Abordando problemas de ciberseguridad en aplicaciones de IoT

Los dispositivos de Internet de las cosas se han convertido en objetivos de ataques maliciosos

Los dispositivos IoT están permeando varios aspectos de nuestras vidas, y con el tiempo, tanto los consumidores como las empresas han adoptado gradualmente productos IoT para mejorar la conveniencia de la vida diaria y el trabajo. Sin embargo, los hackers y actores maliciosos, que tradicionalmente atacaban a las computadoras, ahora están centrando su atención en los dispositivos IoT. El fortalecimiento de la seguridad de los dispositivos IoT se ha convertido en una preocupación para los desarrolladores de productos, los gobiernos y los consumidores por igual.

Los ataques de IoT suelen ocurrir de dos maneras: ataques remotos que apuntan a dispositivos a través de internet y ataques locales donde los atacantes tienen proximidad física al dispositivo objetivo. Los ataques remotos o lógicos se dirigen al software, mientras que los ataques locales o físicos se enfocan en el chip dentro del propio dispositivo. En el pasado, la mayoría de los ataques de red se iniciaban de manera remota por individuos, pero en los últimos años, los esfuerzos organizados se han centrado en ataques y ransomware por sumas sustanciales, pasando de atacar a individuos por unos pocos cientos de dólares a atacar y extorsionar millones de corporaciones.

Además, una vez que los piratas informáticos acceden a los sistemas de red de una corporación, utilizan las herramientas existentes para infiltrarse y programar ataques en momentos específicos cuando es probable que los sistemas de defensa estén comprometidos, retrasando el tiempo de respuesta de la corporación. Otra tendencia es el cambio de ataques de remoto a local, en parte porque el personal responsable de asegurar las redes corporativas ha hecho un buen trabajo defendiendo contra los ataques centrados en la nube, lo que dificulta más a los atacantes violar la infraestructura de TI desde internet.

Con la creciente conciencia sobre la seguridad de la red en las empresas, los delincuentes están recurriendo a los ataques de pivote. Los ataques de pivote tienen como objetivo los dispositivos de nodo final con el fin de explotarlos para atacar la infraestructura de nivel superior. Dado que los dispositivos de nodo final tradicionalmente no se consideraban objetivos y a menudo tienen una seguridad integrada débil, junto con el aumento de IoT e Industrial IoT, ha habido un aumento significativo en el número de dispositivos inteligentes subyacentes. Esto hace que estos dispositivos de IoT e Industrial IoT sean fácilmente accesibles en el mercado, permitiendo a los hackers dedicar tiempo a buscar vulnerabilidades y puntos de entrada, aumentando así el riesgo de intrusión en estos dispositivos de IoT.

El enfoque de los ataques de ransomware está cambiando de los centros de TI a los de OT

El ransomware no solo se ha vuelto más específico, sino que también está cambiando su enfoque de la Tecnología de la Información (IT) a la Tecnología Operativa (OT). Este cambio se debe a la relevancia de la OT para los objetivos principales de operar un negocio, como las aplicaciones relacionadas con la automatización de edificios, la automatización de fábricas o el control de edificios. Las interrupciones en la continuidad del negocio para este tipo de operaciones pueden resultar en pérdidas económicas significativas. Los atacantes son conscientes de que estas operaciones pueden causar daños sustanciales a las empresas, lo que las lleva a estar dispuestas a pagar un rescate.

La capacidad de obtener ganancias está impulsando el cambio de enfoque hacia OT como objetivo, pero no es el único factor. La facilidad de implementación también es una razón significativa, ya que los dispositivos operacionales, incluidos los sistemas de fabricación, robots, sistemas de alarma contra incendios y sistemas de control de acceso, a menudo carecen de seguridad incorporada debido a consideraciones de costo. Las tendencias del IoT y IoT Industrial están introduciendo dispositivos en sistemas que no existían anteriormente. Particularmente para IoT Industrial, los sensores económicos suelen colocarse en el piso de la fábrica, enviando datos a la nube. Estos dispositivos pueden provenir de empresas muy pequeñas o startups que carecen de recursos para centrarse en características de seguridad de clase mundial.

Cada sensor introduce un nuevo vector de ataque y podría convertirse en un método para hacer que los sistemas críticos fallen, utilizando el tiempo de inactividad para exigir grandes cantidades por la restauración del servicio. Sensores económicos de todo el mundo son más accesibles en la cadena de suministro y son estudiados y explotados en laboratorios de hackers bien equipados. Por ejemplo, considere el escenario de un sistema de alarma contra incendios en un edificio de oficinas de gran altura en el distrito financiero de Nueva York que ha sido comprometido. El sistema de alarma podría activarse, evacuando personas de un edificio de 300 pisos. ¿Y si el sistema de control de acceso del mismo edificio también se ve comprometido? Disyuntores estratégicamente colocados podrían incluso sumergir toda una ciudad en la oscuridad. Imagine cuánto rescate podría exigir un criminal en tal situación, y exigir un rescate de mil millones de dólares, dado el monto perdido por minuto, no es un escenario implausible.

La atención gubernamental a los estándares de ciberseguridad está aumentando constantemente

En respuesta a las demandas de ciberseguridad, el gobierno de California en los Estados Unidos promulgó la Ley de Privacidad del Consumidor de California, que entró en vigor el 1 de enero de 2020. La ley exige la inclusión de características de seguridad 'razonables' aplicables a la naturaleza y funcionalidad de los dispositivos, así como la información recopilada, contenida o transmitida por los dispositivos. El diseño de estas características debe ser capaz de proteger el dispositivo y cualquier información que contenga de acceso no autorizado, destrucción, uso, modificación o divulgación. También requiere que las contraseñas preprogramadas en cada dispositivo fabricado sean únicas. En esencia, la ley demanda que estos dispositivos sean resistentes al hacking. Muchos otros estados de EE. UU. han introducido legislación similar, afectando aproximadamente al 30 % de la población de EE. UU.

Para los Estados Unidos, el Instituto Nacional de Estándares y Tecnología (NIST) actúa como el organismo rector para determinar lo que se considera 'razonable'. Podemos anticipar que más legislación y casos judiciales seguirán orientando las leyes futuras. NIST ha publicado NISTIR 8259A, estableciendo una línea de base de ciberseguridad para dispositivos IoT escalables, y lideró el desarrollo del estándar UL 2900-1, el cual aclaró los requisitos generales para las especificaciones de ciberseguridad de software de productos conectables a redes.

Estados Unidos no es el único país comprometido en garantizar la seguridad de los dispositivos IoT. El Reino Unido y otros países europeos están colaborando actualmente dentro del Instituto Europeo de Normas de Telecomunicaciones (ETSI) para formular características normativas de seguridad similares para el IoT de consumo. ETSI es reconocido por la Comisión Europea y es responsable de desarrollar estándares europeos de Tecnología de la Información y Comunicación (TIC). NISTIR 8259A comparte muchos temas similares, exigiendo características de seguridad como la capacidad de actualización de software/firmware y garantizando la integridad del software, lo cual requerirá un arranque seguro y actualizaciones seguras para el firmware de dispositivos integrados. Además, ETSI también ha lanzado el estándar EN 303 645, que es el primer estándar de ciberseguridad para dispositivos IoT de consumo globales y tiene como objetivo combinar medidas técnicas y organizativas para lograr buenas prácticas en ciberseguridad.

La plataforma para proteger los requisitos de seguridad de los dispositivos IoT

Para ayudar a los clientes a enfrentar los desafíos planteados por las tendencias de seguridad en evolución y cumplir con las regulaciones, Silicon Labs ha introducido Secure Vault, una plataforma galardonada diseñada para proteger y asegurar el futuro de los dispositivos IoT. Recientemente, se convirtió en la primera solución de seguridad IoT en lograr el estatus PSA Certified Level 3. Una de las categorías clave de Secure Vault involucra proporcionar nuevas características de seguridad, incluyendo identidad segura de dispositivos, gestión y almacenamiento seguro de claves, así como detección avanzada de manipulación.

Como parte de este proceso, Secure Vault utiliza huellas digitales únicas generadas por funciones físicamente inclonables. Esto puede usarse para crear claves simétricas AES, que desaparecen físicamente cuando el sistema pierde energía, haciendo que la clave simétrica AES sea virtualmente inexistente incluso cuando el chip está apagado. Esta es una solución extremadamente efectiva para abordar los desafíos de gestión de claves, y esta característica puede extenderse para admitir una multitud de claves según las necesidades de la aplicación del desarrollador. Secure Vault también incluye un sistema de detección de manipulación; una vez que ocurre un evento de manipulación, el dispositivo se apaga y las claves no pueden reconstruirse. Secure Vault es el conjunto de protección de seguridad de hardware y software más avanzado disponible hoy en día, proporcionando certificados de identidad seguros para dispositivos. Conceptualmente similar a un certificado de nacimiento para cada chip, permite seguridad, autenticidad y controles de salud basados en atestación después del despliegue, asegurando la autenticidad del chip durante todo su ciclo de vida.

Secure Vault también admite funciones avanzadas de detección de manipulaciones, lo que permite a los desarrolladores establecer acciones de respuesta apropiadas cuando el dispositivo encuentra comportamientos inesperados (como variaciones extremas de voltaje, frecuencia y temperatura que pueden indicar vulnerabilidades). Secure Vault también admite la gestión y almacenamiento seguro de claves, un componente central que cifra las claves y las aísla del código de la aplicación, utilizando una clave de cifrado de clave maestra (KEK) generada por funciones físicamente no clonables (PUF) para prevenir el acceso directo a los dispositivos IoT y a su hardware de datos.

El SoC inalámbrico que admite las características de seguridad de Secure Vault

Silicon Labs ha introducido una serie de productos habilitados con Secure Vault, incluidos el EFR32FG23 Sub-GHz Wireless SoC, EFR32MG24 Series 2 Multiprotocol Wireless SoC y EFR32MG27 Series 2 Multiprotocol Wireless SoC. Todos los productos de la Serie 2 pueden incluirse en la categoría Secure Vault, incluidos xG21, xG22, xG23, xG24, xG25, xG27 y xG28.

El EFR32FG23 Flex Gecko Sub-GHz Wireless SoC es una solución ideal para la conectividad inalámbrica IoT en el hogar inteligente, seguridad, iluminación, automatización de edificios y medición de sub-GHz. La radio sub-GHz de alto rendimiento ofrece un largo alcance y no es susceptible a interferencias de 2.4 GHz de otras tecnologías. La solución de un solo chip y multicore proporciona seguridad líder en la industria, bajo consumo de energía con tiempos de activación rápidos y un amplificador de potencia integrado para habilitar la próxima generación de conectividad segura para dispositivos IoT.

Los SoC inalámbricos multiprotocolo de la Serie EFR32MG24 son ideales para la conectividad inalámbrica de malla IoT utilizando los protocolos Matter, OpenThread y Zigbee para productos de automatización del hogar inteligente, iluminación y construcción. Con características clave como RF de alto rendimiento de 2.4 GHz, bajo consumo de corriente, un acelerador de hardware AI/ML y Secure Vault™, los fabricantes de dispositivos IoT pueden crear productos inteligentes, robustos y eficientes en energía que están protegidos contra ataques cibernéticos remotos y locales. Un ARM Cortex®-M33 que funciona hasta 78 MHz y hasta 1.5 MB de Flash y 256 kB de RAM proporciona recursos para aplicaciones exigentes, dejando espacio para un crecimiento futuro. Las aplicaciones objetivo incluyen puertas de enlace y concentradores, sensores, interruptores, cerraduras de puertas, iluminación LED, luminarias, servicios de ubicación, mantenimiento predictivo, detección de rotura de vidrio, detección de palabras de activación, y más.

Además, el EFR32MG27 SoC amplía la cartera Zigbee de Silicon Labs y ha sido desarrollado específicamente para dispositivos finales de bajo consumo y pequeño formato. El DCDC Boost integrado proporciona a los fabricantes de dispositivos IoT la capacidad de funcionar con hasta 0.8 voltios, lo que permite el uso de células alcalinas individuales y células de botón para reducir el formato y el costo del dispositivo.

Además, todos los productos de la Serie 2 incluyen un subsistema de seguridad integrado y pueden aprovechar completamente la tecnología Secure Vault. Secure Vault proporciona características avanzadas de software de seguridad y tecnología de hardware de Función Física No Clonable (PUF) para reducir significativamente los riesgos de vulnerabilidades de seguridad en IoT y el compromiso de propiedad intelectual.

Todos los productos actuales de la Serie 2 son fácilmente migrables utilizando las herramientas de desarrollo Simplicity Studio 5. Pueden utilizar kits de desarrollo, SDKs, aplicaciones móviles, el perfilador de energía de Silicon Labs y analizadores de redes patentados para acelerar el tiempo de comercialización de los productos.

Conclusión

Los dispositivos IoT se utilizan ampliamente en entornos personales, domésticos y empresariales. Sin embargo, esto también proporciona un vector de ataque potencial para actores maliciosos. Por lo tanto, la seguridad de los dispositivos IoT no debe considerarse una característica opcional, sino necesaria. Secure Vault de Silicon Labs comprende un conjunto completo de características de seguridad avanzadas de última generación diseñadas para abordar significativamente las amenazas IoT en evolución. Reduce enormemente el riesgo de vulnerabilidades de seguridad en el ecosistema IoT, minimizando el impacto de la pérdida de propiedad intelectual o ingresos debido a la falsificación. Adoptar Secure Vault puede mejorar la seguridad de los dispositivos IoT, lo que hace que valga la pena que los fabricantes que desarrollan productos relacionados lo exploren e implementen más.