Como las aplicaciones de Samsung y Swann IoT violaron, ¿cuándo enfrentaremos nuestras fallas de seguridad?

La aplicación de Swann Security ha demostrado ser vulnerable a la piratería

El jueves, se revelaron fallas de seguridad dentro del firmware de Samsung SmartThings Hub. Cisco Talos publicó un blog sobre múltiples vulnerabilidades. Como Jeremy Cowan informes, esta no es la única falla de seguridad de IoT expuesta recientemente. No es de extrañar, entonces, que las empresas se pongan nerviosas por la seguridad de sus futuros servicios IIoT.

Talos encuentra la vulnerabilidad de Samsung Smart Things

Cisco Talos ha estado trabajando con Samsung para garantizar que estos problemas se hayan resuelto y que se haya puesto a disposición una actualización de firmware para los clientes afectados.

El concentrador es un controlador central que permite a los usuarios equipados con teléfonos inteligentes monitorear y administrar varios dispositivos electrónicos domésticos habilitados para Internet de las cosas (IoT). Estos incluyen:bombillas; sistemas de calefacción, ventilación y aire acondicionado (HVAC); cerraduras de puertas, etc. Estas vulnerabilidades podrían permitir que un atacante ejecute comandos del sistema operativo (SO) u otro código arbitrario en los dispositivos afectados.

El firmware que se ejecuta en SmartThings Hub está basado en Linux y permite las comunicaciones con dispositivos IoT utilizando una variedad de tecnologías diferentes como Ethernet, Zigbee, Z-Wave y Bluetooth.

La falla ha sido revelada a Samsung, que ahora tiene una solución disponible, pero un portavoz de Cisco Talos dice que las vulnerabilidades son "bastante graves".

Dado que estos dispositivos a menudo recopilan información confidencial, las vulnerabilidades descubiertas podrían permitir a un atacante monitorear y controlar dispositivos dentro del hogar o la empresa, o realizar actividades no autorizadas. Por ejemplo:

• Las cerraduras inteligentes controladas por SmartThings Hub se pueden desbloquear, lo que permite el acceso físico a la casa.
• Las cámaras instaladas dentro de la casa se pueden usar para monitorear a los ocupantes de forma remota.
• Los detectores de movimiento utilizados por el sistema de alarma contra intrusos podrían desactivarse.
• Los enchufes inteligentes se pueden controlar para apagar o encender sistemas importantes que pueden estar conectados.
• Los termostatos pueden ser controlados por atacantes no autorizados.
• Los atacantes también podrían causar daños físicos a los electrodomésticos u otros dispositivos que pueden estar conectados a enchufes inteligentes instalados dentro de un edificio inteligente.

Secuestraron las cámaras de seguridad de Swann

Al mismo tiempo, la semana pasada, se conoció la noticia de que las cámaras de seguridad de Swann podrían ser secuestradas fácilmente y se podía acceder a sus transmisiones de video y audio. La popular marca de cámara de seguridad inalámbrica, diseñada para proteger empresas y hogares, era, de hecho, vulnerable a un ataque de espionaje.

La falla significaba que era posible acceder al video y audio transmitidos desde las propiedades de otras personas al realizar un cambio menor en Swann Security Aplicación. Los investigadores encontraron el problema después de la BBC informó de un caso en el que un cliente había recibido las grabaciones de otro.

En respuesta a los nuevos hallazgos, Swann le dijo a la BBC que el problema se limitaba a un modelo, la SWWHD-Intcam, también conocida como Swann Smart Security Camera.

Adam Brown, director de soluciones de seguridad de Synopsys, con sede en California , comentó sobre esto. , una empresa de pruebas de seguridad de aplicaciones, le dice a IoT Now :“Personalmente tengo experiencia con las cámaras Swann; solía tener una, aunque diferente a la del informe. Descubrí que se podía acceder a la transmisión de la cámara directamente desde la red en la que estaba la cámara, y había cierto control de acceso sobre esa transmisión de video, una contraseña codificada, según recuerdo, esta es una mala práctica.

“Si esa cámara se colocara directamente en Internet (no detrás de un firewall), los ojos indiscretos podrían ver lo que mi cámara podría ver. Los controles de seguridad evidentes y laxos indican fallas sistémicas. Sin especular sobre los tecnicismos de lo que salió mal aquí, supongo que la iniciativa de seguridad del software en Swann falta o podría beneficiarse de alguna mejora deliberada impulsada por la administración. El mercado de las cámaras se está poniendo al día en ciberseguridad. Los principales fabricantes chinos están integrando la privacidad y la seguridad en sus cámaras e infraestructura. La privacidad y la seguridad serán vitales para la industria de las cámaras, ya que se las coloca como una solución de seguridad ”, agrega Brown.

La seguridad es la principal preocupación en IIoT

Entonces, ¿es de extrañar que la seguridad sea la mayor preocupación para las empresas que consideran su futuro en el Internet de las cosas industrial (IIoT)? Ya lo hemos preguntado antes, pero ¿qué tipo de desastre (y titulares dañinos) será necesario antes de que los fabricantes de equipos originales de dispositivos comiencen a tomarse en serio la seguridad?

Según la Encuesta de seguridad de IoT industrial del Instituto SANS 2018 Informe , la seguridad es la mayor preocupación cuando se trata de Internet industrial de las cosas.

Dean Ferrando, gerente de ingeniería de sistemas en Tripwire comenta:“La expansión de la tecnología y los dispositivos conectados conlleva un riesgo. El desarrollo y despliegue de una Internet industrial de las cosas lleva la seguridad a la cima de esa evaluación de riesgos. Esto se debe en parte a que los fabricantes de IoT envían dispositivos con poca o ninguna seguridad, por lo que es fundamental que los desarrolladores de productos examinen a fondo la tecnología en los dispositivos y garanticen que la seguridad se está programando en la etapa del software para eliminar cualquier falla.

“Cuando los dispositivos conectados pueden realizar cambios materiales en el mundo físico, la vida y la seguridad se vuelven especialmente relevantes para la ciberseguridad. Es por eso que la seguridad dentro de la infraestructura crítica debe abordarse al más alto nivel. Afortunadamente, a medida que surgen nuevos dispositivos y problemas, existe una gran cantidad de mecanismos de defensa y tecnologías para elegir ”, concluye Ferrando. “Si las organizaciones industriales quieren evitar ser golpeadas por un ciberataque, es necesario implementar una estrategia de higiene de la seguridad que incorpore la educación de la fuerza laboral junto con la inversión en la tecnología adecuada”.

El autor de este artículo es
Jeremy Cowan (en la foto a la izquierda),
director editorial de IoT Now
y VanillaPlus.