¿Cómo protegerse contra las vulnerabilidades del IoT?

Garantizar la seguridad frente a las vulnerabilidades del IoT (Internet de las Cosas) implica dotar a cada dispositivo conectado de una identidad criptográfica única, cifrar los datos que envía, firmar el firmware que ejecuta y mantenerlo actualizado durante todo su ciclo de vida.

Se protegen las vulnerabilidades de IoT eliminando las contraseñas predeterminadas, asignando a cada dispositivo un certificado PKI (infraestructura de clave pública) para su identidad, cifrando la comunicación con TLS (Transport Layer Security) 1.3 y verificando el firmware firmado antes de su instalación. La norma NIST IR 8259A enumera la identificación del dispositivo, la configuración, la protección de datos y la actualización segura entre las capacidades básicas que todo dispositivo IoT debería admitir.

Puntos Clave

• El firmware de IoT de larga duración debería planificar la transición a las firmas post-cuánticas ML-DSA (FIPS 204) y SLH-DSA (FIPS 205), publicadas en agosto de 2024.
• Las credenciales predeterminadas y reutilizadas son la principal vulnerabilidad del IoT. La botnet Mirai de 2016 comprometió cientos de miles de dispositivos con una lista de 62 pares de contraseñas predeterminadas y protagonizó uno de los mayores ataques DDoS registrados hasta ese momento.
• La infraestructura de clave pública (PKI) otorga a cada dispositivo una identidad X.509 única, lo que permite la autenticación TLS mutua, la comunicación cifrada y la verificación del firmware firmado sin necesidad de contraseñas compartidas.
• La norma NIST IR 8259A establece la base de referencia en ciberseguridad para dispositivos; la Ley de Mejora de la Ciberseguridad del IoT de EE. UU. de 2020 (Ley Pública 116-207) exige que las agencias federales compren únicamente dispositivos que cumplan con los requisitos.
• La Ley de Resiliencia Cibernética de la UE (Reglamento 2024/2847) exige un desarrollo seguro desde el diseño, listas de materiales de software (SBOM, por sus siglas en inglés) y actualizaciones plurianuales, con fecha límite de cumplimiento total el 11 de diciembre de 2027.

¿Qué hace vulnerables a los dispositivos IoT?

Los dispositivos IoT son vulnerables porque vienen con configuraciones predeterminadas débiles, rara vez se actualizan y conectan muchos dispositivos de bajo consumo a la misma red. Un fallo en un dispositivo puede exponer al resto.

La mayoría de los dispositivos IoT se fabrican con un presupuesto ajustado, por lo que la seguridad suele ser mínima. Algunas vulnerabilidades comunes incluyen:

• Credenciales predeterminadas: Se envía con un nombre de usuario y una contraseña de fábrica que los usuarios nunca cambian.
• No existe una ruta de actualización segura.: El firmware no se puede parchear, o las actualizaciones no están firmadas y pueden ser falsificadas.
• Comunicación no cifrada: Los datos y las credenciales viajan sin cifrar y pueden ser interceptados en la red.
• No hay raíz de confianza de hardware: Las claves residen en la memoria de propósito general en lugar de en un elemento seguro o TPM.
• Exposición física: Los puertos expuestos y las interfaces de depuración permiten a un atacante extraer claves o reprogramar el dispositivo.

La botnet Mirai de 2016 es el caso de referencia. Como documentó la CISA , Mirai escaneó internet en busca de cámaras y routers que aún usaban credenciales de fábrica e intentó tomar el control de ellos con una lista de 62 pares comunes de nombre de usuario y contraseña predeterminados. La botnet creció hasta alcanzar cientos de miles de dispositivos, y en octubre de 2016 se estima que 100 000 de ellos se utilizaron contra el proveedor de DNS Dyn en un ataque de denegación de servicio distribuido, uno de los mayores registrados hasta ese momento. Una sola contraseña predeterminada débil, repetida en millones de unidades vendidas, fue suficiente para dejar fuera de servicio gran parte de internet.

Cómo proteger los dispositivos IoT: Siete controles

La seguridad de los dispositivos IoT se reduce a la identificación, el cifrado, la aplicación de parches y la monitorización, aplicados de forma coherente en toda la flota.

1. Reemplace las credenciales predeterminadas con claves únicas para cada dispositivo: Nunca envíe ni implemente un dispositivo con su contraseña de fábrica. Asigne una credencial única a cada dispositivo para que una contraseña comprometida no pueda desbloquear el resto de la flota. La identidad basada en certificados elimina por completo las contraseñas compartidas.

2. Asigne a cada dispositivo un certificado PKI para la identificación: Emita un certificado X.509 único para cada dispositivo, de modo que pueda demostrar su identidad durante la autenticación TLS mutua. El registro a través de transporte seguro (EST, RFC 7030) automatiza la emisión y renovación de certificados a gran escala, reemplazando la gestión manual de claves.

3. Cifre toda la comunicación con TLS 1.3: Cifre los datos en tránsito entre dispositivos, pasarelas y la nube utilizando la versión actual de TLS. Las versiones anteriores de TLS y los conjuntos de cifrado deben estar deshabilitados. El cifrado impide la captura de credenciales y datos en la red.

4. Firma el firmware y verifícalo con arranque seguro: Firma las imágenes de firmware con una clave privada almacenada en un módulo de seguridad de hardware (HSM) y configura el dispositivo para que verifique la firma al arrancar y antes de instalar cualquier actualización. El firmware sin firmar o modificado se rechaza, lo que impide la inyección de actualizaciones maliciosas.

5. Implementación de parches con un ciclo de vida definido: Mantenga un calendario para las actualizaciones de firmware y software, y distribúyalas únicamente a través del procedimiento de actualización firmada descrito anteriormente. La Ley de Ciberresiliencia de la UE exige a los fabricantes que proporcionen actualizaciones de seguridad durante al menos cinco años, a menos que la vida útil prevista del producto sea menor.

6. Refuerce la seguridad del dispositivo físico: Elimine o bloquee los puertos expuestos y las interfaces de depuración, almacene las claves en un elemento seguro o TPM y utilice hardware a prueba de manipulaciones para que un atacante con acceso físico no pueda extraer las claves ni reprogramar el dispositivo.

7. Monitorear, registrar y revocar: Monitorear continuamente el comportamiento del dispositivo, mantener registros a prueba de manipulaciones, vigilar la caducidad del certificado y revocar la identidad de cualquier dispositivo comprometido de inmediato. La revocación del certificado aísla al dispositivo no autorizado de la red.

Por qué la infraestructura de clave pública (PKI) es la columna vertebral de la seguridad del IoT.

La infraestructura de clave pública (PKI) protege el IoT porque reemplaza las contraseñas compartidas con una identidad criptográfica única por dispositivo, algo que ningún otro sistema de control hace de forma tan eficaz.

Una contraseña puede ser adivinada, reutilizada o filtrada. Una clave privada vinculada a un certificado X.509 no puede reutilizarse en diferentes dispositivos y nunca tiene que transmitirse por la red. Esta característica única, la identidad exclusiva por dispositivo, es lo que permite que los sistemas IoT se autentiquen mutuamente, cifren la comunicación y verifiquen el firmware firmado.

Esta es también la razón por la que el estándar Matter para hogares inteligentes, respaldado por Apple, Google, Amazon y Samsung, exige que cada dispositivo certificado lleve un Certificado de Atestación de Dispositivo X.509 proporcionado durante la fabricación, y por la que el marco industrial IEC 62443 establece requisitos para la autenticación única de dispositivos en niveles de seguridad más altos, que generalmente se cumplen con certificados.

Las contraseñas y los certificados resuelven el mismo problema de maneras muy diferentes:

Atributo	Basado en contraseña	PKI / basado en certificados
Identidad	Secreto compartido, a menudo reutilizado	Clave X.509 única por dispositivo
Exposición en red	Secreto enviado para autenticar	La clave privada nunca sale del dispositivo.
SCALE	Manual, frenos en tamaño de flota	Automatizado vía EST (RFC 7030) o SCEP
Confianza en el firmware	Ninguna	Firma verificada antes de la instalación
respuesta de compromiso	Rotar cada contraseña compartida	Revocar un certificado
Ajuste de estándares	Principal riesgo en el Top 10 de OWASP IoT	Requerido por el asunto; ruta estándar para IEC 62443

Normas y reglamentos de seguridad para el Internet de las Cosas (IoT)

La seguridad del IoT es ahora un requisito legal en los principales mercados, no solo una buena práctica.

En Estados Unidos, la norma NIST IR 8259A define los requisitos básicos de ciberseguridad para dispositivos: identificación del dispositivo, configuración del dispositivo, protección de datos, acceso lógico, actualización de software y conocimiento del estado. La Ley de Mejora de la Ciberseguridad del IoT de 2020 (Ley Pública 116-207) establece que estos requisitos son obligatorios para los dispositivos vendidos a agencias federales, y la norma NIST SP 800-213 amplía las directrices para implementaciones federales.

En marzo de 2024, la FCC adoptó normas que crearon la marca voluntaria US Cyber ​​Trust Mark, una etiqueta para el consumidor destinada a dispositivos que cumplen con los criterios definidos por el NIST; el programa aún se está implementando y, a mediados de 2026, los productos todavía no llevan la etiqueta.

En la Unión Europea, la Ley de Resiliencia Cibernética (Reglamento 2024/2847) establece requisitos obligatorios de ciberseguridad para cualquier producto con elementos digitales que se venda en la UE. Exige un desarrollo seguro desde el diseño, una lista de materiales de software, protección contra el acceso no autorizado, gestión de vulnerabilidades y actualizaciones de seguridad durante al menos cinco años para la mayoría de los productos.

Las obligaciones de notificación de vulnerabilidades e incidentes comienzan el 11 de septiembre de 2026, y el cumplimiento total es obligatorio antes del 11 de diciembre de 2027. El incumplimiento puede acarrear multas de hasta 15 millones de euros o el 2.5 % de la facturación anual global, lo que sea mayor.

Seguridad en el IoT y criptografía postcuántica

El firmware y los certificados de los dispositivos IoT suelen seguir siendo válidos durante una década o más, lo que convierte al IoT en uno de los primeros ámbitos en los que la migración post-cuántica cobra importancia.

RSA y ECDSA, que sustentan la mayoría de los sistemas de identidad y firma de firmware de dispositivos IoT actuales, pueden ser vulnerados por una supercomputadora cuántica que ejecute el algoritmo de Shor. Una firma que ahora es segura podría ser falsificable durante la vida útil de un dispositivo comercializado hoy. El NIST estandarizó dos algoritmos de firma resistentes a la computación cuántica en agosto de 2024: ML-DSA ( FIPS 204 , basado en CRYSTALS-Dilithium) y SLH-DSA ( FIPS 205 , basado en SPHINCS+). Los fabricantes con artefactos firmados de larga duración deberían comenzar a evaluar certificados de dispositivos híbridos que incluyan tanto una clave clásica como una post-cuántica durante la transición, para que los dispositivos sigan siendo verificables tanto en clientes clásicos como en clientes resistentes a la computación cuántica.

Cómo ayuda la consultoría de cifrado

PKI-as-a-Service ofrece a los fabricantes y operadores de IoT una autoridad de certificación escalable para la emisión de identidades únicas de dispositivos, con inscripción automatizada a través de EST y SCEP, de modo que los certificados se pueden aprovisionar en la línea de producción y renovar en campo. CodeSign Secure firma el firmware detrás de un HSM FIPS 140-2 Nivel 3 y admite de forma nativa algoritmos de firma post-cuántica, incluido ML-DSA, para que las actualizaciones sean verificables durante todo el ciclo de vida del dispositivo. Los servicios de asesoramiento de PKI de Encryption Consulting ayudan a diseñar la arquitectura de identidad de dispositivo, almacenamiento de claves y revocación que se ajusta a NIST IR 8259A y la EU CRA. Respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Cómo se protegen los dispositivos IoT?

Proteja los dispositivos IoT reemplazando las credenciales predeterminadas con contraseñas únicas para cada dispositivo, asignando a cada uno una identidad criptográfica mediante un certificado PKI, cifrando toda la comunicación con TLS y firmando el firmware para que solo se instalen actualizaciones autenticadas. La norma NIST IR 8259A enumera la identificación del dispositivo, la configuración, la protección de datos y la actualización segura entre las capacidades básicas que todo dispositivo IoT debería admitir.

¿Cuál es la vulnerabilidad más común en el Internet de las Cosas (IoT)?

Las credenciales débiles o predeterminadas son la vulnerabilidad más común en el IoT. En 2016, la botnet Mirai comprometió cientos de miles de cámaras y routers utilizando una lista de 62 pares de nombre de usuario y contraseña predeterminados, y luego dirigió aproximadamente 100 000 de ellos contra el proveedor de DNS Dyn en uno de los mayores ataques DDoS registrados hasta entonces. Las contraseñas únicas por dispositivo y la identidad basada en certificados eliminan esta vía de ataque.

¿Por qué se utiliza la infraestructura de clave pública (PKI) para proteger los dispositivos IoT?

La infraestructura de clave pública (PKI) proporciona a cada dispositivo IoT un certificado X.509 único que verifica su identidad sin necesidad de una contraseña compartida. Los certificados permiten la autenticación TLS mutua, la comunicación cifrada y la verificación del firmware firmado. El registro mediante transporte seguro (EST, RFC 7030) automatiza la emisión y renovación de certificados a nivel de dispositivo. El estándar Matter para hogares inteligentes ahora exige un certificado de atestación de dispositivo X.509 en cada dispositivo certificado.

¿Qué normativa rige la seguridad del IoT?

En Estados Unidos, la Ley de Mejora de la Ciberseguridad del IoT de 2020 (Ley Pública 116-207) exige que las agencias federales adquieran únicamente dispositivos que cumplan con los estándares NIST IR 8259. La FCC creó el programa voluntario de la etiqueta US Cyber ​​Trust Mark en marzo de 2024, y el etiquetado de productos aún se está implementando. En la Unión Europea, la Ley de Resiliencia Cibernética (Reglamento 2024/2847) exige el desarrollo seguro desde el diseño, listas de materiales de software (SBOM) y actualizaciones plurianuales, con cumplimiento total requerido para el 11 de diciembre de 2027.

¿Cómo se protegen los dispositivos IoT de las computadoras cuánticas?

El firmware y los certificados de dispositivos IoT suelen permanecer en uso durante una década o más, por lo que las firmas realizadas con RSA o ECDSA hoy podrían ser falsificadas una vez que una supercomputadora cuántica ejecute el algoritmo de Shor. Se recomienda migrar a los estándares de firma post-cuántica del NIST, ML-DSA (FIPS 204) y SLH-DSA (FIPS 205), publicados en agosto de 2024, utilizando certificados híbridos que incluyan una clave clásica y una post-cuántica durante la transición.

¿Deben firmarse las actualizaciones de firmware de los dispositivos IoT?

Sí. El firmware firmado permite que un dispositivo verifique que una actualización proviene del fabricante y no ha sido alterada antes de su instalación. Sin la verificación de la firma, un atacante puede instalar firmware malicioso y tomar el control permanente del dispositivo. La firma de código con una clave privada almacenada en un módulo de seguridad de hardware, junto con el arranque seguro que verifica la firma al iniciar el sistema, soluciona este problema y cumple con la guía NIST IR 8259A sobre actualizaciones seguras.

Proteja cada dispositivo que envíe.

¿Listo para brindar una identidad confiable a cada dispositivo IoT? Explore PKI-as-a-Service o hable con un asesor de PKI de Encryption Consulting sobre la identidad de dispositivos y la firma de firmware a gran escala.