Protección de los dispositivos de IoT de consumo:por qué se necesita un estándar global

Para los consumidores, el crecimiento de Internet de las cosas (IoT) significa que cada vez más objetos en su hogar están ahora conectados a Internet y están potencialmente en riesgo de sufrir ataques cibernéticos o de revelar datos personales en violaciones de la privacidad.

En los últimos años, dice Alex Leadbeater, presidente de ETSI Comité Técnico de Seguridad Cibernética (TC CYBER), ha habido un número creciente de informes sobre este tipo de problema de IoT del consumidor. Por ejemplo, los investigadores de seguridad descubrieron recientemente que ZipaMicro , un centro de hogar inteligente, utilizó la misma clave privada en cada centro, codificada en los dispositivos. Combinado con contraseñas codificadas que encontraron en Internet, esto permitió a los investigadores abrir cerraduras controladas por el concentrador.

Los dispositivos en riesgo incluyen juguetes conectados, que pueden contener cámaras y micrófonos a los que se puede acceder de forma remota. Además de los ataques a través de Internet, algunos juguetes ahora usan Bluetooth, que es una debilidad potencial. Altavoces inteligentes, como Amazon 'S Echo, también son vulnerables a los piratas informáticos que escuchan conversaciones privadas.

Los proveedores de dispositivos generalmente solucionan rápidamente este tipo de problemas una vez que han sido alertados sobre nuevos productos, pero eso puede ser demasiado tarde y existe un enfoque inconsistente para solucionar o recuperar los que ya están en el mercado. Los gobiernos están intentando introducir legislación para exigir estándares más altos; por ejemplo, el Reino Unido está consultando sobre nuevas leyes, que pueden incluir el etiquetado obligatorio de productos y estándares mínimos. Estados Unidos no se queda atrás, ya que California ya prohíbe las contraseñas genéricas predeterminadas. Luego, en términos de protección de datos, existen leyes como el GDPR de la UE que se aplican a cualquier información personal almacenada.

Pero esto puede dificultar la vida de los proveedores de productos:¿cómo pueden asegurarse de que cumplen de manera rentable diferentes conjuntos de requisitos en diferentes países, en un mercado que cambia rápidamente donde las regulaciones aún se están definiendo?

Estándar proporciona recomendaciones de seguridad

Para abordar este problema, ETSI anunció recientemente ETSI TS 103 645, el primer estándar global para la seguridad de IoT para el consumidor. El nuevo estándar tiene como objetivo establecer un punto de referencia sobre cómo las empresas deben asegurar los productos de consumo que se conectarán a Internet y promover las mejores prácticas.

Al mismo tiempo, se ha escrito con un enfoque en los resultados en lugar de metodologías específicas, lo que significa que hay suficiente flexibilidad para permitir que las empresas innoven y encuentren la mejor solución para sus productos particulares. El estándar tiene como objetivo abordar las necesidades de una amplia gama de dispositivos conectados, incluidos juguetes, rastreadores de actividad física portátiles, asistentes domésticos inteligentes, televisores inteligentes, cerraduras de puertas y sistemas de automatización del hogar.

Veamos los consejos del nuevo estándar de ETSI y cómo hará que los dispositivos de consumo conectados sean más seguros.

Requisitos del dispositivo

En primer lugar, el estándar dice que todas las contraseñas de los dispositivos deben ser únicas, lo que supera el problema actual en el que muchos productos se venden con un nombre de usuario y una contraseña predeterminados, que los usuarios a menudo no cambian. También dice que debería ser imposible restablecer la contraseña a la predeterminada. Es sorprendente que muchos productos en el mercado no cumplan ya con este u otros requisitos más básicos del nuevo estándar.

La protección de datos personales es una parte importante del estándar y requiere que toda la información confidencial se almacene de forma segura, tanto en los dispositivos mismos como en cualquier servicio relacionado, como en la nube. Los dispositivos no deben tener credenciales codificadas, ya que son relativamente fáciles de descubrir.

Los productos deben facilitar a los consumidores la eliminación de sus datos personales cuando lo deseen, con instrucciones claras. De manera similar, la instalación y el uso de dispositivos IoT deben ser simples y estar bien documentados. Los datos también deben estar protegidos y encriptados cuando se comunican. Los dispositivos deben proporcionar una protección adecuada contra los ataques al cifrado.

Todos los dispositivos conectados deben seguir buenas prácticas de ingeniería de seguridad, como cerrar el software no utilizado y los puertos de red para minimizar el riesgo de ataque. Todos los datos ingresados ​​deben ser validados para evitar vulnerabilidades como el uso de valores fuera de rango. Los dispositivos también deben poder verificar su software mediante algún tipo de mecanismo de arranque seguro basado en hardware y manejar cualquier corte de energía o de red con éxito.

Además de los requisitos para los dispositivos en sí, el estándar ETSI tiene demandas específicas para los proveedores de productos. Estos incluyen buscar y actuar sobre las vulnerabilidades con prontitud.

Y el software del dispositivo debe poder actualizarse de forma fácil y segura.

Fomento de la confianza del consumidor

Los consumidores están justificadamente preocupados por la seguridad de IoT. El nuevo estándar es una forma invaluable para que los proveedores recuperen la confianza de sus clientes. Siguiendo su guía, los fabricantes pueden asegurarse de que sus productos cumplan con los niveles adecuados de seguridad y privacidad. Esto significa que los clientes están protegidos y las empresas pueden evitar costosas infracciones y el impacto de la publicidad negativa.

Más importante aún, el estándar ETSI es un cambio radical para los consumidores, que les da la confianza de que su seguridad, privacidad y seguridad no se pondrán en riesgo por el uso de dispositivos conectados.

Puede leer el estándar ETSI aquí

El autor es Alex Leadbeater, presidente del Comité Técnico de Seguridad Cibernética de ETSI (TC CYBER).