Il massiccio avvento degli oggetti connessi in rete ha reso sempre più evidente il tema della protezione delle soluzioni IoT. L’entusiasmo e la relativa inesperienza dei progettisti che si trovano a gestire la tumultuosa domanda di apparecchiature dotate di funzionalità internet ha portato spesso a trascurare l’aspetto della sicurezza, dando origine a delle vere e proprie voragini in cui gli hacker si sono gettati a mani basse decisi a sfruttare qualsiasi vulnerabilità. L’urgenza di soluzioni di sicurezza per proteggere i dispositivi IoT aumenta di giorno in giorno. Il tema è trasversale. Tutti, dai progettisti ai legislatori passando attraverso utenti, gestori e produttori, si trovano ad affrontare la stessa domanda: cosa fare per proteggersi? Benché pochi dubitino della potenza trasformatrice dell’IoT, tutti riconoscono la criticità dei nuovi rischi di sicurezza legati all’adozione di questa tecnologia di confine tra le reti interne e il web. Le vulnerabilità ai cyber-attacchi derivano principalmente da alcuni aspetti, tra i quali la scarsa omogeneità dei protocolli di comunicazione, la vulnerabilità delle modifiche apportate a livello software e la debolezza delle politiche di gestione.
Linee guida per la sicurezza
A tale proposito, Accenture ha messo a punto una serie di linee guida rivolte principalmente a progettisti e produttori. Il suggerimento principe riguarda l’applicazione di principi “sicuri per definizione” durante tutte le fasi di sviluppo del prodotto, dall’ideazione del concetto alla produzione di serie, invece di affrontare il problema della sicurezza alla fine del ciclo, quando ormai i margini di manovra sono ridotti al minimo. I progettisti dovrebbero affiancare dei controlli operativi già in fase di configurazione dei sistemi per verificare che tutti comportamenti dei componenti siano conformi alle norme operative previste, intraprendendo un’analisi completa del profilo di esposizione al rischio del sistema concentrarsi sull’eliminazione dei risultati indesiderati (soprattutto per quanto riguarda le violazioni dei dati d’utente). Il secondo suggerimento riguarda l’adozione di un nuovo approccio mentale che preveda il monitoraggio dello stato operativo e della sicurezza dell’oggetto in modo continuo, ricorrendo se il caso a soluzioni big data. Ciò richiede l’implementazione di sviluppi flessibili e concepiti per sopravvivere in caso di anomalia, cioè dotati di capacità di rilevare e rispondere efficacemente alle anomalie attraverso delle tecniche di autoapprendimento. Lo sviluppo di modelli di minaccia contestualizzati, cioè capaci di tenere in dovuta considerazione gli obiettivi di business in cui opera l’oggetto e le problematiche dell’infrastruttura tecnica sottostante, rappresenta una ulteriore linea guida. Questi modelli possono aiutare a dare una priorità alle minacce alla sicurezza e a individuare i cosiddetti “punti ciechi” dove possono fare breccia i cyberattacchi. A tale proposito, non dimenticare le lezioni apprese in fatto di reti mobili, sistemi embedded e cybersistemi può essere un buon punto di partenza anche durante la progettazione degli oggetti connessi.Sempre in tema di progettazione, un approccio efficace è quello di concepire le architetture secondo principi di “privacy-by-design”, stabilendo cioè dei legami indissolubili tra diritti di autorizzazione/accesso e gruppi di dati non solo nel momento in cui tali gruppi vengono creati, ma anche quando vengono memorizzati o spostati. Al tutto fa da corollario l’esigenza di seguire e capire gli standard emergenti, prendendoli in considerazione per capitalizzare le innovazioni tecnologiche che si avvicendano sempre più rapidamente. Soprattutto, Accenture suggerisce di proseguire nell’opera di educazione degli utenti dei sistemi in merito alle tecniche di attacco sempre più sofisticate. Ad esempio il phishing o le minacce legate all’ingegneria social, che trovano un terreno sempre più fertile nell’enorme massa di informazioni personali che gli utenti diffondono sulle reti attraverso una mole di dispositivi sempre più consistente, che dagli attuali 8,4 miliardi nel 2020 dovrebbe toccare quota 40 miliardi.
Gli effetti di un cyberattacco
Quali possono essere gli effetti di un cyberattacco a un dispositivo IoT? La letteratura non manca e non segnala solo il furto dei dati ma addirittura azioni che talvolta mettono a repentaglio la sicurezza fisica degli utenti. Auto che si spengono da sole, telecamere di sicurezza e webcam che vengono utilizzate per attività di spionaggio, sistemi antincendio che partono senza motivo, Pos che catturano i dati, oltre a ovviamente a traker, smartphone e altri dispositivi mobili utilizzati come punti accesso alle informazioni personali o come complici inconsapevoli per attività fraudolente: questi sono solo alcuni esempi pubblicati recentemente sui giornali. Il grande pericolo potrebbe non essere l’attacco a un singolo dispositivo ma addirittura a un “modello di business IoT”, danneggiando non solo la reputazione di un’organizzazione ma imponendo la necessità di ripensare il modo di operare di un intero comparto economico, sia esso produttivo, di intrattenimento, di noleggio e così via. Secondo la società Trend Micro il 2016 ha visto aumentare gli elementi di vulnerabilità di Apple, che sono arrivati a 50, mentre sono stati 135 i bug di Adobe e 76 quelli che hanno interessato Microsoft. Questa impennata nelle violazioni dei software continuerà nel 2017, laddove Apple si ritiene sarà il bersaglio prominente. Nel 2017 l’Internet of Things e l’Industrial Internet of Things giocheranno un ruolo da protagonista negli attacchi mirati. Questi attacchi si avvantaggeranno del crescente utilizzo dei dispositivi connessi per sfruttare vulnerabilità e sistemi non sicuri per interrompere i processi di business. I cyber criminali minacceranno le organizzazioni sfruttando la combinazione tra il numero significativo delle vulnerabilità e il sempre più frequente utilizzo dei dispositivi mobili per monitorare i sistemi di controllo negli ambienti manifatturieri e industriali. Parallelamente le truffe Business Email Compromise e Business Process Compromise continueranno a crescere, in quanto forme di estorsione aziendali semplici e ad alta rendita. Trend Micro sostiene che perfino gli innocui dispositivi smart avranno un ruolo negli attacchi massicci DDoS (Distributed Denial-of-Services), mentre i dispositivi IoT Industriali diventeranno il bersaglio di coloro che metteranno in atto le minacce. Si avvicina il momento dell’implementazione di un Regolamento generale sulla protezione dei dati e mentre le imprese si muovono con difficoltà per modificare i processi necessari a ottenere la conformità, i costi amministrativi per i soggetti coinvolti sono destinati ad aumentare in modo esponenziale, lottando con attori di minacce di livello mondiale intenzionati a infiltrarsi nelle loro reti per i motivi più vari. Si tratta di minacce digitali di nuovo livello che richiedono soluzioni anch’esse di nuovo livello. Un’analisi pubblicata sul sito Forbes e formulata in base a uno studio della società di ricerche Forrester suggerisce sei tecnologie “hot” per la tutela della sicurezza IoT.
Proteggere la rete IoT
La prima è relativa alla protezione specifica della rete IoT. Sembra un’ovvietà ma non sempre le reti attraverso cui i nostri dispositivi IoT si collegano agli apparati di supporto sono sicure. La protezione della rete Internet of Things è più impegnativa di quella di una rete tradizionale a causa della vastità della gamma di protocolli di comunicazione, di standard e di funzionalità dei dispositivi. Oltre alle protezioni standard dell’endpoint, come antivirus e antimalware, occorre affiancare altre funzionalità quali firewall e sistemi di prevenzione e rilevamento delle intrusioni molto più contestualizzati.
L’autenticazione
La seconda è l’autenticazione IoT. Questo processo permette agli utenti di validare il loro dispositivo IoT (con possibilità di gestire più utenti per un singolo dispositivo, ad esempio una vettura connessa) attraverso sistemi che vanno da semplici password/pin statici a meccanismi più robusti come autenticazione a due fattori, certificati digitali e biometria. In tal senso il panorama è reso più complesso dal fatto che a differenza della maggior parte delle reti aziendali, in cui i processi di autenticazione implicano l’inserimento da parte di un utente di una credenziale, molti scenari di autenticazione di IoT (come i sensori embedded) prevedono esclusivamente un dialogo macchina-macchina senza alcun intervento umano.
Il criptaggio
Il criptaggio è un ulteriore strumento di difesa. Crittografare i dati in fase di riposo e trasferirli tra i dispositivi IoT e i sistemi back-end che utilizzano algoritmi standard permette di mantenere l’integrità delle informazioni impedendo l’accesso malizioso da parte degli hacker. L’ampia gamma di dispositivi IoT e di profili hardware limita le possibilità di avere processi di crittografia e protocolli omogenei. Inoltre, tutta la crittografia IoT deve essere accompagnata da processi di gestione del ciclo di vita delle chiavi di crittografia al fine di non compromettere la sicurezza di tutto il processo.
Public Key Infrastructure
La quarta tecnologia è la PKI. Si tratta di un insieme di processi e mezzi tecnologici - descritti dal termine public key infrastructure - che consentono a terze parti fidate di verificare o farsi garanti dell’identità di un utente, oltre che di associare una chiave pubblica a un utente, normalmente per mezzo di software distribuito in modo coordinato su diversi sistemi. Le chiavi pubbliche tipicamente assumono la forma di certificati digitali. Oltre al certificato digitale X.509 e alla chiave crittografica questi sistemi prevedono funzionalità di gestione del ciclo di vita, tra cui generazione, distribuzione, trattamento e revoca delle chiavi pubbliche/private. I certificati digitali possono essere caricati sui dispositivi IoT al momento della fabbricazione e quindi attivati/abilitati da suite software PKI di terze parti. Tuttavia, oggi, le specifiche hardware di alcuni dispositivi IoT possono limitare o impedire la loro capacità di utilizzare la tecnologia Pki.
Gli analytics di sicurezza
La quinta tecnologia fa riferimento agli analytics di sicurezza. Queste soluzioni permettono di raccogliere, aggregare, monitorare e normalizzare i dati dei dispositivi IoT, fornendo report e avvisi attivi sulle attività specifiche o quando le stesse attività non rientrano nelle politiche prestabilite. Le piattaforme di analytics prevedono sofisticate funzioni di apprendimento automatico, intelligenza artificiale e tecniche big data per garantire processi di rilevamento delle anomalie e di modellazione più predittivi (e ridurre il numero di falsi positivi). Le soluzioni di analytics per la sicurezza IoT saranno sempre più necessarie per individuare attacchi e intrusioni altrimenti non identificabili dalle protezioni di rete tradizionali come i firewall.
La protezione Api
Infine la protezione Api. Si tratta della capacità di autenticare e autorizzare il trasferimento di dati tra dispositivi IoT, sistemi back-end e applicazioni utilizzando API documentate basate su Rest. Rest (Representational State Transfer) è un tipo di architettura software per i sistemi di ipertesto distribuiti. L’espressione representational state transfer e il suo acronimo Rest furono introdotti nel 2000 da Roy Fielding, uno dei principali autori delle specifiche dell’Hypertext Transfer Protocol, e vennero rapidamente adottati dalla comunità di sviluppatori su Internet. L’approccio architetturale Rest è definito da una serie vincoli applicati ad una architettura, mentre lascia libera l’implementazione dei singoli componenti. Un concetto importante in Rest è l’esistenza di risorse (fonti di informazioni), a cui si può accedere tramite un identificatore globale (detto URI). La protezione dell’Api sarà essenziale per tutelare l’integrità dei dati che transitano tra i dispositivi edge e i sistemi back-end per garantire che solo unità, sviluppatori e applicazioni autorizzati comunichino con le Api stesse, nonché per individuare potenziali minacce e attacchi contro specifiche Api.
Un nuovo approccio
La complessità del tema della protezione IoT è altissima, così come la sua priorità. Non per questo tutte le soluzioni che offre il mercato devono essere applicate indiscriminatamente. La difesa deve essere proporzionata alla possibilità di attacco e al costo delle eventuali conseguenze. Forrester suggerisce che la sicurezza IoT richiede un approccio end-to-end basato su criptaggio, scalabilità, analytics e standard. In questa fase di maturazione - conclude Forrester - è imperativo per le attuali attività digitali bilanciare i benefici di business correlati ai prodotti IoT con il fatto che questi dispositivi possono concretamente rappresentare un’occasione di attacco da parte di hacker e cybercriminali che cercano di distruggere o spillare dati sensibili.
