Presentación del Top 10 IoT de OWASP en la Hack&Beers Sevilla vol.2. Ramón Salado (@ramon_salado) y Juanjo Domenech (@juanjodomenech)

1. #HBsevilla @OWASP_Sevilla

2. #HBsevilla @OWASP_Sevilla
@juanjodomenech @ramon_salado

3. OWASP
• Open Web Application Security Project
– Sin fines de lucro, organización de voluntarios
• Todos los miembros son voluntarios
• Todo el trabajo es donado por los patrocinadores
– Proporcionar recursos gratuitos para la comunidad
• Publicaciones, artículos, normas
• Software de Testeo y Capacitación
• Capítulos locales & Listas de correo
– Soportada a través de patrocinios
• Apoyo financiero a través de empresas o patrocinadores
• Patrocinios personales de los miembros
#HBsevilla @OWASP_Sevilla

4. OWASP
• Open Web Application Security Project
– Promueve el desarrollo de software seguro
– Orientada a la prestación de servicios orientados a la Web y
Mobile
– Se centra principalmente en el "back-end" más que en
cuestiones de diseño
– Un foro abierto para el debate
– Un recurso gratuito para cualquier equipo de desarrollo de
software
#HBsevilla @OWASP_Sevilla

5. OWASP, proyectos
#HBsevilla @OWASP_Sevilla
…

6. OWASP Sevilla
• 1 año, 8 eventos, 24 asistentes de media {8-68}
• Proyectos
o Traducción Guía de Testing de OWASP
o Bolsa de Trabajo
o Punto de encuentro Universidades/IES y Centros de Trabajo
o Incubadora
o HackerSpace
o Participación en Comunidades de Desarrollo de Sevilla
#HBsevilla @OWASP_Sevilla

7. OWASP Sevilla
#HBsevilla @OWASP_Sevilla

8. OWASP Sevilla
@OWASP_Sevilla
Grupo OWASP Sevilla
Wiki OWASP Sevilla:
https://www.owasp.org/index.php/Sevilla
Canal OWASP Sevilla:
https://inversal.slack.com
#HBsevilla @OWASP_Sevilla

9. ¿Qué es IOT?
#HBsevilla @OWASP_Sevilla

10. ¿Qué es IOT?
#HBsevilla @OWASP_Sevilla

11. Problema actual de la Seguridad en IOT
REDES • Servicios, Encriptación, Firewall, …
#HBsevilla @OWASP_Sevilla

12. Problema actual de la Seguridad en IOT
REDES • Servicios, Encriptación, Firewall, …
APLICACIONES • authN, authZ, validación inputs, …
#HBsevilla @OWASP_Sevilla

13. Problema actual de la Seguridad en IOT
REDES • Servicios, Encriptación, Firewall, …
APLICACIONES • authN, authZ, validación inputs, …
MÓVIL • APIs inseguras ,capa encriptación,
…
#HBsevilla @OWASP_Sevilla

14. Problema actual de la Seguridad en IOT
REDES • Servicios, Encriptación, Firewall, …
APLICACIONES • authN, authZ, validación inputs, …
MÓVIL • APIs inseguras, capa encriptación,
…
CLOUD • AuthSessionAccess, …
#HBsevilla @OWASP_Sevilla

15. Problema actual de la Seguridad en IOT
REDES • Servicios, Encriptación, Firewall, …
APLICACIONES • authN, authZ, validación inputs, …
MÓVIL • APIs inseguras, capa cifrado, …
CLOUD • AuthSessionAccess, …
IOT • Red + App + Móvil + Cloud
#HBsevilla @OWASP_Sevilla

16. Gartner says 4.9 billion connected
“things” will be in use in 2015,
gartner.com/newsroom/id/2905717
Gartner, Inc. Forecasts that 4.9 billion
connected things will be in use in
2015, up 30 percent from 2014, and
will reach 25 billion by 2020.
Evolución IOT
#HBsevilla @OWASP_Sevilla

17. Evolución IOT
Gartners Hype Cycle 2015#HBsevilla

18. 10/10 Permite ‘123456’
10/10 No Bloquea
10/10 Permite Enumeración de Usuarios
9/10 no tiene Doble Factor de Autenticación
8/10 Recoge Información Personal
7/10 no usa Cifrado
6/10 Interfaces Vulnerables a XSS/SQLi
SSH a la Escucha
Video Streaming sin Autenticación
Ausencia total de Actualizaciones
4AA5-7342ENW, March 2015
How safe are home security systems?
An HP study on IoT security
¿Cómo son de seguros los sistemas IOT?
#HBsevilla

19. #HBsevilla @OWASP_Sevilla

20. Internet of Things Top Ten Project
#HBsevilla @OWASP_Sevilla

21. #HBsevilla @OWASP_Sevilla

22. #HBsevilla @OWASP_Sevilla

23. #HBsevilla @OWASP_Sevilla

24. #HBsevilla @OWASP_Sevilla

25. #HBsevilla @OWASP_Sevilla

26. #HBsevilla @OWASP_Sevilla

27. #HBsevilla @OWASP_Sevilla

28. #HBsevilla @OWASP_Sevilla

29. #HBsevilla @OWASP_Sevilla

30. #HBsevilla @OWASP_Sevilla

31. ZONA DE DEMO
#HBsevilla @OWASP_Sevilla

32. #HBsevilla @OWASP_Sevilla

33. #HBsevilla @OWASP_Sevilla

34. #HBsevilla @OWASP_Sevilla

35. #HBsevilla @OWASP_Sevilla
Based on years of Industry
Experience it’s ready to run right out of
the box, simply assign the IP address
and connect to the embedded web
server. sensorProbe2 has been field-
proven with versatile measurement
options. It can be configured to
prevent specific kinds of exposure
to humidity, water leakage, gas,
airflow and low / high temperature,
etc.
SNMP temperature & humidity sensors

36. #HBsevilla @OWASP_Sevilla

37. #HBsevilla @OWASP_Sevilla

38. #HBsevilla @OWASP_Sevilla

39. #HBsevilla @OWASP_Sevilla
BtleJuice Framework

40. #HBsevilla @OWASP_Sevilla

41. #HBsevilla @OWASP_Sevilla

42. #HBsevilla @OWASP_Sevilla