Michael Richardson sobre segurança de dispositivos IoT na RIPE89

Michael Richardson sobre segurança de dispositivos IoT na RIPE89 é perfilado pela BTW Media porque evidências publicadas o vinculam à infraestrutura da internet, governança, dependências operacionais ou visibilidade de mercado.

• As atualizações de segurança de IoT são frequentemente negligenciadas, criando vulnerabilidades.
• Padrões como o SUIT e esforços regulatórios visam aumentar a segurança da IoT.
• A cooperação entre consumidores e reguladores é crucial para uma segurança eficaz.

Introdução

Michael Richardsoné o Cientista Chefe da Sandelman Software Works, com mais de 28 anos de experiência em consultoria de arquitetura de redes e sistemas. Seu trabalho se concentra na arquitetura de segurança como parte da engenharia de desempenho de sistemas integrados. Ele também é membro da IETF (Internet Engineering Task Force), onde co-preside o grupo de trabalho Routing over Low-power and Lossy Networks (ROLL). Ele atua na área de segurança, especificamente em IPsec, BTNS e vários grupos de trabalho de autenticação, e é autor das RFC4025 e RFC4322.

Então, o maior problema, na minha opinião, é que não somos realmente donos de nossos dispositivos.

Michael Richardson, Cientista Chefe da Sandelman Software Works

As atualizações de segurança da IoT continuam sendo um elo fraco

Muitos dispositivos da Internet das Coisas (IoT)carecem de um mecanismo confiávelpara atualizações de segurança, o que é uma vulnerabilidade grave. Michael Richardson, especialista em padrões e segurança de IoT, destacou que, apesar da importância de manter o software atualizado, os fabricantes muitas vezes hesitam em implementar atualizações automáticas devido a preocupações com as configurações do usuário e a estabilidade do dispositivo. Essa relutância decorre do medo de que as alterações de firmware possam interromper a funcionalidade do dispositivo ou incomodar os usuários, levando à insatisfação do consumidor. Como resultado, muitos dispositivos permanecem desatualizados e suscetíveis a ataques cibernéticos.

Leia também: Sateliot expande constelação de satélites 5G NB-IoT

Richardson apontou padrões emergentes, como o SUIT (Software Updates for Internet of Things) da IETF, que visam tornar o processo de atualização mais confiável e reduzir os riscos associados a firmware desatualizado. O SUIT fornece uma estrutura para fornecer atualizações de software de forma segura, garantindo que os dispositivos estejam protegidos contra vulnerabilidades conhecidas. Ao adotar esses padrões, os fabricantes podem ajudar a garantir que os dispositivos IoT permaneçam funcionais e seguros durante toda a sua vida útil.

Leia também: RIPE 89 começa em Praga: Destaques dos Dias 1 a 3

No entanto, a falta de conscientização do consumidor agrava ainda mais o problema. Muitos usuários desconhecem a necessidade de manter seus dispositivos atualizados ou não possuem o conhecimento técnico para fazê-lo. Isso cria uma lacuna que os cibercriminosos podem explorar, destacando a necessidade de os fabricantes criarem mecanismos de atualização amigáveis e educarem os consumidores sobre a importância da segurança. A colaboração entre órgãos de padronização, fabricantes e usuários é fundamental para estabelecer um ecossistema de segurança de IoT mais robusto.

Esforços regulatórios e impacto

Em várias regiões, os governos estão intervindo para enfrentar os desafios de segurança da IoT. Por exemplo, o Reino Unido determinou que as atualizações devem estar disponíveis por um período especificado, pressionando os fabricantes a cumprir os padrões básicos de segurança. Esta regulamentação entrou em vigor em abril deste ano, exigindo que todos os dispositivos IoT garantam a disponibilidade de atualizações. Garantir o suporte contínuo aos dispositivos é crucial, especialmente porque eles são frequentemente usados por anos além da compra inicial.

Da mesma forma, a Califórnia está considerando implementar uma diretiva semelhante, embora seu cronograma de aplicação ainda não esteja claro. O ambiente regulatório ainda está evoluindo, mas Richardson acredita que essas medidas estão indo na direção certa. Ele destacou que, embora essas exigências possam levar ao aumento do lixo eletrônico, são necessárias para obrigar os fabricantes a manter os padrões de segurança. Apesar dessa desvantagem, priorizar a segurança do consumidor e a proteção de dados vale o custo.

Estas regulamentações visam estabelecer um precedente para o setor. Ao aplicar essas medidas, os governos estão enviando uma mensagem clara de que a segurança não deve ser uma reflexão tardia no desenvolvimento da IoT. Isso pode levar a uma mudança na forma como os fabricantes abordam o design de produtos, concentrando-se em incorporar a segurança ao núcleo de seus dispositivos. Richardson também mencionou que esses esforços só seriam eficazes se apoiados por fiscalização rigorosa e penalidades por não conformidade.

Equilibrando privacidade e segurança do consumidor

Um dos principais problemas discutidos por Richardson é a monetização dos dados do usuário pelos fabricantes de IoT. As empresas costumam usar modelos de negócios baseados em vigilância para gerar receita recorrente, o que introduz riscos adicionais de privacidade e segurança. O uso de dispositivos conectados para coletar e monetizar dados pessoais permite que as empresas subsidiem os custos dos dispositivos ou gerem renda contínua após a venda. No entanto, esse modelo de negócios frequentemente entra em conflito com o direito à privacidade dos usuários.

Leia também: Explorando projetos de IoT: aplicações inovadoras e benefícios

Os consumidores precisam decidir se estão dispostos a pagar por uma assinatura para manter a segurança do dispositivo ou permitir que os fabricantes monetizem seus dados. Richardson enfatizou que a falta de transparência complica a situação, já que muitos consumidores desconhecem como seus dados são usados. A introdução de modelos de assinatura para atualizações de segurança poderia oferecer uma solução, mas impõe encargos financeiros adicionais aos consumidores, levantando questões sobre a acessibilidade de dispositivos IoT seguros.

Leia também: Soluções de IoT: Transformando indústrias e melhorando vidas

Richardson destacou a importância da verdadeira propriedade do dispositivo e do direito ao reparo. Quando os consumidores têm o direito de reparar seus dispositivos, eles podem garantir que seus dispositivos permaneçam operacionais sem depender totalmente do fabricante. Essa abordagem empodera os consumidores, alinha seus interesses com os dos fabricantes e, por fim, melhora a segurança da IoT. A verdadeira propriedade também permite que os consumidores tomem decisões sobre as configurações de privacidade de seus dispositivos, reduzindo sua dependência dos fabricantes para atualizações e limitando as oportunidades de monetização de dados.

Considerações finais

A entrevista terminou com uma discussão sobre o futuro da segurança da IoT. Richardson observou que medidas regulatórias, padrões aprimorados e educação do usuário são todos componentes necessários para abordar efetivamente as vulnerabilidades de segurança da IoT. Ele reiterou que o esforço colaborativo das partes interessadas — incluindo governos, fabricantes e consumidores — seria necessário para criar um cenário de IoT mais seguro. As medidas regulatórias responsabilizam os fabricantes, enquanto os padrões fornecem uma base para atualizações seguras e gerenciamento de dispositivos.

Richardson também discutiu o papel da educação na promoção de uma base de consumidores conscientes da segurança. Muitos usuários desconhecem as ameaças potenciais representadas por vulnerabilidades não corrigidas em seus dispositivos IoT. Ao aumentar a conscientização e fornecer orientações claras, fabricantes e reguladores podem ajudar a preencher essa lacuna de conhecimento. A educação do usuário é essencial para reduzir os riscos de segurança, pois consumidores informados são mais propensos a tomar medidas proativas para proteger seus dispositivos.