Seguridad en red Etiqueta

El escándalo de Cambridge Analítica ha mostrado el peligro de la agregación de información. La empresa utilizó datos obtenidos de diferentes fuentes para enviar publicidad dirigida a influir en las elecciones de Estados Unidos. La información utilizada incluía datos de millones de usuarios de Facebook obtenidos de forma fraudulenta, pero, en cualquier caso, datos provenientes de una aplicación con la que los usuarios interactúan y son conscientes de haber compartido. Hasta cierto punto, nos preocupa de la información que tenemos en redes sociales, elegimos contraseñas decentes y protegemos con antivirus nuestros móviles y ordenadores. Bueno, al menos las cosas que parecen ordenadores…

En los últimos años, ha surgido un creciente número de dispositivos: termómetros, cámaras, alarmas… todo tipo de sensores y elementos que nos permiten observar y controlar lo que ocurre en el hogar. Incluso sin estar físicamente, podemos obtener la información y actuar desde un «smartphone». Esto implica, por supuesto, que estos dispositivos puedan comunicarse a través de la red, dando origen al término internet de las cosas o IoT (Internet of Things).

El primer problema de seguridad en estos dispositivos es precisamente ese: que los vemos como únicamente cosas. Un dispositivo capaz de comunicarse a través de internet es un ordenador. Aunque esté metido en una caja pequeña sin pantalla ni cables, tiene los mismos problemas de seguridad que un ordenador. A eso se añade que, al no interactuar directamente con el dispositivo, no nos daremos cuenta de si le pasa algo raro. No vemos si da mensajes extraños de error o si «va lento».

Para comunicarnos con estos dispositivos IoT, podríamos usar varias filosofías. Lo más natural sería pensar que, cuando estamos fuera, usamos una aplicación del móvil para establecer una comunicación con el dispositivo que está en casa. Con esta comunicación, el móvil obtendrá la información que ofrece el dispositivo (por ejemplo, la temperatura) o bien le dará las órdenes correspondientes (por ejemplo, encender la calefacción). Todo ello, protegido por el correspondiente intercambio de información de autenticación para proteger que no pueda ser controlado por cualquiera.

Sin embargo, hoy en día, las redes residenciales no permiten normalmente este funcionamiento. Se utilizan redes con direcciones internas privadas y dispositivos NAT en el router de acceso, que únicamente permiten que se inicien comunicaciones desde la red de casa hacia el exterior. La información puede fluir en los dos sentidos, pero lo que llamamos conexión sólo puede iniciarse desde el interior hacia el exterior.

Por eso, los fabricantes de la mayoría de dispositivos IoT en venta deciden utilizar una segunda filosofía de comunicaciones. Los dispositivos de casa inician la comunicación con servidores en la nube (perteneciente al fabricante del dispositivo). El servidor actúa de pasarela. Nuestros dispositivos le informan de las medidas que realizan y se mantienen en contacto por si deben recibir órdenes. Esta comunicación funciona, porque la inician los dispositivos desde nuestra red hacia el exterior.

El usuario que está fuera establece una comunicación con el servidor y puede consultar los datos de sus dispositivos o incluso darles órdenes. El servidor reenviará las órdenes a los dispositivos en casa y permite consultar la información que ha recibido de ellos.

Esto es cómodo y permite vender dispositivos listos para usarse con poca configuración, pero a costa de que los datos de nuestros sensores y el acceso al control de nuestra casa estén en manos de un intermediario. Estos intermediarios serán el blanco de ataques y filtraciones.

La alternativa será utilizar tecnologías que permitan comunicarnos con los dispositivos sin utilizar intermediarios. Esa es una de las ventajas del uso de la siguiente versión del protocolo IP, la versión 6, que no acaba de despegar en los últimos años. Quizá la proliferación de dispositivos de IoT sea la que genere el impulso definitivo a que los operadores ofrezcan conectividad con IPv6, permitiendo utilizar direcciones IP públicas en las redes residenciales y facilitando la comunicación sin intermediarios.

En este escenario, la vigilancia de la actividad y los flujos de comunicación en las redes residenciales será fundamental. La monitorización de este tipo de tráfico es una de las líneas de investigación del Grupo de Redes, sistemas y servicios telemáticos del Instituto de Smart Cities (ISC) de la Universidad Pública de Navarra (UPNA).

 

Esta entrada al blog ha sido elaborada por Mikel Izal Azcárate, profesor titular de Universidad del Departamento de Ingeniería Eléctrica, Electrónica y de Comunicación e investigador del Instituto de Smart Cities (ISC) de la Universidad Pública de Navarra (UPNA).