La idea de enlazar objetos físicos del mundo real al mundo virtual, permitiendo todo tipo de comunicación en cualquier momento y lugar, fue alguna vez asunto de ciencia ficción. Sin embargo, hoy esta idea se vuelve real con el Internet de las Cosas (IoT por sus siglas en inglés), considerado la siguiente fase de la revolución de Internet. Sabiendo ésto, podría esperarse que los protocolos e infraestructura sustentando esta fase serían igual de avanzados, pero éste no es el caso. En cambio, la tecnología apoyando el IoT proviene de los 90 o comienzos de los 2000, algo más cercano al Sega Dreamcast que a la PlayStation 4.

No es ninguna sorpresa que la industria de la tecnología y el público se rindan enamorados por la posibilidad de conectar todo a la red, desde nuestros cepillos de dientes hasta la infraestructura de nuestra ciudad. Aunque, cuantos más dispositivos conectemos, más oportunidades se generan para los ciberdelincuentes. Al dejarnos llevar por la oportunidad que nos brindan estos avances, estamos moviéndonos a toda marcha sin considerar los riesgos implicados y sin asegurar la tecnología involucrada. Antes de que las organizaciones continúen conectando dispositivos a la red, debe haber unos cimientos seguros a partir de los que se pueda construir.

Dentro de los estándares fundamentales que cada dispositivo IoT debe obedecer, podemos establecer que los aparatos deben asegurarse de manera que ninguno pueda ser infringido y usado como un punto de entrada para el sistema completo. En 2015, la Comisión Federal de Comercio recomendó que la seguridad sea insertada en los equipos desde su incepción, y no como un reparo tardío. Aun así, los resultados del Estudio de Seguridad del Internet de las Cosas por HP Enterprise mostraron que el 70 por ciento de los dispositivos IoT usados comúnmente tienen graves problemas de seguridad, y que hay vulnerabilidades críticas en el núcleo mismo de muchas redes IoT.

Edificios y Hogares Inteligentes

La tendencia de automatizar edificios y hacer los hogares más inteligentes a través del IoT está en aumento: se utiliza para ahorrar energía, aumentar la comodidad, o añadir capacidades de monitoreo remoto y control general. Un hogar inteligente y automatizado probablemente contenga dispositivos que cubran las siguientes áreas:

Control de HVAC. Las unidades inteligentes de HVAC controlan la temperatura ambiente y los sistemas de ventilación automatizados, los cuales pueden encenderse para reabastecer al hogar de aire fresco basándose en su detección de temperatura, humedad, humo, calor, polvo o niveles de dióxido de carbono.

Control de la Iluminación. En conjunto con bombillas inteligentes, estas unidades pueden ajustar el comportamiento de la iluminación basándose en la presencia de personas en un espacio designado. Las luces automáticas tienen la capacidad de ser apagadas automáticamente cuando el lugar esté vacío y atenuadas cuando hay luz natural.​

Vigilancia Inteligente. Los sistemas de vigilancia inteligente documentan la actividad del hogar automatizado, permitiendo a las autoridades monitorear remotamente cuándo hay gente adentro.

Cerraduras Inteligentes. Estas cerraduras para puertas pueden ser abiertas o cerradas remotamente por un usuario. Además pueden monitorear la actividad, notificando a los habitantes o a las autoridades cuando se detectan ingresos o salidas en una casa. ​

A pesar de la utilidad de estos productos, hay varios problemas con el desarrollo de hogares y edificios inteligentes. Estos sistemas utilizan frecuentemente protocolos IoT como ZigBee y Zwave, los cuales se han convertido al mismo tiempo en su mayor recurso y en su mayor debilidad. Las redes inalámbricas son propensas a ser interferidas por atacantes buscando bloquear la señal. La comunicación puede ser intervenida para recolectar información secreta sobre generación de claves y es vulnerable a ataques de reproducción: los atacantes podrían insertar paquetes de datos con voces grabadas, con comandos como "abrir puerta" a una cerradura o "desactivar" a un sensor de movimiento.

El Estándar ZigBee de Comunicación Inalámbrica

ZigBee es el estándar para redes de área personal (PAN) desarrollado por ZigBee Alliance, que incluye como miembros a compañías como Samsung, Philips, Motorola, Texas Instruments, y muchas más. La alianza apunta a proveer un estándar de comunicación inalámbrica para usos de corto alcance que sea de bajo costo, de bajo consumo de energía, bidireccional y confiable. Éste es usado en controles remotos, dispositivos emisores, automatización de hogares, atención sanitaria, y sistemas de energía inteligentes.​

En una red de ZigBee, los artefactos se comunican utilizando perfiles de uso. Estos perfiles determinan que los mensajes podrán compartir ciertos acuerdos, como el uso de un alfabeto o lenguaje comunes, permitiendo a los desarrolladores crear un programa que pueda emplear diferentes entidades de aplicación que residan en aparatos separados. Si un fabricante busca que su producto sea compatible con dispositivos certificados de otros fabricantes, deberá implementar las interfaces estándar de ciertos perfiles, como el perfil de Automatización del Hogar.                                    

El perfil de Automatización del Hogar depende del hermetismo del material de generación de claves, y de la inicialización y transporte seguros de las claves de encriptación en sí. Investigaciones recientes por Cognosec, una compañía sueca de ciberseguridad, expone que las claves pueden verse comprometidas por atacantes que "olfateen" la red y que exploten vulnerabilidades del estándar.

En este contexto, "olfatear" significa intervenir de manera pasiva una comunicación inalámbrica. El delincuente podría comprometer las claves obteniendo la configuración inicial de los dispositivos o imitando un artefacto legítimo intentando reconectarse a la red. Durante esta reconexión, el atacante simularía haber perdido el material de generación de claves necesario para comunicarse con el núcleo de gestión, enviando una solicitud no encriptada de reconexión. Esto causaría que el núcleo envíe nuevas claves, un proceso que debe estar protegido por una segunda clave; pero, crucialmente, esta clave es conocida públicamente. Finalmente, utilizando esta estrategia, un ciberdelincuente podría solicitar la clave activa de encriptación para la red entera.​

Como el perfil de Automatización del Hogar abarca desde luces hasta sistemas HVAC y cerraduras, esta clase de ataque podría llevar a severos problemas de seguridad. Ésto fue demostrado por Cognosec en 2015 durante la Conferencia In-Depth Security (DeepSec) en Viena, abriendo una cerradura Yale de una puerta utilizando ZigBee sin la clave correspondiente. Las vulnerabilidades expuestas por este tipo de compromiso empeoran porque el mecanismo fallback en el estándar tiene que ser implementando por toda empresa que quiera vender dispositivos certificados.​

El mecanismo fallback fue implementado para que los dispositivos que no estén preconfigurados o sean desconocidos para una red ZigBee, ya sea por ser de otro fabricante o por ser conectados por primera vez, puedan permanecer compatibles. El uso de este mecanismo es considerado un riesgo crítico que debe ser tratado como tal.

Un único hogar inteligente con vulnerabilidades puede no parecer un gran problema al principio, pero si fuera infringida la red de varios edificios inteligentes, o incluso una ciudad inteligente entera, el desenlace podría ser desastroso.

El Estándar ZWave de Comunicación Inalámbrica

ZWave también se encuentra a la vanguardia de la revolución IoT. Fue diseñado en 2001 por Zen-Sys, que fue posteriormente adquirida por Sigma Designs. Este estándar no requiere soporte de encriptado, así que uno puede asumir tranquilamente que los fabricantes implementan el mínimo necesario de protección para sacar sus productos al mercado. Ésto hace que las redes ZWave sean vulnerables a ataques de reproducción y de intervención pasiva de las comunicaciones.

Dos investigadores de seguridad, Joseph Hall and Ben Ramsey, demostraron que pocos dispositivos IoT están usando cifrado, y para aquellos que tienen usos críticos (como cerraduras inteligentes) la encriptación es una característica opcional que necesita ser activada por el usuario. En una demostración durante la conferencia de seguridad ShmooCon 2016, destruyeron físicamente bombillas controladas con ZWave en menos de 24 horas tras obtener acceso a la red utilizando información disponible abiertamente y cierto conocimiento técnico.​

Además de este peligro, se encontraron en el firmware de cerraduras inteligentes algunos problemas de implementación que permiten a un infractor tomar control del dispositivo y evitar que informe su estado a la unidad central de control.

Sin embargo, cabe destacar que a partir del 2 de Abril de 2017, el marco de referencia ZWave S2 será de certificación imperativa para todos los dispositivos que utilicen el estándar. Aun así, ésto no arreglaría los problemas de seguridad para los dispositivos que ya están en el mercado y en inventario. Se deberá investigar este nuevo framework en el futuro.

Conectarse al Mundo

La adopción de tecnología IoT y el aumento de la conectividad hacia el exterior en las infraestructuras críticas podrían plantear riesgos cruciales a los suministros de energía y agua potable, así como a los sistemas industriales de control.

Una investigación alemana realizada en 2016 por la fundación internetwache.org expone que la infraestructura soportando el suministro de agua es vulnerable a ser controlada por hackers porque no está correctamente protegida contra ataques externos. En este caso en particular, no fue la falta de características de seguridad o la implementación incorrecta de un protocolo inalámbrico lo que hizo al sistema vulnerable. En cambio, se trataba de un proveedor de software utilizado para gestionar las plantas de agua alemanas que no implementaba la protección en sus productos, dejando su configuración en manos de las plantas mismas.

Éste es un ejemplo de una nueva amenaza afectando a las infraestructuras críticas en su evolución de sistemas cerrados a abiertos. Históricamente, los sistemas de control industriales (ICS) fueron diseñados para operar en una red aislada, con el objetivo de protegerlos de amenazas de seguridad. Ya que este hecho requería la presencia física del potencial atacante, con medidas de seguridad física bien establecidas ya se podía alcanzar un nivel decente de seguridad para los sistemas, aun si los sistemas informáticos en sí no estaban lo suficientemente protegidos.

Actualmente, a medida que más y más dispositivos se conectan a Internet y se comunican entre ellos, se están formando grandes redes de comunicación M2M (machine-to-machine, máquina a máquina). El resultado de este proceso es un crecimiento masivo de la superficie de ataque y un aumento en el efecto de estos potenciales ataques. Al hacer los sistemas interoperables, que es la tendencia actual del IoT, hackear un dispositivo podría abrir una caja de Pandora llena de brechas de seguridad.​

Otro hecho empeorando este problema es que algunos proveedores de programas usados por infraestructuras críticas, como los de la investigación alemana, delegan la seguridad al cliente; un cliente que normalmente no tiene ni la conciencia necesaria ni el conocimiento suficiente para implementar apropiadamente la infraestructura de red abierta, ya que las tecnologías de la información no son su negocio principal.

Conclusión

Los problemas de seguridad que afectan a los edificios, la energía, las plantas de agua potable y hasta las cerraduras de un hogar, existen desde hace años. Aun así, cada cierta cantidad de meses surgen nuevas amenazas, y la situación empeora al añadir conectividad de red a dispositivos que amplían la superficie de ataque.

La seguridad debe estar incorporada en los aparatos y activada de manera predeterminada, no como una excepción o bajo la responsabilidad del usuario final. El Instituto Nacional de Estándares y Tecnología de U.S.A. lanzó una publicación sobre este asunto en 2016, con un llamamiento a las prácticas de asignar un nivel de confianza a un dispositivo y aplicándole consideraciones de seguridad desde el principio mismo. Si se integra la protección desde la fase de diseño de un producto y durante todas las demás etapas de su ciclo de vida en vez de añadir características de seguridad o hardware de monitoreo una vez que ya son adquiridos, los dispositivos tendrán una resiliencia ante ataques mayor que la actual.​

Hasta que podamos resolver estos asuntos y crear nuevos protocolos que sean seguros, los hackeos a través del Internet de las Cosas crecerán exponencialmente en volumen y severidad.

Florian Eichelberger es auditor de sistemas de información en Cognosec.

© 2017 ASIS International, 1625 Prince Street, Alexandria, VA 22314. Reprinted by permission from Security Management magazine. The translation of this article is provided as a courtesy by Ari Yacianci. Security Management is not responsible for errors in translation. Readers can refer to the original English version here: Outdated Protocols and Practices Put the IoT Revolution at Risk (asisonline.org)