di Filippo Gaggioli, Responsabile Security Presale Europe di Nokia
IoT Security: la protezione dell’Internet of Things come un elemento cruciale per le aziende
Oggi, l’Internet of Things (IoT) è diventato uno dei trend più popolari, e probabilmente quello che attira maggiormente l’attenzione delle aziende e di chi si occupa di tecnologia. È destinato a trasformare il panorama del business così come lo conosciamo, tanto è vero che sono previsti nel 2030 50 miliardi di cose connesse a Internet. Con “cose” si intendono gli oggetti specializzati per una determinata funzione, come i frigoriferi, ma anche automobili e case connesse e molto altro ancora. Va da sé che l’IoT avrà un impatto enorme sull’economia, che porterà alla trasformazione delle aziende in società digitali e favorirà nuovi modelli di business, migliorando la produttività e l’esperienza del cliente finale.
Ad ogni modo, le modalità attraverso cui le aziende potranno trarne vantaggio saranno differenti e, in alcuni casi, molto impegnative, in quanto l’IoT porta con sé una serie di rischi associati alla sicurezza e la privacy del suo stesso ecosistema. Ma questa sfida aggiunge una novità. La sicurezza IoT va oltre le competenze dei leader tradizionali del settore IT, poiché coinvolge la gestione di dispositivi fisici, piuttosto che quella di risorse puramente virtuali. La ricerca condotta da Gartner mostra che sebbene a partire dal 2020 oltre il 25% degli attacchi identificati in aziende interesseranno l’IoT, gli investimenti dedicati alla sua protezione sono oggi ancora pressoché insignificanti.
In previsione che l’IoT si concretizzi in un giro di affari prossimo ai 2,25 mila miliardi di dollari dal 2025[1], tutte le aziende stanno cercando di prendere al volo l’opportunità che questo enorme potenziale offrirà loro, primi fra tutti i provider di servizi di comunicazione. Tuttavia, solo pochissime aziende si stanno impegnando ad offrire una soluzione IoT che includa un paradigma olistico di sicurezza.
L’urgenza di attuare forme di IoT Security per proteggere le applicazioni
Agli albori dell’era IoT, la sicurezza delle soluzioni è stata considerata un problema secondario. Ma questo approccio non è più accettabile in quanto l’IoT è diventato parte integrante della gestione dei sistemi mission-critical. Per rendere meglio l’idea, gli incidenti che hanno interessato la fotocamera SecurView di Trendnet, il dispositivo cardiaco St. Jude e Jeep Cherokee hanno dimostrato quanto possano risultare efficaci gli attacchi alle soluzioni IoT, causando ingenti danni sia a livello finanziario che a livello di reputazione aziendale. Nel peggiore dei casi, possono addirittura rappresentare un rischio per la vita stessa.
Dal punto di vista della sicurezza, una soluzione IoT distribuita geograficamente ha bisogno di comunicare dati, fattore questo che generalmente presenta dei rischi associati alle tre dimensioni note come CIA
- Confidentiality – Riservatezza
- Integrity – Integrità
- Availability – Disponibilità
Le molteplici tecnologie, assemblate in una soluzione IoT, possono potenzialmente introdurre una serie di vulnerabilità. La protezione end-to-end di un sistema IoT rende necessario affrontare in modo olistico le vulnerabilità dei singoli componenti e dell’intera soluzione includendo anche il personale che ce l’ha in carico. Ciò presuppone la comprensione di diversi aspetti come:
- architettura di sistema
- ruolo svolto da ogni componente
- dati scambiati
- flusso di controllo
Rendere una soluzione IoT completamente sicura è un’impresa impossibile. Ma comprendere le possibili vulnerabilità nei diversi livelli e i corrispondenti vettori di attacco, insieme all’adozione di best practice, può certamente rafforzarne la sicurezza.
Possibili vulnerabilità e vettori di attacco: il ruolo dell’IoT Security
I sistemi Internet of Things tendono a essere complessi ed eterogenei. Includono diversi livelli, tecnologie, distribuzione geografica, vari produttori di dispositivi, API e molto altro ancora. Dal punto di vista della sicurezza, i sistemi IoT, nel loro complesso, contemplano più componenti e presentano di conseguenza numerose vulnerabilità a vari livelli a cui corrispondono tipi specifici di attacco.
Di seguito un riepilogo delle possibili vulnerabilità e dei relativi attacchi che possono interessare ciascun componente.
| Livello | Vulnerabilità possibili | Vettori di attacco |
| Fisico | • Dispositivi isolati | • Manomissione fisica su MMU (Malfunction Management Units, Unità di gestione dei guasti) |
| Dispositivi IoT | • Implementazione semplicistica di vari stack protocollari • Gestione non corretta delle eccezioni e convalida degli input • Esposizione eccessiva e diretta a Internet | • Command Injection • Arruolare i dispositivi come Botnet • Malware • Attacchi lato client su certificati e chiavi |
| Comunicazione wireless locale | • Utilizzo di protocolli non IP e collegamenti dati locali che possono essere meno sicuri | • Snooping • Attacchi Man in The Middle • Takeover • Re-direzione • Command Injection |
| Gateway IoT | • Carenze a livello di librerie software | • Compromissione credenziali • Arruolare come Botnet |
| Reti | • Attacco a livello di trasporto • Sfruttamento delle vulnerabilità dei router IP • Attacchi su larga scala verso server di contenuti e router di rete | • Attacchi snooping • Attacchi di data poisoning • Attacchi ai piani di controllo/dati del router • Attacchi DDoS volumetrici |
| Application Server nel cloud | • Possibili attacchi di masquerading (utilizzare delle credenziali di rete ottenute in maniera fraudolenta) | • Denial of Service • Snooping • Takeover |
| Applicazioni | • Furto credenziali | • Malware • Phishing/Spear Phishing |
| Altro/Sistema completo | • Vulnerabilità del middleware • Vulnerabilità dell’ API • Negligenza umana | • Malware specifico dell’IoT • Manipolazione dei dati |
Grazie alla miriade di possibili minacce, gli attacchi possono verificarsi con o senza l’intervento umano. Nel caso specifico dell’IoT, inoltre, la scala di diffusione delle infezioni è molto ampia e rapida e gli impatti negativi che ne conseguono sono spesso più pronunciati e pervasivi. Ad esempio, esistono diversi malware, specifici dell’IoT e in continua evoluzione, che sfruttano le vulnerabilità attraverso i differenti livelli delle soluzioni presenti sul mercato.
IoT Security: le best practice da adottare
Numerose sono le minacce e le vulnerabilità, per cui al momento non esiste una soluzione che garantisca con certezza la sicurezza di un sistema IoT. Tuttavia, aziende e organizzazioni possono adottare una serie di Best Practice che le aiutino a proteggere i sistemi IoT, come viene descritto di seguito.
| Elemento | Descrizione |
| Controllo dell’inventario e accesso fisico | • Tenere traccia dei dispositivi IoT, inclusa la configurazione iniziale e il monitoraggio successivo, evitando l’utilizzo di software obsoleti e di dispositivi abbandonati e fuori controllo • Proteggere l’accesso fisico |
| Mantenere i sistemi aggiornati e proteggere i dispositivi (hardening) | • I sistemi operativi e i driver dei dispositivi sono aggiornati alle versioni più recenti • I dispositivi installati vengono periodicamente aggiornati e con l’installazione delle patch necessarie |
| Verificare che l’infrastruttura di IP routing sia resiliente e solida | • Scegliere piattaforme di routing sviluppati con metodologie di “sviluppo sicuro”, con approcci basati su hardware integrati. |
| Monitorare il traffico IoT verso le applicazioni e verso i sistemi a contorno (Nord/Sud – Est/ Ovest) | • Monitorare i dispositivi IoT per individuare eventuali comportamenti insoliti che identifichino dispositivi malfunzionanti |
| Segmentazione del traffico IoT | • Separare il traffico IoT da quello di altri segmenti della rete, per limitare l’esposizione ai malware e la loro diffusione |
| Eseguire frequentemente scansioni e individuare e sanare in tempo reale | • Eseguire costantemente l’audit dell’infrastruttura IoT • Intervenire in tempo reale |
| Best practice per le applicazioni IoT | • Rimanere aderenti agli standard approvati di crittografia • Effettuare l’analisi statica del codice per identificare problemi di generici di sviluppo codice • Proteggere le credenziali • Utilizzare le tecnologie più recenti come AI e analitiche multi-dimensione nella sicurezza IoT |
L’IoT si trova a un punto di svolta e si sta espandendo rapidamente in aree mission-critical, specialmente con l’arrivo imminente del 5G. La sicurezza e la privacy saranno gli ostacoli principali da affrontare per l’adozione e lo sviluppo dell’IoT e questo è il motivo per cui le aziende sono obbligate a cercare di implementare misure di protezione robuste per alleviare tali preoccupazioni. Inoltre, i governi dei vari paesi devono mirare a normare in maniera omogenea la protezione dell’IoT e promuoverne la standardizzazione. Parimenti, a livello accademico, serve promuovere una formazione di tutte le parti coinvolte e aumentare il focus della ricerca nel campo della sicurezza dell’IoT.
Se si desidera accrescere la fiducia nell’IoT, è necessario che tutti gli attori collaborino in maniera corale impegnandosi a far diventare la sicurezza dell’IoT un aspetto indispensabile e centrale dell’integrazione di qualsiasi soluzione.
[1] Machina Research 2016; Nokia Corporate Strategy 2016-2025 CAGR
