En el siglo XXI, los objetos, al igual que las personas, son inteligentes. Los proveedores de dispositivos inteligentes utilizan sensores, redes y procesamiento algorítmico de datos a una escala sin precedentes. El software y el hardware son indispensables en nuestra vida cotidiana.
¿Vivir en un mundo inteligente y seguro?
Los objetos cotidianos, los dispositivos ponibles, los hogares y ciudades enteras se han integrado cada vez más en el Internet de las cosas (IoT). Sin embargo, estos sistemas conectados y ubicuos no siempre son reconocibles para todo el mundo ni transparentes en su funcionamiento. Su ubicuidad da lugar a sistemas cada vez más complejos, pero esta complejidad es difícil de proteger, porque hasta los desarrolladores más diligentes cometen errores y muchas vulnerabilidades surgen de las interacciones entre distintos sistemas. Además, la verificación formal, las pruebas de fuzzing, la depuración, la programación con revisión por pares y otros métodos que hacen que el software y el hardware sean más seguros y resilientes tienen sus limitaciones.
Además, la física del hardware y las propiedades de los sensores afectan a la seguridad del hardware de formas que no se pueden mitigar fácilmente. Los micrófonos son sensibles a determinadas frecuencias, como quedó patente con el ataque Dolphin; además, los asistentes domésticos pueden manipularse mediante comandos ultrasónicos. La radiación electromagnética, el calor o el ruido que emite el hardware también pueden utilizarse para deducir información sobre el uso actual o incluso sobre claves criptográficas. Como a menudo estos problemas no se deben al código y no se pueden corregir con parches, muchas vulnerabilidades de hardware no pueden mitigarse. En especial en el caso de los sensores, cuyo único objetivo es transferir datos del mundo analógico al digital, estas entradas también pueden ser manipuladas sin conexión.
A pesar de estos problemas de seguridad, es probable que la informatización, la digitalización de datos y la conectividad se extiendan por el entorno construido. Este artículo aborda las implicaciones de seguridad de esta tendencia. Se centrará en los hogares y las ciudades inteligentes.
Los riesgos de la inteligencia en el entorno construido
Mientras que las comunidades de inteligencia y las fuerzas armadas de varios países advierten de ciberataques contra infraestructuras críticas, como la red eléctrica, las redes de telecomunicaciones o los servicios públicos, propietarios y promotores inmobiliarios poco informados equipan sus propiedades con componentes a menudo inseguros. Sin embargo, no son los únicos culpables. La ciberseguridad es un tema complejo, por lo que los productores, proveedores y organismos gubernamentales deberían implicarse más en informar al público sobre los posibles riesgos —y también las ventajas— de las propiedades y las infraestructuras inteligentes.
El hackeo ubicuo y sus efectos en la vida real
¿Te reconoces en alguno de los siguientes ejemplos?
Como propietario de una vivienda preocupado por la seguridad, has instalado cámaras IP dentro y fuera de tu casa para proteger a tu familia de los ladrones. Sin embargo, hackers expertos en tecnología o incluso aficionados que usan herramientas ajenas podrían vulnerar el sistema de seguridad de tu hogar y utilizarlo en tu contra. Podrían espiarte sin que lo supieras y vigilar tu propiedad para entrar cuando no haya nadie en casa.
Además, estos componentes del IoT inseguros y secuestrados podrían integrarse en una botnet, que después podría utilizarse para atacar y dejar fuera de servicio servidores de terceros al inundarlos de tráfico. Así, alguien podría utilizar un frigorífico inteligente en Estados Unidos o una cámara IP en Rusia —entre una infinidad de dispositivos repartidos por todo el mundo— para atacar un servidor en China o en otro lugar. Si no se utilizan para ataques maliciosos, algunos componentes con suficiente capacidad de procesamiento pueden incorporarse a botnets de minería de criptomonedas, mientras tú pagas las facturas por el mayor consumo de energía.
Como madre o padre con soltura digital, decides usar un vigilabebés inteligente con audio y vídeo para vigilar a tus hijos por la noche, en lugar de uno que solo transmite audio. ¿La inteligencia y la conectividad equivalen a más seguridad? En el peor de los casos, no solo vosotros, los padres, podríais ver a vuestros hijos, sino que cualquier desconocido podría acceder a una retransmisión en directo por internet o la darknet.
Este ejemplo alarmante no afecta únicamente a los vigilabebés, sino a todo tipo de dispositivos, incluidos los asistentes domésticos, los espejos inteligentes y otros sistemas equipados con cámaras o audio que quizá utilices en casa. Los datos privados de audio o vídeo extraídos podrían utilizarse para chantajear o difundirse por internet.
Como propietario de una vivienda ahorrador o preocupado por el medioambiente, quizá decidas reducir tu huella ecológica y minimizar la factura de los servicios públicos mediante contadores, termostatos, luces o grifos inteligentes. Además de los sistemas cableados, como KNX, hay multitud de estándares inalámbricos para la automatización de edificios, como Wi-Fi, Z-Wave, ZigBee y muchos otros. Por desgracia, también hay numerosas vulnerabilidades explotables en estos sistemas y estándares, por lo que ningún sistema puede garantizar una seguridad absoluta. De hecho, ya se han perpetrado ataques con éxito contra redes eléctricas domésticas que han provocado apagones.
A la luz de estos ejemplos, queda claro que los ataques exitosos tienen consecuencias de gran alcance, como la pérdida de privacidad o problemas de funcionamiento en los componentes inteligentes de la red doméstica. Un único eslabón débil, como un componente sin parches o generalmente inseguro, podría servir de punto de entrada a todo el sistema conectado del hogar. Las consecuencias de un ataque virtual contra tu infraestructura cibernética podrían afectar gravemente a tu vida fuera de internet.
La importancia de las buenas prácticas de seguridad
Por este motivo, es de vital importancia que los usuarios cotidianos, los administradores de instalaciones, los desarrolladores y otras personas responsables tengan una visión general de los componentes utilizados. Deben conocer los estándares de comunicación, vigilar las vulnerabilidades, gestionar los parches con diligencia y dejar de usar cualquier componente en cuanto deje de recibir soporte. Pero, ante todo, cada responsable de tomar decisiones debe plantearse si realmente hace falta añadir otro dispositivo inteligente y conectado.
Así que, si quieres disfrutar de las ventajas de una vida inteligente, debes empezar a tratar tu propiedad como si fuera un ordenador. Los componentes inteligentes del IoT pueden diferir de los portátiles y ordenadores convencionales en cuanto a su arquitectura, sistema operativo, programación, memoria y capacidad de procesamiento, pero todos comparten principios subyacentes.
Por consiguiente, algunos vectores de ataque y vulnerabilidades del software y el hardware pueden explotarse de forma similar. No importa demasiado si se aprovechan fallos comunes en código C de un dispositivo inteligente o de un ordenador de sobremesa «a la antigua». Además, muchos componentes del Internet de las cosas, inteligentes o no, carecen de protección suficiente mediante cortafuegos o programas antimalware, lo que los convierte en presa fácil.
Los usuarios no deberían comprar los dispositivos más baratos y deberían exigir un mantenimiento adecuado. Además, quizá convenga separar por completo las redes de los dispositivos inteligentes y las de los dispositivos críticos, como ordenadores, servidores domésticos, sistemas de almacenamiento conectado a la red (NAS) y teléfonos que contienen datos privados confidenciales.
La aplicación de parches es un gran problema, ya que los administradores de grandes propiedades inteligentes o de infraestructuras conectadas no pueden limitarse a aplicar un parche de forma remota y reiniciar el sistema tras una actualización satisfactoria, porque puede haber sistemas vitales en funcionamiento. Pensemos, por ejemplo, en infraestructuras críticas como los semáforos, los sistemas de seguridad de una prisión o un aeropuerto, los dispositivos médicos de un hospital y otros. La aplicación de parches recae en el usuario final.
Cuantos más sistemas se utilizan, más hay que parchearlos y actualizarlos. Por consiguiente, tanto los usuarios finales como las entidades deben hacer frente a una mayor complejidad, lo que exigirá soluciones fáciles de usar que no provoquen problemas en la vida real. No puedo insistir lo suficiente en la importancia de gestionar los parches con diligencia, vigilar los avisos de seguridad y gestionar los incidentes.
A pesar de los continuos avances en hardware, software y estándares de redes, es seguro que se descubrirán y explotarán nuevas vulnerabilidades en el futuro. Sin embargo, no deberíamos condenar sin más estos avances tecnológicos, pues sería una postura excesivamente simplista e ignorante. En cambio, debemos ser conscientes de los riesgos, elaborar estrategias de mitigación para el caso de que se produzca un ataque, elegir cuidadosamente dispositivos de calidad y prestar atención al mantenimiento del software y el hardware, a la gestión de parches y a la protección adicional.
