iot - desafios e soluções de segurança em um mundo de 50 ... · iot - desafios e soluções de...
TRANSCRIPT
Ramicés dos Santos Silva
IoT - Desafios e Soluções de segurança em um mundo de 50 bilhões de dispositivos
Agenda
• Contextualização
• 50 Bilhões de Coisas
• Insecurity of things
• Desafios
• Soluções
Contextualização
Fonte: http://www.cisco.com/c/dam/en_us/solutions/industries/docs/gov/everything-for-cities.pdf
Contextualização
https://www.mckinsey.com/industries/semiconductors/our-insights/security-in-the-internet-of-things
Contextualização
Fonte: http://www.cisco.com/c/dam/global/pt_pt/assets/cisco-connect-2013/pdf/15_outubro_robert_vassoyan.pdf
Contextualização
Perímetros?
Vulnerabilidades
Vazamento de Informação?
Ataques massivos
Contextualização
https://www.cnet.com/news/hackers-discover-security-weaknesses-within-the-lifx-smart-led/
Contextualização
https://www.darkreading.com/vulnerabilities---threats/internet-of-things-contains-average-of-25-vulnerabilities-per-device/d/d-id/1297623
Contextualização
https://blogs.oglobo.globo.com/pagenotfound/post/hacker-consegue-entrar-em-smart-tv-e-filma-casal-fazendo-sexo-em-sofa.html
Contextualização
https://www.diariodoamapa.com.br/2016/10/04/bombas-de-insulina-da-johnson-johnson-podem-ser-hackeadas/
Segurança não é prioridade mesmo em dispositivos de segurança!
Sistemas operacionais simples: não possuem mecanismos adequados de proteção e não sofrem atualizações
Repetição dos erros do passado
• Inúmeras vulnerabilidades nos softwares embarcados
• Falta ou falha de autenticação
• Protocolos sem criptografia ou mal implementados
Desejo das empresas fabricantes de equipamentos de manter backdoors
• Criam mecanismos que coletam informações sobre utilização, sobre o que foi acessado, assistido,
comprado etc.,
Monitoramento governamental em larga escala
• Portas que os fabricantes de hardware e software foram “obrigados” a deixar abertas e exploração de
Vulnerabilidades zero-day
Desafios
Desafios e Soluções
https://www.owasp.org/index.php/Top_10_IoT_Vulnerabilities_(2014)
Desafios e Soluções
Impacto Possível Solução
Denial-of-service Medindo a força do sinal, computando taxa de entrega de pacotes, codificando pacotes com códigos de correção de erros e alteração de frequências e locais
Denial-of-service Violação de privacidade
Segmentação de rede, introdução de ruído artificial de comunicação
Denial-of-service
Medições da intensidade do sinal e estimativa de canal
Denial-of-service Violação de privacidade
Evitar o acesso de software / firmware ao USB módulos de TPM baseados em hardware e evitando ferramentas de teste / depuração
Consumo de energia Denial-of-service
Sistema de detecção de intrusão multi-camada
Desafios e Soluções
Desafios e Soluções
Impacto Possível Solução
Denial-of-service Introdução de timestamp e opções nonce para proteger contra ataques de repetição e verificação de fragmento através cadeias de hash
IP Spoofing Autenticação usando assinaturas baseadas em criptografias de curvas elípticas
Denial-of-service
Abordagem do buffer dividido exigindo transmissão completa de fragmentos
MitM Autenticação baseada em Assinatura e Hashing e monitoramento do comportamento do nó, gerenciamento do nível de confiança
Denial-of-service Autenticação baseada em Assinatura e Hashing e monitoramento do comportamento do nó, gerenciamento do nível de confiança
Violação Privacidade Falhas Bizantinas
Análise de comportamento, gerenciamento do nível de confiança
Violação Privacidade Criptografia e Autenticação
Violação Privacidade
VPN, Segregação de Rede (Criptografia, autenticação e autorização)
Denial-of-service Autenticação com base em chaves complexas e longas, criptografia
Violação Privacidade
Autenticação, Criptografia
Desafios e Soluções
Impacto Possível Solução
Denial-of-service
Criptografia TLS e Mapeamento HTTP/COAP, VPN tunnel
Denial-of-service Violação de privacidade
Políticas de senhas fortes, testes de vulnerabilidades, https e firewall para limite de acesso.
Denial-of-service Violação de privacidade
Atualização regular de software/firmware, assinatura de código e criptografia com validação incluindo a configuração.
Denial-of-service Violação de privacidade
Comunicação segura usando autenticação, política de segurança restrita, gerenciamento adequado de chaves entre os dispositivos.
Desafios e Soluções
Sanz J., et al, 2017 - Segurança Definida por Software através do encadeamento de um sistema de detecção e prevenção de intrusão e de um firewall virtuais.
Desafios e Soluções
Desafios e Soluções
Soluções – Big Data Analytics
https://goo.gl/images/HHGX3i
Soluções – Big Data Analytics
https://www.helpnetsecurity.com/images/articles/opensoc.jpg
DE LOOF, J.; SAP, C. M.; MEISSNER, S.; NETTSTRÄTER, A.; CEA, A. O.; SAP, M. T.; WALEWSKI, J. W. Internet of Things–Architecture IoT-A Deliverable D1. 5–Final architectural reference model for the IoT v3. 0. v., n., p.
RAZZAQUE, M. A.; MILOJEVIC-JEVRIC, M.; PALADE, A.; CLARKE, S. Middleware for internet of things: a survey. IEEE Internet of Things Journal, v. 3, n. 1, p. 70-95, 2016.
NGU, A. H.; GUTIERREZ, M.; METSIS, V.; NEPAL, S.;
SHENG, Q. Z. IoT middleware: A survey on issues and enabling technologies. IEEE Internet of Things Journal, v. 4, n. 1, p. 1-20, 2017.
Khan, M. A., & Salah, K. (2018). IoT security: Review, blockchain solutions, and open challenges. Future Generation Computer Systems, 82, 395–411.
Alaba, F. A., Othman, M., Hashem, I. A. T., &
Alotaibi, F. (2017). Internet of Things security: A survey. Journal of Network and Computer Applications, 88, 10–28.
Kouicem, D. E., Bouabdallah, A., & Lakhlef, H.
(2018). Internet of things security: A top-down survey. Computer Networks, 141, 199–221.
Roman, R., Lopez, J., & Mambo, M. (2018). Mobile
edge computing, Fog et al.: A survey and analysis of security threats and challenges. Future Generation Computer Systems, 78,
Referências Bibliográficas
Riahi Sfar, A., Natalizio, E., Challal, Y., & Chtourou, Z. (2018). A roadmap for security challenges in the Internet of Things. Digital Communications and Networks, 4(2), 118–137. doi:10.1016/j.dcan.2017.04.003
Adat, V., & Gupta, B. B. (2017). Security in Internet
of Things: issues, challenges, taxonomy, and architecture. Telecommunication Systems, 67(3), 423–441. doi:10.1007/s11235-017-0345-9
A survey on emerging SDN and NFV security
mechanisms for IoT systems. (2018). IEEE Communications Surveys & Tutorials, 1–1. doi:10.1109/comst.2018.2862350
Sanz J.,Alvarenga Igor D.,Martin A.,Leopoldo A. F. Mauricio, Uma avaliação de Desempenho de Segurança Definida por Software através de Cadeias de Funções de Rede, XVII Simpósio Brasileiro de Segurança da Informação e de Sistemas Computacionais, 2017
Referências Bibliográficas