Internet de la Cosas: Ciberseguridad

Marco Antonio Arenas Porcel

Sucre – Bolivia
2016
 About Me

• About Me:
– Marco Antonio Arenas Porcel
– CCNA
– CCNA Security
– ESR1 & ESR2
– Docente Investigador
– Blog: http://telecomusfx.blogspot.com/
 Introducción

• Internet of Things – IoT

• Internet of Everything - IoE

Fuente: https://www.netacad.com/courses/intro-internet-of-everything/
 Antecedentes del IoT

• 1990 Jhon Romkey y Simon Hacket desarrollaron el

primer objeto con conexión a Internet, su
tostadora inteligente.
 Antecedentes del IoT

• 1999, el ingeniero Bill Joy, fue quien profundizo el concepto

de Internet de las cosas. Comunicaciones entre dispositivos.
 Antecedentes del IoT

• 2009, el británico Kevin Ashton acuñó por primera

vez el nombre de internet de las cosas gracias al
artículo publicado en el RFID Journal.
 Evolución de Internet

• IoE ha logrado que el internet sea sensorial, ( temperatura, presion, vibracion, luz,
humedad, estres ) lo que nos permite
ser mas proactivos y menos reactivos
Primera Evolución Real

Fuente: https://www.netacad.com/courses/intro-internet-of-everything/
 Evolución de Internet

• El futuro de Internet

• 8
dispositivos/persona
• 10 billones de dólares

2008-2009 nace el Internet de la cosas

Fuente: Cisco IBSG, 2012 http://www.cisco.com/go/ibsg

 IoE es economía

• Proyecciones de Gartner

Otra revolución industrial…

 IoE tecnologías asociadas

• IoT, trae nuevas tecnologías y así mismo realza otras ya antiguas:

– Conectividad móvil IEEE 802.15
– RFID
– Big Data (Minería de Datos)
– Analystics (BI)
– Cloud computing/fog computing
– Smart Cities

Fuente: https://www.netacad.com/courses/intro-
internet-of-everything/
 Redes mixtas

• Además de los medios guiados clásicos

Fuente: https://www.netacad.com/courses/intro-
internet-of-everything/
 Redes Mixtas

• Evolución de los controladores de red

Comunicaciones:
P2P
M2P
M2M
Ej: Sensores
envían señales al
controlador, lo
procesa, envía
señal al actuador
y realizar ajustes
(Semáforos
Inteligentes)

Fuente: https://www.netacad.com/courses/intro-internet-of-everything/
 Redes mixtas

Actuador: solenoide
eléctrico utilizado
para controlar el
sistema hidráulico

Fuente: https://www.netacad.com/courses/intro-internet-of-everything/
 El alcance de la
seguridad
• Cada vez hay más dispositivos conectados a Internet (masas
de información compartida)
• La seguridad informática esta dependiendo de Internet (ciberespacio)
• Los dispositivos de IoT no parecen críticos, pero podrían llegar a
serlo (depende como los usamos).
• Según el informe de Julio de 2014 de HP FORTIFY el 80% de los dispositivos tienen
fallos en la autenticación y 6 de cada 10 dispositivos con interfaz de usuario
son vulnerables.

IoE=Reto de seguridad
 El problema

Fuente:
http://www8.hp.com/h201
95/V2/GetPDF.aspx/4AA5-
4759ENW.pdf
http://fortifyprotect.com/HP_IoT_Research_Study.pdf
 Riesgos

• Más vectores
de Ataques
– Físicos, Entorno, RIESGO
Criptoanálisis,
software, red, etc. AMENAZA
– Side channel ACTIVO
attacks (Análisis
electrománetico,
POWER)
VULNERABILIDAD

Cultura de seguridad de los usuarios ???

The Internet of Things and wearables: Driving the next phase
of personal computing
 Riesgos de IoT

• Se pone en riesgo la integridad,

confidencialidad, disponibilidad, pero ojo la
identidad de las personas.
– Posicionamiento GPS de las personas,
mediante los dispositivos wearables (Nike+)

Fuente: http://www.dscuento.com.mx/nike-and-ipod/
Riesgos de IoT
 Riesgos- IoT

• Dispositivos
wearables -
Bluetooth LE
technology

Kaspersky Security Network (KSN)

http://securelist.com/blog/research/69369/how-i-hacked-my-smart-bracelet/
 Riesgos de IoT

https://www.shodan.io
Riesgos de IoT
Riesgos de IoT

La casa inteligente

http://www.teleg
raph.co.uk/techn
ology/internet-
security/110000
13/Average-
Internet-of-
Things-device-
has-25-security-
flaws.html
 Riesgos de IoT

• Robo de Información (disponible en la nube).

• Control y uso malintencionado de
los dispositivos.
– A nivel personal:
• Tu coche

www.teslamotors.com/
 Riesgos de IoT

• SmartTV
– La vulnerabilidad es la
simplicidad misma: la
función WiFi Miracast
está activada por
defecto, tiene una
contraseña fija
("Miracast"), sin PIN, y
no pedir permiso para
nuevas conexiones WiFi
.
 Riesgos de IoT

• SmartTV
– SmartTV, dumb vuln:
Philips hard-codes
Miracast passwords

http://www.theregister.co.uk/2014/04/02/smarttv_dumb_vuln_philips_hardcodes_miracast_passwords/
 Riesgos de IoT

• IoT en la Industria
– Infraestructuras Críticas monitorizadas en tiempo real por sistemas
complejos, llamados sistemas SCADA (Supervisory Control And Data
Acquisition; Supervisión, Control y Adquisición de Datos)
ampliamente utilizados.
 Riesgos de IoT

• SCADA
– La incorporación de Sensores
– Sus sistemas empotrados.
 Riesgos de IoT

 State-sponsored
cyber operations

Estados Unidos contra

China, un conflicto no
declarado pero evidente.
Guerra cibernética
contra estados
enemigos como Irán y
Correa del Norte.

Fuente: http://www.worldtribune.com
 Ciber Guerras nos
afectaran

• Los tipos de armas utilizadas son las mismas herramientas y tipos de ataques
utilizados en la ciberseguridad en general, pero enfocados a un estado o nación.
Se tienen:
• Herramientas usadas en ataques:
– Botnet’s (ataques programados desde redes internas)
– Gusanos y Troyanos
• Tipos de ataques
– Ataques de denegación de servicios – DoS
– Envenenamiento DNS
– Ingeniería Social
– Data Gathering (apuntado a la obtención de la información de un blanco)
– Espionaje informático, capturando o remplazando paquetes: Sniffers y Spyware.
• Herramientas usadas en defensa
– Honey Pot´s y Honey Net´s (señuelos)
– Monitores y filtros de tráfico: IDS, IPS y Firewalls
 Ciber Guerras

Blancos en la ciberguerra
Los blancos de una ciberguerra son:
• Sistemas de comunicación
• Sistemas Bancarios.
• Sistemas gubernamentales o diplomáticos
• Sistemas de SCADA.
• Sistemas de Servicios Básicos.
• Sistemas Militares.
• Personal militar, gubernamental o diplomático, usuarios
en general involucrados con los anteriores sistemas.
 Cuantas cosas …

• Thingbotnet (Botnet de las Cosas).

http://investors.proofpoint.com/rel
easedetail.cfm?releaseid=819799
  Ideological and
political extremism
(hacktivism)

Grupo activistas:
LulzSec y Anonymous

U.S. SOPA legislation

Stop Online Piracy Act
 Cyber Adversaries

Fuente:http://www.cso.com.au/article/564611/2015-social-engineering-survival-guide/
A diferencia de los verdaderos criminales, a los hackers les encanta el
anonimato que Internet les da por lo que pueden esconderse detrás de
cualquier cosa
Ellos pueden esconderse detrás de un nombre; usan seudónimos.
Donde están?
 Como muestra un botón

Ataques a celebridades:
Las personas en general
están en riesgo, como en
el caso de la Miss
Teen USA Cassidy
Wolf, que hackeron su
cámara web, para
tomar imágenes de su
privacidad.
Casos
 Casos

• En la domótica

http://www.contextis.com/resources/blog/hacking-internet-connected-light-bulbs/
 Casos

• Karotz, “smart
rabbit”.

El 2013 se descubrieron vulnerabilidades,

Black Hat 2013 en Estados Unidos
https://media.blackhat.com/us-13/US-13-Crowley-Home-Invasion-2-0-WP.pdf
 Casos

• reloj Pebble
• El reloj Pebble es un smartwacth
que se puede enlazar a un
smartphone, mostrando por su
pantalla las notificaciones recibidas.
La vulnerabilidad podía provocar
condiciones de denegación de
servicio, así como en algunos casos
borrar la memoria del dispositivo
(aplicaciones, configuraciones, notas,
mensajes, etc.). El ataque
únicamente consistía en enviar 1500
mensajes de Whatsapp al dispositivo
en un periodo de 5 segundos.

http://thehackernews.com/2014/08/remote-attack-could-damage-your-pebble.html
 Los sistema SCADA

• El 2010 en Irán,
Stuxnet invade las
centrifugadoras del
programa de
enriquecimiento de
uranio, se culpa a
España del ataque.
 Casos
Drones del pentágono.
Exceso de
Confianza

Fuente: http://shukanshah26.blogspot.com/2014/03/cyber-security.html

Think Like a Hacker, Defend Like a Ninja

Proactivo
 Capacitación

1. Insecure Web Interface

2. Insufficient Authentication/Authorization https://www.owasp.org/index.p
3. Insecure Network Services hp/OWASP_Internet_of_Things
_Top_Ten_Project
4. Lack of Transport Encryption
5. Privacy Concerns
6. Insure Cloud Interface
7. Insecure Mobile Interface
8. Insufficient Security Configurability
9. Insecure Software/Firware
10. Poor Physical Security
Capacitación
Capacitación
Capacitación
 Conclusión

Reporte de Seguridad: Cisco Security 2014

 Conclusión

• IoT cabio en panorama de la seguridad

• Java sigue siendo el lenguaje más explotado
• Los hackers se centran en las
vulnerabilidades más recientes.
• Mucha publicidad, más malware
• El malvertising prevalece.
 Conclusión

Fuente: https://blog.kaspersky.es/internet-de-las-cosas-problemas-de-seguridad/1045/
 Recomendaciones

• Identificación y control del uso de

servicios en la nube o cloud services.
• Uso de aplicaciones móviles
para dispositivos IoT
– Apps confiables
– Limitar accesos a otras aplicaciones
• Buenas prácticas y cultura de seguridad
– Cuidado con la ingeniería social (phising)
– Uso de diferentes credenciales, para diferentes
servicios (email, redes sociales, etc.)
– Tratar de usar más de un método de
autenticación (SMS móvil)
 Recomendaciones

• Además de la precaución, la formación y la concienciación

son la principal salvaguarda en estos casos, ya que otorgan
al usuario la capacidad de identificar las estafas y
reaccionar adecuadamente contra ellas.
– Mantener campañas de concienciación y cursos para facilitar cultura
de seguridad de los usuarios.

http://www.csirtcv.gva.es/es/paginas/descargas-informes-csirt-cv.html
 Las Ciberseguridad es
responsabilidad de quién?

• Generamos cultura de seguridad de los usuarios.

Feria preventiva de la seguridad
ciudadana

Sucre – 29/08/2015
Feria preventiva de la seguridad
ciudadana

Sucre – 29/08/2015
Sucre – 29/08/2015
Feria preventiva de la seguridad
ciudadana

Sucre – 29/08/2015
 Referencias

• Informe: “Internet of Things Research Study”. Fuente: HP FORTIFY

- http://fortifyprotect.com/HP_IoT_Research_Study.pdf

• Web: “OWASP Internet of Things Top Ten Project”. Fuente: OWASP -

https://www.owasp.org/index.php/OWASP_Internet_of_Things_Top_Ten_Proj
ect

• Informe: “Internet de las cosas. Como la próxima evolución de Internet lo

cambia todo” Fuente: Cisco -
http://www.cisco.com/web/LA/soluciones/executive/assets/pdf/internet-
of-things-iot-ibsg.pdf
• Artículo: “’Hackers’ chinos logran vulnerar la seguridad del coche Tesla”
Fuente: elconfidencial.com - http://www.elconfidencial.com/tecnologia/2014-
07-21/hackers-chinos-logran-vulnerar-la-seguridad-del-coche-tesla_165313/
• Artículo: “Hacking into Internet Connected Light Bulbs” Fuente: Context -
http://contextis.co.uk/resources/blog/hacking-internet-connected-light-bulbs/
 Referencias

• Security for the ‘Internet of Things’ -

http://www.epanorama.net/newepa/2014/03/31/security-for-the-internet-
of-things/comment-page-1/
• Estudio annual de coches conectados - http://www.iabspain.net/wp-
content/uploads/downloads/2014/07/Informe-coches-conectados-2014.pdf
• Artículo: “IoT: How I hacked my home.” Fuente: Securelist -
http://securelist.com/analysis/publications/66207/iot-how-i-hacked-
my-home/
• Artículo: “Remote Attack Coud Format Your Pebble Smartwatch Easily”
Fuente: The Hacker News - http://thehackernews.com/2014/08/remote-attack-
could-damage-your-pebble.html
• Ponencia “Home Invasion 2.0: Attacking Network-Connected Embedded
Devices” Fuente: BlackHat - https://media.blackhat.com/us-13/US-13-
Crowley-Home-Invasion-2-0-WP.pdf
Ing. Marco Antonio. Arenas Porcel

Email:[email protected]
:[email protected]

59
Fuente:
http://programacion.net/articulo/consecuencias_de_privacidad_en_el
_internet_de_las_cosas_998

PREGUNTAS???

Email:[email protected]
:[email protected]
60