La autenticación de Babel de IoT plantea desafíos de seguridad



Según los expertos, con más de 80 esquemas diferentes para autenticar dispositivos propuestos o implementados, las mejores prácticas y arquitecturas de referencia son muy necesarias.

La explosión en los dispositivos conectados ha llevado a una pesadilla de seguridad para muchas empresas y proveedores, ya que las empresas hacen frente a la seguridad de una red que ya no se conecta entre sí solo con estaciones de trabajo, servidores, computadoras portátiles y teléfonos inteligentes, sino también con una variedad creciente de dispositivos como impresoras , cerraduras de puertas, luces y vehículos.

Un problema clave es la autenticación de los dispositivos, especialmente a medida que las empresas cambian la seguridad a modelos de confianza cero y monitoreo continuo. Una encuesta académica de los mecanismos de autenticación utilizados en dispositivos IoT, por ejemplo, descubrió que se habían propuesto o implementado más de 80 esquemas diferentes. Los expertos en seguridad temen que la gran cantidad de dispositivos continúe exponiendo un área de superficie de ataque masivo en las redes corporativas.

La Alianza Rapid Identity On the web (FIDO) inició su primera reunión de grupo de trabajo sobre autenticación de Web de las cosas (IoT) la semana pasada, según Nick Steele, líder técnico de investigación y desarrollo para el proveedor de autenticación Duo Protection.

«IoT todavía es muy joven en este espacio, en cómo funciona: realmente no hay estándares en este momento», dice. «Por ahora, sigue siendo realmente insular. Muchos de estos dispositivos y su funcionamiento son realmente específicos de sus líneas de productos. Los dispositivos de Google Dwelling funcionaban de manera diferente a los dispositivos de Apple Home, que funcionaban de manera diferente a Amazon Alexa».

Asegurar redes de dispositivos conectados es un problema complicado. Dentro de cinco años, se estima que 41,6 mil millones de dispositivos IoT producirán casi 80 mil millones de terabytes de datos anualmente, de acuerdo con Worldwide Facts Corp. Cualquier marco de autenticación que produzca una cantidad significativa de datos por dispositivo abrumará muchas redes.

Además, la autenticación debe poder funcionar en dispositivos pequeños. El dispositivo de demostración que Nok Nok Labs utiliza para demostrar su tecnología utiliza un chip ARM de 64Mhz y 1 MB de RAM flash, demasiado pequeño para ejecutar Linux. «Ese es un dispositivo IoT típico», dice Rolf Lindemann, copresidente del grupo de trabajo sobre requisitos de seguridad de FIDO Alliance y vicepresidente de productos en Nok Nok Labs.

Los principales proveedores de la nube tienen kits de desarrollo de software (SDK) para integrar dispositivos de World wide web de las cosas (IoT) con sus servicios en la nube. Microsoft incluye una serie de opciones de autenticación en sus servicios Azure IoT Hub, y Amazon tiene un proceso bien definido para emitir certificados a dispositivos IoT para autenticación. Google anunciado hace un año que su Google Cloud IoT SDK incluiría la capacidad de conectarse a bibliotecas de autenticación de terceros.

Otros también están saltando a la arena: esta semana, el proveedor de autenticación Nok Nok Labs promocionó un kit de desarrollo de program (SDK) destinado a brindar a los desarrolladores las herramientas para autenticar dispositivos IoT.

«La seguridad de IoT sigue siendo problemática, pero las personas ahora entienden que es problemática y están buscando soluciones», dice Lindemann. «Necesitamos simplificar que los desarrolladores conecten bloques de construcción y tengan una solución segura».

Problemas generales

En un artículo publicado el año pasado, investigadores de la Universidad de Ciencias y Artes de Líbano y Telecom ParisTech identificaron al menos 84 mecanismos de autenticación diferentes que se habían propuesto o puesto en producción. Entre los aspectos más críticos de la autenticación IoT se encuentran la seguridad, los bajos requisitos de procesador y el bajo ancho de banda, dijeron los investigadores.

«La sobrecarga de comunicación de los protocolos de autenticación es un factor clave, especialmente cuando se trata de dispositivos con limitación de energía el número de mensajes intercambiados entre las partes de autenticación debe mantenerse lo más bajo posible», señalaron los investigadores. declarado en el documento. «En el mismo contexto, el tamaño de los mensajes debe ser lo más pequeño posible debido al ancho de banda restringido de los protocolos de comunicación inalámbrica utilizados».

Permitir actualizaciones seguras también es una pieza crítica del rompecabezas. En 2017, la Administración de Alimentos y Medicamentos de los Estados Unidos exigió a los Laboratorios Abbott que actualizaran el firmware en 465,000 marcapasos identificados con una vulnerabilidad de program.

La capacidad de autenticarse en el dispositivo permite a las compañías extender un marco de monitoreo y autenticación continuo, también conocido como modelo de confianza cero, a sus dispositivos conectados. A medida que los trabajadores llevan más dispositivos a las oficinas, el modelo de seguridad perimetral se ha quedado obsoleto.

Las empresas ya no pueden «confiar en un perímetro de crimson seguro», dice. En cambio, tienen que seguir el ejemplo del espacio del consumidor, donde no hay límites confiables. «En una situación de consumo, todo es confianza cero … La empresa finalmente está aceptando que es la única realidad».

contenido relacionado

Revisa El borde, La nueva sección de Dim Looking at para características, datos de amenazas y perspectivas en profundidad. La historia principal de hoy: «Caos y orden: las claves para el cifrado a prueba de Quantum«.

Periodista de tecnología veterano de más de 20 años. Ex ingeniero de investigación. Escrito para más de dos docenas de publicaciones, incluidas CNET Information.com, Dark Examining, MIT&#39s Technology Review, Popular Science y Wired Information. Cinco premios para el periodismo, incluyendo Mejor fecha límite … Ver biografía completa

Más tips





Enlace a la noticia first