Seguridad IoT: superando barreras de despliegue

La seguridad sigue siendo la máxima prioridad en el desarrollo y despliegue del Internet de las Cosas. Gartner reporta que, para 2020, la seguridad IoT representará el 20% de todos los presupuestos de seguridad.

Nick Sacke, head de Producto e IoT en Comms365, advierte que analistas, vendors y stakeholders están cada vez más preocupados por los significativos riesgos de seguridad asociados con despliegues IoT. Estas preocupaciones moldean la toma de decisiones y erosionan la confianza del usuario final, especialmente al usar redes existentes —como Wi-Fi, con historial de vulnerabilidades— o sistemas más nuevos de espectro no licenciado como LoRaWAN y Sigfox.

La falta de estandarización a nivel de industria es otro obstáculo. Redes antiguas y nuevas por igual necesitan políticas de seguridad cohesivas para avanzar.

Falta de información

Un factor importante que socava la confianza es la escasez de información sobre las medidas de seguridad ya existentes para las redes que sustentan el IoT, tanto licenciadas como no licenciadas. Las plataformas Low-Power Wide-Area Network (LPWAN) como LoRaWAN y Sigfox operan en espectro no licenciado y han sido criticadas por carecer de los mecanismos de seguridad tradicionales de redes celulares. Los operadores a menudo argumentan que una red IoT basada en celular es "más segura" porque el tráfico permanece bajo control del operador.

Es esencial distinguir el tipo de tráfico de sensores y la seguridad que puede aplicarse en cada punto de la red. Todo el tráfico LoRaWAN es no-IP, emplea encriptación AES de 128 bits y es descifrado por un servidor de aplicaciones alojado en un entorno de nube privada. Esto contrasta marcadamente con redes de sensores basadas en Wi-Fi que pueden conectarse a gateways de internet público y por tanto requieren medidas de seguridad on-site estrictas. Idealmente, redes públicas, sus proveedores y fabricantes de dispositivos deberían escrutar cada elemento de diseño para maximizar la protección y tranquilizar a usuarios.

Aunque las preocupaciones de seguridad son reales, no todas las redes IoT son igualmente vulnerables. Despliegues recientes de LoRaWAN incorporan seguridad integrada desde el inicio, lo cual es crucial para salvaguardar datos.

¿Quién asume finalmente la responsabilidad de la seguridad IoT? La respuesta es todas las partes: operadores de red, fabricantes de dispositivos y usuarios finales. Se requiere un enfoque coordinado de extremo a extremo para asegurar el IoT desde el desarrollo hasta el despliegue y operación diaria. Dependiendo de la tecnología de acceso a red elegida, características de seguridad inherentes —como las encontradas en LPWAN celular— pueden ya existir, pero arreglos similares pueden establecerse para redes de espectro no licenciado creando arquitecturas de seguridad privadas y en capas.

Cómo lo hizo una ciudad

El proyecto de ciudad inteligente Milton Keynes desplegó una red LoRaWAN a finales del año pasado, cubriendo áreas del centro urbano para diversos casos de uso —incluyendo energía, aparcamiento y monitorización ambiental.

Datos de miles de sensores basados en LoRa se recopilan de forma segura sobre la LPWAN y se depositan en un hub de datos IoT construido a propósito, donde pueden ser analizados por múltiples stakeholders en un entorno monitorizado y legalmente conforme.

Dada la escala del despliegue y la población servida, la seguridad es primordial. Los consumidores deben confiar en que el marco de seguridad es robusto no solo en software sino también en el entorno físico. Iniciativas como blockchain ya se están explorando para profundizar la seguridad, incluso para tráfico de red pública. Quizás el elemento más crítico es proteger los sitios donde los dispositivos se despliegan físicamente para prevenir manipulación local.

Si un atacante local puede comprometer un dispositivo, la integridad de toda la ruta de datos se compromete. El a prueba de manipulaciones es por tanto esencial para monitorizar la salud de sensores IoT —desde simples comprobaciones de acelerómetro a variaciones de temperatura— para que la analítica pueda detectar y mitigar interferencias.

La incertidumbre empresarial sobre seguridad puede retrasar el despliegue, pero no tiene por qué. Aplicando seguridad en cada etapa —dispositivo, edge, WAN y nube— se logra una mayor probabilidad de mitigar brechas potenciales.

Los fabricantes ya integran muchas características de seguridad directamente en dispositivos, y la industria de semiconductores está abordando activamente la seguridad de hardware. Sin embargo, la ausencia de directrices estandarizadas de seguridad de hardware sigue siendo una barrera. La fragmentación persiste mientras los fabricantes persiguen soluciones propietarias, pero la coordinación cross-industry puede superar este desafío.

Cuando se eligen los socios y sistemas adecuados, el despliegue y la seguridad pueden ser fluidos. Avances continuos en seguridad IoT darán a los clientes la confianza para desplegar a escala y con intensidad.

El autor de este blog es Nick Sacke, head de Producto e IoT en Comms365.