Pedro Minatel-segurança em iot
•
1 gostou•57 visualizações
Segurança em IoT é um dos pontos mais críticos da nova onda. Muito disso se dá por conta das praticas inseguras de código, aliado ao baixo processamento de algumas plataformas de dispositivos conectados, muitas vezes microcontroladores de baixo poder de processamento. Esse baixo poder de processamento já foi muito utilizado como desculpa de segurança, porém hoje isso já mudou. Vou abordar como as nova plataformas de desenvolvimento de hardware estão focando em segurança, com recursos cada vez mais otimizados para IoT
Recomendados
Recomendados
Mais conteúdo relacionado
Semelhante a Pedro Minatel-segurança em iot
Semelhante a Pedro Minatel-segurança em iot (20)
Último
Pedro Minatel-segurança em iot
- 2. Segurança em IoT? Hardware já não é mais desculpa! Pedro Minatel #IOTDAY 2018
- 3. Pedro Minatel ● Ex Motorola (Dev) ● Ex Itron (Dev Fw) ● Ex Samsung (Pesquisador) ● Ex Time Energy (FAPESP) ● Fundador do IoTMakers – Startup de Campinas ● Membro do LHC
- 4. Antes de começar.. ● Não vamos falar de segurança em cloud/backend... ● Vamos focar em hardware ● Não vou falar de RTOS ● Não sou patrocinado por nenhum fabricante ● Vamos falar de dispositivos de baixo processamento ● Não sou expert em segurança, nem em nada...
- 6. It’s all about numbers... [1] https://www.gartner.com/imagesrv/books/iot/iotEbook_digital.pdf [2] https://www.verizon.com/about/sites/default/fles/Verizon-2017-State-of-the-Market-IoT-Report.pdf [3]https://www.mckinsey.com/business-functions/digital-mckinsey/our-insights/the-internet-of-things-the-value-of-digitizing-the-physical-world
- 8. Insegurança em IoT ● Muitos dispositivos apresentam falhas graves de segurança, como senha padrão e chaves únicas ● Dispositivos com ausência de segurança ● Falta de capacidade de processamento ● Comunicação insegura ● Falta de privacidade dos dados sensíveis ● Falta de proteções do hardware
- 9. Motivos ● Falta de equipe capacitada e experiencia ● Tempo de pesquisa e desenvolvimento ● Recursos fnanceiros limitados ● Falta de testes de segurança ● Falta de inovação ● Design mal elaborado ● Uso de recursos e ferramentas inadequados ● Falta de metodologias e processos seguros
- 10. Secure by Obscurity Design
- 11. Secure by Design – Conceito Básico ● Foco em segurança desde o inicio do projeto ● Ocorre durante todo o ciclo de desenvolvimento ● Visa minimizar superfícies de ataques e falhas ● Falhe de forma segura ● KISSS (Keep it Security Simple, Stupid!) ● Bug fxing e de forma segura
- 13. Secure by Hardware ● Segurança por hardware é a implementação dos mecanismos de segurança por hardware e não por software. ● A segurança por hardware envolve também a segurança física ● Segurança por hardware pode envolver mecanismos de criptografa, autenticação, armazenamento entre outras operações de segurança.
- 14. Na segurança em IoT, o hardware não é a desculpa!
- 15. ...e quais os motivos para utilizar segurança por hardware
- 16. Motivos, além da segurança ● Simplifca o desenvolvimento do frmware ● Acelera o desenvolvimento do projeto ● Ganho/Economia de processamento ● Reduz possíveis vulnerabilidades de frmware ● Pode reduzir custos de hardware – Queda dos custos dos chips – Avanço nas tecnologias embarcadas
- 17. Onde utilizar? ● Criptografa de frmware ● Autenticação segura ● Comunicação (interna e externa) ● Validação do frmware (FOTA/OTA) ● Armazenamento seguro de dados sensíveis e chaves ● Proteção do código e IP (propriedade intelectual) ● Execução de código seguro (ex TrustZone)
- 18. O que eu posso evitar? ● Engenharia reversa do código ● Recuperação das chaves criptográfcas ● Vazamento de informações sensíveis ● Comprometimento da privacidade ● Danos lógicos, físicos e fnanceiros ● Criação de “botnet” e ataques internos
- 19. Desvantagens ● Implementações em geral é black box ● Não é possível atualizações e correções de bugs em hw ● Engenharia reversa nos canais de comunicações (externo) ● Atualização depende de alterações de hardware ● Cria dependência no fabricante do IC ● Side channel attack pelo barramento de comunicação interna e consumo de energia
- 20. Como utilizar em um projeto?
- 21. Microcontrolador ou chip dedicado? ● ARM Cortex-M23 ● ARM Cortex-R4 ● Xtensa ● Crypto IC ● Auth IC ● Crypto Memory Microcontrolador com segurança Chip Dedicado de Segurança
- 22. Como utilizar em um projeto ● Novo Projeto – Selecionar MCU segura – Ou IC de segurança – Solução Hibrida ● Projeto Legado com premissas – Não pode trocar MCU – Atualização somente – Recursos limitados – Seleção de IC seguro
- 23. Novo projeto Rádio WiFi BLE Etc Nova MCU Memória Sensor Atuador Secure Boot IP/Code Protection Crypto Anti-tamper TrustZone Unique ID Secure Auth Crypto Auth HW
- 24. Projeto Legado Rádio Legacy MCU Memória Sensor Atuador Crypto Auth HW Secure Auth Crypto Secure Storage
- 25. Mas isso não vai custar caro?
- 27. Comparativo entre Secure ICs
- 28. Conclusão
- 29. Concluímos que: ● Não é preciso fazer toda implementação de segurança na “unha” ● O tempo de desenvolvimento não aumenta consideravelmente ● O custo de hardware seguro não é alto ● Implementar segurança no hardware pode ser mais viável que em software/frmware