Pruebas de seguridad para dispositivos móviles, "automóviles conectados" y el Internet de las cosas - Rohde ...
←
→
Transcripción del contenido de la página
Si su navegador no muestra la página correctamente, lea el contenido de la página a continuación
Tecnologías inalámbricas Pruebas de seguridad para dispositivos móviles, «automóviles conectados» y el Internet de las cosas 18
Cuando se habla de ciberataques, generalmente se trata de ataques a dispositivos
que se comunican con Internet a través de la red fija. Los usuarios de dispositivos
móviles, sin embargo, corren el mismo riesgo. Con la llegada del Internet de las
cosas, el problema adquiere una nueva dimensión. Una nueva solución permite
detectar las actividades de los dispositivos inalámbricos en la red y revela posibles
lagunas de seguridad.
El Internet de las cosas y hackers. Los métodos de ciberespionaje las conexiones IP o si no se distribuyen
la seguridad que se dieron a conocer recientemente actualizaciones con regularidad. Un solo
Aunque todavía se conozca más teó- a través de WikiLeaks han puesto en punto vulnerable puede ser suficiente
rica que prácticamente, el Internet de evidencia la amenaza. Todo disposi- para permitir una filtración y el acceso
las cosas (Internet of Things, IoT) no tar- tivo conectado al IoT encierra un poten- no autorizado a uno o incluso a varios
dará en formar parte de nuestra vida cial de riesgo, y los componentes del dispositivos. La distribución masiva de
cotidiana a través de la domótica, las IoT presentan actualmente menor pro- un equipo del IoT vulnerable puede aca-
prendas inteligentes y el «automóvil tección que los productos informáticos rrear también dificultades para los ope-
conectado», y tendrá mayor influen- convencionales, lo cual se debe a diver- radores de redes, con consecuencias
cia de la que tienen actualmente los sos motivos. Por ejemplo, las funciones que pueden llegar hasta a interrumpir el
smartphones. Cada vez más dispositi- de seguridad de muchos productos ina- funcionamiento de la red.
vos están equipados con módulos ina- lámbricos en los que la tecnología infor-
lámbricos para intercambiar datos (a mática tiene un papel secundario (p. ej.
menudo confidenciales), transmitir valo- en los electrodomésticos), y si se inte- Por qué también las empresas
res medidos o controlar sistemas remo- gran es solamente de forma rudimen- están en peligro
tamente. Según las previsiones, la can- taria y deficiente, ya sea por motivos Mientras que IoT está dando todavía
tidad de «cosas» que se comunican a económicos, por ahorro de tiempo, por sus primeros pasos, las comunicaciones
través de Internet aumentará ya en los falta de concienciación del problema inalámbricas clásicas son omnipresen-
próximos años de forma espectacular, y o por carecer de la competencia téc- tes y se utilizan intensamente tanto en
todavía más cuando 5G ponga a dispo- nica necesaria. No solo un cifrado insu- el ámbito profesional como privado. El
sición los recursos de red, aproximada- ficiente (o inexistente), puertos abier- problema surge en las empresas cuando
mente a partir de 2020 (fig. 1). tos (canales de comunicación) y un fir- ambos ámbitos se entremezclan, por
mware vulnerable, sino también las ejemplo si el empresario permite a los
El lado negativo de este desarrollo aplicaciones instaladas representan empleados utilizar su dispositivo móvil
radica en que cualquier dispositivo un riesgo de seguridad considerable si privado también para fines empresaria-
inalámbrico con un núcleo informá- los desarrolladores no se atienen a los les*. Una vez que quedan expuestos los
tico puede ser objetivo de ataques de estándares vigentes de seguridad en datos de clientes y de la compañía, el
* El artículo a partir de la página 70 presenta
Evolución de los dispositivos para el IoT (previsión)
una solución alternativa. Con BizzTrust,
Rohde & Schwarz ofrece dispositivos móviles que
15000 28 000 resuelven de forma segura el problema de las
Dispositivos conectados (miles de millones)
mill. mill. CAGR* soluciones mixtas empresariales/privadas.
30 2015 2021 2015–2021
25 IoT celular 0,4 1,5 27 %
20 IoT no celular 4,2 14,2 22 %
15 PC/portátiles/tablets 1,7 1,8 1% Fig. 1: El Internet de las cosas sobrepasará
10
Teléfonos celulares 7,1 8,6 3% pronto el uso del Internet «clásico».
5
Teléfonos fijos 1,3 1,4 0% (Referencia: http://blogs-images.forbes.com/
0
2014 2015 2016 2017 2018 2019 2020 2021 louiscolumbus/files/2016/07/Internet-of-Things-
* Tasa de crecimiento anual compuesto
Forecast.jpg)
NOVEDADES 217/17 19
Tecnologías inalámbricas
peligro acecha. Lamentablemente, los y Android en empresas y organismos través de Internet, y en especial su ubi-
hackers atacan siempre donde hay algún públicos de los países seleccionados. cación, ofrece información concluyente
punto vulnerable. Aparte del sistema sobre una comunicación indebida. Esta
operativo, la creciente cantidad de apli- puede determinarse con ayuda de geo-
caciones entraña un riesgo para la segu- Necesidad de nuevas estrategias localización IP, siempre que no se hayan
ridad. Los innumerables programas que y procedimientos de prueba empleado métodos de encubrimiento.
tan prácticos resultan y de los que sue- El objetivo consiste en identificar si un En caso de identificarse una a nomalía,
len estar atiborrados los teléfonos celu- dispositivo móvil es vulnerable y si las esta deberá investigarse a fondo y, si
lares privados aumentan la probabilidad aplicaciones utilizadas cumplen los procede, la aplicación causante deberá
de que una aplicación mal programada requisitos de seguridad. La tarea de los eliminarse de los dispositivos utilizados
o anticuada revele una vulnerabilidad. responsables informáticos debe ser la en el ámbito empresarial. Por el contra-
En el peor de los casos, un equipo en de asegurar que un terminal utilizado en rio, las aplicaciones desarrolladas espe-
estas condiciones puede posibilitar el el entorno empresarial preserve la con- cíficamente para el uso profesional
acceso a toda una red corporativa. fidencialidad e integridad de los datos deben comportarse del modo esperado
almacenados y enviados, independien- y de forma verificable, sobre todo en lo
Un equipo es vulnerable cuando se temente si se usa una conexión Wi-Fi o que a la seguridad respecta.
manipula el sistema operativo a través celular (ya que no se puede asumir que
de un jailbreak o rootkit, quedando anu- el software malintencionado se com-
ladas las funciones de seguridad bási- porte igual en ambos entornos). Revelación de los parámetros
cas. Pero para el atacante resulta más de seguridad
provechoso buscar puntos vulnera- Hasta ahora, era más fácil describir esta El R&S®CMW500 puede contribuir de
bles en un sistema operativo original tarea que realizarla, puesto que las posi- forma decisiva a mejorar la seguridad
supuestamente seguro, ya que, en rea- bilidades para analizar el comporta- de la comunicación de datos basada
lidad, solo hay dos sistemas relevan- miento de los equipos durante la comu- en IP en dispositivos móviles y módu-
tes a escala mundial. La figura 2 mues- nicación eran sumamente escasas. Un los del IoT. El nuevo módulo de gene-
tra la propagación porcentual de iOS análisis de los servidores contactados a ración de informes «IP Connection
Fig. 2: Distribución porcentual de dispositivos
Reino Organismos
Mundo Francia Alemania Japón España Unido EE.UU. públicos móviles iOS y Android utilizados en empresas
y organismos públicos. (Referencia: «Mobile
iOS 81 50 85 92 33 83 86 82
Security and Risk Review», 2ª edición de 2016,
Android 18 50 14 5 66 16 14 18
Mobile Iron Security Lab).
R&S®CMW500 analiza el tráfico de datos IP
¸CMW500
Tráfico de datos IP Tráfico de datos IP a través del canal
a través de Ethernet de RF (LTE, WCDMA, Wi-Fi, etc.)
Internet
Parámetros de medición de
la opción ¸CMW-KM052 Dispositivos Internet
País de la dirección de destino móviles de las cosas
Nombre de dominio de la
dirección de destino
PS
Análisis tráfico cifrado frente a
no cifrado | Cifrado reforzado |
Detalles del certificado Hogar Seguridad Fig. 3: Por este “corredor” tienen que pasar los
inteligente pública
datos procedentes de y dirigidos al dispositivo
Búsqueda de palabras clave en
móvil o del IoT conectado. El R&S®CMW500 se
el flujo IP
encarga del tráfico de datos entre el producto
e Internet. De forma similar a un cortafuegos,
Análisis de puertos IP en Sanidad Sector analiza si los datos contienen información rele-
el dispositivo bajo prueba automotriz
vante para la seguridad, como p. ej., contrase-
ñas transmitidas sin protección.
20
Fig. 4: El establecimiento de comunicación SSL /
TLS es decisivo para la seguridad de la conexión
y se analiza por lo tanto exhaustivamente.
Security Analysis» (R&S®CMW-KM 052) esta información se transfieren sin cifrar, dominios IP son únicos y están registra-
ejecuta en un entorno de prueba con- el software registra la dirección de des- dos, la localización funciona en el 95 %
trolado un análisis del tráfico de datos tino, el nombre de dominio y, si es posi- hasta el 99 % de los casos. El nombre
IP en tiempo real (fig. 3). Para ello, el ble, también la aplicación causante. El de dominio aporta también información
R&S®CMW500 simula una red celular o módulo analiza también parámetros del relevante para la seguridad. La nueva
un punto de acceso Wi-Fi. Para el análi- establecimiento de comunicación SSL / posibilidad de análisis permite detectar
sis de la seguridad se requiere la unidad TLS (handshake), así como los certifica- con facilidad dominios sospechosos o
de aplicaciones de datos (DAU), que dos, el país y el nombre de dominio de países no deseados y clasificarlos como
suministra direcciones IP para el dispo- la ubicación del servidor. posible fuente de un problema de segu-
sitivo bajo prueba y tramita la conexión ridad (fig. 5).
con los servidores de la World Wide El handshake SSL / TLS, en el que el
Web. El módulo R&S®CMW-KM052 cliente y el servidor intercambian las Otra función de seguridad importante
analiza y protocoliza los parámetros modalidades de cifrado, es fundamen- del software es el escaneado de puer-
relevantes para la seguridad del tráfico tal para la seguridad de la conexión y tos. El cliente y el servidor de una apli-
de datos. De este modo, los desarrolla- se analiza por consiguiente al detalle cación se comunican a través de puer-
dores pueden detectar y eliminar lagu- (véase el recuadro en la página 22). El tos. Para ello, una aplicación que
nas de seguridad en una fase temprana R&S®CMW-KM052 representa los méto- ofrece un servicio en la red (un servi-
del proceso de desarrollo, mientras que dos de cifrado (cipher suites) ofrecidos dor) abre a través del sistema operativo
los responsables informáticos disponen por el cliente en el establecimiento de un puerto, es decir, una dirección a la
de una herramienta para verificar si los la comunicación, así como el método que pueden dirigirse los clientes. Este
equipos móviles utilizados en el ámbito seleccionado por el servidor, incluyendo puerto se encuentra en estado «listen»
empresarial cumplen las directivas de longitudes de clave y otros parámetros a la espera de solicitudes. Un puerto
seguridad internas de la empresa. (fig. 4). También puede evaluar el certifi- abierto involuntariamente a Internet en
cado transferido por el servidor. estado «listen» es un posible punto de
El software de análisis genera estadís- acceso para los atacantes. El software
ticas en tiempo real de las conexiones Al analizar el desarrollo de la comuni- malintencionado, por ejemplo los «tro-
IP y de los protocolos de comunicación cación, también es importante para el yanos», abre a menudo «puertas trase-
utilizados. El módulo de software per- usuario saber en qué países se encuen- ras» a través de puertos de acceso libre
mite además buscar en el flujo de datos tran los servidores en cuestión. La geo- (algunos puertos están reservados para
información sensible que el propio localización (asignación de la dirección determinadas aplicaciones). Por ello,
usuario puede definir, como por ejemplo IP a un punto geográfico) permite es muy recomendable vigilar de vez
contraseñas o el IMSI de los equipos. Si obtener esta información. Ya que los en cuando los puertos de los sistemas
NOVEDADES 217/17 21
Tecnologías inalámbricas
La seguridad de la conexión IP en primer plano y negocia la clave de sesión. Todo ello tiene lugar durante
TLS (transport layer security), más conocido bajo la antigua el establecimiento de la comunicación SSL (handshake) al
denominación SSL (secure sockets layer), desempeña un inicio de cada conexión.
papel importante en la comunicación segura en Internet.
La última versión del protocolo SSL fue la 3.0, después su Dada la enorme importancia de un cifrado reforzado para
desarrollo y estandarización prosiguió bajo el nuevo nom- la comunicación IP segura (pueden consultarse las reco-
bre TLS, que empezó con la versión 1.0. mendaciones de longitud de clave p. ej. en www.keylength.
com), el software R&S®CMW-KM052 somete el handshake
SSL / TLS define el nivel de seguridad para la comunica- SSL a un estricto examen y permite reconocer rápidamente
ción entre el cliente y el servidor, se encarga de la confir- en una lista de parámetros claramente estructurada si una
mación de autenticidad (autentificación) de los certificados conexión satisface los requisitos de seguridad (fig. 4).
Secuencia del establecimiento de comunicación 1. El cliente envía un mensaje «client hello» en el que se relacio-
SSL/TSL nan los métodos de cifrado (cipher suites) del cliente, siguiendo
el orden de preferencia del cliente, así como la versión de SSL
Cliente Servidor y los métodos de compresión de datos admitidos. El mensaje
contiene también un número aleatorio de 28 bytes.
2. El servidor responde con un mensaje «server hello», en el que
se especifica el método de cifrado elegido por el servidor y
otros parámetros criptográficos. Igualmente, contiene la ID de
sesión y otro número aleatorio.
1. «Client hello» (versión de SSL, método de cifrado,
compresión de datos, número aleatorio) Importante: el cliente y el servidor deben admitir como mínimo
un método de cifrado común, ya que de lo contrario fracasa el
2. «Server hello» (versión de SSL, método de cifrado, establecimiento de comunicación. El servidor selecciona por
compresión de datos, ID de sesión, número aleatorio) norma general el método de cifrado común más sólido.
3. El servidor envía su certificado digital, que contiene su clave
pública. El cliente verifica el certificado con ayuda de otros cer-
3. Certificado de servidor, clave pública tificados (trust store).
4. El servidor envía un mensaje «server hello done» y espera la
4. «Hello done» respuesta del cliente.
5. El cliente envía un mensaje «client key exchange». Este men-
saje contiene la clave premaster, con la que el servidor puede
5. Client key exchange (clave premaster) calcular la clave master para el método de cifrado simétrico. La
clave premaster está cifrada con la clave pública del servidor y
solo puede ser descifrada con esta.
6. Change cipher spec
6. El cliente calcula a su vez la clave master y envía un mensaje
«change cipher spec» para informar al servidor del cambio de
7. Finished clave
7. El cliente envía un mensaje «finished» cifrado con la clave
master.
8. Change cipher spec 8. El servidor responde con un mensaje «change cipher spec»…
9. … y envía a su vez un mensaje «finished».
10. El establecimiento de comunicación SSL finaliza y se transmi-
9. Finished
ten los datos cifrados.
10. Comunicación cifrada
Referencia: https://publib.boulder.ibm.com/tividd/td/TRM/GC32-1323-
00/en_US/HTML/admin231.htm
22Fig. 5: Determinadas direcciones IP y países
pueden ser no deseados en el tráfico de datos.
La opción R&S®CMW-KM052 indica si el dispo-
sitivo bajo prueba establece contacto con ellos.
que se encuentran abiertos. Esto se comporta en la Wi-Fi de un modo dis-
logra ahora fácilmente con la opción tinto que en la red celular.
R&S®CMW-KM052.
Los desarrolladores pueden detectar
Para utilizar la herramienta de análisis lagunas de seguridad en una fase tem-
no es necesario instalar ningún soft- prana del proceso de desarrollo. Los
ware adicional en el dispositivo bajo responsables informáticos de las
prueba. Las pruebas se ejecutan tam- empresas pueden analizar el desarro-
Fig. 6: Los dispositivos sin conexión de antena bién con independencia de su sistema llo de las comunicación de smartphones,
se pueden conectar mediante la minicámara operativo. Los dispositivos que presen- tablets y aplicaciones utilizadas en el
apantallada de RF R&S®CMW-Z10 a través de la tan una conexión de antena se pue- entorno empresarial. Los fabricantes de
interfaz aérea con el R&S®CMW500. den conectar a través de esta con un equipos originales para el sector auto-
cable al R&S®CMW500, para los demás, motriz y los operadores de redes pue-
Rohde & Schwarz ofrece minicáma- den verificar si los dispositivos de los
ras apantalladas de RF para albergar- «automóviles conectados» y los equipos
los (fig. 6). del IoT cumplen los estándares de segu-
ridad de conexión vigentes.
Resumen La secuencia de prueba se desarrolla
Hasta ahora, analizar el tráfico de datos con comodidad, ya que no es necesa-
de dispositivos móviles y equipos del rio preparar el dispositivo bajo prueba.
IoT planteaba grandes dificultades. Los La opción R&S®CMW-KM0 52 se inte-
puntos de seguridad vulnerables podían gra perfectamente en el extenso con-
permanecer ocultos por mucho tiempo. junto de pruebas del R&S®CMW 500.
El R&S®CMW500 con la opción de aná- Un único instrumento permite ejecu-
lisis R&S®CMW-KM052 ofrece una solu- tar análisis de RF en redes celulares y
ción que permite al usuario obtener en no celulares, pruebas de protocolo y de
un entorno inalámbrico, libremente con- aplicaciones IP, así como análisis de los
figurable y controlado, una vista deta- parámetros de seguridad de la comuni-
llada de los parámetros de comunica- cación de datos IP. Sin duda, una solu-
ción relevantes para la seguridad y veri- ción exclusiva.
ficar, por ejemplo, si un dispositivo se Christian Hof
NOVEDADES 217/17 23También puede leer
