Todo el mundo sabe que la seguridad débil representa una amenaza para su negocio, y los dispositivos conectados de IoT presentan una superficie de ataque sustancial para los piratas informáticos. Sin embargo, parece haber una actitud general entre las organizaciones de esperar que no les ocurra una violación, y esta actitud puede ver una seguridad inadecuada a nivel de dispositivo incorporada desde el concepto de solución en adelante. Aunque la tecnología de seguridad es madura, su diseño y administración pueden ser complicados y costosos. Las organizaciones tienen que equilibrar este gasto y complejidad con el panorama competitivo y el máximo retorno de la inversión de su solución de IoT.
Por lo general, se necesita una violación o introducción de una nueva regulación para que la seguridad se convierta en una prioridad, pero no tiene por qué ser así. Al adoptar una arquitectura de seguridad clara, las organizaciones pueden abordar muchos de los conceptos básicos de seguridad. También pueden externalizar muchas de las cargas de gestión a proveedores especializados, lo que les permite centrarse en el negocio principal. Para muchos, el objetivo solo debe ser tener una mejor seguridad que otras organizaciones que luego presentan objetivos más suaves y atractivos para los piratas informáticos.
Alon Shamir, director senior de administración de productos para Pelion Device Management en Arm, y Duncan Jones, gerente senior de productos con responsabilidad de seguridad de chip a nube en Arm, discuten la seguridad con George Malim. En esencia, a pesar de que la seguridad es una búsqueda interminable, las organizaciones no deben desanimarse y, en cambio, centrarse en obtener una arquitectura de seguridad adecuada para su propósito, permitiéndoles agregar seguridad adicional a medida que evoluciona el paisaje.
George Malim: ¿Qué ve Arm como las amenazas clave que afectan la seguridad a nivel de dispositivo?
Alon Shamir: Cualquier conversación sobre IoT y seguridad comienza con el hecho de que estamos viendo más incidentes que impulsan a más empresas a tener en cuenta la ciberseguridad e invertir más en esta área. La ciberseguridad es complicada, y si bien puede ser un paraíso para los geeks de seguridad, para otras personas, es un infierno. No hay una bala de plata que pueda resolver la seguridad de una vez por todas y en todas las situaciones. Lo que se necesita es una evaluación considerada y lógica de las amenazas, que coincida con un plan que las mitigue.
Los ataques provienen de puntos de origen físicos y cibernéticos, y ambos vienen con desafíos. Uno comprende las amenazas que conoce y, por lo tanto, puede hacer un trabajo preventivo para detenerlo. El otro involucra las amenazas que aún no conoce, y aquí es donde se encuentra su punto débil. Es necesario detectar estas amenazas para poder desarrollar e implementar una estrategia de mitigación. Un enfoque integral requiere detección y prevención.
Un ataque de una fuente desconocida o no confiable en su red significa que el aspecto de prevención no fue efectivo, y luego debe confiar en la detección para detener un ataque. Hay dos métodos de detección en los que confiar. Existen los datos de administración del dispositivo, que pueden revelar las conexiones que tiene abiertas, y esto presenta una forma directa de saber qué dispositivo ha sido violado. El segundo método es realizar una prevención a nivel de red, que requiere la implementación de sondas en todas las redes para detectar e identificar anomalías.
Un famoso ejemplo de dónde esto habría ayudado es el casino de Las Vegas que fue pirateado desde un dispositivo de acuario que formaba parte de la red general del casino. La detección adecuada habría identificado que el dispositivo, que solo debería comunicarse con el proveedor de servicios del acuario, estaba hablando con otros sistemas de casino, y esto debería haber activado una alerta, evitando así que el ataque causara daños reales.
Tanto la detección como la prevención son esenciales, pero la vida no es ideal en todo momento, y debe ajustarse para lograr la mejor seguridad para cada caso de uso, ciclo de vida del dispositivo y presupuesto. Trabajamos mucho en prevención. Tenemos una estrategia completa de gestión del ciclo de vida del dispositivo de seguridad, que comienza con la incorporación de capacidades en los dispositivos en el punto de aprovisionamiento y continúa durante todo el ciclo de vida de extremo a extremo.
Esta capacidad de prevención incorporada es muy importante porque, aunque sus dispositivos no serán 100% seguros, los atacantes tienden a encontrar y explotar las vulnerabilidades más fácilmente accesibles. Es como la historia de dos personas huyendo de un león; uno le pregunta al otro: "¿Crees que puedes escapar del león?"
"No tengo que huir del león, solo tengo que huir de ti", es la respuesta.
Lo mismo es, principalmente, cierto en la seguridad del dispositivo. Si lo haces difícil para los atacantes, tienden a seguir adelante y encontrar un objetivo más fácil de atacar. Por esta razón, una prioridad para nosotros es proporcionar una base sólida de seguridad a nuestros clientes, incluso si ellos mismos no son expertos en seguridad.
GM: ¿Cómo pueden las organizaciones de IoT y sus socios garantizar que la seguridad a nivel de dispositivo esté optimizada?
COMO: Los atacantes tienden a gravitar hacia el eslabón más débil, como vimos con el ejemplo del acuario del casino1, y entran a través de eso. Por lo tanto, debe tener mucho cuidado con la forma en que integra los dispositivos y administrarlos de forma remota. Puede tener muy buena seguridad cibernética, pero una vez que un técnico necesita acceder a un dispositivo, como un elevador, generalmente tiene acceso completo. En el caso de IoT, el dispositivo en sí no es necesariamente el objetivo, pero la empresa sí. El dispositivo IoT es simplemente cómo se obtiene el acceso.
Si puede obtener acceso a través de un dispositivo físico que es parte de la red, toda la red puede quedar expuesta. No importa si ingresas a través de un dispositivo o mil dispositivos diferentes.
Duncan Jones: Cuando escuchas la noticia de que aún se están produciendo infracciones, eso indica que algunas personas todavía ven la seguridad como algo que se puede omitir o rociar en el último momento. Por tediosos que sean algunos de estos procesos, son necesarios. La gente todavía está tratando de omitir demasiados pasos.
Entiendo que esto se debe a que las organizaciones se centran en mantener un bajo costo de lista de materiales (BOM) para el dispositivo IoT y en llegar al mercado rápidamente. Aún así, deben considerar el costo de una sola violación.
Algunas personas lo están haciendo bien. Estamos trabajando con clientes que nos eligen porque se preocupan por una seguridad sólida. Además, existe una diferencia entre los dispositivos que las compañías desarrollan, con el marco de seguridad necesario, y los dispositivos que pueden adoptar de otras fuentes. Nos enfocamos en desarrollar dispositivos que sean seguros por derecho propio.
Esto no significa necesariamente que necesite componentes adicionales en el dispositivo. Aún así, una fracción más de gasto puede permitirle fortalecer la raíz de la confianza y, para muchos casos de uso, representa solo una inversión adicional incremental en hardware.
Por supuesto, no se trata solo de los componentes que coloca en el dispositivo. El enfoque estructural que las organizaciones adoptan para establecer y mantener la arquitectura de seguridad de sus dispositivos es esencial. Tenemos un marco de seguridad, la Arquitectura de seguridad de la plataforma, algo que ponemos a disposición gratuitamente para ayudar a las organizaciones con este aspecto. Incluso el chip más barato puede llevarlo lejos en seguridad, siempre que se haya aplicado la estructura lógica correcta.
GM: No es un panorama único para todos, pero ¿qué soluciones se están llevando al mercado para abordar la seguridad a nivel de dispositivo?
COMO: Creo que vale la pena señalar que existe una disparidad entre los diferentes sectores. La Unidad de Inteligencia de The Economist, por ejemplo, ha informado que las empresas de consumo y minoristas han sufrido las infracciones de más alto perfil, pero están menos preocupadas sobre si estos han disminuido el interés en IoT. En contraste, las compañías de energía y recursos naturales son las más interesadas en la seguridad.
DJ: En última instancia, depende de la calidad del trabajo que desea hacer. En un mundo perfecto, harías las cosas con rigor y desarrollarías un modelo de amenaza que coincidiera exactamente con tu aplicación IoT. La arquitectura de seguridad de la plataforma de Arm identifica varios ejemplos de modelos de amenazas y los procesos, elementos y técnicas recomendados para ofrecer un nivel de protección adecuado. Nuestros clientes más conscientes de la seguridad adoptan este enfoque.
Las organizaciones pueden querer asumir la tarea de desarrollar su defensa contra las amenazas que podrían afectar su caso de uso. Sin embargo, no todos quieren hacer esto, y aquí es donde entra Pelion. Las personas pueden obtener muchas ventajas simplemente abordando los conceptos básicos, pero si están en una industria de alto riesgo o enfrentan daños de marca, pueden desear ir más allá .
GM: ¿Por qué seguimos teniendo las mismas conversaciones sobre las debilidades de seguridad en las empresas a pesar de todas las violaciones de alto perfil y daños a la marca que se han informado?
DJ: La mayor parte de mi carrera ha sido en seguridad, y te imaginas que las cosas mejorarían gradualmente. Pero, en última instancia, es solo la regulación la que causa el cambio. Hemos tenido criptografía y todos los elementos en su lugar durante años, después de todo, son solo matemáticas, pero aún nos encontramos con brechas en las noticias. A menudo, esto no es causado por actores maliciosos que hacen algo especialmente inteligente; generalmente se debe a que algo no se ha cifrado o una vulnerabilidad conocida no se ha corregido.
Arm está tratando de hacer todo lo posible para ayudar a la industria a avanzar en la dirección correcta, pero desafortunadamente, mi dinero está en que la situación se mantendrá más o menos igual durante muchos años.
COMO: A menudo, pensamos en IoT como un mercado, pero en realidad, es una colección de mercados. Un dispositivo de consumo de fabricación barata tiene el costo como la consideración más importante, mientras que otros casos de uso y verticales realmente priorizan la seguridad.
Hace cinco años, por ejemplo, los fabricantes de automóviles no se molestarían con un diseño seguro de sistema en un chip (SoC), pero ahora ni siquiera hablarán sin un SoC seguro disponible. Para las industrias de servicios públicos, automotriz y otras, el nivel está aumentando y la conversación sobre seguridad se lleva a cabo relativamente temprano. He trabajado con algunos de los nombres más importantes de la industria automotriz, y la seguridad fue una idea de último momento. Ahora, ese no es el caso, es frontal y central.
A veces es la regulación la que causa este cambio, pero a veces es solo un caso de un ataque o un incidente que se está volviendo viral que pone de relieve la seguridad y hace que el mercado reaccione. En automoción, el desencadenante fue el pirateo de Jeep Cherokee que vio a los piratas informáticos tomar el control de los sistemas de un vehículo conducido por un periodista de la revista Wired. Cosas como esta significan que la conversación evoluciona.
GM: ¿Cuáles son las realidades de la seguridad a nivel de dispositivo? No existe la seguridad completa, pero ¿qué nivel de comodidad se necesita lograr?
COMO: Tiene razón, y aquí es donde el modelado de amenazas ayuda haciendo malabares con las amenazas anticipadas, la usabilidad requerida y el costo deseado para mitigar. Los clientes pueden comenzar buscando la seguridad total, pero cuando comprenden las implicaciones en el costo, pueden estar dispuestos a comprometerse aquí y allá. Alternativamente, puede haber implicaciones en la línea de producción con la incorporación de una mayor seguridad. Además, si su línea de producción real no es segura, tiene un agujero negro y puede ser complicado y costoso solucionarlo. Algunas compensaciones son posibles y un buen modelo de seguridad puede equilibrar los tres problemas.
GM: ¿Cómo puede ayudar Arm?
DJ: Creo que la diferencia de Arm se mide por el valor que agregamos a lo largo de las diversas etapas del ciclo de vida del dispositivo IoT. Por ejemplo, nos ocupamos del 70-80% de la codificación de seguridad fundamental, pero mundana, requerida durante la fase de desarrollo del software de la aplicación; Esto puede tener un impacto dramático en su tiempo de comercialización. Otro ejemplo implica asegurar que la cadena de confianza tenga su base en una identidad segura y confiable, y Pelion lo establece en la primera oportunidad: en la producción de dispositivos. Inyectamos el dispositivo con una clave criptográfica y un certificado. Durante la activación y la incorporación, utilizamos esta identidad integrada para asegurar y autenticar las comunicaciones tanto con el servicio de administración de dispositivos como con la plataforma de administración de datos.
Además, las técnicas para almacenar y aplicar de forma segura las actualizaciones por aire son administradas por el servicio Pelion; Es esencial asegurarse de que todo lo que se ejecuta en el dispositivo sea válido. Por lo general, cuando se mejora el firmware del dispositivo o el software de la aplicación IoT, o se necesita un parche para corregir un error o una vulnerabilidad de seguridad, debe aplicar una actualización. Nos aseguramos de que este proceso se ejecute de forma segura, con actualizaciones firmadas y un control antirretroceso. Hay una sorprendente cantidad de funcionalidad del dispositivo necesaria para garantizar la integridad del proceso, y esa disponibilidad del dispositivo no se ve comprometida debido a que una actualización se aplica incorrectamente.
Y finalmente, algo que se pasa por alto, o al menos se minimiza, es la necesidad de monitorear la salud del dispositivo. Hemos sido pioneros en la capacidad de detectar e informar sobre anomalías. La recopilación de métricas operativas específicas del dispositivo, por ejemplo, la utilización de la CPU y la memoria, proporciona información sobre el rendimiento del dispositivo en relación con las líneas base aceptadas. La comprobación proactiva de desviaciones podría ser indicativa de un error de software que acelerará el agotamiento de la batería o un ataque cibernético que intenta establecer conexiones no autorizadas.
COMO: Pelion proporciona un marco de seguridad que se extiende a lo largo del ciclo de vida de extremo a extremo del dispositivo. Muchas veces, las reglas de seguridad se rompen cuando las compañías intentan unir cosas de múltiples fuentes y lo hacen de una manera que no es segura. No vendemos los conjuntos de chips o los dispositivos; Proporcionamos los componentes básicos para ejecutar todo y garantizar la interoperabilidad segura de sistemas y dispositivos.
La seguridad es un tema que continúa. Veremos picos de actividad cuando sucedan cosas interesantes, pero la mayoría de las violaciones de seguridad aún pasan desapercibidas. Si un fabricante de automóviles no necesita correr y hablar de una violación, no lo hará. Simplemente abordan la amenaza en silencio y siguen adelante.
Las organizaciones astutas encuentran el equilibrio adecuado, por lo que no están expuestas, y los piratas informáticos van a otra parte para encontrar un objetivo más suave. Esa ha sido la historia de seguridad hasta ahora, y probablemente continuará de esa manera.
www.arm.com
