Estrategias clave para la seguridad de los sistemas empotrados

Los ingenieros de hardware suelen ser expertos en el diseño de productos conectados dentro de las limitaciones eléctricas y de radiofrecuencia para cumplir los requisitos planteados por la marca CE, la FCC y otros organismos de certificación regionales e internacionales. La seguridad de los sistemas integrados, sin embargo, es una disciplina independiente y estrechamente vinculada a los nuevos diseños de dispositivos, que requiere no solo conocimientos avanzados sobre cómo mitigar las vulnerabilidades de seguridad en el diseño de sistemas, sino la capacidad de gestionar las amenazas nuevas y emergentes a medida que se producen. 

Hoy en día, la gestión de las amenazas a la ciberseguridad es fundamental en todo el ciclo de vida de los productos conectados, por lo que la ciberseguridad se ha convertido en una práctica recomendada tan importante como la seguridad eléctrica o de radiofrecuencia.

En este artículo, explicamos qué ha cambiado en torno a la ciberseguridad de los productos embebidos, por qué queda poco tiempo para responder a las nuevas normativas y por qué los ingenieros deben plantearse una solución integral para gestionar el reto. ¡El reloj ya corre!

¿Qué es la seguridad de los sistemas empotrados?

Los dispositivos conectados están equipados con sistemas informáticos integrados que les permiten funcionar de forma independiente. A menudo se despliegan fuera de las infraestructuras de red tradicionales protegidas con cortafuegos y otras herramientas de seguridad, lo que significa que contar con funciones de seguridad integradas es fundamental. La seguridad de los sistemas integrados es el resultado holístico de las medidas de seguridad físicas, así como del software y la programación en el sistema integrado de un dispositivo.

Estas medidas de seguridad pueden incluir, entre otras

• Protección física y vigilancia para impedir el acceso a los dispositivos conectados.
• Cifrado en los almacenes de datos para impedir el acceso no autorizado a la información protegida.
• Sólidos protocolos de seguridad de las comunicaciones y funciones de autenticación que controlan el acceso y las conexiones de los dispositivos.
• Actualizaciones proactivas y automatizadas del firmware y del sistema operativo para mantener la seguridad de los dispositivos.
• Vigilancia y análisis incesantes de un sinfín de nuevas vulnerabilidades y exposiciones.

En última instancia, estas medidas deben eliminar y corregir los puntos débiles conocidos y proteger el hardware, el software y los enlaces de red de un dispositivo conectado frente a accesos no autorizados. Los sistemas embebidos se componen de una combinación de recursos informáticos y software integrado diseñados para llevar a cabo una función específica. Un reto clave para los desarrolladores y usuarios finales es que existen restricciones -como la memoria y el almacenamiento limitados- que dificultan el diseño de funciones de seguridad integradas que funcionen sobre el terreno durante toda la vida útil del producto, teniendo en cuenta el abrumador número de nuevas amenazas que surgen incesantemente hoy en día.

Seguridad de los sistemas integrados: Un objetivo en rápida evolución

Podría decirse que en el mercado más amplio de dispositivos integrados existe la percepción de que diseñar para la ciberseguridad es una buena práctica, pero que la ciberseguridad no es tan crítica como la seguridad eléctrica y la compatibilidad electromagnética, o que es un problema que se deja en manos del cliente final del dispositivo. Hay excepciones, como los dispositivos médicos, en los que la ciberseguridad ha ocupado un lugar destacado en los últimos años. Los sistemas transaccionales, como los cajeros automáticos y las máquinas de lotería, también han requerido una sólida seguridad integrada durante algún tiempo, aunque el objetivo móvil de las amenazas en evolución ha hecho difícil, en la práctica, que estos sistemas mantengan una seguridad resistente a lo largo del tiempo.

Para cumplir los requisitos futuros y ofrecer productos más comercializables que no corran riesgos desde el primer momento, los fabricantes de productos inalámbricos de todos los sectores verticales tendrán que hacer frente a las ciberamenazas con dispositivos reforzados, tecnología de ciberseguridad integrada y supervisión y corrección continuas.

Vulnerabilidades de seguridad de los sistemas integrados

Las estrategias de ataque que pueden afectar a la seguridad de los dispositivos integrados son amplias, impredecibles y cada vez más numerosas. Estas amenazas van desde la extorsión de dinero y propiedad intelectual a través del phishing, la distribución de malware, la manipulación del funcionamiento de sistemas conectados como los vehículos, e incluso la instigación de un colapso de la infraestructura, por ejemplo, afectando temporalmente al suministro eléctrico o de agua potable.

Los ataques exitosos pueden depender de una sola grieta insegura del sistema y ese punto de entrada podría ser el componente integrado más inocuo. Entonces, ¿cómo explotan los hackers las vulnerabilidades de los sistemas operativos?

Hay muchas formas de administrar estos ataques: 

• Ataques de denegación de servicio (DoS)
• Ataques de denegación de sueño (DoSL)
• Intrusiones basadas en aplicaciones
• Manipulación física
• Ataques de fuerza bruta
• Escuchas digitales
• Ataques de escalada de privilegios

Hablemos de las estrategias para hacer frente a las ciberamenazas en los diseños integrados.

Consejos para reforzar la seguridad de los sistemas empotrados

La primera clave para frustrar la manipulación en la seguridad informática es identificar las vulnerabilidades potenciales. Por ejemplo:

• El robo de dispositivos es una de las formas que tienen los ciberdelincuentes de acceder a datos mal protegidos.
• Los sistemas operativos obsoletos pueden dejar los ajustes y funciones del dispositivo vulnerables a ataques o a la inyección de código malicioso.
•  Los componentes de hardware obsoletos pueden aumentar el riesgo de acceso no autorizado a redes protegidas, lo que no sólo pone en peligro los datos de los dispositivos locales, sino también toda su infraestructura de datos y TI.
• Las aplicaciones mal protegidas en dispositivos integrados pueden permitir el acceso a datos cifrados que normalmente no estarían al alcance de usuarios no autorizados. Asimismo, el malware podría escalar en privilegios, monopolizando los recursos informáticos hasta dejar dichos dispositivos completamente inutilizables.

El siguiente paso es desarrollar la capacidad de gestionar las amenazas nuevas y emergentes. Algunas de las mejores prácticas son:

• Restrinja el acceso de los dispositivos a los sistemas críticos: Con un sistema en módulo integrado seguro, puede adoptar un cifrado de nivel empresarial para proteger toda la conectividad de sus dispositivos IoT . El uso de estos módulos integrados también simplifica el desarrollo de software sin dejar de admitir aplicaciones personalizadas.
• Siga las mejores prácticas del sector para el diseño de sistemas integrados: Para evitar problemas de seguridad en el diseño del hardware y el software de los dispositivos de IoT , las organizaciones deben dar prioridad a la resistencia a largo plazo y simplificar la gestión de los dispositivos siguiendo las mejores prácticas del sector para los principios de diseño de sistemas integrados.
• Implemente actualizaciones de firmware digitalmente seguras: Las organizaciones pueden implantar actualizaciones de firmware por aire (OTA ) para dispositivos remotos ya desplegados sobre el terreno a través de conexiones de red seguras. Los dispositivos integrados deben ser capaces de recibir, cargar y autenticar imágenes de actualización firmadas de fábrica antes de sustituir la versión actual.
• Evite el desbordamiento de pila o de búfer en el software integrado: Los ciberdelincuentes pueden intentar aprovecharse de la memoria y el almacenamiento limitados de los sistemas embebidos, utilizando desbordamientos de pila o de búfer para sustituir por la fuerza el código ejecutable por virus o archivos maliciosos. Puede proteger los sistemas embebidos de estos ataques integrando procesadores que deban autenticar cualquier código que interactúe con el hardware en tiempo de ejecución.

Preparación para la nueva normativa de seguridad de sistemas empotrados

La industria y los gobiernos se están poniendo al día con el panorama de riesgo agregado. Esto incluye a los organismos supervisores de todo el mundo, que están introduciendo progresivamente normas de ciberseguridad aplicables a los dispositivos integrados y conectados a IoT .

Las nuevas normativas del Reglamento General de Protección de Datos (RGPD), la Directiva sobre Equipos Radioeléctricos (RED) para la ciberseguridad, el Instituto Nacional de Normas y Tecnología (NIST) y otras suponen un cambio de rumbo respecto a las típicas normas CEM o de seguridad a las que están acostumbrados los ingenieros. 

Por ejemplo, en la UE, las cláusulas (d), (e) y (f) del artículo 3.3 de la DER contienen una serie de medidas de seguridad no eléctricas destinadas a la ciberseguridad del hardware y el software integrados. Los tres artículos entrarán en vigor en agosto de 2024 y los productos comercializados después de esa fecha deberán cumplirlos.

El reto de cumplir la nueva normativa es doble. En primer lugar, mientras que las normas de seguridad eléctrica y de radiofrecuencia suelen incluir especificaciones claras que un ingeniero de hardware puede probar y medir con equipos de laboratorio, las prácticas de ciberseguridad pueden ser mucho más difíciles de concretar en especificaciones de diseño. Esto se debe en parte a que la normativa no indica necesariamente con exactitud qué pasos o mejores prácticas de seguridad hay que emplear, y en parte al enorme número de estrategias de ataque, que no dejarán de surgir.

El segundo reto que plantea el cumplimiento de la normativa específica sobre ciberseguridad integrada es el ritmo acelerado de los cambios. La normativa entra en vigor tan rápido y las nuevas amenazas aparecen con tanta celeridad que los ingenieros luchan por adaptarse dentro de los límites de unos ciclos de producción establecidos que pueden ser fácilmente de cinco años, con productos acabados y probados que pueden permanecer en uso durante décadas. 

Gestión de los cambiantes requisitos de seguridad de los dispositivos integrados

Para los ingenieros acostumbrados a elegir componentes basándose en una lista de especificaciones, la ciberseguridad puede suponer un nuevo reto, ya que puede ser difícil determinar exactamente qué es lo que necesitan los proveedores de hardware. Dicho esto, las funciones de seguridad de hardware y software en chip se han establecido como imprescindibles. Pensemos, por ejemplo, en el arranque seguro, las firmas digitales, los puertos protegidos, la detección de manipulaciones y el cifrado.

¿Cómo pueden adaptarse los diseños integrados al cambiante panorama de la ciberseguridad? Una de las claves es la capacidad de gestionar activamente los dispositivos una vez instalados, incluida la actualización remota de las funciones básicas del firmware cuando sea necesario de forma controlada y planificada.

Esto significa conectar los dispositivos a una plataforma en la nube flexible y robusta para su supervisión, así como establecer la capacidad de enviar actualizaciones de los dispositivos de forma inalámbrica para hacer frente rápidamente a las nuevas amenazas a la seguridad, así como a cualquier corrección de errores, mejora de la funcionalidad o del rendimiento. 

Los grandes fabricantes pueden diseñar portales en línea para lograr estos objetivos y también pueden permitirse mantenerlos, y algunos ya lo han hecho. Sin embargo, su creación y funcionamiento son intensivos y los desarrolladores de productos pueden tener dificultades para empezar.

Cómo puede ayudar el ecosistema Digi ConnectCore

En Digi llevamos muchos años a la vanguardia de la seguridad de los sistemas integrados. Y estamos innovando continuamente nuevas metodologías y servicios para ayudar a los fabricantes de equipos originales a ofrecer una seguridad cibernética integral continua para dispositivos integrados.

El ecosistemaDigi ConnectCore de módulos de sistema integrados inalámbricos y cableados ofrece una solución integrada para la seguridad de los dispositivos integrados, que permite a los desarrolladores no sólo incorporar las mejores prácticas de seguridad de los sistemas integrados durante la fase de diseño, sino también supervisar el comportamiento de los dispositivos y las amenazas a la seguridad en los dispositivos instalados y lanzar actualizaciones de firmware en cualquier momento para responder a los nuevos retos de ciberseguridad.

Los servicios de seguridad Digi ConnectCore® son un conjunto de servicios y herramientas que permiten a los clientes mantener la seguridad de los dispositivos durante todo el ciclo de vida del producto. Esto garantiza que los clientes puedan resolver el reto continuo de mantener la seguridad de los productos después de que estos salgan al mercado.

Estos servicios permiten analizar y supervisar una lista de materiales de software (SBOM) y una imagen binaria personalizadas, que se ejecutan en los SOM de Digi ConnectCore , para detectar riesgos de seguridad y vulnerabilidades. Para ayudar a solucionar los problemas detectados, los servicios incluyen un informe de vulnerabilidades curado en el que se destacan los problemas críticos, una capa de software de seguridad que incluye parches para las vulnerabilidades más comunes y servicios de consultoría.

Diseñar, construir, comercializar... y respaldar un ciclo de vida del producto seguro

Los nuevos requisitos de seguridad integrada y los riesgos de ciberseguridad emergentes exigen un enfoque basado en soluciones que aumente las habilidades de diseño de los fabricantes de equipos originales con una solución de seguridad de terceros que impulse la ciberseguridad en el nivel de diseño del producto y durante toda su vida útil.

Recurra a los robustos sistemas integrados de Digi y a la supervisión y gestión continuas de la seguridad para salvaguardar sus sistemas integrados ahora y en el futuro. 

Próximos pasos

• ¿Está preparado para hablar con un experto de Digi? Póngase en contacto con nosotros
• ¿Quiere saber más de Digi? Suscríbase a nuestro boletín de noticias
• O compre ahora las soluciones Digi: Cómo comprar