Control desde dispositivos portables: viejos conocidos, nuevos riesgos

La incorporación de dispositivos inteligentes a las redes no sólo está afectando a nivel doméstico en domicilios particulares, también están siendo incorporados dentro de la industria, ampliando así el nivel de exposición que puedan tener las infraestructuras e incorporando potenciales vulnerabilidades que, en un principio, el sistema no tenía.

Este hecho también afectaría, en cierto modo, a los fabricantes de los dispositivos IoT incorporados en las redes, ya que las responsabilidades que han de tener con respecto al soporte de los dispositivos podrían verse alteradas si, por ejemplo, la empresa desaparece, es adquirida por otro competidor o quiebra. En estos casos, un dispositivo que haya sido adquirido por varios clientes podría quedar sin soporte a la hora de solventar posibles vulnerabilidades. Además, independientemente de si el fabricante sigue proporcionando un soporte al dispositivo o no, también existe un problema con la velocidad a la que se desarrollan algunas tecnologías, ya que éstas se diseñan, en la mayoría de las ocasiones, pensando en su funcionalidad, sin tener en cuenta la seguridad.

Ataques basados en dispositivos portables e IoT

Recientes estudios han demostrado que podría ser posible la creación de una botnet con dispositivos de alta potencia que podrían encontrarse en el mundo del Internet de las Cosas, como aires acondicionados o calentadores. Un atacante podría comprometer este tipo de dispositivos para posteriormente lanzar ataques de forma coordinada a gran escala dirigidos a la red eléctrica. Este hecho introduce una nueva clase de ataques potenciales a las redes eléctricas llamados “Manipulación de la demanda a través de dispositivos IoT”, pero que se conoce más por su nombre en inglés “Manipulation of demand via IoT (MadIoT)”. Este tipo de ataques se aprovecha de una red zombie formada por dispositivos comprometidos del mundo IoT para manipular la demanda de energía dentro de una red eléctrica.

-Explicación gráfica del ataque "Manipulation of demand via IoT (MadIoT)". Fuente: BlackIoT: IoT Botnet of High Wattage Devices Can Disrupt the Power Grid-

Aunque la ejecución de esta nueva clase de ataques es bastante compleja, algunos profesionales del sector no están totalmente de acuerdo con el documento publicado. En redes donde no se hayan realizado unas pruebas de estrés previas o revisado de forma adecuada la seguridad de todos los activos presentes, podría llegar a darse alguna de las situaciones expuestas en la investigación (pérdidas de servicio). Por otro lado, el impacto que pueda tener el ataque MadIoT dependerá de la variante que los atacantes hayan elegido a la hora de intentar manipular la demanda de energía en una red eléctrica. A continuación, se muestran las diferentes variantes del ataque con los objetivos que persiguen, el tamaño que ha de tener la botnet, el impacto inicial del ataque y las acciones del propio ataque.

-Variaciones del ataque MadIoT. Fuente: BlackIoT: IoT Botnet of High Wattage Devices Can Disrupt the Power Grid-

Edificios inteligentes y sus comunicaciones

Los calentadores y aires acondicionados que se encuentran presentes en los sistemas HVAC (Heating, Ventilation and Air Conditioning) de los BMS (Building Management System) ven como aumenta su superficie de exposición cada vez más, lo que hace que sea posible encontrarlos fácilmente en buscadores como shodan, zoomeye, Censys, etc. Esta exposición queda de manifiesto en diferentes avisos de seguridad publicados.

-BMS (Building Management System)-

Dentro de un BMS, donde actualmente coexisten muchos dispositivos, existen multitud de protocolos, algunos de ellos específicos de este campo de aplicación, como BACNet o LonTalks, y otros más generalistas, como puede ser ZigBee o ModBus/TCP. Quizá debido a su sencillez, este último es implementado por gran cantidad de fabricantes, tanto de BMS como de dispositivos que pueden encontrarse en el amplio mundo del Internet de las Cosas Industrial.

Además de los problemas ya explicados, debidos a la incorporación de gran cantidad de dispositivos en los sistemas para dotarles de mayor inteligencia, debemos tener en cuenta las propias comunicaciones utilizadas. Muchos de los protocolos comentados son muy antiguos y, en el momento de su nacimiento, la seguridad no era una de las prioridades de diseño. Hoy en día, es necesario que se incluyan mejoras de seguridad para todos los protocolos de comunicación utilizados, como puede ser el cifrado o la autenticación, y que, además, sean interoperables. Actualmente, muchas de las mejoras en materia de seguridad se están implementando en muchos protocolos utilizados en los BMS.

Aunque las mejoras de implementación con respecto a la seguridad están llegando a los protocolos antiguos, la incorporación de nuevos protocolos de comunicación, como Zigbee o WirelessHART, son una opción por la que están apostando muchos fabricantes no sólo en el Internet de las Cosas más domestico sino en el IIoT (Industrial Internet of Things), es decir, un Internet de las Cosas orientado a la Industria.

En el caso de ZigBee, la seguridad en la comunicación es uno de los puntos fuertes. Implementando su modelo de seguridad siguiendo los requerimientos definidos en IEEE 802.15.4; el diseño del protocolo proporciona tanto mecanismos de control de acceso de los dispositivos a la red (autenticación), de cifrado (utilizando criptografía de clave simétrica), así como de integridad, asegurando que las tramas transmitidas no han sufrido manipulación con comprobaciones de integridad de mensaje (MIC).

Por su parte, WirelessHART es un protocolo orientado al mundo industrial. En este protocolo, la especificación IEEE 802.15.4 cubre las capas bajas del modelo OSI, al igual que Zigbee o ISA 100, cubriendo también la especificación en capas superiores. La característica principal de este protocolo es su bajo consumo, lo que le permite ser usado en dispositivos alimentados por baterías sin agotarlas en un corto periodo de tiempo. Las medidas de seguridad del protocolo WirelessHART no pueden ser deshabilitadas, y se puede distinguir entre las que afectan al nivel lógico y las que afectan a nivel físico.

Hogares inteligentes y aplicaciones móviles

Al igual que sucede con los sistemas industriales, la incorporación de dispositivos en los hogares ha creado una “mini industria”. Muchas veces, no se posee un control de los dispositivos que se encuentran en la red. La pérdida de control puede deberse a diferentes razones, ya sea por la incorporación descontrolada de dispositivos o por un desconocimiento de las comunicaciones que poseen los mismos. Existen vectores de ataque en los que, gracias a los dispositivos inteligentes, un atacante puede realizar un salto entre redes creando un punto de acceso falso y desasociando el dispositivo inteligente de la red, para que éste requiera realizar un restablecimiento de la comunicación y lo haga con el punto de acceso falso creado con el mismo SSID. Al no cifrar las comunicaciones, el atacante puede descubrir la clave de acceso al WiFi de la víctima donde se encuentra el dispositivo inteligente.

Es importante tener en cuenta que las aplicaciones móviles que sirven para controlar en muchos casos algunos dispositivos inteligentes en los hogares, también son un problema de seguridad añadido, ya que, en ocasiones, las implementaciones realizadas en su desarrollo no incorporan una capa de seguridad robusta. Gracias a la falta de seguridad en las aplicaciones, los atacantes pueden utilizar las mismas como vector de ataque para comprometer los sistemas.

-Control de paneles solares en una casa inteligente-

Otros ataques más elaborados han puesto y ponen de manifiesto el problema existente con el IoT. Un caso curioso se produjo en un casino dentro de un hotel londinense, donde un atacante accedió a la red y consiguió robar información sensible sobre los jugadores del casino gracias al termostato que tenía un acuario situado a la entrada del hotel.

Conclusiones

No hay duda de que la incorporación de inteligencia, tanto a nuestros hogares como a los procesos industriales, es una gran ventaja que mejorará la eficiencia y nos proporcionará ciertas facilidades.

Sin embargo, es importante tener en cuenta que esta inteligencia es un arma de doble filo que puede ser aprovechada por atacantes para crear una inestabilidad en los sistemas industriales, realizar espionaje industrial, robar información sensible, etc. Por ello, tanto en la industria como en nuestros hogares, es importante seguir unas pautas que aseguren tanto las comunicaciones presentes como los dispositivos que interactúan en las mismas.

- “La tecnología es un siervo útil, pero un amo peligroso” -, Christian Lous Lange.