proporcione seguridad».
La gran mayoría de los dispositivos IoT son inseguros por diseño. Los fabricantes utilizan los controladores integrados más básicos para realizar el trabajo y no se molestan en incluir la seguridad en ellos. Muchas veces, las cuentas y contraseñas de los administradores, las direcciones IP, etc. están codificadas en los sistemas, ya que facilita la fabricación del dispositivo, reduciendo así los costes.
Personalmente, tiendo a evitar cualquier tipo de dispositivo IoT estándar, ya que puedo fabricar el mío propio con Raspberry Pis u otros kits de «construcción». Esto también significa que sé exactamente de lo que es capaz, que no hay puertas traseras, y que puedo poner la seguridad que quiera en ellos.
El único dispositivo IoT que tengo en mi casa es un termostato ecobee. Sin embargo, está en la red de invitados de mi router, por lo que no tiene acceso directo a mi LAN personal, aunque sigue teniendo acceso a Internet.
Si alguien quiere utilizar dispositivos IoT en su casa, debería tenerlos en una red separada de su LAN normal. De esta manera, si es hackeado, lo único que el atacante puede tocar son los dispositivos en esa LAN separada, pero nada en la red regular, por ejemplo, información bancaria, archivos personales, etc. Los verdaderamente paranoicos tendrían cada dispositivo en su propia VLAN separada, pero eso es probablemente demasiado para la mayoría de la gente.
Además de las redes separadas, los cortafuegos deberían estar configurados para permitir sólo el tráfico en los puertos realmente necesarios, normalmente los puertos 80 y 443 para HTTP y HTTPS, respectivamente. Los dispositivos IoT rara vez necesitan otros puertos.
Las cuentas por defecto de los dispositivos deben cambiarse o desactivarse, así como las contraseñas. Ponerlos detrás de un dispositivo NAT, como un router, ayuda a ocultarlos de Internet en general. Esto los hace menos susceptibles de ser encontrados durante los escaneos.
Si el dispositivo no necesita acceso constante a Internet, apáguelo. Aunque están diseñados para un acceso 24/7, algunos dispositivos realmente sólo necesitan acceso a la red local para ser funcionales y no necesitan llamar a casa. En otras palabras, mientras pueda acceder a la interfaz local, no necesita acceder a través de Internet.
Evidentemente, algunos dispositivos para funcionar correctamente necesitan acceso a Internet, como Alexa o Google Home, que tienen que llamar a los servidores para que el reconocimiento de voz funcione. Sin embargo, si realmente quisieras, podrías reducir la funcionalidad de estar siempre disponibles cuando están en el rango de voz y configurarlos para que tengas que encenderlos manualmente.
Los llamados televisores inteligentes son una completa y absoluta basura, en mi opinión. Por lo general, no tienen una potencia de procesamiento comparable a la de un descodificador o incluso una consola de juegos, por lo que suele haber algunas dudas a la hora de utilizar sus funciones. Además, tienen fama de monitorizar continuamente no sólo el audio ambiental (a menudo para poder decir a los anunciantes lo que estás viendo, así como los anuncios que se ven), sino también tus hábitos particulares de visualización. Suelen llamar por teléfono a la nave nodriza con todos estos datos personales utilizando texto plano, y a veces se incluye la información de tu acceso al WiFi. Eso significa que cualquiera que intervenga tu señal podría averiguar tu inicio de sesión en la red.
Aunque es difícil encontrar un televisor tonto, tener un televisor inteligente no significa que tengas que habilitarlo. Compré un televisor inteligente habilitado para Alexa por poco dinero durante el día de Amazon Prime, pero nunca lo conecté a mi red. Mis necesidades de streaming son manejadas por una Xbox One y una caja Kody. Tengo un mando a distancia, así que ¿por qué necesito controles de voz?
Estas son solo algunas de las cosas que hay que tener en cuenta con los dispositivos IoT. No lo incluyen todo, pero, en general, recomiendo no adquirir un supuesto dispositivo inteligente a menos que haya una razón legítima y se tomen precauciones razonables.
Gracias por A2A.
¿Qué opinan los profesionales de la ciberseguridad sobre la introducción de aparatos conectados a Internet, como frigoríficos y Amazon Echos, en los hogares?
No soy un profesional de la seguridad, sin embargo, he hecho muchas presentaciones con respecto a los sistemas recién desplegados y los probables exploits extremadamente simples que no se han abordado en el desarrollo del sistema. El 90% de las veces, mi predicción del método o métodos utilizados para vulnerar el sistema ha sido correcta. Esto se refleja muy mal en ciertas empresas privadas que están asumiendo funciones gubernamentales.
Por lo tanto, como individuo, no quiero una casa inteligente que esté conectada a Internet. Cuando la gente rodeada de profesionales de la seguridad como MZ sigue siendo tan paranoica como para mantener las cámaras grabadas y los micrófonos enchufados, ¿qué esperanza hay para la gente como yo que ahora está saliendo de la industria y no se mantiene absolutamente al día en cada pequeño detalle?
Ya sabemos que Windows 10 está recopilando información básica a través de Cortana y Edge para mejorar la experiencia del usuario (supuestamente) y mucha gente está optando por saltarse estas funciones y buscar hacks que «aseguren» sus máquinas. Cualquiera de estos «asistentes» de voz está cosechando para su respectivo fabricante, y la mayor parte de la información que he visto sobre alguien que realmente utiliza uno es más por valor de entretenimiento que por investigación real, como si hubiera algún premio importante para la primera persona que pueda poner uno de estos dispositivos en un bucle lógico irrecuperable. No he visto ninguna prueba de despliegue para la automatización seria del hogar.
Puedo asegurar que si quiero automatizar mi propia casa, será con mi propio sistema ejecutando mis propios protocolos. No lo necesito para jugar con la televisión o el equipo de música. Para eso sé cruzar la habitación. Tener algo que pueda controlar el aire acondicionado y la cobertura de las ventanas será mucho más útil. Cuando se trata de la seguridad del hogar, mi mascota Dalek mantendrá fuera a las personas no deseadas.
Un hogar conectado tiene varias facetas. En primer lugar, son objeto de malware. En segundo lugar, son una amenaza para la seguridad. En tercer lugar, todavía son conceptos bastante nuevos que sufrirán mejoras, por lo que requerirán actualizaciones. En cuarto lugar, requieren contraseñas. En quinto lugar, el software irá decayendo poco a poco causando problemas de conexión. En sexto lugar, la protección de la red de seguridad doméstica requerirá un mayor nivel de conocimientos para su instalación y puesta en marcha.
Un lego en la materia querrá ser de los últimos en subirse al autobús conectado.
Personalmente, lo encuentro espeluznante. Los termostatos NEST rastrean tus movimientos para el análisis de patrones, que pueden utilizarse para el bien o para el mal. Tu consola de videojuegos, está escuchando cada conversación que tienes y sabe cuándo te acuestas en el sofá. El uso de esos datos está fuera de tu control. ¿Y si tu amigo especial se llama Alexa, Alexis o Alex? Eso podría causar una tormenta de mierda en tu mundo.
Es la vieja regla de oro: descubre lo que puedes hacer y luego decide si debes hacerlo.
Creemos que es una locura pero inevitable.
Añadir muchos dispositivos por toda la casa que están conectados a Internet aumenta rápidamente la cantidad de posibilidades y hackeos que podrían ocurrir. Esos dispositivos están hechos para ser lo más baratos posible (incluso los más caros) y no parecen poner mucho esfuerzo en hacerlos seguros y resistentes a los hackers. Muchos de ellos, si no todos, simplemente ejecutan una versión reducida de Linux y, al contrario de lo que los fanáticos de Linux intentan hacer creer a todo el mundo, Linux no es seguro, ninguno de ellos es seguro, ni siquiera los que se supone que están orientados a la seguridad. Cualquier parche orientado a la seguridad que se hace a Linux se hace a posteriori porque la seguridad no está incorporada a Linux, es una idea de última hora.
Los pequeños dispositivos de la Internet de las Cosas (IoT), incluidos los frigoríficos y los Amazon Echos, no tienen suficiente presupuesto asignado para tener un sistema operativo orientado a la seguridad adecuado y adaptado a su uso, por lo que la seguridad pasa a un segundo plano al poner un montón de estos dispositivos rentables en todas partes.
Lo que nos gustaría ver es:
El uso de un sistema operativo seguro como OpenBSD o HardenedBSD en lugar de Linux
Características de privacidad y seguridad que sean visibles para el usuario, desde una interfaz sencilla
Políticas de privacidad que sean fáciles de encontrar (y entender) para el consumidor
Auditorías independientes de la seguridad de los dispositivos IoT
Es necesario crear una organización independiente que no dependa de los fondos de ningún fabricante
La organización independiente audita la seguridad de cada dispositivo una vez al año y publica los resultados, independientemente del resultado
Los fabricantes participantes firman una cláusula de no demanda para que no puedan demandar a la organización independiente independientemente de los informes de las pruebas o del resultado del informe
Una nueva generación de WiFi/Routers para uso doméstico que tiene dos redes aisladas (subredes) sólo para dispositivos IoT
Esta subred IoT aísla completamente todos los dispositivos IoT, de modo que si son hackeados no pueden acceder a los demás dispositivos del hogar
La subred «segura» es una sección aislada de su WiFi/Internet que conecta el ordenador de casa, el portátil, el iPhone y el iPad a Internet de forma segura, sin ninguna conexión con los dispositivos IoT
La segunda subred es para los dispositivos de seguridad del hogar (cámaras, DVR, etc.)
Una función en el WiFi/Router que muestra cuántos dispositivos están conectados en cada subred) esto es para que los consumidores puedan hacer un recuento y estar seguros de que el número de dispositivos IoT que están instalados es el mismo que el número de dispositivos que instalaron
Un indicador claro en el IoT para mostrar fácilmente en qué subred y red está el dispositivo
Esto es para asegurarse de que el dispositivo no ha sido pirateado y que realmente está conectado a su red doméstica y no a la red doméstica de su vecino
La prohibición de cualquier capacidad de identificación de la ubicación de cualquier dispositivo IoT. Ningún dispositivo IoT puede llamar ni transmitir ninguna información de localización (nombres de WiFi cercanos, torres de telefonía móvil cercanas)
Ninguna cámara en ningún dispositivo IoT (oculta o no, a menos que el dispositivo sea específicamente una cámara de seguridad para el hogar
