Affrontare i problemi di cybersecurity nelle applicazioni IoT

I dispositivi dell'Internet delle cose sono diventati bersagli per attacchi dolosi

Gli dispositivi IoT stanno permeando vari aspetti delle nostre vite e, nel tempo, sia i consumatori che le aziende hanno gradualmente adottato i prodotti IoT per migliorare la comodità della vita quotidiana e del lavoro. Tuttavia, hacker e attori malintenzionati, che tradizionalmente prendevano di mira i computer, stanno ora spostando la loro attenzione verso i dispositivi IoT. Rafforzare la sicurezza dei dispositivi IoT è diventata una preoccupazione per gli sviluppatori di prodotti, i governi e i consumatori.

Gli attacchi IoT si verificano tipicamente in due modi: attacchi remoti che prendono di mira i dispositivi tramite internet e attacchi locali in cui gli aggressori hanno prossimità fisica al dispositivo bersaglio. Gli attacchi remoti o logici prendono di mira il software, mentre gli attacchi locali o fisici prendono di mira il chip all'interno del dispositivo stesso. In passato, la maggior parte degli attacchi alla rete veniva avviata a distanza da singoli individui, ma negli ultimi anni si sono concentrati sforzi organizzati su attacchi e ransomware per somme sostanziali, passando dal colpire singoli per qualche centinaio di dollari ad attaccare ed estorcere milioni alle aziende.

Inoltre, una volta che gli hacker ottengono l'accesso ai sistemi di rete di un'azienda, usano strumenti esistenti per infiltrarsi e programmare attacchi in momenti specifici in cui è probabile che i sistemi di difesa siano compromessi, ritardando il tempo di risposta dell'azienda. Un'altra tendenza è lo spostamento degli attacchi da remoto a locale, in parte perché il personale responsabile della sicurezza delle reti aziendali ha fatto bene nel difendersi dagli attacchi centrati sul cloud, rendendo più difficile per gli aggressori violare l'infrastruttura IT da internet.

Con la crescente consapevolezza della sicurezza di rete nelle imprese, i criminali si stanno orientando verso attacchi di pivot. Gli attacchi di pivot prendono di mira i dispositivi terminali con l'obiettivo di sfruttarli per attaccare l'infrastruttura di livello superiore. Poiché i dispositivi terminali non erano tradizionalmente considerati bersagli e spesso hanno una sicurezza integrata debole, insieme all'aumento dell'IoT e dell'Industrial IoT, c'è stato un aumento significativo nel numero di dispositivi smart sottostanti. Questo rende questi dispositivi IoT e Industrial IoT facilmente accessibili sul mercato, permettendo agli hacker di dedicare tempo alla ricerca di vulnerabilità e punti di accesso, aumentando così il rischio di intrusione in questi dispositivi IoT.

Il focus degli attacchi ransomware si sta spostando dai centri IT ai centri OT

Il ransomware non solo è diventato più mirato, ma sta anche spostando la sua attenzione dalla Tecnologia dell'Informazione (IT) alla Tecnologia Operativa (OT). Questo cambiamento è dovuto alla rilevanza dell'OT per i principali obiettivi di gestione di un'azienda, come le applicazioni relative all'automazione degli edifici, all'automazione delle fabbriche o al controllo degli edifici. Le interruzioni nella continuità aziendale per questi tipi di operazioni possono comportare perdite finanziarie significative. Gli aggressori sono consapevoli che queste operazioni possono causare danni sostanziali alle aziende, rendendole disposte a pagare un riscatto.

La capacità di trarre profitto sta spostando l'attenzione verso OT come obiettivo, ma non è l'unico fattore. Anche la facilità di distribuzione è un motivo significativo, poiché i dispositivi operativi, inclusi i sistemi di produzione, i robot, i sistemi di allarme antincendio e i sistemi di controllo degli accessi, spesso mancano di sicurezza integrata a causa di considerazioni sui costi. Le tendenze dell'IoT e dell'Industrial IoT stanno introducendo dispositivi in sistemi che non esistevano in precedenza. Particolarmente per l'Industrial IoT, sensori economici sono spesso posizionati sul pavimento della fabbrica, inviando dati al cloud. Questi dispositivi possono provenire da aziende molto piccole o startup che mancano di risorse per concentrarsi su funzionalità di sicurezza all'avanguardia.

Ogni sensore introduce un nuovo vettore di attacco e potrebbe diventare un metodo per far fallire i sistemi critici, con il tempo di inattività utilizzato per estorcere somme significative per il ripristino del servizio. Sensori economici provenienti da tutto il mondo sono più accessibili nella catena di approvvigionamento e vengono studiati e sfruttati in laboratori di hacker ben attrezzati. Ad esempio, considera lo scenario di un sistema di allarme antincendio in un grattacielo nel quartiere finanziario di New York compromesso. Il sistema di allarme potrebbe essere attivato, evacuando persone da un edificio di 300 piani. E se anche il sistema di controllo degli accessi dello stesso edificio fosse compromesso? Interruttori strategicamente posizionati potrebbero persino gettare un'intera città nell'oscurità. Immagina quanto riscatto potrebbe chiedere un criminale in una tale situazione, e chiedere un riscatto di un miliardo di dollari, dato l'ammontare perso al minuto, non è uno scenario improbabile.

L'attenzione del governo agli standard di cybersecurity sta aumentando costantemente

In risposta alle esigenze della sicurezza informatica, il governo della California negli Stati Uniti ha promulgato il California Consumer Privacy Act, entrato in vigore il 1° gennaio 2020. La legge impone l'inclusione di caratteristiche di sicurezza 'ragionevoli' applicabili alla natura e alla funzionalità dei dispositivi, nonché alle informazioni raccolte, contenute o trasmesse dai dispositivi. Il design di queste caratteristiche deve essere in grado di proteggere il dispositivo e qualsiasi informazione in esso contenuta da accessi non autorizzati, distruzione, utilizzo, modifica o divulgazione. Richiede inoltre che le password pre-programmate in ciascun dispositivo prodotto siano uniche. In sostanza, la legge esige che questi dispositivi siano resistenti agli attacchi hacker. Molti altri stati degli Stati Uniti hanno introdotto una legislazione simile, coinvolgendo circa il 30% della popolazione statunitense.

Per gli Stati Uniti, il National Institute of Standards and Technology (NIST) funge da organismo di governo per determinare ciò che è considerato 'ragionevole.' Possiamo prevedere che ulteriori leggi e casi giudiziari continueranno a guidare le leggi future. NIST ha pubblicato NISTIR 8259A, stabilendo una base di sicurezza informatica per i dispositivi IoT scalabili, e ha guidato lo sviluppo dello standard UL 2900-1, che ha chiarito i requisiti generali per le specifiche di sicurezza informatica dei prodotti connessi in rete.

Gli Stati Uniti non sono l'unico paese impegnato a garantire la sicurezza dei dispositivi IoT. Il Regno Unito e altri paesi europei stanno attualmente collaborando all'interno dell'European Telecommunications Standards Institute (ETSI) per formulare simili caratteristiche normative di sicurezza per i consumatori IoT. ETSI è riconosciuto dalla Commissione Europea ed è responsabile dello sviluppo degli standard europei per le tecnologie dell'informazione e della comunicazione (ICT). NISTIR 8259A condivide molti temi simili, richiedendo caratteristiche di sicurezza come l'aggiornabilità del software/firmware e garantendo l'integrità del software, che necessiteranno di un avvio sicuro e aggiornamenti sicuri per il firmware dei dispositivi integrati. Inoltre, ETSI ha anche lanciato lo standard EN 303 645, che è il primo standard di sicurezza informatica per i dispositivi globali IoT per consumatori e mira a combinare misure tecniche e organizzative per raggiungere buone pratiche in materia di sicurezza informatica.

La piattaforma per garantire i requisiti di sicurezza dei dispositivi IoT

Al fine di assistere i clienti nell'affrontare le sfide poste dall'evoluzione delle tendenze di sicurezza e nel rispetto delle normative, Silicon Labs ha introdotto Secure Vault, una piattaforma pluripremiata progettata per proteggere e garantire il futuro dei dispositivi IoT. Recentemente è diventata la prima soluzione di sicurezza IoT a ottenere lo status di PSA Certified Level 3. Una delle categorie chiave di Secure Vault riguarda l'offerta di nuove funzionalità di sicurezza, inclusi l'identità sicura del dispositivo, la gestione e l'archiviazione sicura delle chiavi, oltre alla rilevazione avanzata di manomissioni.

Come parte di questo processo, Secure Vault utilizza impronte digitali uniche generate da funzioni fisicamente non clonabili. Queste possono poi essere utilizzate per creare chiavi simmetriche AES, che scompaiono fisicamente quando il sistema perde alimentazione, rendendo la chiave simmetrica AES virtualmente inesistente anche quando il chip è spento. Questa è una soluzione estremamente efficace per affrontare le sfide della gestione delle chiavi, e questa funzionalità può essere estesa per supportare una moltitudine di chiavi basate sulle esigenze dell'applicazione dello sviluppatore. Secure Vault include anche un sistema di rilevamento delle manomissioni; una volta che si verifica un evento di manomissione, il dispositivo si spegne e le chiavi non possono essere ricostruite. Secure Vault è la suite di protezione hardware e software più avanzata disponibile oggi, che fornisce certificati d'identità sicuri per i dispositivi. Concettualmente simile a un certificato di nascita per ogni chip, permette controlli di sicurezza post-deployment, autenticità e integrità basati su attestazioni, garantendo l'autenticità del chip durante tutto il suo ciclo di vita.

Secure Vault supporta anche funzionalità avanzate di rilevamento delle manomissioni, consentendo agli sviluppatori di impostare azioni di risposta appropriate quando il dispositivo incontra comportamenti inattesi (come variazioni estreme di tensione, frequenza e temperatura che possono indicare vulnerabilità). Secure Vault supporta anche la gestione e l'archiviazione sicura delle chiavi, un componente centrale che cripta le chiavi e le isola dal codice applicativo, utilizzando una chiave di crittografia master (KEK) generata da funzioni fisicamente non clonabili (PUF) per prevenire l'accesso diretto ai dispositivi IoT e all'hardware dei loro dati.

Il SoC wireless che supporta le funzionalità di sicurezza di Secure Vault

Silicon Labs ha introdotto una serie di prodotti abilitati con Secure Vault, inclusi EFR32FG23 Sub-GHz Wireless SoC, EFR32MG24 Series 2 Multiprotocol Wireless SoC ed EFR32MG27 Series 2 Multiprotocol Wireless SoC. Tutti i prodotti Series 2 possono essere inclusi nella categoria Secure Vault, inclusi xG21, xG22, xG23, xG24, xG25, xG27 e xG28.

L'EFR32FG23 Flex Gecko Sub-GHz Wireless SoC è una soluzione ideale per la connettività wireless IoT sub-GHz per casa intelligente, sicurezza, illuminazione, automazione degli edifici e misurazione. La radio sub-GHz ad alte prestazioni offre una lunga portata e non è soggetta a interferenze da parte di tecnologie a 2.4 GHz. La soluzione a singolo die, multi-core, offre sicurezza leader nel settore, basso consumo energetico con tempi di riattivazione rapidi e un amplificatore di potenza integrato per abilitare la prossima generazione di connettività sicura per dispositivi IoT.

I SoC wireless multiprotocollo EFR32MG24 Series 2 sono ideali per la connettività wireless mesh IoT utilizzando i protocolli Matter, OpenThread e Zigbee per prodotti di automazione domestica, illuminazione e edifici intelligenti. Con caratteristiche chiave come RF ad alte prestazioni a 2,4 GHz, basso consumo di corrente, un acceleratore hardware AI/ML e Secure Vault™, i produttori di dispositivi IoT possono creare prodotti intelligenti, robusti ed efficienti dal punto di vista energetico che sono protetti dagli attacchi informatici remoti e locali. Un ARM Cortex®-M33 che funziona fino a 78 MHz e fino a 1,5 MB di Flash e 256 kB di RAM fornisce risorse per applicazioni impegnative lasciando spazio per la futura crescita. Le applicazioni target includono gateway e hub, sensori, interruttori, serrature, illuminazione a LED, apparecchi di illuminazione, servizi di localizzazione, manutenzione predittiva, rilevamento rottura vetri, rilevamento della parola di attivazione e altro ancora.

Inoltre, l'EFR32MG27 SoC amplia il portafoglio Zigbee di Silicon Labs ed è stato sviluppato specificamente per dispositivi finali a basso consumo e di piccole dimensioni. Il DCDC Boost integrato offre ai produttori di dispositivi IoT la possibilità di funzionare fino a 0,8 Volt, permettendo l'uso di celle alcaline singole e celle a bottone per ridurre il fattore di forma e il costo del dispositivo.

Inoltre, tutti i prodotti della Serie 2 includono un sottosistema di sicurezza integrato e possono sfruttare appieno la tecnologia Secure Vault. Secure Vault offre funzionalità software di sicurezza all'avanguardia e tecnologia hardware Physical Unclonable Function (PUF) per ridurre significativamente i rischi di vulnerabilità della sicurezza IoT e compromissione della proprietà intellettuale.

Tutti i prodotti attuali della Serie 2 sono facilmente migrabili utilizzando gli strumenti di sviluppo Simplicity Studio 5. Possono utilizzare kit di sviluppo, SDK, app mobili, il profiler energetico di Silicon Labs e analizzatori di rete brevettati per accelerare il tempo di immissione sul mercato dei prodotti.

Conclusione

Dispositivi IoT sono ampiamente utilizzati in ambienti personali, domestici e aziendali. Tuttavia, ciò offre anche un potenziale vettore di attacco per attori malintenzionati. Pertanto, la sicurezza dei dispositivi IoT non dovrebbe essere considerata una caratteristica opzionale ma necessaria. Secure Vault di Silicon Labs comprende un insieme completo di funzionalità di sicurezza avanzate all'avanguardia progettate per affrontare significativamente le minacce IoT in evoluzione. Riduce notevolmente il rischio di vulnerabilità di sicurezza nell'ecosistema IoT, minimizzando l'impatto della perdita di proprietà intellettuale o di reddito a causa della contraffazione. L'adozione di Secure Vault può migliorare la sicurezza dei dispositivi IoT, rendendola utile per i produttori che sviluppano prodotti correlati per approfondire e implementare ulteriormente.