Todo va a IoT

Hay un poco de tecnología incorporada que se conecta a Internet en casi todos los dispositivos nuevos. Los tipos de "cosas" que se conectan a Internet incluyen teteras (en serio), zapatillas deportivas (zapatillas) y televisores.

Además, las cosas que pueden no estar conectadas a Internet pero que a menudo están conectadas a una red local incluyen dispositivos médicos como marcapasos y bombas de insulina. Esta tendencia, dice Art Dahnert, consultor gerente de Synopsys, Inc. , ha estado ocurriendo durante varios años y no parece que vaya a detenerse pronto.

El problema es que demasiadas cosas en Internet de las cosas (IoT) también están siendo pirateadas.

No es necesario que mires muy lejos para ver historias sobre cámaras de seguridad que se han convertido en una botnet o que tu televisor se usa para espiarlo, o un monitor de actividad física que se usa para identificar bases militares secretas. El problema con todos estos ataques es que el software que soporta estos dispositivos no se construye pensando en la seguridad. A menudo, nadie piensa en la seguridad hasta que es demasiado tarde y su dispositivo IoT está en todas las noticias.

Vehículos vulnerables

En ninguna parte esto es más obvio que en los coches de hoy. El vehículo moderno tiene hoy más de 100 CPU (unidades de coprocesador) y utiliza millones de líneas de código. Todo este código es necesario para admitir tecnologías avanzadas como el control de crucero adaptativo, el asistente de mantenimiento de carril, el estacionamiento automático y las funciones de frenado de emergencia, ninguno de los cuales existía hace 10 años.

La combinación de nuevo código y nuevas características junto con las presiones de la velocidad de comercialización significa que es muy probable que se hayan cortado algunas esquinas, incluidos los controles de seguridad. También es posible que los requisitos de seguridad no se hayan considerado lo suficientemente altos como para convertirlos en el producto final. Cualquiera sea la razón para no incluir la seguridad al principio, un vehículo inseguro está listo para que los atacantes lo exploten y tomen el control.

Y esto es exactamente lo que ha sucedido. La mayoría de los malos que atacan el software automotriz no buscan chocar miles de autos mientras conducen por la carretera; van a hacer lo que hacen los malos, robar cosas. Es decir, robar el vehículo, o al menos lo que hay dentro del vehículo. Eso es exactamente lo que sucedió en Houston en 2016, cuando una pandilla robó más de 30 Jeeps aprovechando la falta de controles de seguridad en el software del vehículo.

¿Qué se puede hacer?

En primer lugar, las empresas deben tomarse la seguridad en serio e incorporar la seguridad en sus productos desde el principio, utilizando las mejores prácticas de seguridad. Esto comienza con la capacitación del personal de desarrollo sobre la escritura de software seguro e incluye el desarrollo o el uso de una arquitectura que integre la seguridad en el sistema general. Una cosa es tener módulos o componentes escritos de forma segura, pero si el sistema transmite datos (contraseñas) en texto sin cifrar, eventualmente aún tendrá un compromiso.

Además del código y la arquitectura seguros, las empresas deberán invertir en un SDLC que integre la seguridad en puntos específicos del proceso. Esto puede incluir una herramienta de análisis de código estático que escanea la fuente cada vez que se inicia una compilación. Y, por último, la realización de una evaluación de seguridad (prueba de penetración) en el producto antes de enviarlo a producción se utiliza a menudo para validar los requisitos de seguridad.

La seguridad del software es un viaje y estos pasos son solo el comienzo. Con todo en IoT, cada "cosa" en Internet de las cosas debe ser segura.

El autor de este blog es Art Dahnert, consultor gerente de Synopsys, Inc.

Sobre el autor:

Art Dahnert es un consultor de seguridad de la información que tiene más de 19 años de experiencia en tecnología de la información y más de 9 años en pruebas de penetración de aplicaciones. El Sr. Dahnert ha completado cientos de evaluaciones de riesgos de seguridad, pruebas de penetración y evaluaciones de vulnerabilidad de aplicaciones web, aplicaciones de escritorio y aplicaciones móviles.

Ha evaluado la seguridad de sistemas e infraestructuras que varían en tamaño, desde pequeños a grandes, incluidos; aplicaciones web simples, aplicaciones bancarias para grandes empresas y sistemas de implementación específicos para el ejército de EE. UU. totalmente funcionales.