El análisis de la seguridad de los dispositivos de Internet de las Cosas (IoT, por sus siglas en inglés) presenta una gran complejidad debido a la amplia variedad de dispositivos y software existentes en el mercado, para apoyar a mejorar la seguridad de este entorno, ESET, compañía especializada en detección proactiva de amenazas, investigó específicamente este tipo de dispositivos y explica cómo descubrir sus vulnerabilidades.

Según una encuesta realizada por ESET a principios del 2018, el 70% de los usuarios cree que los dispositivos IoT no son seguros. Sin embargo, el 62% aseguró que los compraría igual. De hecho, para el 2020, según una proyección de Gartner, se calcula que habrá 20 mil millones de dispositivos IoT en el mundo, número que equivale a 3 dispositivos por habitante. Estas cifras se ven reflejadas en la cantidad de dispositivos IoT que se encuentran actualmente en los hogares y en las compras, dado que en 2018 las ventas de dispositivos inteligentes superaron a la cantidad de equipos móviles vendidos.

Este panorama vuelve fundamental tener en cuenta los aspectos de seguridad de este tipo de dispositivos. Lo primero que hay que tener en cuenta es observar la información que se presenta en su configuración, interacciones, tráfico u otros archivos que pueden ser útiles para conocer mejor su funcionamiento, el entorno donde están conectados o incluso información personal del usuario. Si bien su análisis puede resultar complejo, ESET acerca las vulnerabilidades más conocidas y técnicas útiles para obtener dicha información:

Ingeniería reversa de aplicaciones y firmwares: Todos los dispositivos IoT son controlados a través de aplicaciones que se pueden descargar y a las que se le puede aplicar ingeniería reversa. A veces es mejor comenzar con el análisis de las aplicaciones que controlan los dispositivos inteligentes para ver cuáles son más vulnerables y podrían permitir un mejor análisis.

La ingeniería inversa se utiliza para entender cómo funciona una aplicación a partir de su ejecutable o empaquetado. En el caso de las aplicaciones móviles se puede, incluso, llegar a obtener el código fuente de estas, lo que es útil para analizar sus funciones, entender cómo recibe y envía información y hasta descubrir vulnerabilidades y cómo explotarlas.

Análisis de tráfico y MiTM: Una gran cantidad de información viaja desde y hacia los dispositivos, por lo que conocerla da amplia ventaja en el control del dispositivo. Ya sea porque el dispositivo se comunica a través de protocolos inseguros o por que se logró descifrar la comunicación, a partir del análisis del tráfico de red se puede obtener información sensible y también entender y analizar protocolos de comunicación. Muchas veces se pueden alterar los paquetes enviados y recibidos o hasta incluso generar nuevos.

Algunos consejos que brinda ESET para mantener los dispositivos protegidos:

• Mantener los dispositivos actualizados. Muchas vulnerabilidades son reportadas y corregidas en poco tiempo, por lo que si se mantienes en la última versión de las aplicaciones y firmware se estará menos expuesto.
• Investigar y analizar qué equipos comprar. En Internet hay muchas revisiones y análisis de seguridad publicados sobre varios dispositivos. Incluso se puede utilizar la ingeniería reversa para analizar las aplicaciones antes de comprar un dispositivo y elegir así el modelo más seguro.
• Tomarse un tiempo para configurar los dispositivos correctamente. Deshabilitar puertos y servicios que no se utilicen, evitar las configuraciones por defecto y cambiar las contraseñas.