Hace unos años buscaba cómo automatizar la caldera y empecé a ver termostatos inteligentes. Todo pintaba muy bien para los apasionados de la tecnología y para mejorar la calidad de vida dejando que los aparatos aprendiesen de nosotros y nos facilitasen la vida. Iba apareciendo más y más tecnología. Se comenzaba a plasmar una revolución del Internet de las Cosas (IoT) que hoy en día va a más, pero la gente no conoce los verdaderos peligros de esta revolución. Nos encontramos ante 3 graves problemas en el IoT. Empresas que cierran dejando a todos sus clientes abandonados con productos inservibles porque los servidores cierran (el caso de Momit Thermostat). ¿De qué te sirve un producto que aprende de tus hábitos, que puedes controlar desde el móvil, si un día la empresa apaga la luz de sus oficinas y, con ella, la de todos sus usuarios? En este caso tenemos Green Momit, que cierra, y con ello, todos sus servicios online. Por lo que, sin el servidor online, los clientes se quedan con un termostato básico a precio de oro. El fabricante tampoco ha facilitado una actualización de transición como en su día realizó Pebble (fabricante de smartwatches) para evitar dañar al cliente. Al no tener código fuente, ni información técnica, la comunidad de desarrollo no puede sacar soluciones para dar una salida a estos elementos de una manera rápida y así evitar una obsolescencia forzosa. La mejor solución para esto sería poder conectarlo con MQTT a un servidor Mosquitto. Otro de los mayores problemas que sufre esta tecnología es la imprescindible necesidad de tener un mantenimiento tapando agujeros de seguridad. ¿Os imagináis lo que es tener un sistema de vigilancia de casa desactualizado, con agujeros de seguridad conocidos, y conectado a internet? Pues no os lo creáis, pero es más típico de lo que parece. Y es que las compañías sacan sus productos, pero un día abandonan el mantenimiento de éstos, ya sea porque sacan un producto que les sustituye o porque desean centrarse en otra línea. Pero finalmente, volvemos a la obsolescencia. Dispositivos que funcionan, pero que ya no deben ser usados porque no dan seguridad. No temáis, donde digo cámara de seguridad digo juguetes, neveras, lavadoras, robots aspiradores; finalmente, la tecnología va a la interconexión y muchos aparatos dan mucha información que, con la falta de actualizaciones, un día se convierten en una fuente de información pública. A veces no se usan para dar información, sino para convertir los aparatos en zombis que hagan el minado de criptomoneda, ataquen con DDoS o simplemente comprometan otros aparatos de la red, comprometiendo la información de los dispositivos como ordenadores o tablets. Por si queréis indagar más, os pongo el enlace al código fuente de Mirai, un bot que captura cámaras de seguridad con baja seguridad, mayormente de gente que no cambió las claves ni por defecto (ver mirai/bot/scanner.c) y realizar ataques DDoS. https://github.com/jgamblin/Mirai-Source-Code/tree/6a5941be681b839eeff8ece1de8b245bcd5ffb02/mirai Este fenómeno de aparatos con firmware y software abandonados a su suerte no es tan extraño; lo sufren los dispositivos IoT y, a lo que estamos más acostumbrados, en routers, teléfonos móviles… Y el tercer problema es el uso de esa información que cedemos. La cedemos continuamente todos, y cuantos más elementos IoT tengamos, más información compartiremos. Y, como siempre se dijo, la información es poder y un gran poder trae una gran responsabilidad, ¿estarán las empresas a cargo de esta información a nivel de tal responsabilidad o nos convertirán en un producto comercial, vendiendo nuestra información para hacer campañas comerciales individualizadas para cada uno de nosotros, siendo marionetas donde hasta las noticias que recibimos son adaptadas a nosotros? Bienvenidos al Internet of the Broken Things y recordad, no hay nada más fuerte que una comunidad maker donde lo importante es desarrollar libremente y el conocimiento. Pero no quiero marcharme sin daros unas recomendaciones para paliar un poco la inseguridad de los elementos IoT, recordad:
- Cambiad las contraseñas de fábrica por defecto (si la clave es fijada en fábrica, todos la conocemos, aunque sea diferente en cada dispositivo).
- Adquirid dispositivos que resulten seguros y que permitan actualizaciones de seguridad. Aquí la marca sí da un poco de tranquilidad, por lo menos unos cuantos años. Y si tienen comunidad de desarrollo público, mejor, pues te aseguras de que siempre alguien podrá parchear cosas si el fabricante no lo hace.
- Pregúntate: ¿es necesario que esté conectada a la red/internet siempre?
- Haced redes aisladas y tenedlas bien parametrizadas y reguladas por un firewall.
- Deshabilitad el acceso remoto a los mismos desde fuera de la red interna o, por lo menos, a la parametrización del aparato.
- Desactivad la interfaz web si es posible.
- Intentad establecer un canal cifrado de comunicación.
- Si localizáis un exploit, lo mejor es informar al fabricante y hacer pública toda la información. Cuando un exploit se publica pierde su valor, ya que se empezará a corregir, los implicados pondrán soluciones temporales para paliar los problemas y, lo más importante, dejará de estar en venta en la deep web. No hay nada más peligroso que los exploits Zero-day. Dejo una web donde se publican muchos de los exploits que se hacen públicos a diario. https://www.exploit-db.com/