El internet de las cosas ha crecido exponencialmente en los últimos años, ha pasado de ser un desconocido a estar presente en nuestro día a día.
Dispositivos inteligentes, electrodomésticos, televisores, termostatos, asistentes y un sinfín de dispositivos que no solo hacen nuestra vida más fácil, sino que captan información de forma continua, una información que no siempre está debidamente asegurada.
Lo que es un problema de privacidad en el entorno doméstico se traduce en un severo problema de seguridad en el entorno industrial ya que este tipo de dispositivos controlan procesos de producción o pueden dar acceso a zonas privadas de la red corporativa si no se gestionan adecuadamente.
¿Son severos estos problemas?
Según un estudio de Symantec los ataques a dispositivos IoT se han multiplicado por seis en los últimos años. Su novedad, la falta de seguridad que muchas veces rodea a este tipo de dispositivos y, sobre todo, el enorme número de dispositivos y la velocidad a la que crecen, se estima que hay más de 20.000 millones de dispositivos instalados, hacen de este tipo de dispositivos un objetivo jugoso.
¿Qué puede conseguir un atacante con estos dispositivos?
La clave es su inmenso número, una botnet de dispositivos IoT puede estar formada por centenares de miles o incluso millones de dispositivos que pueden utilizar en ataques de denegación de servicio que buscan interrumpir un servicio a base de realizar un enorme número de peticiones de forma coordinada. Para hacer una petición no es necesaria una gran capacidad de cálculo y por ello casi cualquier dispositivo puede hacerlo.
Un claro ejemplo de ataque de denegación de servicio con IoT lo causó el conocido como “Mirai” que infectó centenares de miles de equipos que se usaron para realizar algunos de los ataques de denegación de servicio más potentes de la historia, OVH reportó un tráfico de 1 Tb/s proveniente de esta botnet en diversos ataques.
Además de los problemas de seguridad, estos dispositivos presentan problemas de privacidad, pues toman datos que en muchos casos pueden ser personales y los envían a la nube. Este envío se realiza en muchos casos sin una seguridad adecuada haciendo que esos datos personales pueden ser interceptados por un tercero. En otros casos, también pueden ser interceptados por el proveedor de internet, el proveedor del dispositivo o incluso por agencias gubernamentales.
¿Cómo podemos protegernos?
La mayor parte de dispositivos son pequeños ordenadores en miniatura, y como en cualquier ordenador, la primera medida de seguridad es configurar correctamente el dispositivo.
La configuración por defecto es una de las fuentes de vulnerabilidad más comunes, es necesario adaptar la configuración y utilizar contraseñas seguras para evitar dejar demasiadas puertas abiertas.
Es necesario mantener los dispositivos actualizados. Hay que tener en cuenta que cualquier vulnerabilidad detectada que no se subsane de forma adecuada es una puerta abierta y que si el dispositivo deja de tener soporte por parte del fabricante deberemos sustituirlo y que si no podemos sustituirlo habrá que buscar otras formas de asegurarlo.
Entramos ahora en el principal problema de seguridad de este tipo de dispositivos, la cantidad de conexiones que hacen a internet, que muchas veces se producen con escasa seguridad.
Estos dispositivos se diseñan con prioridades distintas a la seguridad, normalmente en su proceso de diseño priman cosas como el coste unitario o la duración de la batería frente a la seguridad de las comunicaciones. Por ello es importante revisar las especificaciones del dispositivo a la hora de seleccionarlo, hay que buscar dispositivos que utilicen una encriptación fuerte en todas sus comunicaciones, de lo contrario, será susceptible de ser interceptado o vigilado. Si no es posible usar un dispositivo con encriptación fuerte o nos interesa asegurar un despliegue ya existente, siempre podemos recurrir a una VPN para asegurar las comunicaciones.
Un servicio de VPN nos servirá para encriptar las comunicaciones entre el dispositivo y la nube con encriptaciones fuertes. Aunque es posible que no podamos encontrar o no nos compense instalar un cliente de VPN en cada dispositivo, es posible utilizar la VPN en un router o un concentrador.
Instalando el cliente de VPN en un router conseguiremos que todo el tráfico de esté asegurado, podremos hacer lo mismo, por ejemplo, con un dispositivo Raspberry Pi como concentrador de sensores (p.e. de Arduino).
En el caso de tener muchos dispositivos conectados a internet, sin hacerlo a través de un router o un concentrador, se pueden utilizar servicios de Smart DNS para que el tráfico circule a través servidor de VPN, no es una solución tan segura, pero proporciona un nivel adicional de seguridad.
Conclusión
El Internet de las Cosas es una realidad que trae consigo nuevos problemas de seguridad. La gran cantidad de dispositivos que se están desplegando y la poca preocupación en su seguridad los convierten en objetivos predilectos para ataques. Siguiendo unas pequeñas normas de seguridad conseguiremos reducir el peligro.
