Por que 98% do Tráfego IoT Permanece Sem Criptografia — Um Apelo à Ação Imediata

Segundo o Relatório de Ameaças Unit 42 de 2020 da Palo Alto Networks, impressionantes 98% do tráfego IoT trafega sem criptografia. Mike Nelson, VP de Segurança IoT na DigiCert, disse ter ficado atônito com o número.

Um relatório da Z-Scaler do ano anterior ecoou essa tendência, observando que 91% do tráfego IoT não era criptografado.

Tráfego não criptografado significa que invasores podem realizar ataques Man-in-the-Middle (MiTM), interceptando ou alterando dados entre dispositivos e redes.

Fabricantes muitas vezes correm para lançar dispositivos no mercado, negligenciando a segurança fundamental no design. Empresas então implantam esses dispositivos vulneráveis em redes que, de outra forma, seriam seguras. Atacantes podem descobrir endpoints expostos via ferramentas como Shodan, ganhando uma posição inicial.

O IoT está se expandindo rapidamente. A McKinsey projeta 43 bilhões de dispositivos conectados até 2023. Se a tendência atual de 98% sem criptografia persistir, criminosos cibernéticos terão um enorme banquete de dados para explorar.

Muitas vezes imaginam-se hacks curiosos — bonecas ou campainhas — mas o perigo real reside em implantações empresariais de grande escala. Um único dispositivo exposto pode se tornar um portal para redes sensíveis.

Em 2017, um cassino em Las Vegas foi vítima de uma violação baseada em um aquário. Um sensor IoT ligado ao tanque enviava dados para um servidor remoto na Finlândia. Investigações revelaram que hackers usaram o tanque para exfiltrar 10 GB do banco de dados de grandes apostadores do cassino.

O incidente destacou três questões críticas: (1) os dados armazenados pelo cassino não eram criptografados, permitindo que atacantes os capturassem facilmente; (2) controles de acesso inadequados permitiram que invasores movessem-se do dispositivo IoT para dados altamente sensíveis; (3) o sensor do aquário estava integrado à rede mais ampla do cassino, fornecendo um caminho direto para informações críticas.

Tais violações podem variar de perdas financeiras e exposição de dados de clientes a ataques em infraestrutura crítica, potencialmente causando apagões na rede elétrica, blecautes na internet e paralisações nacionais de sistemas de saúde.

Alcançando 100% de Criptografia

Todos os dados confidenciais — seja em repouso ou em trânsito — devem ser criptografados. Mesmo um único fluxo de dados não criptografado é uma vulnerabilidade que atacantes podem explorar.

Criptografar dados móveis, em constante movimento entre hubs, gateways e a nuvem, é complexo, mas essencial para proteger redes IoT empresariais que dependem de numerosos endpoints trocando dados.

A Infraestrutura de Chaves Públicas (PKI) com certificados digitais oferece uma solução escalável, permitindo autenticação mútua e criptografia de ponta a ponta em grandes implantações de IoT. Empresas líderes estão adotando PKI para proteger suas redes.

Embora o progresso esteja em andamento, a indústria deve acelerar. Fabricantes precisam incorporar criptografia, autenticação e integridade em seus produtos desde o início. Correções incrementais são insuficientes.

Criptografia em escala empresarial é o futuro da segurança IoT. À medida que fabricantes líderes implementam PKI, o resto da indústria deve seguir — e fazer isso prontamente.

O autor é Mike Nelson, VP de Segurança IoT na DigiCert.

Sobre o autor

Mike Nelson é VP de Segurança IoT na DigiCert, provedora de segurança digital. Nesse papel, Mike supervisiona o desenvolvimento estratégico de mercado da empresa para várias indústrias de infraestrutura crítica que protegem redes altamente sensíveis e dispositivos de Internet das Coisas (IoT), incluindo saúde, transporte, operações industriais e implementações de smart grid e cidades inteligentes.

Mike frequentemente consulta organizações, contribui para relatórios de mídia, participa de órgãos de padronização da indústria e fala em conferências sobre como a tecnologia pode ser usada para melhorar a segurança cibernética de sistemas críticos e das pessoas que neles confiam.

Mike passou sua carreira em TI de saúde, incluindo tempo no Departamento de Saúde e Serviços Humanos dos EUA, GE Healthcare e Leavitt Partners — uma boutique de consultoria em saúde. Sua paixão pela indústria vem de sua experiência pessoal como diabético tipo 1 e seu uso de tecnologia conectada em seu tratamento.