Los dispositivos del internet de las cosas (IoT) de consumo no se caracterizan precisamente por tener prácticas de seguridad sólidas. Para evitar que los compradores tengan que descubrirlo por las malas, los investigadores han realizado evaluaciones de seguridad de dispositivos representativos, otorgándoles puntuaciones que van desde 28 (una F) hasta 100.
Su sitio web, yourthings.info, muestra las clasificaciones de 45 dispositivos, aunque los investigadores han evaluado un total de 74. Esto dista mucho de ser un recuento completo de las decenas de miles de dispositivos disponibles, pero la gran idea que hay detrás del proyecto es ayudar a los consumidores a comprender cuestiones importantes antes de conectar un nuevo asistente de IoT a sus redes domésticas.
«Muchas personas que compran estos dispositivos no comprenden del todo los riesgos asociados a su instalación en sus hogares,», afirma Omar Alrawi, auxiliar de investigación de posgrado en el Instituto de Tecnología de Georgia. «Queremos aportar información mediante la publicación de calificaciones de seguridad de los dispositivos que hemos probado».
Vulnerabilidades de los dispositivos conectados a internet
Los asistentes digitales personales activados por voz se encuentran entre los dispositivos IoT domésticos más comunes; sin embargo, si no se instalan correctamente, pueden facilitar el acceso no deseado a las redes domésticas a las que están conectados, advierte Manos Antonakakis, investigador en ciberseguridad y profesor asociado de la Escuela de Ingeniería Eléctrica e Informática de Georgia Tech.
«Si tiene una aplicación IoT vulnerable, quien tenga acceso a esa aplicación no solo accede a su información personal, sino que también podría entrar en su hogar y escuchar sus conversaciones», afirma. «Cualquier dispositivo conectado en el hogar que esté cerca del asistente personal también podría interactuar con él. Si hay software vulnerable ejecutándose en el dispositivo, podría explotarse dentro de la red doméstica».
Un problema es que la mayoría de las redes domésticas se configuraron para tareas sencillas, como compartir impresoras, por lo que carecen de los controles de seguridad que se encuentran en los sistemas empresariales, señala Chaz Lever, ingeniero de investigación de la Escuela de Ingeniería Eléctrica e Informática.
«La red doméstica empieza a parecerse mucho a las redes empresariales, con una serie de servicios que deben protegerse», afirma Lever. «Pero el consumidor medio no está preparado para hacerlo. No cuenta con un equipo de TI que realice auditorías y proteja los dispositivos. Si estos dispositivos no son seguros desde el primer momento y no existen formas sencillas de protegerlos, pueden abrir el hogar a un nuevo vector de ataques».
Evaluación de riesgos
Para ofrecer a los consumidores consejos útiles, los investigadores desarrollaron un marco para analizar los componentes de seguridad de los dispositivos. En lo que se cree que es el primer esfuerzo por evaluar objetivamente los riesgos del equipo IoT, examinaron los propios dispositivos, la forma en que se comunican con los servidores en la nube, las aplicaciones que se ejecutan en ellos y los puntos finales basados en la nube.
«Cuantos más servicios se ejecutan en el dispositivo, mayor es la probabilidad de que algunos de ellos sean vulnerables a ataques», afirma Antonakakis. «Ofrecer muchos servicios puede resultar atractivo desde una perspectiva de marketing, pero si tiene varios servicios, el riesgo aumenta».
En su estudio de los dispositivos IoT, los investigadores encontraron grandes variaciones en materia de seguridad según el fabricante. En algunos casos, los equipos fabricados por empresas pequeñas y menos conocidas tuvieron un mejor rendimiento que los dispositivos fabricados por empresas más grandes.
«Hay dispositivos que hacen muy bien la seguridad, y otros fabricantes deberían aprender de esos dispositivos ejemplares», afirma Alrawi. «Vimos todo el espectro, desde lo bueno hasta lo malo, y en ocasiones nos sorprendieron los resultados de nuestra evaluación».
Dado que los fabricantes diseñan estos productos para que los consumidores puedan instalarlos, estos dispositivos IoT deben ser fáciles de usar. Pero la facilidad de uso puede ser enemiga de la seguridad. Un ejemplo es un servicio conocido como UPnP, que da a conocer los dispositivos a la red durante la instalación para que puedan establecerse las comunicaciones.
Pero un dispositivo que se anuncia en la red puede atraer a atacantes, señala Lever. «Es útil que los dispositivos comuniquen lo que hacen, pero eso abre vulnerabilidades. La elección de los protocolos afecta no solo al dispositivo, sino también a la seguridad de la red en la que funciona».
Actualizar su nevera
Es poco probable que las bombillas conectadas a internet tengan una vida útil prolongada, pero no ocurre lo mismo con electrodomésticos costosos como los frigoríficos conectados a internet. Antonakakis teme que estos dispositivos puedan convertirse en riesgos de seguridad si no reciben actualizaciones periódicas.
«Idealmente, el consumidor no debería tener que saber que su nevera necesita actualizaciones que deban descargarse en el dispositivo», afirma. «Queremos que esto ocurra de forma automática y segura. ¿Por qué debería alguien tener que saber cómo actualizar su nevera?».
Aunque la idea de hackear una olla de cocción lenta pueda parecer divertida, estos dispositivos tienen elementos calefactores que podrían provocar un incendio si un actor malintencionado subiera la temperatura. Los ataques también pueden afectar a más de un propietario. En 2016, la red de bots Mirai aprovechó cámaras no protegidas conectadas a internet, muchas de ellas monitores para bebés, para lanzar un enorme ataque de denegación de servicio distribuido que dejó inaccesible gran parte de internet.
Más allá de la educación de los consumidores, los investigadores esperan fomentar una mejor seguridad por parte de los fabricantes de dispositivos mediante el seguimiento de las tendencias de seguridad a lo largo del tiempo.
«Esperamos inspirar los próximos pasos técnicos y políticos», afirma Antonakakis. «Es necesario establecer políticas y normas. Queremos elevar el nivel de seguridad de todos estos dispositivos. Todavía queda mucho por hacer».
Fabrian Monrose, de la Universidad de Carolina del Norte en Chapel Hill, también formó parte del equipo de investigación.
