Aprovisionamiento Eficiente de Sensores IoT: Conectividad Segura y Gestión de Credenciales

El internet de las cosas (IoT) no es ajeno a la mayoría de nosotros en este punto. Los dispositivos IoT pueden verse como pertenecientes al mercado de consumo, médico, o industrial. Ya sea que el dispositivo sea un videoportero, una bomba de insulina, o un sensor industrial, el usuario enfrentará dos desafíos significativos: 1) conseguir el dispositivo físicamente/lógicamente conectado a la red y 2) asegurar que el dispositivo tiene las credenciales apropiadas para permitirle interoperar con otros dispositivos en la misma red o con el/los servidor(es) que se espera recopilen los datos del dispositivo. Estos desafíos pueden agruparse largely en un proceso conocido como aprovisionamiento.

Aprovisionamiento Básico

El mayor desafío en el proceso de aprovisionamiento es la capacidad de asegurar que un dispositivo y la conexión a la red/servidor son seguros. Esto depende fuertemente de técnicas de cifrado tanto asimétrico como simétrico y la existencia de certificados digitales.

En el caso de cifrado asimétrico, hay un par de claves pública/privada matemáticamente relacionadas. Si algo se cifra con la clave pública, entonces solo la clave privada puede descifrarlo. Esto se opone a cifrado simétrico, donde la misma clave se usa para cifrar y descifrar el mensaje. El cifrado simétrico requiere menos recursos (ej. menos bits en la clave, resultando en cifrado más rápido) para lograr mejor seguridad que con cifrado asimétrico. Sin embargo, el cifrado simétrico requiere que las claves se intercambien de alguna forma que no pueda ser vista por un intruso. Lo que típicamente se hace es usar la clave pública del destino para cifrar una pre-master key, enviarla al destino y entonces el destino usa su clave privada para descifrar la pre-master key y generar la clave de sesión compartida. Esta es la forma en que el intercambio de claves Diffie-Hellman permite el uso de cifrado simétrico más rápido y fuerte usando un handshake que aprovecha cifrado asimétrico.

El primer requisito para aprovisionamiento es que el dispositivo IoT tiene un mecanismo de identidad único. Esto puede ser parte del proceso de fabricación del dispositivo donde un chip de identidad es parte de la lista de materiales, o lo que muchos fabricantes de microprocesadores hacen hoy — quemar una identidad única con claves pública y privada en el procesador en la fabricación. Esto se refiere como aprovisionamiento durante la cadena de suministro.

Pasos Estándar de Aprovisionamiento

Podemos ver que los pasos básicos usados para aprovisionar dispositivos IoT ya sea dentro de la empresa o con proveedores de servicios como Amazon Web Services, Google Cloud, o Microsoft Azure, todos siguen un proceso similar:

1. Inscripción del Dispositivo: Crear un registro en el servidor que incluya metadatos para el dispositivo IoT. Eso podría incluir número de serie u otro identificador único de dispositivo, ubicación del dispositivo, y otros datos que ayuden a la empresa usando el dispositivo IoT a entender su rol.
2. Generación de Claves: Si el dispositivo IoT tiene un chip de identidad único como Módulo de Plataforma Confiable (TPM) o de otra forma tiene un conjunto de claves pública y privada instaladas en fabricación, entonces esta generación de claves ya está hecha. Sin embargo, si un conjunto de claves no existe ya, el instalador puede generar un conjunto usando herramientas como OpenSSL. O si se usa uno de los proveedores cloud, el proveedor típicamente tendrá un mecanismo de generación de claves. Las claves pública y privada necesitarán almacenarse en el dispositivo, con la clave privada en algún almacenamiento protegido para prevenir que sea leída del dispositivo en campo. Por razones de seguridad, se sugiere que las claves sean al menos 2048-bits o más si se usan algoritmos basados en RSA o 256 bits o más para algoritmos basados en curva elíptica.
3. Generar un Certificado: En momento de activación, el dispositivo genera una solicitud de firma de certificado (CSR) y envía ese CSR a una autoridad de certificación (CA) para firma. La CA es típicamente un tercero de confianza como Digicert, GlobalSign, o incluso el proveedor de servicio cloud. El dispositivo envía su clave pública y algunos metadatos en el CSR y la CA genera un certificado de capa de sockets seguros (SSL) (típicamente certificado X.509). Firma ese certificado con la clave privada de la CA antes de enviarlo de vuelta al dispositivo. Una vez que el dispositivo tiene un certificado, puede participar en un handshake de seguridad de capa de transporte (TLS) que puede establecer un enlace cifrado al servidor. Porque el certificado está firmado por la clave privada de un tercero de confianza, podemos afirmar que el dispositivo que controla la clave privada asociada con la clave pública en el certificado es conocido y de confianza.
4. Aprovisionar el Dispositivo: Con las claves y certificado, el dispositivo puede ahora afirmar su identidad al proveedor de servicio iniciando un enlace seguro vía TLS o la versión datagrama de TLS conocida como DTLS. El handshake TLS/DTLS establece una clave de cifrado simétrico que puede usarse para transferencia segura de datos subsiguiente entre el dispositivo y el proveedor de servicio para que el dispositivo pueda inscribirse, y los datos almacenados en el registro generado con el proveedor en paso 1.

El handshake se usa para implementar un intercambio seguro de claves para establecer un enlace de cifrado simétrico. Una vez establecido el enlace, los datos pueden transferirse del dispositivo al servidor sin temor a compromiso por ciberataques. Por ejemplo, ataques man-in-the-middle (MITM), donde un intermediario intercepta la comunicación en tránsito, serán prevenidos ya que el intruso carece de la clave simétrica usada en el cifrado masivo. Versiones nuevas del handshake TLS (TLS 1.3) acortan dramáticamente este intercambio de mensajes para soportar transferencias de menor latencia de dispositivos a sistemas de recopilación de datos.

Aprovisionamiento en Masa

Hasta este punto, la discusión de aprovisionamiento se enfocó en tener un humano en el bucle para dispositivos individuales o pequeños números. La seguridad también se enfocó largely en el uso de cifrado y el humano pudiendo atestiguar la autenticidad del dispositivo al haberlo sacado de su empaque original. Sin embargo, cuando se trabaja en escalas industriales, este requisito de un humano físicamente involucrado es impráctico.

Por ejemplo, muchos de los nuevos edificios inteligentes contienen miles de sensores, incluyendo sensores de luz ambiental, sensores de calidad de aire, micrófonos para determinar ocupación de habitaciones, y sensores de temperatura y humedad, por nombrar unos pocos. Si un humano tuviera que aprovisionar cada uno de estos dispositivos manualmente, rápidamente se convertiría en trabajo a tiempo completo. Sin embargo, las identidades de estos dispositivos y sus credenciales de seguridad necesitarán ser aseguradas. Así que, ¿cómo pueden dispositivos aprovisionarse en masa sin intervención humana?

Primero, debemos entender que dispositivos IoT industriales aún tienen los dos requisitos básicos discutidos al principio. El operador necesitará asociar los dispositivos con una red y verificar la identidad de los dispositivos y su seguridad antes de concederles acceso al servidor o proveedor de servicio que está recopilando y analizando las salidas de sensores. La conexión física a la red variará basada en medios de comunicaciones y ser capaz de afirmar una identidad requerirá el uso de certificados digitales. Para soportar aprovisionamiento en masa, es mejor incorporar el par de claves pública/privada y el certificado del dispositivo en la cadena de suministro, así el dispositivo sale de la caja listo para generar la solicitud de firma de certificado y manejar el handshake de aprovisionamiento.

Protocolos Inalámbricos y Estrategias de Aprovisionamiento

Naturalmente, muchos dispositivos IoT usarán algún protocolo inalámbrico, especialmente si se trata de aplicaciones greenfield. Hay multitud de opciones incluyendo celular, Wi-Fi, Zigbee, LoRaWAN, SigFox, y más. Sin embargo, si estamos actualizando una aplicación legacy, todavía es posible que Ethernet, RS-485, ProfiBus, u otras tecnologías cableadas antiguas, puedan estar en uso. En el caso de interfaces cableadas, ganar acceso a la red puede ser tan simple como enchufar el cable al dispositivo. Sin embargo, protocolos inalámbricos son algo más complicados.

Si la conectividad es vía conexión celular, el aprovisionamiento probablemente lo maneje el proveedor celular en forma de módulo de identificación de suscriptor (SIM) o uno de los nuevos módulos eSIM embebidos. Cuando el operador toma el identificador de equipo móvil internacional (IMEI) del dispositivo y lo asocia con un SIM/eSIM específico en sus bases de datos internas, el operador tiene un medio único para identificar el dispositivo. Esta identidad única se usa para validar el dispositivo como miembro legítimo de la red del operador y para proporcionar aprovisionamiento al dispositivo over-the-air. Por tanto, teniendo una lista de números IMEI y sus SIM/eSIM asociados, todos los dispositivos pueden activarse/aprovisionarse sin intervención humana adicional. Este mismo tipo de enfoque puede aplicarse a otras tecnologías inalámbricas tipo celular como LoRaWAN.

Tecnologías como Bluetooth mesh, que se encuentra cada vez más en edificios inteligentes, también tienen una estrategia de aprovisionamiento integrada basada en los mismos conceptos de par de claves pública/privada y certificado digital embebido en el dispositivo. A través de un protocolo de aprovisionamiento bien definido y handshakes de seguridad asociados, un nuevo dispositivo puede añadirse seguramente a la red en cuestión de milisegundos sin interacción humana. Este mismo escenario de aprovisionamiento puede encontrarse en varias opciones de conexión IoT.

Reflexiones Finales

Conectar y aprovisionar tus dispositivos en tu red requiere considerable pensamiento sobre seguridad y el proceso de aprovisionamiento. Afortunadamente, con credenciales de seguridad en cadena de suministro y nuevos protocolos y técnicas de aprovisionamiento, el proceso puede lograrse con mínimo de interacción humana y significativamente menos tiempo que requerido en el pasado. Generación automática de certificados y protocolos de seguridad bien definidos pueden asegurar que nuestros dispositivos tengan una identidad válida y siempre usen generación segura de claves y comunicaciones cifradas entre ellos y los servidores/proveedores de servicios.

Los mayores proveedores de servicios cloud han puesto bastante pensamiento detrás de sus mecanismos de aprovisionamiento, con pasos y protocolos bien definidos. Desafortunadamente, cada proveedor usa un conjunto diferente de APIs y enfoques. Sin embargo, el flujo general de aprovisionamiento es el mismo entre vendedores y puede automatizarse fácilmente para casos de despliegues masivos. También hay multitud de compañías que se enfocan en dispositivos de aprovisionamiento IoT y enfoques de automatización, si hay infraestructuras legacy o internas necesarias para la empresa. Así que, mientras todos necesitarán considerar los problemas de aprovisionamiento en un punto u otro, sean consumidores o empresas, al menos podrán capitalizar enfoques existentes y no tener que abrir nuevos caminos.