¿Está su hogar inteligente en riesgo por las vulnerabilidades de Internet de las cosas?

El Internet de las cosas es muy prometedor. Todos los dispositivos con los que interactuamos están conectados en red de alguna manera, brindando tecnología inteligente para el hogar a todos. Esta es solo una de las posibilidades. Bueno, desafortunadamente, tan emocionante como suena un mundo completamente conectado, el Internet de las cosas es insegura de manera constante y lamentable.

Un grupo de investigadores de seguridad de la Universidad de Princeton sostiene que Internet de las cosas es asi que lamentablemente insegura de que incluso el tráfico de red encriptado es fácilmente reconocible ¿Cómo funciona el cifrado y es realmente seguro? ¿Cómo funciona el cifrado? ¿Es realmente seguro?? .

¿Hay sustancia en su reclamo, o es otra? “estándar” ¿IoT hit-piece? Vamos a ver.

Horneado en

El problema es que los dispositivos individuales tienen perfiles de seguridad individuales. Y algunas configuraciones de seguridad vienen integradas en el dispositivo. Esto significa que los usuarios finales no pueden cambiar la configuración de seguridad.

Configuraciones que son iguales para miles de productos coincidentes.

Puede ver el problema de seguridad masivo. Por eso, Internet de las cosas es la mayor pesadilla de seguridad. Por qué Internet de las cosas es la mayor pesadilla de seguridad. . ¿Cómo pudo pasar esto? Con Internet de las cosas (IoT), puede descubrirlo de la manera difícil. .

Combinado con un malentendido general (¿o es pura ignorancia?) En cuanto a lo fácil que es apropiarse de un dispositivo de IoT para actividades nefastas, y hay un problema real y global a la mano.

Por ejemplo, un investigador de seguridad, al hablar con Brian Krebs, transmitió que habían sido testigos de enrutadores de Internet mal protegidos utilizados como representantes de SOCKS, anunciados abiertamente. Especulaban que sería fácil usar cámaras web basadas en Internet y otros dispositivos IoT para el mismo, y muchos otros propósitos..

Y tenían razón.

El final de 2016 vio un masivo Ataque DDoS. “Masivo,” ¿tu dices? Sí: 650 Gbps (Eso es alrededor de 81 GB / s). Los investigadores de seguridad de Imperva que detectaron el ataque notaron a través del análisis de carga útil que la mayoría de la energía provenía de dispositivos IoT comprometidos. Doblado “Leet” después de una cadena de caracteres en la carga útil Así es como funcionan los instaladores de software en Windows, macOS y Linux Así es como funcionan los instaladores de software en Windows, macOS y Linux Los sistemas operativos modernos le proporcionan métodos sencillos para configurar nuevas aplicaciones. Pero, ¿qué sucede realmente cuando ejecuta ese instalador o ejecuta ese comando? , es la primera red de bots de IoT que rivaliza con Mirai (la enorme red de bots dirigida al reconocido investigador y periodista de seguridad, Brian Krebs).

IoT Sniffing

El trabajo de investigación de Princeton, titulado Una casa inteligente no es un castillo [PDF], explora la idea de que “Los observadores pasivos de la red, como los proveedores de servicios de Internet, podrían analizar potencialmente el tráfico de la red IoT para inferir detalles sensibles sobre los usuarios..” Los investigadores Noah Apthorpe, Dillon Reisman y Nick Feamster observan “un monitor de sueño Sense 6 Smart Gadgets para ayudarlo a dormir mejor 6 Smart Gadgets para ayudarlo a dormir mejor No dormir bien por la noche nunca es una buena manera de comenzar un día. Afortunadamente, hay muchos aparatos para el hogar que pueden ayudarlo a dormir bien por la noche. , una cámara de seguridad Nest Cam Indoor, un interruptor WeMo y un Amazon Echo.”

Su conclusión? Las huellas digitales de tráfico de cada uno de los dispositivos son reconocibles, incluso cuando están encriptadas.

• Nest Cam - El observador puede inferir cuando un usuario está monitoreando activamente una alimentación, o cuando una cámara detecta movimiento en su campo de visión.
• Sentido - El observador puede inferir patrones de sueño del usuario.
• WeMo - El observador puede detectar cuándo un aparato físico en un hogar inteligente se enciende o apaga.
• Eco - El observador puede detectar cuando un usuario está interactuando con un asistente personal inteligente.

Acceda a los paquetes

El documento de Princeton supone que un atacante olfatea (intercepta) paquetes (datos) directamente de un ISP. Su análisis proviene directamente de los metadatos del paquete: encabezados de paquetes IP, encabezados de paquetes TCP y tasas de envío / recepción. Independientemente del punto de intercepción, si puede acceder a los paquetes en transición, puede intentar interpretar los datos..

Los investigadores utilizaron una estrategia de tres pasos para identificar dispositivos IoT conectados a su red improvisada:

1. Separe el tráfico en flujos de paquetes.
2. Etiquetar transmisiones por tipo de dispositivo.
3. Examinar las tasas de tráfico.

Esta estrategia reveló que incluso si un dispositivo se comunica con múltiples servicios, un atacante potencial “normalmente solo es necesario identificar una sola secuencia que codifique el estado del dispositivo.” Por ejemplo, la siguiente tabla ilustra las consultas DNS asociadas con cada flujo, asignadas a un dispositivo en particular.

Los resultados de la investigación se basan en varios supuestos, algunos específicos del dispositivo. Los datos para el monitor de sueño Sense asumen que los usuarios “solo deje de usar sus dispositivos inmediatamente antes de dormir, que todos en el hogar duerman al mismo tiempo y no compartan sus dispositivos, y que los usuarios no dejen sus otros dispositivos en funcionamiento para realizar tareas o actualizaciones intensivas en la red mientras duermen.”

Cifrado y conclusiones

BII estima que para 2020 habrá 24 mil millones de dispositivos IoT en línea. La lista del Proyecto de seguridad de aplicaciones web abiertas (OWASP) de las principales vulnerabilidades de IoT es la siguiente:

1. Interfaz web insegura.
2. Autenticación / autorización insuficiente.
3. Servicios de red inseguros.
4. Falta de cifrado de transporte.
5. Preocupaciones sobre la privacidad.
6. Interfaz en la nube insegura.
7. Interfaz móvil insegura.
8. Insuficiente configurabilidad de seguridad.
9. Software / firmware inseguro.
10. Mala seguridad física.

OWASP emitió esa lista en 2014, y no ha visto una actualización desde entonces porque las vulnerabilidades siguen siendo las mismas. Y, como informan los investigadores de Princeton, es sorprendente lo fácil que un observador pasivo de red podría inferir el tráfico doméstico inteligente encriptado. ¡No crea estos 5 mitos sobre el cifrado! ¡No crea en estos 5 mitos sobre el cifrado! El cifrado suena complejo, pero es mucho más sencillo de lo que la mayoría piensa. No obstante, es posible que te sientas demasiado a oscuras para utilizar el cifrado, así que vamos a reventar algunos mitos sobre el cifrado! .

El desafío es implementar soluciones integradas de VPN de IoT, o incluso convencer a los fabricantes de dispositivos de IoT de que vale más la seguridad (en lugar de una necesidad).

Un paso importante sería establecer una distinción entre los tipos de dispositivos. Algunos dispositivos IoT son inherentemente más sensibles a la privacidad, como un dispositivo médico integrado frente a un Amazon Echo. El análisis utilizado solo envía / recibe tasas de tráfico encriptado para identificar el comportamiento del usuario; no es necesaria una inspección profunda de paquetes. Y aunque las características de seguridad integradas adicionales pueden afectar negativamente el rendimiento del dispositivo IoT, la responsabilidad recae en los fabricantes de proporcionar algunos apariencia de seguridad para los usuarios finales.

Los dispositivos de IoT son cada vez más generalizados. Las respuestas a las preguntas sobre la relación de privacidad no se reciben fácilmente, y una investigación como esta ilustra perfectamente esas preocupaciones.

¿Le ha dado la bienvenida a su hogar a dispositivos inteligentes y de IoT? ¿Le preocupa su privacidad al haber visto esta investigación? ¿Qué seguridad crees que los fabricantes deberían estar obligados a instalar en cada dispositivo? Déjanos saber tus pensamientos abajo!