Los dispositivos analizados fueron Belkin WeMo Switch, el termostato Nest, un altavoz inteligente marca Ubi, una cámara de seguridad del fabricante Sharx, un marco fotográfico digital PixStar y un nodo SmartThings.
Antes de abocarse al estudio, los científicos esperaban encontrar elementos de cifrado que bloquearan intentos de monitorización del tráfico generado desde y hacia el dispositivo. El resultado fue el opuesto, al constatar que la mayoría de los dispositivos era incapaz de cifrar al menos parte del tráfico.
“El análisis del tráfico de datos generados desde y hacia los dispositivos analizados fue más fácil de lo que esperábamos, debido a que en su mayoría intercambiaban información personal o privada de los usuarios con los servidores de sus respectivas empresas, a través de Internet, en transmisiones en texto simple, sin ningún tipo de cifrado”, escribe Nick Feamster, director interino de Princeton CITP, en el blog Freedom to Tinker.
Detalle de los dispositivos analizados
• Nest: transmitía las coordenadas del dispositivo, como asimismo la estación meteorológica más cercana.
• Ubi: utilizaba comunicación no cifrada al transmitir información privada, incluyendo si el usuario se encontraba en su hogar, o si estaba detectando movimientos el interior de la vivienda.
• Sharx: transmitía vídeo mediante métodos no cifrados que podían ser potencialmente interceptados.
• PixStar: el tráfico digital emanado del dispositivo carecía totalmente de cifrado, junto con revelar numerosas interacciones hechas por el usuario.
Los otros dos dispositivos analizados, Belkin WeMo Switch y el nodo SmartThings, superaron satisfactoriamente las pruebas, al constatarse que cifraban los datos transmitidos.
…pero el cifrado en sí es insuficiente
Sin embargo, a juicio de Feamster el cifrado en sí no es suficiente. “El cifrado puede ser un buen punto de partida, pero por sí solo, al parecer es insuficiente para preservar la seguridad de los usuarios. Por ejemplo, la interacción de estos con los dispositivos genera firmas de tráfico que revelan información, como por ejemplo cuando han sido encendidos o apagados. Así, características sencillas de tráfico, como por ejemplo el volumen de datos transmitidos durante un período determinado de tiempo, puede ser suficiente para revelar algunas actividades e interacción del usuario”, escribe el catedrático en su informe.
Feamster agrega que “invariablemente, las conexiones DNS realizadas desde los dispositivos indican claramente la presencia de estos en el hogar de los usuarios. De hecho, incluso cuando los datos en sí son cifrados, las conexiones DNS revelan no sólo la presencia de ciertos dispositivos en el hogar, sino también información sobre uso y patrones de actividades”.
El catedrático manifiesta además preocupaciones sobre el uso que las empresas pueden dar a los datos que están constantemente recolectando desde tales dispositivos, incluso en aquellos casos en que los reciban mediante protocolos cifrados.
Conclusiones
Luego de plantear los retos señalados, Feamster propone las siguientes soluciones:
• Transparencia: el primer paso para lograr seguridad y privacidad en IoT debería ser la cooperación con los fabricantes para mejorar la transparencia de los dispositivos, con el fin de que los consumidores tengan mayor visibilidad respecto del software que está siendo ejecutado en los aparatos, como asimismo el tráfico que están recibiendo y transmitiendo. El experto reconoce que este es un esfuerzo magnánimo, debido a la amplia mayoría y de diversidad de fabricantes.
• Papel asignado a la infraestructura de la red: al contarse con la información generada por la transparencia anterior, las conductas anómalas que denoten compromiso o filtración de datos debería ser más evidente para los sistemas de detección y cortafuegos. “En otras palabras, podríamos trasladar las herramientas estándares de seguridad de las redes a los dispositivos IoT, cuando contemos con una forma de identificar el comportamiento esperado de estos”, indica Feamster.
El experto agrega que los actuales switches para redes no proveen mecanismos que permitan a los propios usuarios expresar e implementar políticas preferidas. La solución podría estar en los avances en SDN (Software Defined Networking), que podría facilitar la implementación de políticas que resuelvan conflictos en recursos compartidos, haciendo posible aislarlos en el contexto de la red. “Sin embargo, aunque esto constituya una dirección razonable para la ingeniería de redes, esta tecnología sólo nos acompañará a una parte del camino, ya que los usuarios necesitarán interfaces mucho mejores para monitorear la actividad de la red, y expresar políticas sobre la forma en que estos dispositivos deberían comportarse e intercambiar tráfico.
