25 feb

Consideraciones de seguridad en el Internet de las Cosas

Bernardo Martínez | IoT, privacy, seguridad, ciberseguridad

 

Introducción

En los últimos años hemos visto como prolifera el concepto del Internet de las Cosas, y es que ya no hay cosa que no se conecte a internet, pero con cada nuevo dispositivo que se conecta a internet nos encontramos con una nueva fuente de inseguridad.

En el caso de dispositivos domésticos, pueden suponer una puerta de entrada a nuestra red, de tal manera que, un fallo de seguridad en un termómetro o en un interruptor de luz podría dar acceso a cualquier otro dispositivo de nuestra red.

Este problema se vuelve mucho más problemático en el caso de dispositivos industriales, tanto por la cantidad de dispositivos, como por la red a la que pueden llegar a dar acceso a un tercero.

Seguridad en dispositivos IoT

¿Realmente hay amenazas de seguridad en dispositivos IoT?

Un estudio de Symantec indica que se ha producido un incremento del 600% en los ataques a dispositivos IoT en solo un año. Hay diversos factores que hacen que este tipo de dispositivos sean especialmente golosos para un atacante:

  • En muchos casos se trata de dispositivos en fases muy tempranas de su ciclo de vida, lo que habitualmente suele ser sinónimo de un alto índice de errores que pueden suponer vulnerabilidades.
  • En otros casos se trata de dispositivos con un escaso soporte por parte de los fabricantes, tanto en subsanación de errores como en incorporación de nuevas funcionalidades.
  • Muchos usuarios no son conscientes del riesgo que se deriva de tener un dispositivo conectado a internet, por lo que no se toman medidas de vigilancia y/o de seguridad con este tipo de dispositivos.
  • Su número es enorme y crece a un ritmo frenético, se estima que actualmente hay más de 20.000 millones de dispositivos IoT instalados, su potencial para alguien capaz de explotar una vulnerabilidad es tremendo.

¿Qué tipos de ataques suelen sufrir estos dispositivos?

El ataque más común a este tipo dispositivos es la creación de botnets, es decir, redes de muchos dispositivos que realizan acciones de forma coordinada. Este tipo de ataques se utilizan para conseguir dispositivos con los que hacer ataques de denegación de servicio (DDoS). Este tipo de ataques pretenden interrumpir un servicio a base de realizar un enorme número de peticiones de forma coordinada, la capacidad de cálculo para hacer una petición es muy reducida, por lo que casi cualquier dispositivo puede hacer este tipo de peticiones. El potencial real de los dispositivos IoT para este tipo de ataques es su elevado número, lo que permite realizar ataques muy potentes.

Un ejemplo de este tipo de ataques fue causado por el malware “Mirai” que utilizó centenares de miles de equipos IoT infectados para generar ataques en que se detectaron tráficos hasta de 1 Tb/s en algunos operadores como OVH.

Este tipo de dispositivos también son muy utilizados para realizar ataques de man-in-the-middle, de forma que alguien que obtenga acceso a un dispositivo IoT de nuestra red podrá interceptar las comunicaciones de nuestros equipos y acceder a documentos, contraseñas u otro tipo de información sensible.

Además de estos problemas, estos dispositivos suelen presentar un problema general de privacidad, ya que sus conexiones pueden ser fácilmente monitorizadas por el proveedor de internet, el proveedor del dispositivo o agencias gubernamentales, al presentar poca o ninguna medida de seguridad en sus comunicaciones básicas.

¿Cómo proteger los dispositivos IoT ante este tipo de ataques?

Como en casi cualquier dispositivo, la principal medida de seguridad es una configuración correcta, es indispensable no dejar la configuración por defecto y utilizar usuarios y contraseñas apropiados para evitar dejar demasiadas puertas abiertas.

En segundo lugar, es importante mantener los dispositivos actualizados, ya que cualquier vulnerabilidad detectada que no se subsane de forma adecuada es una invitación para un ataque.

Una vez solucionados estos problemas hay que hacer frente al principal problema de seguridad de la mayor parte de los dispositivos IoT: que se conectan a internet muchas veces con poca seguridad. La seguridad no suele ser la principal preocupación de estos dispositivos, que se conectan a servicios remotos periódicamente sin grandes alardes de seguridad. Es importante revisar el tipo de conexión de los dispositivos a la hora de seleccionarlos y ser consciente de que cualquier dispositivo sin una encriptación fuerte es susceptible de ser interceptado o vigilado. Si no podemos elegir un dispositivo con encriptación fuerte o ya tenemos desplegados los dispositivos y ahora nos damos cuenta de que su comunicación no es lo suficientemente segura, siempre podemos recurrir a un servicio de VPN.

Un servicio de VPN nos permitirá encriptar la comunicación de punto a punto con encriptaciones fuertes, además, al transcurrir la comunicación a través de un servidor de VPN nos permitirá guardar el anonimato en nuestras conexiones.

Cómo realizar esta conexión dependerá del dispositivo o de la red de dispositivos que estemos utilizando, hay proveedores como ExpressVPN que ofrecen cliente de VPN para Raspberry Pi, que ofrecen rúters capaces de conectarse al servicio de VPN directamente o configuraciones para multitud de rúters de las principales marcas.

De esta manera, instalando la VPN en nuestros rúters conseguiremos que todo el tráfico de salida esté asegurado, podemos hacer lo mismo si utilizamos dispositivos Raspberry Pi como concentradores de sensores (p.e. de Arduino).

Si tenemos muchos dispositivos que se conectan a internet, pero no lo hacen a través de un rúter o de un concentrador, podemos utilizar servicios como Mediastreamer, habilitando las IPs podremos configurar el DNS en nuestros dispositivos para que el tráfico circule por el servidor de VPN, no es una solución tan segura como encriptar todo el tráfico, pero nos protegerá contra ataques externos y miradas indiscretas.

Conclusión

El Internet de las Cosas es una realidad que trae consigo nuevos problemas de seguridad, no es posible la seguridad absoluta en un mundo conectado, pero siguiendo unas pequeñas normas básicas podremos mejorar de forma significativa la seguridad.

Post cortesía de TechWarn

Compartir
    
Deja un comentario