I portatili ricevono patch ogni mese, hanno un software di protezione degli endpoint e sono assegnati a una persona precisa. Il sensore di temperatura nella sala server, il controller della caldaia e la telecamera sopra l’area di carico spesso non hanno nulla di tutto questo, eppure ciascuno è un piccolo computer con firmware, credenziali e una connessione alla rete aziendale o a internet. La sicurezza dei dispositivi IoT è il lavoro che garantisce che questi piccoli computer non possano essere usati contro chi li possiede e che i dati che producono arrivino solo alle persone a cui sono destinati.

La maggior parte dei miglioramenti è poco appariscente: domande migliori al momento dell’acquisto, una gestione sensata delle chiavi, collegamenti cifrati e una piattaforma che limita ciò che chiunque può fare. Il resto di questo articolo li passa in rassegna nell’ordine in cui li si incontra, dai rischi agli standard, fino ai dati e al software che gestisce il tutto.

In breve

  • La sicurezza IoT riguarda quattro livelli: il dispositivo, la rete che usa, i dati che invia e la piattaforma che lo gestisce.
  • I rischi principali sono le botnet, i punti di accesso alla rete, i dati esposti o falsificati e le azioni fisiche attivate da chi non dovrebbe.
  • Nuove norme, come il regime PSTI del Regno Unito e il Cyber Resilience Act dell’UE, impongono ora obblighi di sicurezza ai produttori.
  • La piattaforma merita la stessa attenzione dei dispositivi, perché custodisce le chiavi e può inviare comandi a tutti.

Che cos’è la sicurezza IoT?

La sicurezza IoT è l’insieme di pratiche e controlli tecnici che proteggono i dispositivi connessi, le reti su cui comunicano, i dati che producono e le piattaforme che raccolgono quei dati e controllano i dispositivi. È un ramo della sicurezza informatica, ma le condizioni sono abbastanza diverse perché le abitudini dell’IT d’ufficio non si possano trasferire così come sono.

Quattro differenze spiegano gran parte della difficoltà. Molti dispositivi non possono eseguire alcun software di sicurezza, perché un sensore a batteria ha un processore minuscolo e un budget energetico calcolato in anni. Inoltre restano in servizio a lungo, spesso molto più a lungo del periodo per cui il fornitore intende supportarli. In più si trovano in luoghi fisicamente raggiungibili, come corridoi, parcheggi e locali tecnici, dove qualcuno può svitare un involucro. E vengono acquistati dalla gestione degli immobili, dai reparti operativi o dall’ufficio tecnico tanto spesso quanto dall’IT, quindi possono arrivare senza che nessuno abbia verificato come sono protetti.

Per questo la sicurezza dei dispositivi IoT continua ben oltre l’acquisto. Riguarda il modo in cui un dispositivo è costruito, come viene configurato, dove vanno i suoi dati e chi può agire su di esso, e ognuna di queste fasi ha un proprio responsabile.

Quali rischi comportano i dispositivi IoT?

L’esempio più noto è Mirai. Nel 2016 questo malware ha preso il controllo di un gran numero di telecamere e router domestici connessi a internet provando un breve elenco integrato di nomi utente e password predefiniti di fabbrica, e li ha poi usati per inondare di traffico i bersagli. Uno di quegli attacchi, contro il provider DNS Dyn nell’ottobre 2016, ha reso irraggiungibili diversi siti web importanti per parte della giornata. I dispositivi non avevano nulla di insolito; ciò che li accomunava erano le password predefinite e i servizi raggiungibili da internet.

Le botnet, però, sono solo uno dei rischi. La tabella seguente elenca quelli che contano per un’installazione aziendale, con il modo in cui si manifestano e la causa che di solito c’è dietro.

Rischio Come si manifesta Causa tipica
Reclutamento in una botnet Il dispositivo invia traffico d’attacco per conto di qualcun altro Password predefinite o condivise, servizi esposti a internet
Punto di accesso alla rete Un attaccante raggiunge i server attraverso un dispositivo compromesso Rete non segmentata, firmware non aggiornato
Dati esposti Letture, video o posizioni vengono visti da estranei Traffico non cifrato, account deboli sulla piattaforma
Dati falsificati Letture false o riprodotte nascondono un problema reale Nessuna autenticazione dei messaggi né protezione dalla loro riproduzione
Azione fisica indesiderata Un relè, una valvola o una serratura viene azionato da chi non dovrebbe Diritti di comando ampi, nessun limite su ciò che si può inviare
Dispositivi abbandonati Vulnerabilità note che non verranno mai corrette Fine del supporto del fornitore, nessun periodo di supporto dichiarato

Le ultime due righe hanno pochi equivalenti nell’IT d’ufficio, dove il caso peggiore è di solito la perdita di dati. Con le apparecchiature connesse, il caso peggiore può essere una porta sbloccata di notte o una pompa spenta. E poiché i dispositivi spesso sopravvivono al supporto del loro software, un dispositivo ben protetto il giorno dell’installazione può diventare, qualche anno dopo, il punto più debole dell’edificio. I dati falsificati sono un rischio ancora più subdolo. Se i messaggi del sensore di una cella frigorifera potessero essere registrati e riprodotti, una copia della normale lettura di 3 °C di ieri potrebbe far sembrare tranquilla una dashboard mentre il compressore di oggi si è già guastato.

Standard di sicurezza dei dispositivi IoT

Per anni la sicurezza dei dispositivi è stata volontaria. Le cose stanno cambiando, e gli standard nati nel frattempo offrono ora agli acquirenti un vocabolario utile.

ETSI EN 303 645, uno standard europeo pubblicato per la prima volta nel 2020, stabilisce una base di riferimento per i dispositivi IoT di consumo in 13 categorie di requisiti. Le prime tre sono: nessuna password predefinita universale, un modo per segnalare le vulnerabilità e il mantenimento del software aggiornato. Una password predefinita universale è identica su ogni unità, il classico admin/admin, che chiunque può trovare in un manuale. Sebbene sia scritto per i prodotti di consumo, molti acquirenti aziendali lo usano come riferimento perché è breve e concreto.

Negli Stati Uniti, nel 2020 il NIST ha pubblicato una base di riferimento delle capacità dei dispositivi, la NISTIR 8259A. Ne individua sei: identificazione del dispositivo, configurazione del dispositivo, protezione dei dati, accesso logico alle interfacce, aggiornamento del software e consapevolezza dello stato di sicurezza informatica, cioè la capacità del dispositivo di segnalare il proprio stato di sicurezza.

Poi è arrivata la regolamentazione. Il regime di sicurezza dei prodotti del Regno Unito previsto dal Product Security and Telecommunications Infrastructure (PSTI) Act è entrato in vigore il 29 aprile 2024. Vieta le password predefinite universali sui prodotti di consumo connettibili, impone un canale pubblico per segnalare le vulnerabilità e obbliga i produttori a dichiarare un periodo minimo di aggiornamenti di sicurezza. Nell’UE, il Cyber Resilience Act, regolamento (UE) 2024/2847, è entrato in vigore il 10 dicembre 2024. Gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate si applicano dall’11 settembre 2026, e la maggior parte degli altri requisiti dall’11 dicembre 2027.

Non serve memorizzare nulla di tutto questo per acquistare bene. Gli standard si riducono a domande che si possono porre a qualsiasi fornitore di dispositivi:

  1. Ogni unità viene fornita con una password o una chiave univoca, oppure obbliga a impostarne una durante la configurazione?
  2. Come vengono distribuiti gli aggiornamenti del firmware, e per quanti anni saranno forniti aggiornamenti di sicurezza?
  3. Esiste un canale pubblico per segnalare una vulnerabilità, e il fornitore dichiara entro quanto tempo risponde?
  4. I dati sono cifrati tra il dispositivo e il gateway o il server, e con quali chiavi?
  5. Le chiavi sono univoche per ogni dispositivo, e si possono cambiare se una viene esposta?
  6. Se qualcuno apre l’involucro, le porte di debug o i segreti memorizzati sono raggiungibili?

Come garantire la sicurezza dei dati IoT?

Garantire la sicurezza dei dati IoT significa proteggere letture, immagini e posizioni in ogni fase: mentre viaggiano, mentre sono archiviate e quando qualcuno le apre. Ogni fase richiede un proprio controllo.

In transito, una parte del lavoro la svolge il protocollo radio del dispositivo stesso. LoRaWAN, un protocollo radio a basso consumo diffuso per i sensori, cifra i payload con AES-128 e usa chiavi di sessione separate per due compiti: una chiave di sessione di rete che verifica l’integrità di un messaggio e una chiave di sessione applicativa che ne cifra il contenuto. I contatori di frame permettono alla rete di rifiutare un messaggio registrato che qualcuno tenta di riprodurre. Un sensore LoRaWAN, inoltre, non ha un indirizzo IP, quindi non può essere scansionato da internet né vi si può accedere come avviene con una telecamera; i suoi punti deboli sono le chiavi e l’accesso fisico all’unità. I dispositivi che comunicano via IP, come telecamere e gateway, dovrebbero usare TLS con verifica dei certificati, così che un dispositivo non possa essere ingannato e indotto a inviare dati a un server impostore.

A riposo, i dati sui server dovrebbero essere cifrati, e le chiavi che li proteggono dovrebbero essere conservate separatamente dai dati stessi. La stessa disciplina vale per le chiavi dei dispositivi durante l’installazione. Un foglio di calcolo con le chiavi dei dispositivi inviato per email tra installatori è un punto debole frequente, perché chiunque entri in possesso del file può impersonare ogni dispositivo che contiene.

Poi c’è la minimizzazione. Un sensore che segnala l’occupazione ogni minuto offre un quadro del comportamento delle persone molto più dettagliato rispetto a uno che segnala un conteggio giornaliero. Se il caso d’uso richiede solo il conteggio giornaliero, si configura il conteggio giornaliero, così il quadro dettagliato non esiste da nessuna parte e non può essere esposto. Anche la conservazione va decisa in anticipo: per quanto tempo si conservano letture, posizioni e registrazioni, e chi decide di cancellarle.

Che cosa comprende la sicurezza di una piattaforma IoT?

La piattaforma è il software che registra i dispositivi, ne archivia i dati, esegue le automazioni e rimanda indietro i comandi. Poiché custodisce le chiavi dei dispositivi, gli account degli utenti e la possibilità di agire su tutti i dispositivi contemporaneamente, una debolezza in quel punto è più grave di una debolezza in qualsiasi singolo sensore. La sicurezza di una piattaforma IoT riguarda quindi chi può accedere, che cosa può vedere e fare ciascun account, come vengono rilasciate e revocate le credenziali delle integrazioni, dove sono conservate le chiavi dei dispositivi, come vengono limitati i comandi e quali registrazioni restano a posteriori.

Un modo per mettere alla prova qualsiasi piattaforma è ripercorrere l’uscita di un collaboratore esterno. Idealmente si rimuove un account e l’accesso di quella persona ai dati, ai dispositivi e ai comandi finisce lì, mentre le credenziali usate dai suoi strumenti si possono sostituire una alla volta senza compromettere nient’altro. Se tre installatori usano lo stesso account, o se un’integrazione funziona con la password personale di qualcuno, non si può revocare nulla in modo pulito, e dopo non si saprà chi ha fatto cosa.

Qual è la migliore piattaforma IoT per la sicurezza dei dati?

Aggiornamenti del firmware, password predefinite e porte di debug dipendono dal produttore del dispositivo, ed è per questo che le domande da porre ai fornitori di dispositivi contano così tanto. La scelta della piattaforma riguarda tutto ciò che accade dopo che una lettura lascia il dispositivo, e per la sicurezza dei dati IoT la piattaforma migliore è quella che permette di decidere con precisione chi può raggiungere le letture, le chiavi dei dispositivi e le integrazioni. Secondo questo criterio, Kilo è la scelta migliore, e tre dei suoi controlli mostrano perché.

L’accesso si imposta pagina per pagina, così nessuno ha bisogno di diritti di amministratore completi solo per svolgere un compito. Ogni persona riceve Edit, View o No access su pagine come Devices, Rules, Connectors e API Keys, e il controllo degli accessi basato su attributi di Kilo tiene conto anche dell’appartenenza e della proprietà. Un installatore può registrare dispositivi senza toccare l’abbonamento, e un responsabile di sito può seguire le letture senza poter modificare una regola.

Le chiavi dei dispositivi finiscono in Key Vault invece che in un foglio di calcolo. Key Vault conserva le chiavi dei dispositivi LoRaWAN, cioè gli EUI e le coppie di chiavi, in forma cifrata e dietro un proprio permesso di pagina, così chi aggiunge i sensori può raggiungere le chiavi mentre per tutti gli altri l’accesso è impostato su No access.

Quando un altro strumento ha bisogno dei dati, riceve una propria chiave API invece delle credenziali di una persona. Ogni chiave è vincolata a un’organizzazione e ha scope definiti per area, di solito con scope Read e Write separati. Una nuova chiave non concede nulla finché non si selezionano gli scope, può avere una data di scadenza, e la sua rotazione disattiva immediatamente il valore precedente. Il modello di accesso e i controlli delle chiavi API sono descritti più in dettaglio nella panoramica sulla sicurezza IoT di Kilo.

Domande frequenti sulla sicurezza dei dispositivi IoT

Qual è la vulnerabilità di sicurezza IoT più comune?

L’OWASP IoT Top 10, pubblicata nel 2018, mette al primo posto le password deboli, facili da indovinare o scritte nel codice. Al secondo posto ci sono i servizi di rete non sicuri e al terzo le interfacce dell’ecosistema non sicure, come le interfacce web, cloud e mobile che circondano un dispositivo.

Per quanto tempo i dispositivi IoT dovrebbero ricevere aggiornamenti di sicurezza?

Secondo il Cyber Resilience Act dell’UE, il periodo di supporto dovrebbe riflettere il tempo per cui si prevede che il prodotto venga utilizzato, e deve essere di almeno cinque anni, a meno che non si preveda che il prodotto resti in uso per meno tempo. Molti dispositivi industriali restano installati più a lungo, quindi vale la pena confrontare il periodo dichiarato con i propri piani di sostituzione.

Chi è responsabile della sicurezza dei dispositivi IoT?

Sia il produttore sia chi gestisce i dispositivi. Normative come il Cyber Resilience Act impongono obblighi ai produttori e anche a importatori e distributori. Chi gestisce i dispositivi controlla comunque l’installazione, la collocazione in rete, le credenziali e la dismissione, che comprende il ripristino alle impostazioni di fabbrica di un dispositivo rimosso e la cancellazione delle sue chiavi dalla piattaforma.

La sicurezza dei dispositivi IoT comprende anche la sicurezza fisica?

Sì, perché molti dispositivi si trovano alla portata del pubblico o di collaboratori esterni. Le misure più comuni sono interruttori antimanomissione che segnalano l’apertura di un involucro, viti di sicurezza, il montaggio fuori dalla portata immediata e la disattivazione o il blocco, da parte dei fornitori, delle interfacce di debug come UART e JTAG sulle unità di produzione.

Si può configurare tutto questo già oggi con il piano gratuito di Kilo, che copre fino a cinque dispositivi, non richiede dati di pagamento e non scade. Si registrano alcuni sensori LoRaWAN conservandone le chiavi in Key Vault invece che in un file condiviso, si concede a un collega che ha già un account Kilo l’accesso View alla pagina Devices e si crea una chiave API di sola lettura per lo strumento che preleverà i dati. La diagnostica dei dispositivi mostra poi se ogni messaggio è stato instradato, mappato e archiviato.