Asegurando el internet de las cosas

Con una computadora de escritorio o dispositivo móvil inteligente, agregar protección de seguridad es fácil. Simplemente instale un paquete de seguridad o una aplicación antivirus, y listo. Es fácil precisamente porque los dispositivos en cuestión ejecutan sistemas operativos avanzados que manejan la multitarea y la comunicación entre procesos. Todo ese modelo de protección se rompe cuando se trata de los muchos dispositivos conectados que conforman lo que llamamos Internet de las cosas (IoT).

Las PC y los teléfonos inteligentes tienen mucha potencia de procesamiento; También cuestan muchos dólares. Un fabricante que quiera agregar conectividad a Internet a una muñeca o una toma de corriente tiene que gastar lo menos posible, de lo contrario, el producto no será competitivo. Estos dispositivos ni siquiera tienen un sistema operativo como tal. Todo el código está incrustado en el firmware, y no puede simplemente instalar un antivirus en el firmware.

En el caso de un problema de seguridad u otro error, el fabricante simplemente sobrescribe el firmware con una nueva versión. Desafortunadamente, los delincuentes pueden usar esa capacidad de actualización de firmware incorporada para propósitos nefastos. ¿Qué pasa con el reemplazo del firmware de su cerradura de puerta inteligente con una nueva versión que hace todo lo que se supone que debe hacer, pero también se abre al comando del ladrón? Este tipo de ataque es común, y los resultados suelen ser desagradables. ¿Hay alguna esperanza?

Arxan Inside

En la reciente Conferencia RSA en San Francisco, hablé con Patrick Kehoe, CMO de Arxan Technologies, y Jonathan Carter, Jefe de Proyecto para el proyecto de ingeniería inversa y prevención de modificación de código de la compañía (¡un bocado!). En términos más simples, lo que hace el equipo de Carter es ayudar a los desarrolladores de aplicaciones a incorporar la seguridad directamente en el firmware.

Carter explicó que algunos ataques contra dispositivos IoT se centran en interceptar y manipular o duplicar el tráfico de red entre el dispositivo y un servidor o un teléfono inteligente. Pero la protección de Arxan es más profunda. "Nos centramos en la actividad dentro del dispositivo móvil, dentro del dispositivo IoT", dijo Carter. "Lo que hacemos detrás de escena es que evitamos que el malo intercepte el tráfico en primer lugar. Esto no está en el nivel de la red, está dentro de las aplicaciones mismas. En el tiempo de ejecución podemos detectar si alguien ha tratado de infectar el código del firmware ".

Cuando un desarrollador compila código usando la tecnología de Arxan, la autoprotección está integrada en el firmware. Sus componentes monitorean el código activo (y entre sí) para detectar y prevenir cualquier modificación. Dependiendo del ataque y las elecciones del desarrollador, el código de protección puede cerrar una aplicación comprometida, reparar el daño, enviar una alerta o las tres.

No me puede copiar!

Por supuesto, si un atacante logra reemplazar completamente el firmware, todo ese código de protección desaparece, junto con el resto del firmware original. Ahí es donde entra en juego la tecnología de ofuscación de Arxan. En pocas palabras, durante la creación del código de firmware, la tecnología de Arxan utiliza muchos trucos diferentes para hacer que el desmontaje y la ingeniería inversa del firmware sean extremadamente difíciles.

¿Porque es esto importante? En un ataque típico de reemplazo de firmware, los delincuentes necesitan mantener funcionando las funciones de firmware existentes. Si una muñeca que habla pirateada deja de hablar, es probable que la deseches antes de que los malos puedan usarla para entrar en tu red. Si la cerradura de la puerta inteligente pirateada no se abre, olerás a rata.

Carter señaló que los fabricantes tienen otras razones para proteger el firmware contra la ingeniería inversa. "Se preocupan por la clonación o la falsificación de dispositivos IoT", explicó. "A algunos fabricantes les preocupa vender incluso un dispositivo en China. Antes de darse cuenta, aparece una imitación a una fracción del precio".

"Armamos el código", continuó Carter, "pero los desarrolladores aún deben seguir las pautas de codificación segura. Deben evitar los ataques de desbordamiento del búfer y otras vulnerabilidades clásicas. Preocupémonos por las violaciones de integridad".

Tú eres yo

Carter señaló un dispositivo IoT con potencial de ataque que ni siquiera había pensado. En estos días, los visitantes de los parques temáticos de Disney reciben una banda mágica que les permite desbloquear la habitación del hotel, ingresar al parque e incluso hacer compras. Definitivamente califica como un dispositivo IoT. Si los Beagle Boys piratean su Magic Band, podrían limpiar su habitación de hotel y luego ir a una cena elegante en el Blue Bayou… ¡su lujo! "Por supuesto", reflexionó Carter, "Disney está loco por la seguridad". Por desgracia, no pude convencerlo para que explique.

Tengo que decir que me preocupa que no podamos asegurar el IoT. No soy un desarrollador de firmware, pero para mí el enfoque de Arxan, poner protección dentro del firmware necesario de cada dispositivo, parece un enfoque eminentemente viable.