Desde su nacimiento, los avances tecnológicos nos han permitido movilizar nuestras comunicaciones, automatizar las actividades cotidianas, mejorar nuestra experiencia de usuario y crear un mundo interconectado del cual, por otra parte, hemos llegado a depender. Hablamos del Internet de las Cosas (IoT).
Si bien se puede argumentar que el término ‘IoT’ es utilizado en exceso, qué es una representación mal entendida, o que se trata de una moda o tal vez de un período de crecimiento rápido en la evolución de la tecnología, lo cierto es que, al margen de cualquier connotación, dicho “fenómeno” se enfrenta a un problema acuciante: cómo garantizar su seguridad.
Y es que, cuando se empiezan a considerar las decenas de millones (o más) de “cosas” que nos permiten mantener esta red interconectada, se obtiene una aproximación de cuán grande es el problema de la seguridad, sí se aplica al Internet de las Cosas.
La gestión remota de dispositivos a través de teléfonos inteligentes, portales online o similares, por ejemplo, los destinados a la automatización del hogar, (monitores de vídeo para bebés, kits de seguridad y de vigilancia para hogares, o productos de iluminación conectados) se ha extendido a todos los hogares, automóviles, negocios y sistema en el mundo; transformando la forma en que manejamos nuestra vida día a día.
De lo que no se oye hablar tan a menudo es de cómo estos dispositivos vulnerables son la próxima frontera para los atacantes cibernéticos. El usuario medio de dispositivos conectados no suele prestar mucha atención a las actualizaciones de software o programas de aplicación de parches críticos o, como un hecho de facto bastante entendido, cómo estos dispositivos están conectados o comparten datos. De igual forma, el hecho de que el componente humano contribuye a una falta general de seguridad de IoT, también, a menudo, es subestimado.
Un ejército conect@do
En el caso de los ataques de denegación de servicio (DDoS) distribuido, la realidad es que cualquier dispositivo, infraestructura o aplicación que se conecta a Internet está bajo riesgo de ataque, o incluso algo más preocupante: puede ser reclutado como ‘bot’ en un ejército para ser utilizado en los ataques DDoS contra víctimas inocentes.
Las declaraciones hechas por el Director Adjunto del FBI, Joseph Demarest a principios de este año, evidencian un aumento importante en la actividad botnet. “El uso de redes de bots está en aumento. Los expertos del sector estiman que los ataques de botnets han provocado la pérdida global de millones de dólares a instituciones financieras y otras grandes empresas de Estados Unidos”, afirma. Por tanto, el advenimiento de IoT sólo exacerbará este problema, ya que introduce miles de millones de nuevos bots potenciales.
Las herramientas DDoS utilizadas comúnmente abusan de los servicios y protocolos de Internet que están disponibles en los servidores y dispositivos abiertos o vulnerables, para crear una serie de ataques en los que es prácticamente imposible rastrear al atacante de origen. Estos son conocidos como ataques DDoS por amplificación. Esto plantea serias preocupaciones al respecto de que este nuevo tipo de superficie de ataque podría quedar fuera de control en muy poco tiempo. La magnitud de los ataques DDoS por amplificación volumétrica que explotan los servidores de Internet vulnerables se ha visto recientemente incrementada hasta un punto en el que los ataques superiores a 100 Gbps ya no son un fenómeno paradójico.
A pesar de que ya hemos visto que el tamaño y la sofisticación de los ataques está aumentado a un ritmo vertiginoso, como lo demuestra el que ha sido bautizado como el mayor ciberataque jamás realizado (alcanzó los 500 Gbps y fue dirigido contra sitios web pro-Hong Kong) lo cierto es que todavía no hemos llegado a la parte superior de la curva de madurez en lo que a ataques DDoS se refiere.
En este sentido y dado que estas amenazas continuarán creciendo en tamaño, es probable que en 2015 asistamos al amanecer de los ataques DDoS a escala Terabit; sí no están ocurriendo ya. Por el momento, en la mayor parte de los casos, la tecnología implantada en gran parte de las organizaciones es insuficiente para registrar eficazmente ataques de esta magnitud, por lo tanto, nos quedamos con la impresión de que los ataques de este tamaño simplemente no se están produciendo.
No obstante, y obviando este último hecho, lo que sí está claro es que a menos que los proveedores de servicios de Internet tomen medidas deliberadas para hacer frente a esta clase de ataques, es casi impensable considerar la escala y la destrucción que podría ser perpetrada por la explotación de incluso una pequeña fracción de los miles de millones de dispositivos IoT que, se prevé, se implementarán en los próximos años.
Estas soluciones de automatización del hogar no están gestionadas por equipos de seguridad de Internet, ni cuentan con un equipo de seguridad 24-7 destinado a tapar agujeros de seguridad con parches, asegurando que estos dispositivos estén libres de vulnerabilidades de seguridad potencialmente explotables. El IoT está alimentando a su propio ejército de botnets por lo que será interesante ver cómo funciona este juego en 2015.