No­ta del me­dio.

La in­se­gu­ri­dad del in­ter­net de las co­sas

home:tech magazine mexico - - Contenido -

Sy­man­tec ge­ne­ró un im­por­tan­te es­tu­dio so­bre la in­se­gu­ri­dad del in­ter­net de las co­sas. Leer­lo pue­de sig­ni­fi­car la di­fe­ren­cia.

Una par­te de la fun­cio­na­li­dad de los equi­pos elec­tró­ni­cos ac­tua­les es­tá aso­cia­da a su co­nec­ti­vi­dad a in­ter­net. Am­pliar es­ta ca­rac­te­rís­ti­ca a la ma­yo­ría de apa­ra­tos y dis­po­si­ti­vos es una ten­den­cia muy fuer­te en el mer­ca­do au­dio­vi­sual. Los con­su­mi­do­res la han acep­ta­do de buen gra­do, pe­ro tam­bién tie­nen en cuen­ta que la se­gu­ri­dad no es uno de sus ras­gos esen­cia­les y los de­ja has­ta cier­to gra­do ex­pues­tos. Sy­man­tec, pa­ra cons­ta­tar­lo con la ex­pe­rien­cia pro­pia, ana­li­zó 50 dis­po­si­ti­vos de ca­sas in­te­li­gen­tes pa­ra sa­ber có­mo en­fren­tan la nue­va ola del in­ter­net de las co­sas (IoT).

Si se to­ma en cuen­ta que en es­te año ha­brá 2.9 mi­llo­nes de dis­po­si­ti­vos y equi­po IoT, se­gún un es­tu­dio de la em­pre­sa Gart­ner, po­de­mos dar­nos una idea de la im­por­tan­cia del asun­to, pues a ma­yor can­ti­dad de uni­da­des co­nec­ta­das las po­si­bi­li­da­des de ata­que a re­des ca­se­ras por par­te de los hac­kers au­men­tan. Es­to no quie­re de­cir que es ne­ce­sa­rio en­trar en pá­ni­co y no acep­tar es­ta tec­no­lo­gía, pues los pi­ra­tas ci­ber­né­ti­cos ten­drían que en­con­trar el be­ne­fi­cio de di­ri­gir­se a es­te ti­po de re­des.

Lo cier­to es que en el IoT es ex­ten­si­vo el uso de con­tra­se­ñas dé­bi­les, ade­más de que los ven­de­do­res no sue­len for­zar al usua­rio a que cam­bie los pass­words de fá­bri­ca. Una lis­ta so­bre la vul­ne­ra­bi­li­dad del in­ter­net de las co­sas, pu­bli­ca­da por Open Web Ap­pli­ca­tion Se­cu­rity Pro­ject (OWASP), es­pe­ci­fi­ca los pun­tos dé­bi­les más co­mu­nes:

• Au­to­ri­za­ción in­su­fi­cien­te • Ser­vi­cios de red in­se­gu­ros • Fal­ta de en­crip­ta­ción • In­ter­faz de nu­be in­se­gu­ra • In­ter­faz mó­vil in­se­gu­ra • Con­fi­gu­ra­ción de se­gu­ri­dad in­su­fi­cien­te • Soft­wa­re/firm­wa­re in­se­gu­ros

Pa­ra co­no­cer bre­ve­men­te có­mo se pue­de vul­ne­rar una red de equi­po IoT en el es­tu­dio se uti­li­zó un ras­trea­dor de red, como Wi­res­hark, pa­ra co­no­cer el trá­fi­co de la red. El hub Wi­Fi ge­ne­ra trá­fi­co ca­da 15 mi­nu­tos pa­ra ve­ri­fi­car si hay ac­tua­li­za­cio­nes de firm­wa­re. Da­do que la co­ne­xión pro­du­ci­da con un ser­vi­dor re­mo­to Tri­vial Fi­le Trans­fer Pro­to­col (TFTP) no es­tá en­crip­ta­da ni ne­ce­si­ta au­to­ri­za­ción es fá­cil­men­te de­tec­ta­da por al­guien con ac­ce­so a la red ca­se­ra, lo que per­mi­te un ata­que co­no­ci­do como man-int­he-midd­le (MITM).

En el es­tu­dio con­du­ci­do, se usó el Address Re­so­lu­tion Pro­to­col (ARP) pa­ra re­di­ri­gir el trá­fi­co del hub al ser­vi­dor TFTP de los res­pon­sa­bles de es­te ex­pe­ri­men­to. Ya que la ac­tua­li­za­ción es un pa­que­te sin asig­na­ción es fá­cil abrir­lo y mo­di­fi­car­lo. Una vez que el firm­wa­re mo­di­fi­ca­do se ins­ta­la en el dis­po­si­ti­vo, el ata­can­te to­ma con­trol de es­te y pue­de ma­ni­pu­lar otros equi­pos a par­tir de ahí. El ata­can­te pue­de ras­trear las ra­dio­fre­cuen­cias e “in­yec­tar”pa­que­tes de in­for­ma­ción co­rrup­tos, con lo que se con­tro­la fá­cil­men­te el equi­po.

Los ha­llaz­gos de es­te es­tu­dio se pue­den re­su­mir en los si­guien­tes pun­tos: • Ca­si el 19 por cien­to de las apli­ca­cio­nes pa­ra te­lé­fo­nos que se usan pa­ra con­tro­lar equi­po IoT no se co­nec­tan de for­ma se­gu­ra usan­do Se­cu­re Soc­ket La­yer (SSL).

• Nin­gún equi­po ana­li­za­do uti­li­za au­ten­ti­fi­ca­ción mu­tua en­tre el clien­te y el ser­vi­dor.

• Al­gu­nos dis­po­si­ti­vos no te­nían con­tra­se­ñas fuer­tes.

• Al­gu­nas in­ter­fa­ces IoT no so­por­tan au­ten­ti­fi­ca­ción de dos fac­to­res (two-fac­tor aut­hen­ti­ca­tion, 2FA).

• Al­gu­nos equi­pos no ins­tru­men­ta­ban pro­tec­ción con­tra el ro­bo de cuen­tas.

• Mu­chas de las pla­ta­for­mas de nu­be pa­ra el IoT no es­tán li­bres de la vul­ne­ra­bi­li­dad co­mún en las apli­ca­cio­nes web.

• Se en­con­tra­ron diez pro­ble­mas de se­gu­ri­dad en quin­ce por­ta­les web usa­dos pa­ra con­tro­lar equi­po IoT. Se en­con­tra­ron seis que eran gra­ves, pues per­mi­tían ac­ce­so sin au­to­ri­za­ción a sis­te­mas bac­kend.

Pa­ra leer el es­tu­dio com­ple­to y sa­ber más de lo que es­tá ha­cien­do Sy­man­tec en es­te te­ma vi­si­te: http://bit.ly/1GRvc8c, o http://www.sy­man­tec.com.

Newspapers in Spanish

Newspapers from Mexico

© PressReader. All rights reserved.