Alerta per la seguretat de la internet de les coses

«Estat de pànic». Aquesta és la definició dels experts informàtics sobre l’estat actual de la seguretat en els dispositius connectats a internet. I és que els impulsors de l’anomenada internet de les coses (IOT, segons les sigles angleses) s’han posat a tremolar amb l’atac informàtic que va fer caure diverses webs el 21 d’octubre passat i per al qual es van fer servir dispositius que no eren ordinadors, com era habitual fins ara.

Per a moltes persones també va suposar descobrir que el televisor, el router, la càmera de seguretat, el vigilanadons o qualsevol electrodomèstic amb connexió a internet es pot convertir en una arma en mans de delinqüents. Però la indústria, que ja havia rebut avisos de tot arreu sobre la falta de seguretat dels dispositius, va tenir divendres una confirmació flagrant. I la IOT va passar de ser «la gran esperança» a viure el seu mes «horribilis».

«Hi ha llistes amb més de 300.000 dispositius dels quals es coneixen les contrasenyes i ningú pot canviar-les, i per tant són potencialment vulnerables. Si de 6.000 milions de dispositius que hi ha al món connectats a internet només el 5% no estiguessin ben configurats o fossin atacables, ja seria un desastre», resumeix Manel Medina, president del comitè científic de l’Antiphishing Working Group, fundador d’ES-CERT i coautor del llibre Cibercrim.   

AVISOS DE GURUS

Un guru com Phil Zimmermann, inventor del PGP, el protocol de criptografia més utilitzat a internet, no dubtava a qualificar dies abans del fatídic 21 d’octubre la seguretat de la IOT de «complet desastre» en una conferència davant dels experts de l’agència de la Unió Europea per a la ciberseguretat (ENISA) a Lleó i va demanar que almenys es revisi el sistema de xifrats. I el consorci Securing Smart City, en què participen companyies de seguretat i antivirus i que fa anys que denuncia errors, tornava a llançar el més de setembre passat una alerta sobre vulnerabilitats detectades en sistemes de control del trànsit a les carreteres, en aeroports o en la venda d’entrades o bitllets de transport.

SEGURETAT PER DEFECTE

Després de l’atac, ISACA, entitat internacional que audita la qualitat del programari, ha reclamat que es tinguin en compte els estàndards de seguretat a l’hora de permetre comercialitzar qualsevol dispositiu connectat. «És contradictori observar com els equips industrials, en general, són dissenyats, fabricats i instal·lats observant altíssimes mesures de seguretat (resistència a pressions, temperatures, funcionament en manera de fallada, apagat segur…), però els programes  d’aquests mateixos equips no passen per un procés equivalent de protecció de dades», explica en el seu blog el capítol espanyol d’ISACA.

Errades en dispositius connectats, com un cotxe autònom, controls domòtics o de vigilància, un dispositiu mèdic, una central d’energia o fins i tot les infraestructures urbanes connectades (semàfors, canvis d’agulles ferroviàries), podrien implicar riscos per a la vida de les persones, insisteixen.

Tot i això, els experts en ciberseguretat es troben que els fabricants van crear màquines amb poca memòria i prestacions molt limitades que en principi només s’havien de fer servir per a les seves funcions originals i que tenen molt poc marge de millora. «Es va descobrir un atac a unes plaques fotovoltaiques perquè es bloquejaven al connectar-se a internet, i és que algú les estava utilitzant per a altres finalitats», recorda Medina. Per al dia 21, es van utilitzar moltes càmeres de videovigilància i gravadors de televisió d’un fabricant xinès, Hangzhou Xiongmai Technology.

Notícies relacionades

Una colla de criatures

Un de cada sis avis pateix maltractaments: «Visc amb por, el meu fill l’emprèn contra mi quan pateix una crisi»

«El paper de la seguretat en la internet de les coses és zero. Els fabricants han tingut com a criteri reduir costos més que prioritzar la qualitat del programari, en part per les presses de treure les coses aviat al mercat», assegura Miguel García-Menéndez, del Centre de la Ciberseguretat Industrial.

«L’atac de divendres, malgrat tot, no servirà d’estímul perquè els fabricants de dispositius es posin les piles. Són coses molt lentes. En els fòrums sembla que sempre siguem els mateixos autoconvencent-nos i, a més, en la indústria, la digitalització de les màquines encara va molt lenta. Passa al revés, hi ha errors per obsolescència», afirma.