Internet de las cosas a prueba de piratería

Un nuevo documento de orientación de la Fundación prpl, Guía de seguridad para áreas críticas de la informática integrada, se ha publicado que describe cómo crear sistemas integrados seguros que alimentan los dispositivos conectados. Al forjar lo que llama una raíz de confianza en la capa de hardware y aprovechar la virtualización de hardware para crear dos dominios distintos y seguros, los ataques de movimiento lateral dentro del sistema se reducirán drásticamente según la base.
El presidente de la Fundación prpl, Art Swift sostiene que el problema con los sistemas integrados tal como están hoy es la naturaleza fragmentaria y, a menudo, patentada cuando se trata de asegurarlos.
«Dada la conectividad ubicua y la rápida aparición de IoT, la necesidad de una arquitectura de seguridad bien diseñada, estructurada y completa nunca ha sido mayor».
“Bajo la Fundación prpl, los proveedores de chips, sistemas y servicios pueden unirse en una plataforma, arquitectura, API y estándares comunes, y beneficiarse de un enfoque de código abierto común y más seguro”, agregó el estratega jefe de seguridad de la Fundación prpl, Cesare Garlati.
La guía ha sido revisada por pares por algunos de los principales nombres de la industria. Por ejemplo, David Lingenfelter, responsable de seguridad de la información, IBM Security Systems y copresidente del grupo móvil de Cloud Security Alliance, dijo que es un “gran documento, muy bien presentado y fácil de leer y comprender. La atención se centra en construir el hardware y las capas virtuales de los puntos finales para que se diseñen correctamente para limitar la exposición en caso de que sean atacados. Los cuatro tipos de sistemas de IoT mencionados en este documento (automóvil, médico, armas y aerolíneas) pueden tener ramificaciones muy personales para la salud de una persona si algo sale mal «.
El documento aborda tres áreas principales desde el punto de vista de la fabricación, el desarrollo y el proveedor de servicios:
Controles fundamentales para asegurar dispositivos. El requisito principal, según el documento, es un entorno operativo confiable habilitado a través de un proceso de arranque seguro que sea impermeable a los ataques. Esto requiere una raíz de confianza forjada en el hardware, que establece una cadena de confianza para todos los subsistemas.
Seguridad por separación. El documento se centra en los sistemas integrados que pueden conservar sus atributos de seguridad incluso cuando están conectados a redes abiertas. Se basa en el uso de la separación lógica creada por la virtualización reforzada por hardware y también admite tecnologías como la paravirtualización, la virtualización híbrida y otros métodos.
Desarrollo y prueba seguros. Los desarrolladores deben proporcionar una infraestructura que permita la depuración segura durante el desarrollo y la prueba del producto. En lugar de permitir que los usuarios vean un sistema completo mientras realizan la depuración de hardware, el documento propone un sistema seguro para mantener la separación de activos.
Puede encontrar más en http://prpl.works/security-guidance/