O documento discute os riscos de segurança da Internet das Coisas (IoT). Apresenta os três pilares da segurança da informação e destaca que os dados são o principal ativo e ponto fraco do IoT. Discutem-se também as vulnerabilidades dos dispositivos IoT, como senhas fracas e falta de criptografia, colocando os dados em risco.

1. IoE – Internet de Todas as Coisas
Quais os Riscos de Segurança?
Prof. André Márcio de Lima Curvello
contato@andrecurvello.com.br

2. Sobre mim
André Márcio de Lima Curvello
 Engenheiro de Computação com Ênfase em
Sistemas Embarcados – USP São Carlos
 MBA em Gestão de TI – UNIFRAN
 Mestrado em Processamento de Sinais e
Instrumentação – USP São Carlos
 Analista de Tecnologia – PadTec S/A
 Articulista – Portal Embarcados
 Escovador de Bits e Provador de Café
2

3. “Qualquer tecnologia
suficientemente avançada é
indistinguível de magia.
Arthur C. Clarke

4. Desculpe o transtorno…
Preciso falar de Segurança!
4

5. Algumas Notícias
5

6. Algumas Notícias
6

7. 3 Pilares da Segurança da Informação
7

8. Segurança em Foco para IoT
8
IoT Developer Survey 2017 - https://iot.eclipse.org/

9. 9

10. Dados como Ativo na Era do IoT
10
 O Ponto-chave do IoT... Informação!
 Mas é também seu ponto-fraco
http://www.popsci.com
 Mais dispositivos
 Mais vetores de ataque
 Mais vulnerabilidades
 Mais exposição

11. 11
Fonte: https://www.pubnub.com/blog/2015-05-04-10-challenges-securing-iot-communications-iot-security/

12. O grande cerneSegurança e Privacidade
12

13. IoE – Os Riscos
13
Fonte: https://arxiv.org/pdf/1707.08380.pdf

14. IoE – Os Riscos sobre Dispositivos Estudados
 90% dos dispositivos coletam alguma informação pelo próprio
dispositivo.
 80% dos dispositivos, juntamente com a nuvem e components
móveis, não requerem senhas complexas.
 70% dos dispositivos, juntamente com a nuvem e components
móveis, permitiram invasores identificar acessos válidos de usuários
por enumeração.
 70% dos dispositivos usam serviços de rede sem criptografia.
 6 de 10 com credenciais fracas.
14

15. IoE – Dispositivos Resilientes a Ataques
15
Fonte: https://arxiv.org/pdf/1707.08380.pdf

16. Acesso Virtual
16

17. As chaves para o seu Reino
17
Fonte: https://www.linkedin.com

18. O Big Brother
18
Fonte: http://www.theverge.com

19. Riscos de Segurança – Câmeras IP
19

20. Automóveis
20
Fonte: http://www.businessinsider.com/

21. Segurança das Coisas – O Caso do Jeep
21
Charlie Miller e Chris Valasek
https://www.wired.com/

22. Área Médica
22
Fonte: http://privacyriskreport.com

23. Acesso Físico
23
Fonte: http://privacyriskreport.com

24. Acesso
 Mude senhas padrões!
 Sempre evite usar senhas comuns!
Como Proteger a Informação?
24

25. Criptografia
Como Proteger a Informação?
25

26. IoE – Riscos de Segurança
26
Fonte: https://www.infineon.com/cms/en/applications/smart-card-and-security/internet-of-things-security/

27. Chave Simétrica
Como Proteger a Informação?
27
Fonte: pplware.sapo.pt

28. Chave Assimétrica
Como Proteger a Informação?
28
Fonte: www.digicert.com

29. Chave Assimétrica
 Envio da chave
simétrica
 Assinado com chave
pública
Como Proteger a Informação? - Embarcados
29
Chave Simétrica
 Criptografia de
pacotes via AES

30. MQTT
30

31. Como Proteger a Informação? – O Dado
31
 Payload está protegida
 Mas e o canal?

32. Como Proteger a Informação? – Dado Fim a Fim
32

33.  TLS
 Transport Layer Security
Proteção do canal!
Como Proteger a Informação?
33

34. Como Proteger a Informação? – SSL / TLS
34

35. Como Proteger a Informação?
35
Fonte: https://www.maximintegrated.com

36. Como Proteger a Informação?
36
Fonte: http://www.hivemq.com/blog/mqtt-security-fundamentals-mqtt-message-data-integrity

37. Dispositivos IoT com recursos de Criptografia em Hardware
37
CC3200 ESP32 EK-TM4C129EXL

38. Bibliotecas para Embarcados
38

39. Certificações de Segurança
39
Certificação Descrição
DO-178B Considerações de Software para Sistemas e Equipamentos
Aviônicos
IEC 61508 Segurança Funcional para Sistemas de Controle Industrial
ISO 62304 Processos, ciclo de vida e considerações para softwares de
dispositivos medicos.
SIL3/SIL4 Níveis de segurança e integridade para sistemas de
transporte e nuclear

40. 40

41. Considerações Finais
1. Torne segurança uma característica
2. Não confie na sorte
3. Segurança como um seguro barato
4. Banque o Hacker
5. Use o mínimo
6. Verifique os componentes
7. Capacidade de atualização
8. Use o Hardware Correto
9. Mapeamento fim a fim do IoT
10. Ciclo de vida da solução IoT
41
Fonte: http://www.zdnet.com/article/how-to-secure-your-iot-deployment-in-10-steps/

42. 10+3 Passos para Desenvolver Produtos IoT Seguros
42
Fonte: https://cloudsecurityalliance.org/download/future-proofing-the-connected-world/

43. Considerações Finais
 Escolha de algoritmos conforme escopo
 Usem HTTPS na comunicação com a Nuvem
 SSL/TLS
 Cuidado com Terminais “Shell” de acesso ao
equipamento
 Atentem a geração e segurança das chaves
 Jamais negligenciem a segurança!
43

44. 44
Obrigado!
Perguntas?

45. 45
Contato
@andremlcurvello
http://youtube.com/profandrecurvello
http://andrecurvello.com.br
contato@andrecurvello.com.br
http://facebook.com/profandrecurvello