Este documento presenta una introducción al Internet de las Cosas (IoT), incluyendo definiciones, ejemplos de dispositivos IoT comunes y problemas relacionados con la privacidad y la seguridad. También resume las diez principales vulnerabilidades de seguridad de IoT según OWASP y ofrece recomendaciones para fabricantes, consumidores, desarrolladores y probadores.

1. uy.vopen.tech

2. Hacking applications that use IoT
Enrique Dutra

3. SPONSORS

4. Enrique Gustavo Dutra
✓ Socio Gerente de Punto Net Soluciones SRL
✓ MVP desde 2006, actualmente MVP Cloud and Datacenter Management
2019-2020
✓ 32 años de experiencia en Seguridad de la Información / Informática.
✓ Responsable del área de Seguridad en compañías que han tercerizado el
servicio en Punto Net Soluciones SRL.
✓ Lidera equipo que realiza unos 500 test de vulnerabilidad anuales.
✓ Miembro de IRAM Argentina, miembro del subcomité de Seguridad IT,
Evaluador Norma ISO/IEC 27005 y 27103.
✓ Instructor en CPCIPC de la ESAPI.
✓ Disertante en eventos en LATAM (ARG-UY-BRA)
✓ Lidera área Q&A de Seguridad en app moviles.

5. AGENDA
- ¿Qué es IoT?
- Amenazas a las plataformas
- Hacking básico
- Recomendaciones de OWASP 2018 IoT

6. ¿Qué es IoT?
Definimos IoT

7. ¿Qué es IoT? (Internet of Things)
✓ Es la red de objetos físicos que permite que
estos objetos se configuren, administren, usen,
recopilen e intercambien datos.
✓ Kevin Ashton definió en 1999 mientras trabajaba
en Auto-ID Labs con objetos de RFID.
✓ Se calcula que todo ser humano está rodeado, al
menos, por un total de aproximadamente 1000 a
5000 objetos.

8. ¿Dónde está IoT?
¿Problemas de estas plataformas?

9. ¿Dónde está IoT?
¡IoT está en todas partes!

10. Problemas Legales
✓ We-Vibe, transmitían información íntima como:
✓ la modalidad preferida,
✓ la duración e intensidad de su uso y
✓ la temperatura de los clientes registrados con
relación a tales juguetes sexuales.
Una verdadera BIG-DATA

11. Problemas Legales – Demandados.
✓ Case No. 1:16-cv-8655 – State
Illinois.
✓ Demandante N.P. presenta esta
demanda colectiva y demanda de
juicio por jurado contra el
Demandado Standard Innovation
(US) Corp.

12. Problemas Legales
✓ Violar la Ley de escuchas telefónicas;
✓ Estatuto de espionaje de Illinois y el negocio
fraudulento de consumidores y negocios
engañosos de Illinois
✓ Ley de Prácticas, y que constituyen Intrusión
sobre Aislamiento y Enriquecimiento Injusto;

13. Problemas Seguridad
¿Un hacker arruinando tu café?
Convirtieron la cafetera en una
máquina para minar bitcoin y usarla
como enlace para espiar a todos
los dispositivos conectados a
la misma red doméstica.

14. Problemas Seguridad

15. Problemas de Seguridad IoT
Hackeando dispositivos

16. Ventajas y Desventajas de IoT
Ventajas
• Velocidad de análisis de datos.
• Facilidad de seguimiento.
• Ahorro de tiempo.
• Ahorro de dinero.
Desventajas
• Compatibilidad.
• Complejidad.
• Privacidad.
• Seguridad.
La realidad del IoT

17. Analizar Aspectos de Privacidad y Seguridad
(AAPS)
✓ Dispositivos integrado.
✓ Firmware, software y aplicaciones.
✓ Comunicaciones por radio.

18. Analizar Aspectos de Privacidad y Seguridad
(AAPS)
✓ Dispositivos integrado.
✓ Puertos serie expuestos.
✓ Mecanismo de autenticación inseguro utilizado en los
puertos seriales.
✓ Posibilidad de volcar el firmware sobre JTAG o
mediante chips Flash.
✓ Ataques externos basados ​​en medios.
✓ Análisis de power y ataques secundarios.

19. Analizar Aspectos de Privacidad y Seguridad
(AAPS)
✓ Firmware, software y aplicaciones.
✓ Aplicaciones móviles.
✓ Dashboard sitios Web.
✓ Interfaces de redes inseguras.
✓ Firmware.

20. Analizar Aspectos de Privacidad y Seguridad
(AAPS)
✓ Comunicaciones por radio.
✓ Ataques de hombre en el medio (MiTM).
✓ Ataques basados ​​en repetición.
✓ Verificación de verificación de redundancia cíclica insegura (CRC).
✓ Ataques basados ​​en interferencias.
✓ Denegación de servicio (DoS).
✓ Falta de encriptación.
✓ Capacidad para extraer información confidencial de paquetes de
radio.
✓ Comunicación por radio en vivo intercepción y modificación.

21. Puntos vulnerables…
Aplicación
Dispositivo
Móvil
Cloud Network

22. Beneficios de un Intruso
DATOS RANSOMWARE
Eventos
maliciosos
Punto de Salto Investigar

23. Metodología de ataque a un IoT
✓ Phase 1: Reconocimiento
✓ Phase 2: Buscando vulnerabilidades
✓ Phase 3: Atacar
✓ Phase 4: Documentar acceso
✓ Phase 5: Mantener acceso

24. Metodología de ataque a un IoT
✓ Phase 1: Reconocimiento
✓ Shodan (https://www.shodan.io/)
✓ Ejemplo: Cámaras
✓ http://78.186.241.146:81/
✓ Ejemplo: Busybox
✓ Ejemplo: usando mapa
✓ Ejemplo: scada
✓ FING desde el celular.

25. Queres saber si tus dispositivos IoT
están en SHODAN?
https://iotscanner.bullguard.com/

26. Jugando con la red
✓ Phase 1: Reconocimiento
✓ Posicionarse en la misma red IP.
✓ Escanear IP´s.
✓ Usamos en el celular FING.
✓ Escanear Puertos.
✓ Usamos en el celular FING o Nmap y
buscamos puertos.

27. Jugando con el Chromecast
✓ Phase 2: Buscando vulnerabilidades
✓ Usamos OpenVas sobre la IP
✓ Revisamos vulnerabilidades.
✓ Phase 3: Atacar
✓ Usamos metasploit
✓ Usamos exploit que vulneran dispositivo.
✓ Killcast

28. Para esto que necesitamos?
1) Entrar a la red WIFI.
2) Tener las herramientas
para vulnerar (HW & SW)
3) Conocer de protocolos y
vulnerabilidades.

29. Aplicación
Dispositivo
Móvil
NetworkCloud
Puntos vulnerables…

30. Analizamos una APK
1) Caso Smart Life (SmartLife.apk)
✓ Típica aplicación para administrar IoT.
✓ Analizamos el APK com MobSF.
2) Caso We-Connect (WeVibe.apk)
✓ Aplicación para uso personal íntimo.
✓ Analizamos el APK com MobSF.

31. Recomendaciones OWASP
OWASP Internet of Things (IoT) Project

32. OWASP IoT Top 10 2018
https://azure.microsoft.com/en-us/overview/internet-of-things-iot/iot-security-cybersecurity/

33. OWASP IoT Top 10 2018
1. Contraseñas débiles, predecibles o dentro del código
2. Servicios de red inseguros
3. Ecosistema de interfaces inseguros
4. Falta de mecanismos de actualización seguros
5. Uso de componentes poco seguros o anticuados
6. Insuficiente protección a la privacidad
7. Transferencia y almacenamiento de datos de manera poco seguro
8. Falta de controles de gestión
9. Configuración poco segura por defecto
10. Falta de hardening
https://www.owasp.org/index.php/IoT_Security_Guidance
Recomendaciones para:
Manufacturer IoT Security Guidance
Consumer IoT Security Guidance
Developer IoT Security Guidance
Tester IoT Security Guidance

34. ¡Gracias!
Blog https://seguridadit.blogspot.com/
Linkedin /in/enriquedutra/
Twitter /egdutra
Mail edutra@puntonetsoluciones.com.ar