Jason Schmitt

Las conclusiones del estudio Home Security Systems, revelan que los propietarios de sistemas de seguridad domésticos conectados a Internet posiblemente no sean los únicos que monitorizan sus hogares y constatan que todos los dispositivos estudiados que se emplean en la seguridad doméstica presentan importantes vulnerabilidades, entre las que se destacan los problemas en la seguridad de las contraseñas,de encriptación y autentificación.

“Dado que continuamos aprovechando las ventajas y la disponibilidad de los dispositivos conectados, debemos ser cada vez más conscientes de la situación de vulnerabilidad en la que pueden quedar nuestros hogares y familias ", afirma Jason Schmitt, vicepresidente y director general de Fortify, en el área de Enterprise Security Products de Hewlett Packard.

"Teniendo en cuenta que los diez sistemas de seguridad más destacados carecen de las características fundamentales de protección, los consumidores deberían ser muy diligentes a la hora de adoptar de medidas de seguridad sencillas y prácticas, cuando sea posible. Por su parte, los fabricantes de dispositivos deberán asumir la responsabilidad de incorporar elementos de seguridad a sus productos para evitar exponer a sus clientes, sin que éstos lo sepan, a grave amenazas", recomienda Schmitt. 

Los sistemas de seguridad domésticos, como son videocámaras y detectores de movimiento, han ganado popularidad ya que se han unido al floreciente mercado del Internet de las Cosas (IoT, por sus siglas en inglés). En este sentido, Gartner prevé que este año acabará con 4.900 millones de objetos conectados, lo que supone un incremento del 30% respecto a 2014, y que, en 2020, se alcanzarán los 25.000 millones. El informe pone de manifiesto lo deficientemente equipados que están esos sistemas desde el punto de vista de la seguridad, y alerta de enormes riesgos teniendo en cuenta el gran crecimiento que se espera entorno al Internet de las Cosas y la creciente actividad de la ciberdelinciencia.

Muchos fabricantes quieren aprovechar esa oportunidad y están introduciendo de forma muy rápida sistemas de seguridad conectados que ofrecen capacidades de monitorización remota. Pero la conectividad de red y los accesos necesarios para esa monitorización generan nuevos problemas de seguridad que no existían en anteriores generaciones de equipos que no contaban con conexión a Internet.

Con ello, se pone en cuestión el que los dispositivos de seguridad conectados realmente contribuyan a que los hogares sean más seguros. Más bien, por el contrario, los exponen a una situación de mayor riesgo, al proporcionar un acceso electrónico fácil a través de productos inseguros vinculados al IoT.

En este contexto, la compañía empleó Fortify on Demand para evaluar 10 dispositivos domésticos IoT junto a sus componentes de aplicaciones cloud y móviles, y se descubrió que ninguno de ellos requiere el uso de una contraseña segura y que tampoco ofrecen autenticación de dos factores.

Los problemas de seguridad más comunes y que son fácilmente subsanables son:

• Insuficiente autorización: todos los sistemas que incluían sus propias interfaces web basadas en cloud y móviles no requieren contraseñas de suficiente complejidad y longitud. La mayoría solo requerían passwords de seis caracteres alfanuméricos. Además carecían de la capacidad de bloquear las cuentas después de un cierto número de intentos fallidos.
• Interfaces inseguras: Las interfaces web basadas en la nube probadas presentaron problemas relativos a seguridad de forma que permitían a un potencial atacante tener acceso a través de la vía de entrada a la cuenta al existir tres defectos de aplicación: enumeración de la cuenta, débil política de contraseñas y carencia de bloqueo de la cuenta. Del mismo modo, cinco de los diez sistemas probados mostraron problemas en la introducción de datos de entrada a través de la aplicación móvil exponiendo a los consumidores a riesgos similares.
• Dudas sobre privacidad: Todos los sistemas recogen algún tipo de información de carácter personal, como el nombre, la dirección, fecha de nacimiento, número de teléfono e incluso números de tarjetas de crédito. La exposición de esta información es motivo de preocupación, dado que los problemas de recopilación de los datos de la cuenta alcanzan a todo los sistemas. También vale la pena señalar que el uso del video, una característica de muchos sistemas de seguridad para el hogar, hace posible la visualización través de aplicaciones móviles e interfaces web basados en la nube: la privacidad de las imágenes de vídeo procedentes el interior de la casa se convierte en una preocupación añadida.
• Carencias en el cifrado de los datos transmitidos: Si bien todos los sistemas tenían implementada la encriptación para la transmisión de datos, como SSL/TLS, muchas de las conexiones cloud siguen siendo vulnerables a los ataques (por ejemplo a POODLE). La importancia de contar con una encriptación correctamente configurada es especialmente importante ya que la seguridad es una función primordial de estos sistemas.

A medida que los fabricantes de productos IoT van trabajando en la incorporación de medidas de seguridad que se necesitan de forma cada vez más acuciante, se insta a los consumidores a que consideren la seguridad como un aspecto básico a la hora de elegir un sistema de monitorización para su hogar.

La implementación de redes domésticas seguras antes de incorporar dispositivos IoT inseguros, la creación de contraseñas complejas, la incorporación de sistemas de bloqueos de cuentas y la autenticación de dos factores, son sólo algunas medidas que los consumidores pueden adoptar para hacer más segura su experiencia en el Internet de las Cosas.

Los legisladores también se están involucrando, como es el caso de la Comisión Federal de Comercio de Estados Unidos, que ha difundido recientemente un informe en el que se analiza el equilibrio entre las preocupaciones relativas a la seguridad y la privacidad en relación con el desarrollo de los dispositivos IoT.

Para más información, puede acceder al primer informe de esta serie sobre IoT, el Internet of Things Security Study, que prueba la seguridad de los10 dispositivos más comunes en el entorno del Internet de las Cosas. Además el análisis HP Security Briefing, Episode 20: The Internet of Things: A Security Overview muestra cómo la llegada de millones de dispositivos conectados afecta a la seguridad de las redes desde un punto de vista práctico. Más información y acceso al informe completo pulsando en este enlace.