Estamos criando uma Internet das Coisas (IoT) insegura? Desafios e preocupações de segurança

A Internet das Coisas (IoT) tem sido uma palavra da moda da indústria há anos, mas o desenvolvimento lento e a comercialização limitada levaram alguns observadores da indústria a começar a chamá-la de “Internet das Nada”.

Trocadilhos à parte, o desenvolvimento da IoT está com problemas. Além de gerar piadas nerds impróprias para a maioria das ocasiões sociais, o hype não ajudou; e, de fato, acredito que causou muito mais mal do que bem. Existem alguns problemas com a IoT, mas toda a cobertura positiva e o hype infundado são algo que poderíamos prescindir. A vantagem de gerar mais atenção é clara: mais investimento, mais financiamento de capital de risco, mais interesse do consumidor.

No entanto, estes vêm com um nível adicional de escrutínio, o que tornou uma série de deficiências dolorosamente óbvias. Após alguns anos de previsões otimistas e grandes promessas, a segurança da IoT parece ser a maior preocupação. As primeiras semanas de 2015 não foram gentis com essa indústria emergente, e a maior parte da imprensa negativa girou em torno da segurança.

Foi justificado? Foi apenas “medo, incerteza e dúvida” (FUD), causado por anos de hype? Era um pouco dos dois; embora algumas questões possam ter sido exageradas, os problemas são muito reais, de fato.

Do “Ano da IoT” ao Annus Horribilis para a IoT

Muitos comentaristas descreveram 2015 como “o ano da IoT”, mas até agora tem sido um ano de má imprensa. É verdade que ainda faltam dez meses, mas os relatórios negativos continuam se acumulando. A empresa de segurança Kaspersky recentemente fez uma crítica contundente aos desafios de segurança da IoT, com uma manchete nada lisonjeira, “ Internet das coisas ruins ”.

A Kaspersky não é estranha às críticas e controvérsias da IoT; a empresa vem soando alarmes há algum tempo, apoiando-os com exemplos de casas inteligentes invadidas, lavagens de carros e até sistemas de vigilância policial. Se um hacker deseja lavar seu passeio gratuitamente ou perseguir alguém usando seu rastreador de fitness - falhas de segurança da IoT podem tornar isso possível.

A Wind River publicou um white paper sobre segurança de IoT em janeiro de 2015, e o relatório começa com uma introdução séria. Intitulado Searching For The Silver Bullet , ele resume o problema em apenas três parágrafos, que vou condensar em alguns pontos:

• A segurança deve ser o capacitador fundamental para a IoT.
• Atualmente, não há consenso sobre como implementar a segurança em IoT no dispositivo.
• Uma expectativa predominante e irrealista é que seja de alguma forma possível comprimir 25 anos de evolução da segurança em novos dispositivos IoT.
• Não há bala de prata que possa efetivamente mitigar as ameaças.

No entanto, há boas notícias; o conhecimento e a experiência já estão aqui, mas precisam ser adaptados para atender às restrições exclusivas dos dispositivos IoT.

Infelizmente, é aqui que nós, desenvolvedores de segurança de sistema, nos deparamos com outro problema, um problema de hardware.

A presidente da Comissão Federal de Comércio dos EUA, Edith Ramirez, discursou na Consumer Electronics Show em Las Vegas no início deste ano, alertando que a incorporação de sensores em dispositivos cotidianos e deixá-los gravar o que fazemos pode representar um enorme risco de segurança.

Ramirez delineou três desafios principais para o futuro da IoT:

• Coleta de dados onipresente.
• Potencial para usos inesperados de dados do consumidor.
• Maiores riscos de segurança.

Ela pediu que as empresas aprimorem a privacidade e criem dispositivos IoT seguros, adotando uma abordagem focada na segurança, reduzindo a quantidade de dados coletados por dispositivos IoT e aumentando a transparência e oferecendo aos consumidores a opção de optar por não coletar dados.

Ramirez continuou dizendo que os desenvolvedores de dispositivos IoT não gastaram tempo pensando em como proteger seus dispositivos e serviços contra ataques cibernéticos.

“O tamanho pequeno e o poder de processamento limitado de muitos dispositivos conectados podem inibir a criptografia e outras medidas de segurança robustas”, disse Ramirez. “Além disso, alguns dispositivos conectados são de baixo custo e essencialmente descartáveis. Se uma vulnerabilidade for descoberta nesse tipo de dispositivo, pode ser difícil atualizar o software ou aplicar um patch – ou até mesmo obter notícias de uma correção para os consumidores.”

Embora Ramirez esteja certo em muitos aspectos, devo observar que a Internet passou por uma fase semelhante há duas décadas. Havia muitas preocupações de segurança, e os anos 90 viram o surgimento do malware na Internet, ataques DDoS, phishing sofisticado e muito mais. Embora Hollywood tenha retratado um futuro distópico em alguns filmes, acabamos com gatinhos nas redes sociais e uma violação de segurança de alto perfil aqui e ali.

A Internet ainda não é segura, então também não podemos esperar que a IoT seja segura. No entanto, a segurança está em constante evolução para enfrentar novos desafios, já vimos isso antes e veremos novamente, com IoT e tecnologias conectadas subsequentes.

Hardware de IoT é e continuará sendo um problema

Alguns de vocês pensarão que os problemas de hardware mencionados pelo chefe da FTC serão resolvidos; sim, alguns deles provavelmente irão.

À medida que o mercado de IoT crescer, veremos mais investimentos e, à medida que o hardware amadurecer, obteremos segurança aprimorada. Fabricantes de chips como Intel e ARM estarão ansiosos para oferecer melhor segurança a cada nova geração, já que a segurança pode ser um diferencial de mercado, permitindo que eles conquistem mais vitórias em design e ganhem uma fatia maior.

A tecnologia sempre avança, então por que não? Novos processos de fabricação geralmente resultam em processadores mais rápidos e eficientes e, mais cedo ou mais tarde, a lacuna será fechada, fornecendo aos desenvolvedores poder de processamento suficiente para implementar melhores recursos de segurança. No entanto, não estou tão certo de que este é um cenário realista.

Em primeiro lugar, os chips de IoT não serão grandes geradores de dinheiro, pois são pequenos e geralmente baseados em arquiteturas desatualizadas. Por exemplo, a plataforma Intel Edison de primeira geração é baseada em processadores Quark, que basicamente usam o mesmo conjunto de instruções de CPU e muito do design do antigo Pentium P54C. No entanto, o microcomputador Edison de última geração é baseado em um processador muito mais rápido, baseado nos núcleos Atom Silvermont, que está em muitos tablets Windows e Android, hoje. (A Intel enviou ~ 46 milhões de SoCs Bay Trail em 2014.)

Diante disso, poderíamos acabar com núcleos de CPU x86 de 64 bits relativamente modernos em dispositivos IoT, mas eles não serão baratos, ainda serão substancialmente mais complexos do que os menores núcleos ARM e, portanto, precisarão de mais bateria potência.

Wearables baratos e descartáveis, que parecem ser a maior preocupação da FTC, não serão alimentados por esses chips, pelo menos, não tão cedo. Os consumidores podem acabar com processadores mais potentes, como Intel Atoms ou chips ARMv8, em alguns produtos inteligentes, como geladeiras inteligentes ou máquinas de lavar com telas sensíveis ao toque, mas são impraticáveis ​​para dispositivos descartáveis ​​sem telas e com capacidade limitada de bateria.

A venda de plataformas completas ou designs de referência para vários dispositivos IoT pode ajudar os fabricantes de chips a gerar mais receita e, ao mesmo tempo, introduzir mais padronização e segurança. A última coisa que a indústria precisa é de mais dispositivos não padronizados e mais fragmentação. Isso pode parecer uma abordagem lógica e sólida, já que os desenvolvedores acabariam com menos plataformas e mais recursos seriam alocados para segurança, no entanto, as violações de segurança também afetariam um número maior de dispositivos.

O dinheiro está entrando, os analistas permanecem otimistas, o que poderia dar errado?

Uma das maneiras mais comuns de resolver qualquer problema na indústria de tecnologia é simplesmente jogar dinheiro nele. Então, vamos ver onde estamos agora em termos de financiamento ao invés de tecnologia.

De acordo com as empresas de pesquisa IDC e Gartner, a IoT crescerá a tal ponto que transformará a indústria de data centers até o final da década. O Gartner espera que o mercado de IoT tenha 26 bilhões de unidades instaladas até 2020, criando grandes oportunidades para todas as partes, desde data centers e fabricantes de hardware até desenvolvedores e designers. A IDC também espera que a indústria de IoT acabe com “bilhões de dispositivos e trilhões de dólares” até o final da década.

A última previsão de mercado de IoT do Gartner publicada em maio de 2014 também inclui uma lista de possíveis desafios, alguns dos quais já abordei:

• Segurança: O aumento da automação e digitalização cria novas preocupações de segurança.
• Empresa: Problemas de segurança podem representar riscos de segurança.
• Privacidade do consumidor: Potencial de violações de privacidade.
• Dados: Muitos dados serão gerados, tanto para big data quanto para dados pessoais.
• Gerenciamento de armazenamento: a indústria precisa descobrir o que fazer com os dados de maneira econômica.
• Tecnologias de Servidor: Será necessário mais investimento em servidores.
• Rede de Data Center: os links WAN são otimizados para aplicativos de interface humana, espera-se que a IoT mude drasticamente os padrões transmitindo dados automaticamente.

Todos esses pontos (e mais) devem ser abordados mais cedo ou mais tarde, muitas vezes a um custo substancial. Não estamos mais falando de minúsculos chips IoT e brinquedos baratos baseados nesses chips, isso é infraestrutura. Isso é muito silício em CPUs de servidor, RAM DDR4 ECC cara e SSDs ainda maiores, todos alojados em servidores caros, em data centers ainda maiores.

Isso é apenas a ponta do iceberg; a indústria deve lidar com as preocupações com largura de banda, gerenciamento de dados e políticas de privacidade e segurança. Então, quanto dinheiro isso deixa para a segurança, que está no topo da lista de desafios de IoT do Gartner?

Muito dinheiro já está entrando no setor, os VCs estão entrando e o ritmo de investimento parece estar aumentando. Houve também uma série de aquisições, muitas vezes envolvendo grandes players como Google, Qualcomm, Samsung, Gemalto, Intel e outros. Há uma lista de investimentos relacionados à IoT no Postscapes. O problema com muitos desses investimentos, especialmente aqueles vindos de VCs, é que eles tendem a se concentrar em coisas “brilhantes”, dispositivos que podem ser comercializados em breve, com um ROI potencialmente espetacular. Esses investimentos não fazem muito por segurança ou infraestrutura, que basicamente teriam que acompanhar a demanda de IoT.

Grandes players terão que fazer o trabalho pesado, não startups e fabricantes de brinquedos apoiados por capital de risco. As startups ágeis e inovadoras certamente desempenharão um grande papel ao impulsionar a adoção e criar demanda, mas não podem fazer tudo.

Então vamos pensar desta forma, mesmo uma pequena empresa pode construir um carro, ou dezenas de milhares de carros, mas não pode construir rodovias, estradas, postos de gasolina e refinarias. Essa mesma pequena empresa pode construir um veículo seguro usando tecnologia de prateleira para atender aos padrões básicos de segurança rodoviária, mas não poderia construir um veículo semelhante ao Segway que atendesse aos mesmos padrões de segurança, nem qualquer outra pessoa. Os padrões de segurança automotiva nunca poderiam se aplicar a esses veículos, não vemos pessoas se deslocando para trabalhar em Segways, portanto, também não podemos esperar que o padrão de segurança de tecnologia tradicional se aplique a dispositivos IoT com pouca potência.

Ter passageiros verificando seus e-mails ou jogando Candy Crush enquanto andam de Segways no trânsito da hora do rush não parece muito seguro, não é? Então, por que devemos esperar que os dispositivos IoT sejam tão seguros quanto outros dispositivos conectados, com hardware muito mais poderoso e sistemas operacionais maduros? Pode ser uma analogia estranha, mas o resultado final é que não se pode esperar que os dispositivos IoT estejam em conformidade com os mesmos padrões de segurança dos computadores completos.

Mas espere, não houve tantos desastres de segurança da IoT…

É verdade que não vemos muitas manchetes sobre violações espetaculares de segurança da IoT, mas deixe-me colocar desta forma: quantas manchetes relacionadas à segurança você viu sobre o Android Wear? Um? Dois? Nenhum? Estima-se que existam menos de um milhão de dispositivos Android Wear em estado selvagem, então eles simplesmente não são um alvo principal para hackers ou um assunto para pesquisadores de segurança.

Quantos dispositivos IoT você possui e usa agora? Quantos sua empresa usa? É daí que vem a piada da “Internet of NoThings”, a maioria das pessoas não tem nenhuma. Os números continuam subindo, mas o consumidor médio não está comprando muitos, então de onde vem esse crescimento? Os dispositivos IoT estão por aí e os números estão crescendo, impulsionados pela empresa e não pelo mercado consumidor.

A Verizon e a ABI Research estimam que havia 1,2 bilhão de dispositivos diferentes conectados à Internet no ano passado, mas até 2020, eles esperam até 5,4 bilhões de conexões B2B IoT.

Pulseiras inteligentes, torradeiras e coleiras de cachorro não são uma grande preocupação do ponto de vista de segurança, mas o último relatório de IoT da Verizon se concentra em algo um pouco mais interessante: empresa.

O número de conexões máquina a máquina (M2M) da Verizon no setor de manufatura aumentou 204% de 2013 a 2014, seguido por finanças e seguros, mídia e entretenimento, saúde, varejo e transporte. O relatório da Verizon inclui um detalhamento das tendências de IoT em vários setores, oferecendo informações sobre o lado comercial das coisas.

O tom geral do relatório é otimista, mas também lista várias preocupações de segurança. A Verizon descreve as violações de segurança no setor de energia como “impensáveis”, descreve a segurança da IoT como “importante” na fabricação e nem vamos mencionar riscos potenciais em saúde e transporte.

Como e quando teremos uma Internet das Coisas segura?

Não tentarei oferecer uma resposta definitiva sobre como os desafios de segurança da IoT podem ser resolvidos ou quando. A indústria ainda está em busca de respostas e há um longo caminho a percorrer. Estudos recentes indicam que a maioria dos dispositivos IoT atualmente disponíveis tem vulnerabilidades de segurança. A HP descobriu que 70% dos dispositivos IoT são vulneráveis ​​a ataques.

Embora o crescimento ofereça muitas oportunidades, a IoT ainda não está madura ou segura. Adicionar milhões de novos dispositivos, terminais de hardware, bilhões de linhas de código, juntamente com mais infraestrutura para lidar com a carga, cria um vasto conjunto de desafios, inigualável por qualquer coisa que tenhamos experimentado nas últimas duas décadas.

Por isso não sou otimista.

Não acredito que o setor possa aplicar muitas lições de segurança à IoT, pelo menos não com rapidez suficiente, não nos próximos dois anos. Na minha opinião, a analogia com a Internet é uma falácia, simplesmente porque a Internet dos anos 90 não precisava lidar com tipos tão diferentes de hardware. Usar criptografia e desperdiçar ciclos de clock em segurança não é um problema em grandes CPUs x86 ou ARM SoCs, mas não funcionará da mesma maneira com pequenos dispositivos IoT com uma fração do poder de processamento e um envelope de consumo de energia muito diferente.

Processadores mais elaborados, com matriz maior, precisam de embalagens maiores e dissipam mais calor. Eles também precisam de mais energia, o que significa baterias maiores, mais pesadas e mais caras. Para reduzir o peso e o volume, os fabricantes teriam que recorrer ao uso de materiais e técnicas de produção exóticas. Todos os itens acima implicariam mais gastos em P&D, maior tempo de colocação no mercado e uma maior lista de materiais. Com preços substancialmente mais altos e uma construção premium, esses dispositivos dificilmente poderiam ser considerados descartáveis.

Então, o que deve ser feito para tornar a IoT segura? Bastante. E todos têm um papel a desempenhar, de gigantes da tecnologia a desenvolvedores individuais.

Vamos dar uma olhada em alguns pontos básicos, como o que pode ser feito e o que está sendo feito para melhorar a segurança da IoT agora:

• Enfatize a segurança desde o primeiro dia
• Ciclo de vida, à prova de futuro, atualizações
• Controle de acesso e autenticação de dispositivos
• Conheça seu inimigo
• Prepare-se para violações de segurança

Uma ênfase clara na segurança desde o primeiro dia é sempre uma coisa boa, especialmente quando se trata de tecnologias imaturas e mercados subdesenvolvidos. Se você planeja desenvolver sua própria infraestrutura de IoT ou implantar uma solução existente, faça sua pesquisa e mantenha-se o mais informado possível. Isso pode envolver compensações, pois você pode ter a opção de aumentar a segurança ao custo de comprometer a experiência do usuário, mas vale a pena, desde que você encontre o equilíbrio certo. Isso não pode ser feito na hora, você tem que planejar com antecedência e planejar bem.

Na pressa de trazer novos produtos e serviços ao mercado, muitas empresas tendem a ignorar o suporte de longo prazo. Isso acontece o tempo todo, mesmo nas grandes ligas, então sempre acabamos com milhões de computadores e dispositivos móveis sem patches e inseguros. Eles são simplesmente muito antigos para a maioria das empresas se preocuparem, e isso deve ser ainda pior com dispositivos IoT descartáveis. Os principais fornecedores de telefones não atualizam seus softwares em telefones de 2 a 3 anos, então imagine o que acontecerá com dispositivos IoT de US$ 20 que podem estar em sua rede por anos. A obsolescência programada pode fazer parte disso, mas a verdade é que a atualização de dispositivos antigos não faz muito sentido financeiro para o fabricante, pois eles têm coisas melhores para fazer com seus recursos. Os dispositivos de IoT seguros teriam que ser seguros por design e impermeáveis ​​desde o início ou receber atualizações vitais ao longo de seu ciclo de vida, e tenho certeza de que você concordará que nenhuma das opções parece realista, pelo menos ainda não.

Implementar o controle de acesso seguro e a autenticação do dispositivo parece algo óbvio, mas não estamos lidando com o seu dispositivo conectado médio aqui. Criar controles de acesso e métodos de autenticação que possam ser implementados em dispositivos IoT baratos e compactos sem comprometer a experiência do usuário ou adicionar hardware desnecessário é mais difícil do que parece. Como mencionei anteriormente, a falta de poder de processamento é outro problema, pois as técnicas de criptografia mais avançadas simplesmente não funcionam muito bem, se é que funcionam. Em um post anterior, analisei uma alternativa, terceirizar a criptografia por meio da tecnologia blockchain; Não estou me referindo ao blockchain do Bitcoin, mas a tecnologias criptográficas semelhantes que já estão sendo estudadas por vários líderes do setor.

Si vis pacem, para bellum – se você quer paz, prepare-se para a guerra. É vital estudar ameaças e possíveis invasores antes de abordar a segurança da IoT. O nível de ameaça não é o mesmo para todos os dispositivos e há inúmeras considerações a serem levadas em conta; alguém prefere cortar o ursinho de sua filha, ou algo um pouco mais sério? É necessário reduzir o risco de dados, manter o máximo possível de dados pessoais dos dispositivos IoT, proteger adequadamente as transferências de dados necessárias e assim por diante. No entanto, para fazer tudo isso, primeiro você precisa estudar a ameaça.

Se tudo mais falhar, pelo menos esteja preparado para possíveis violações de segurança. Mais cedo ou mais tarde eles vão acontecer, com você ou outra pessoa (bem, de preferência um concorrente). Sempre tenha uma estratégia de saída, uma maneira de proteger o máximo de dados possível e tornar os dados comprometidos inúteis sem destruir sua infraestrutura de IoT. Também é necessário conscientizar clientes, funcionários e todos os demais envolvidos no processo sobre os riscos de tais violações. Instrua-os sobre o que fazer em caso de violação e o que fazer para evitar uma.

Obviamente, um bom aviso legal e TOS também ajudarão se você acabar lidando com o pior cenário.