IoT Security per la protezione dei dispositivi connessi
Normale, critico o altamente critico? Sono questi i 3 livelli descritti all’interno del Cyber Resilience Act per aumentare l’IoT Security dei dispositivi connessi e per cercare di ridurre al minimo le possibili vulnerabilità immesse nel mercato e nella rete di prodotti IoT.
Secondo un recente studio condotto da Check Point Research, nei primi due mesi del 2023 si sono verificati molti più attacchi rispetto alla media del 2022, quasi il 41% in più; il tutto sfruttando le vulnerabilità note del passato e quelle nuove causate dall’aumento esponenziale dei dispositivi IoT non sicuri immessi nel mercato.
Livelli di sicurezza ENISA e Cyber Resilience Act per l’IoT Security
Prima di analizzare l’ultima proposta della Presidenza svedese del Consiglio dell’Unione Europea, il Cyber Resilience Act, vediamo cosa ha già implementato ENISA per la protezione dei dispositivi IoT.
“ENISA, European Union Agency for Cybersecurity, è un’agenzia europea dedicata al raggiungimento di un elevato livello comune di cybersicurezza in tutta l’Europa e si occupa di contribuire alla politica informatica dell’UE per migliorare l’affidabilità dei prodotti, dei servizi e dei processi digitali con un sistema di certificazioni.”
Detto questo, nel 2017 ENISA aveva pubblicato un documento all’interno del quale venivano spiegati i 3 livelli di rischio di un dispositivo IoT e le relative certificazioni necessarie:
- Base → valutazione autonoma del livello di affidabilità del prodotto
- Sostanziale → certificazione affidata a un ente esterno sulla conformità alla sicurezza del prodotto
- Elevato → necessario un test di efficacia per accertare il livello di affidabilità dichiarato
L’ultima novità europea riguarda il Cyber Resilience Act, una proposta della Presidenza svedese del Consiglio dell’Unione Europea per stabilire i parametri per l’IoT Security dei dispositivi smart. Secondo questa proposta i dispositivi dovrebbero essere divisi e certificati in base al loro livello di criticità: bassa, critica, molto critica e di conseguenza dovrebbero ricevere una certificazione di sicurezza prima di poter essere venduti sul mercato.
Vediamo quali sono questi dispositivi, partendo da quelli considerati molto critici per poi analizzare la fascia intermedia dei prodotti critici.
Altamente Critici
Sono dispositivi che oltre a svolgere il loro compito sono centrali all’interno della rete di dispositivi IoT e una compromissione dell’IoT Security potrebbe causare un grave danno a persone o cose.
- strumenti di autenticazione;
- sistemi di gestione della rete per autenticazione, monitoraggio e aggiornamento dei dispositivi;
- ipervisori;
- lettori smartcard;
- …
Critici
Rappresenta la fascia intermedia ed è a partire da questa fascia che l’autocertificazione di IoT Security non è più sufficiente. Ecco alcuni dispositivi inseriti in questa fascia secondo la proposta di Cyber Resilience Act:
- software di rilevamento dei malware;
- strumenti di monitoraggio del traffico;
- sistemi per la distribuzione degli aggiornamenti;
- dispositivi domestici dedicati alla sicurezza (es. allarmi);
- …
Tutti gli altri dispositivi appartengono alla fascia di bassa criticità che prevede la realizzazione di un’autocertificazione; inoltre, da questo elenco sono stati volutamente esclusi tutti quei prodotti che hanno già una regolamentazione ad hoc (es. dispositivi smart nel settore medicale).
Violazioni dell’IoT Security e come proteggersi
Come visto in precedenza, l’Unione Europea si sta attivando per rendere più sicuro il mondo dei dispositivi connessi, introducendo certificazioni standard ed emanando diversi documenti contenenti le linee guida per proteggere i propri dispositivi.
Vediamo ora alcuni degli attacchi più diffusi per i dispositivi smart e le modalità di IoT Security per prevenirli.
Attacchi DDoS e botnet
Un attacco DDoS (Distributed Denial of Service) consiste nell’invio di richieste malevole a un determinato servizio per metterlo fuori uso; questa tipologia di attacco ha bisogno di molti dispositivi infetti in grado di inviare le richieste malevole ed è qui che entrano in gioco i dispositivi IoT. Come? Creando delle botnet di dispositivi IoT compromessi e utilizzati dagli hacker per inviare richieste in rapida successione e per il tempo necessario a mettere fuori uso il servizio.
Come proteggersi da questi attacchi?
- modifica della password di default;
- aggiornamenti costanti delle patch di sicurezza;
- approccio secure by design;
- protezione delle app per il controllo remoto.
Man-in-the-Middle
Un’altra tipologia di attacco molto diffusa in ambito IoT è il Man-in-the-Middle, cioè l’intercettazione dei messaggi transitanti da un dispositivo all’altro o verso il cloud. Le modalità di attacco possono essere due: rubare le informazioni senza essere rilevati, modificare le informazioni in transito per alterare il comportamento dei dispositivi a proprio piacimento.
Come proteggersi da questo attacco?
- utilizzo di VPN;
- controllo dei protocolli di rete;
- invio di messaggi crittografati;
- introduzione dell’autenticazione multifattore.
IoTReady per l’IoT Security dei dispositivi smart
Per noi la sicurezza è una componente fondamentale e imprescindibile per le soluzioni IoT offerte. Progettiamo le nostre soluzioni seguendo un approccio secure-by-design e ci teniamo costantemente aggiornati sulle vulnerabilità presenti in rete in modo da aggiornare con tempestività i firmware dei prodotti connessi in circolazione.
Infine, la piattaforma IoT Trackle, sviluppata dal team di IoTReady, presenta un livello di sicurezza elevato su tutto lo stack grazie all’utilizzo dei migliori standard per la crittografia della connessione e per l’accesso alle risorse.
Crea prodotti IoT sicuri!
Compila il form per entrare in contatto con un nostro esperto IoT e scopri se IoTReady è la soluzione adatta alle tue esigenze.