Hace unos años buscaba cómo automatizar la caldera y empecé a mirar termostatos inteligentes. Todo pintaba muy bien para los apasionados de la tecnología y para mejorar la calidad de vida, dejando que los aparatos aprendiesen de nosotros y nos facilitasen el día a día. Iba apareciendo más y más tecnología de este tipo, y se empezaba a plasmar una revolución del Internet de las Cosas (IoT) que hoy en día va a más. Pero la gente no conoce los verdaderos peligros de esta revolución.
Nos encontramos ante tres problemas graves en el IoT.
El primero: empresas que cierran dejando a todos sus clientes abandonados con productos inservibles, porque los servidores se apagan. Es el caso de Momit Thermostat. ¿De qué te sirve un producto que aprende de tus hábitos y que puedes controlar desde el móvil, si un día la empresa apaga la luz de sus oficinas y, con ella, la de todos sus usuarios? Green Momit cerró, y con ello todos sus servicios online; sin el servidor, los clientes se quedaron con un termostato básico a precio de oro. El fabricante tampoco facilitó una actualización de transición, como sí hizo en su día Pebble (el fabricante de smartwatches) para no dañar a sus clientes. Y al no haber código fuente ni información técnica disponible, la comunidad de desarrollo tampoco puede sacar soluciones que den una salida rápida a estos dispositivos y eviten esa obsolescencia forzosa. La mejor solución, en muchos casos, sería poder conectarlos por MQTT a un servidor Mosquitto propio.
El segundo problema es la necesidad imprescindible de mantenimiento para tapar agujeros de seguridad. ¿Os imagináis lo que es tener un sistema de vigilancia de casa desactualizado, con agujeros de seguridad conocidos, y conectado a internet? Pues no os lo creáis, pero es más habitual de lo que parece. Las compañías sacan sus productos, pero un día abandonan su mantenimiento, ya sea porque los sustituyen por otro o porque deciden centrarse en otra línea de negocio. Y volvemos a la obsolescencia: dispositivos que funcionan, pero que ya no deberían usarse porque no ofrecen ninguna garantía de seguridad. Y no hablo solo de cámaras de seguridad: juguetes, neveras, lavadoras, robots aspiradores… la tecnología avanza hacia la interconexión total, y muchos de estos aparatos manejan información que, sin actualizaciones, un día se convierte en una fuente de información pública. A veces ni siquiera se usan para robar información, sino para convertir los aparatos en zombis que minan criptomoneda, atacan por DDoS o comprometen otros dispositivos de la misma red, poniendo en riesgo también ordenadores o tablets conectados. Si queréis indagar más, os dejo el enlace al código fuente de Mirai, un bot que capturaba cámaras de seguridad mal protegidas —sobre todo de gente que nunca cambió la contraseña por defecto (ver mirai/bot/scanner.c)— para lanzar ataques DDoS: https://github.com/jgamblin/Mirai-Source-Code/tree/6a5941be681b839eeff8ece1de8b245bcd5ffb02/mirai. Este fenómeno de firmware y software abandonados a su suerte no es exclusivo del IoT; lo sufrimos también, y desde hace más tiempo, en routers y teléfonos móviles.
El tercer problema es el uso que se le da a toda la información que cedemos. La cedemos continuamente, todos, y cuantos más dispositivos IoT tengamos en casa, más información compartimos. Como siempre se ha dicho, la información es poder, y un gran poder conlleva una gran responsabilidad. ¿Estarán las empresas que gestionan esa información a la altura de esa responsabilidad, o acabaremos convertidos en un producto comercial más, vendiendo nuestros datos para campañas individualizadas donde hasta las noticias que recibimos están adaptadas a nosotros?
Bienvenidos al Internet of the Broken Things. Y recordad: no hay nada más fuerte que una comunidad maker donde lo importante es desarrollar libremente y compartir el conocimiento.
No quiero despedirme sin dejaros algunas recomendaciones para paliar un poco la inseguridad de los elementos IoT:
- Cambiad las contraseñas de fábrica por defecto (si la clave viene fijada de fábrica, todo el mundo la conoce, aunque varíe entre dispositivos).
- Adquirid dispositivos que resulten seguros y permitan actualizaciones. La marca da algo de tranquilidad, al menos durante unos años; y si además tienen comunidad de desarrollo público, mejor todavía, porque siempre habrá alguien capaz de parchear algo si el fabricante no lo hace.
- Preguntaos: ¿es necesario que esté conectado a la red o a internet en todo momento?
- Montad redes aisladas, bien parametrizadas y reguladas por un firewall.
- Deshabilitad el acceso remoto desde fuera de la red interna, o al menos a la configuración del aparato.
- Desactivad la interfaz web si es posible.
- Intentad establecer siempre un canal de comunicación cifrado.
- Si localizáis un exploit, lo mejor es informar al fabricante y hacer pública la información. Un exploit pierde su valor en cuanto se publica: se empieza a corregir, los afectados aplican soluciones temporales y, sobre todo, deja de estar en venta en la deep web. No hay nada más peligroso que un exploit zero-day. Os dejo una web donde se publican a diario muchos de los exploits que salen a la luz: https://www.exploit-db.com/