Do chip à nuvem: segurança ponta a ponta para sua solução de IoT

Com a Internet das Coisas (IoT) abrindo novas possibilidades, as organizações estão descobrindo maneiras inovadoras de oferecer bens e serviços, mas também se deparando com novos desafios de segurança. Para que seja possível gravar, consumir, armazenar e transportar dados de forma segura, é fundamental entender quais são as implicações de segurança, especialmente na fase de desenvolvimento de um projeto de IoT.

Para conversar sobre isso, o podcast Cloud Talk recebeu Gary Alterson, vice-presidente de serviços de segurança, e Amir Kashani, vice-presidente de soluções de IoT e desenvolvimento nativo da nuvem da Rackspace Technology®. No bate-papo com o evangelista de tecnologia e anfitrião Jeff DeVerter, eles contaram como as soluções de IoT podem ser protegidas.

Este episódio aborda os seguintes temas:

- Melhores práticas para proteger aplicativos de IoT num ambiente de nuvem pública
- O papel da autenticação de dispositivos, do gerenciamento de identidade e da criptografia de comunicações
- A importância de determinar vulnerabilidades e testar caminhos de comunicação
- Considerações de segurança a serem feitas durante toda a vida de um projeto de IoT
- Como proteger hardware e software em uma iniciativa de IoT

"As organizações precisam levar em conta a segurança da IoT de duas maneiras”, disse Gary. “A primeira é garantir que os fabricantes de equipamentos e o aplicativo sigam boas práticas de segurança. A segunda é estratificar controles de segurança para proteger a tecnologia crítica com uma estratégia de defesa em profundidade. Precisa ser uma solução de segurança chip-to-cloud, pois qualquer etapa na cadeia de valor pode ser exposta."

Parte desse esquema integral de segurança envolve proteger as comunicações, conforme explicado por Amir: "Não queremos deixar a comunicação aberta para que alguém possa bisbilhotar, então é fundamental ter criptografia ponta a ponta. Isso pode ser difícil, pois os dispositivos de IoT são limitados em recursos. Os métodos tradicionais de criptografia para aplicativos ou nuvem não são aplicáveis. É necessário criatividade para proteger as comunicações. Mas a criatividade está em falta, e isso contribui para que haja tantas violações de segurança em dispositivos de IoT. Ao longo dos anos, as pessoas têm tomado atalhos, pois proteger as comunicações é desafiador."

Todo dispositivo requer protocolos de segurança — até mesmo os controles termostáticos de uma piscina residencial. "Talvez pareça uma atividade de baixo risco", comentou Amir. "Porém, se a piscina for sua, cria-se um problemão se alguém aumentar sua conta de gás ou invadir a rede da sua casa. É um pouco assustador, mas não é tão difícil de corrigir se a segurança for levada em conta desde o início."

Gary explicou como a modelagem de ameaças pode ser usada para incorporar segurança desde a concepção do projeto. "Para levar em consideração todas as formas que alguém teria de fazer algo danoso, é útil observar pela perspectiva do oponente. Pense nas maneiras possíveis de os dispositivos serem indevidamente utilizados."

Talvez sejam identificadas vulnerabilidades de segurança assim que o aplicativo de IoT for implantado. "Temos visto muitas organizações que não conseguem atualizar os dispositivos de IoT quando encontram uma vulnerabilidade", disse Gary. "As organizações que praticam corretamente a segurança conseguem atualizar o firmware do dispositivo para corrigir as vulnerabilidades. Elas têm práticas estratégicas de segurança, mas reconhecem que vão ocorrer erros."

Amir explicou porque ter acesso remoto é de extrema importância quando se identifica uma vulnerabilidade de segurança. "Pode parecer contraintuitivo, mas, se você protegeu a comunicação entre o dispositivo e a nuvem, consegue autenticar de forma confiável ambas as extremidades sem deixar entrar nenhum terceiro mal-intencionado."

A segurança não foi o único assunto da conversa. Amir também explicou como a Rackspace Technology ajudou a empresa de consultoria Century Engineering a gerenciar águas pluviais e proteger a ecologia local. Tradicionalmente, após uma tempestade, a água era lançada em lagoas para evitar inundações. Porém, para a vida selvagem, é melhor que a água seja retida até esfriar. Construiu-se então um dispositivo que monitora o nível da água da lagoa, emparelhado com as previsões meteorológicas locais. "Estamos adicionando esse nível extra de tecnologia para beneficiar o meio ambiente", disse Amir.

Sobre o tema dispositivos, Amir terminou com o seguinte conselho: "Não tenha receio de se mover de forma lenta e deliberada. A agilidade do mundo faz a gente querer se movimentar rápido. Mas, quando estiver lidando com hardware, seja deliberado, porque uma vez lançado, é difícil voltar atrás. Teste os dispositivos e verifique se está obtendo os dados e o valor esperados."