Os notebooks recebem correções todo mês, rodam proteção de endpoint e têm um responsável com nome e sobrenome. O sensor de temperatura na sala de servidores, o controlador da caldeira e a câmera sobre a área de carga e descarga muitas vezes não têm nada disso, e mesmo assim cada um deles é um pequeno computador com firmware, credenciais e uma conexão com a sua rede ou com a internet. A segurança de dispositivos IoT é o trabalho de garantir que esses pequenos computadores não possam ser usados contra você e que os dados que eles produzem cheguem só a quem devem chegar.

A maioria das melhorias é pouco glamorosa: perguntas melhores na hora da compra, uma gestão criteriosa das chaves, conexões criptografadas e uma plataforma que limita o que cada pessoa pode fazer. O restante deste artigo passa por elas na ordem em que você as encontraria, dos riscos aos padrões, aos dados e ao software que gerencia tudo isso.

O essencial

  • A segurança em IoT abrange quatro camadas: o dispositivo, a rede que ele usa, os dados que ele envia e a plataforma que o gerencia.
  • Os principais riscos são botnets, portas de entrada na rede, dados expostos ou falsificados e ações físicas disparadas por quem não deveria.
  • Novas regras, como o regime PSTI do Reino Unido e o Regulamento de Ciber-Resiliência da UE, agora impõem obrigações de segurança aos fabricantes.
  • A plataforma merece tanta atenção quanto os dispositivos, porque guarda as chaves e pode enviar comandos para todos eles.

O que é segurança em IoT?

A segurança em IoT é o conjunto de práticas e controles técnicos que protegem os dispositivos conectados, as redes pelas quais eles se comunicam, os dados que eles produzem e as plataformas que coletam esses dados e controlam os dispositivos. É um ramo da cibersegurança, mas as condições são diferentes o bastante para que os hábitos da TI de escritório não se apliquem diretamente.

Quatro diferenças explicam a maior parte da dificuldade. Muitos dispositivos simplesmente não conseguem rodar software de segurança, porque um sensor a bateria tem um processador minúsculo e um orçamento de energia medido em anos. Eles também ficam em serviço por muito tempo, muitas vezes por bem mais tempo do que o fabricante pretende dar suporte a eles. Além disso, ficam em lugares fisicamente acessíveis, como corredores, estacionamentos e salas técnicas, onde alguém pode desparafusar um invólucro. E são comprados pelas equipes de manutenção predial, operações ou engenharia com a mesma frequência que pela TI, então podem chegar sem que ninguém verifique como estão protegidos.

É por isso que a segurança de dispositivos IoT continua muito depois da compra. Ela envolve como um dispositivo é fabricado, como é configurado, para onde vão os seus dados e quem pode agir sobre ele, e cada uma dessas etapas tem o seu próprio responsável.

Quais são os riscos dos dispositivos IoT?

O exemplo mais conhecido é o Mirai. Em 2016, esse malware assumiu o controle de um grande número de câmeras e roteadores domésticos conectados à internet testando uma pequena lista embutida de nomes de usuário e senhas padrão de fábrica, e depois os usou para inundar alvos com tráfego. Um desses ataques, contra o provedor de DNS Dyn, em outubro de 2016, deixou vários sites importantes inacessíveis durante parte do dia. Os dispositivos não tinham nada de incomum; o que tinham em comum eram senhas padrão e serviços acessíveis pela internet.

Mas as botnets são só um dos riscos. A tabela abaixo lista os que importam em uma implantação empresarial, com a forma como cada um aparece e a causa por trás dele.

Risco Como aparece Causa habitual
Recrutamento para uma botnet O dispositivo envia tráfego de ataque em nome de outra pessoa Senhas padrão ou compartilhadas, serviços expostos à internet
Porta de entrada na rede Um invasor chega aos servidores por meio de um dispositivo comprometido Rede sem segmentação, firmware sem atualização
Dados expostos Leituras, vídeos ou localizações são vistos por pessoas de fora Tráfego sem criptografia, contas fracas na plataforma
Dados falsificados Leituras falsas ou reenviadas escondem um problema real Sem autenticação de mensagens nem proteção contra repetição
Ação física indesejada Um relé, uma válvula ou uma fechadura é acionado por quem não deveria Direitos amplos de comando, sem limites para o que pode ser enviado
Dispositivos abandonados Falhas conhecidas que nunca serão corrigidas Fim do suporte do fabricante, nenhum período de suporte declarado

As duas últimas linhas têm pouco equivalente na TI de escritório, onde o pior caso geralmente é a perda de dados. Com equipamentos conectados, o pior caso pode ser uma porta destrancada à noite ou uma bomba desligada. E, como os dispositivos muitas vezes duram mais do que o suporte ao seu software, um dispositivo que estava bem protegido no dia da instalação pode se tornar o ponto mais fraco do prédio alguns anos depois. Os dados falsificados são ainda mais sutis. Se as mensagens de um sensor de câmara fria pudessem ser gravadas e reenviadas, uma cópia da leitura normal de 3 °C de ontem poderia manter um dashboard com cara de tranquilidade enquanto, hoje, o compressor já parou de funcionar.

Padrões de segurança para dispositivos IoT

Durante anos, a segurança dos dispositivos foi voluntária. Isso está mudando, e os padrões que surgiram nesse meio-tempo agora dão aos compradores um vocabulário útil.

A ETSI EN 303 645, uma norma europeia publicada pela primeira vez em 2020, estabelece uma base para dispositivos IoT de consumo em 13 categorias de disposições. As três primeiras são: nada de senhas padrão universais, um canal para relatar vulnerabilidades e software sempre atualizado. Uma senha padrão universal é aquela idêntica em todas as unidades, o clássico admin/admin, que qualquer pessoa encontra em um manual. Embora tenha sido escrita para produtos de consumo, muitos compradores empresariais a usam como referência porque ela é curta e concreta.

Nos Estados Unidos, o NIST publicou em 2020 uma base essencial de capacidades dos dispositivos, a NISTIR 8259A. Ela cita seis: identificação do dispositivo, configuração do dispositivo, proteção de dados, acesso lógico às interfaces, atualização de software e consciência do estado de cibersegurança, ou seja, o dispositivo consegue informar o seu próprio estado de segurança.

A regulamentação veio em seguida. O regime de segurança de produtos do Reino Unido, previsto na lei Product Security and Telecommunications Infrastructure (PSTI), entrou em vigor em 29 de abril de 2024. Ele proíbe senhas padrão universais em produtos de consumo conectáveis, exige um canal publicado para relatar vulnerabilidades e obriga os fabricantes a declarar um período mínimo de atualizações de segurança. Na UE, o Regulamento de Ciber-Resiliência, Regulamento (UE) 2024/2847, entrou em vigor em 10 de dezembro de 2024. As obrigações de notificar vulnerabilidades ativamente exploradas se aplicam a partir de 11 de setembro de 2026, e a maioria dos demais requisitos se aplica a partir de 11 de dezembro de 2027.

Você não precisa decorar nada disso para comprar bem. Os padrões se resumem a perguntas que você pode fazer a qualquer fornecedor de dispositivos:

  1. Cada unidade sai de fábrica com uma senha ou chave exclusiva, ou obriga você a definir uma durante a configuração?
  2. Como as atualizações de firmware são entregues, e por quantos anos haverá atualizações de segurança?
  3. Existe um canal publicado para relatar vulnerabilidades, e o fornecedor informa em quanto tempo responde?
  4. Os dados são criptografados entre o dispositivo e o gateway ou servidor, e com quais chaves?
  5. As chaves são exclusivas por dispositivo, e é possível trocá-las se uma delas for exposta?
  6. Se alguém abrir o invólucro, as portas de depuração ou os segredos armazenados ficam acessíveis?

Como garantir a segurança dos dados em IoT?

Segurança de dados em IoT significa proteger leituras, imagens e localizações em todas as etapas: enquanto trafegam, enquanto estão armazenadas e quando alguém as abre. Cada etapa precisa do seu próprio controle.

Em trânsito, o próprio protocolo de rádio do dispositivo faz parte do trabalho. O LoRaWAN, um protocolo de rádio de baixo consumo comum em sensores, criptografa os payloads com AES-128 e usa chaves de sessão separadas para duas funções: uma chave de sessão de rede, que verifica a integridade de uma mensagem, e uma chave de sessão de aplicação, que criptografa o seu conteúdo. Os contadores de quadros permitem que a rede rejeite uma mensagem gravada que alguém tente reenviar. Um sensor LoRaWAN também não tem endereço IP, então não dá para encontrá-lo por varredura nem fazer login nele pela internet, como acontece com uma câmera; os pontos fracos dele são as chaves e o acesso físico à própria unidade. Dispositivos que falam IP, como câmeras e gateways, devem usar TLS com verificação de certificados, para que um dispositivo não possa ser enganado e enviar dados a um servidor impostor.

Em repouso, os dados nos servidores devem ser criptografados, e as chaves que os protegem devem ficar armazenadas separadamente dos próprios dados. A mesma disciplina vale para as chaves dos dispositivos durante a instalação. Uma planilha de chaves de dispositivos trocada por e-mail entre instaladores é um ponto fraco comum, porque qualquer pessoa que consiga o arquivo pode se passar por todos os dispositivos que estão nele.

Depois vem a minimização. Um sensor que informa a ocupação a cada minuto traça um retrato muito mais detalhado do comportamento das pessoas do que um que informa uma contagem diária. Se o caso de uso só precisa da contagem diária, configure a contagem diária, e assim o retrato detalhado nunca vai existir em lugar nenhum para ser exposto. Defina também a retenção desde o início: por quanto tempo leituras, localizações e gravações são mantidas e quem decide excluí-las.

O que abrange a segurança de plataformas IoT?

A plataforma é o software que registra os dispositivos, armazena os seus dados, executa automações e envia comandos de volta. Como ela guarda as chaves dos dispositivos, as contas de usuário e a capacidade de agir sobre todos os dispositivos ao mesmo tempo, uma fraqueza nela é pior do que uma fraqueza em qualquer sensor isolado. Por isso, a segurança de plataformas IoT abrange quem pode fazer login, o que cada conta pode ver e fazer, como as credenciais de integração são emitidas e revogadas, onde as chaves dos dispositivos ficam guardadas, como os comandos são limitados e que registros existem depois.

Uma forma de testar qualquer plataforma é simular a saída de um prestador de serviço. O ideal é que você remova uma conta e o acesso daquela pessoa aos dados, aos dispositivos e aos comandos termine ali, enquanto as credenciais que as ferramentas dela usavam podem ser substituídas uma a uma sem quebrar mais nada. Se três instaladores compartilhavam um único login, ou se uma integração roda com a senha pessoal de alguém, nada pode ser retirado de forma limpa, e depois você não vai saber quem fez o quê.

Qual é a melhor plataforma IoT para segurança de dados?

Atualizações de firmware, senhas padrão e portas de depuração são decididas pelo fabricante do dispositivo, e é por isso que as perguntas que você faz aos fornecedores de dispositivos importam tanto. A escolha da plataforma cobre tudo o que vem depois que uma leitura sai do dispositivo, e, para a segurança de dados em IoT, a melhor plataforma é aquela que permite decidir com precisão quem pode chegar às leituras, às chaves dos dispositivos e às integrações. Nesse teste, o Kilo é a melhor escolha, e três dos seus controles mostram por quê.

O acesso é definido por página, então ninguém precisa de direitos completos de administrador só para fazer uma tarefa. Cada pessoa recebe Editar, Ver ou Sem acesso em páginas como Dispositivos, Regras, Conectores e Chaves de API, e o controle de acesso baseado em atributos do Kilo também leva em conta a participação na organização e a propriedade dos recursos. Um instalador pode registrar dispositivos sem mexer na assinatura, e um gerente da unidade pode acompanhar as leituras sem conseguir alterar uma regra.

As chaves dos dispositivos vão para o Cofre de chaves em vez de uma planilha. Ele armazena as chaves dos dispositivos LoRaWAN, os EUIs e os pares de chaves, criptografados e protegidos por uma permissão de página própria, para que as pessoas que adicionam sensores consigam chegar às chaves enquanto todas as outras ficam com Sem acesso.

Quando outra ferramenta precisa dos dados, ela recebe a sua própria chave de API em vez do login de uma pessoa. Cada chave fica vinculada a uma organização e tem escopo por área, geralmente com escopos separados de leitura e de escrita. Uma chave nova não concede nada até que você selecione os escopos, pode ter data de expiração, e rotacioná-la desativa o valor antigo imediatamente. O modelo de acesso e os controles das chaves de API estão descritos em mais detalhes na visão geral de segurança em IoT do Kilo.

Perguntas frequentes sobre segurança de dispositivos IoT

Qual é a vulnerabilidade de segurança mais comum em IoT?

O OWASP IoT Top 10, publicado em 2018, coloca em primeiro lugar as senhas fracas, fáceis de adivinhar ou fixas no código. Os serviços de rede inseguros aparecem em segundo, e as interfaces inseguras do ecossistema, como as interfaces web, de nuvem e móveis em torno de um dispositivo, em terceiro.

Por quanto tempo os dispositivos IoT devem receber atualizações de segurança?

Pelo Regulamento de Ciber-Resiliência da UE, o período de suporte deve refletir o tempo de uso esperado do produto e precisa ser de pelo menos cinco anos, a menos que se espere que o produto seja usado por menos tempo. Muitos dispositivos industriais ficam instalados por mais tempo do que isso, então vale comparar o período declarado com os seus próprios planos de substituição.

Quem é responsável pela segurança dos dispositivos IoT?

Tanto o fabricante quanto o operador. Regulamentos como o de Ciber-Resiliência impõem obrigações aos fabricantes e também a importadores e distribuidores. O operador continua controlando a instalação, o posicionamento na rede, as credenciais e o descomissionamento, o que inclui restaurar as configurações de fábrica de um dispositivo removido e excluir as chaves dele da plataforma.

A segurança de dispositivos IoT inclui a segurança física?

Sim, porque muitos dispositivos ficam ao alcance do público ou de prestadores de serviço. As medidas comuns são interruptores antiviolação que avisam quando um invólucro é aberto, parafusos de segurança, instalação fora do alcance fácil e fabricantes que desativam ou bloqueiam interfaces de depuração como UART e JTAG nas unidades de produção.

Você pode configurar isso hoje no plano gratuito do Kilo, que cobre até cinco dispositivos, não pede dados de pagamento e não expira. Registre alguns sensores LoRaWAN com as chaves guardadas no Cofre de chaves em vez de em um arquivo compartilhado, dê a um colega que já tenha conta no Kilo acesso Ver à página Dispositivos e crie uma chave de API somente leitura para a ferramenta que vai buscar os dados. O diagnóstico do dispositivo então mostra se cada mensagem foi roteada, mapeada e armazenada.