05 - Segurança em IoT
video: https://youtu.be/... no frontmatter da nota.Segurança em IoT (Internet das Coisas)
1. Visão Geral
A Internet das Coisas (IoT) conecta bilhões de dispositivos físicos — sensores, atuadores, câmeras, termostatos, trancas, eletrodomésticos, equipamentos industriais e veículos — à rede IP. Essa explosão de endpoints transformou profundamente o panorama de segurança: enquanto um data center tradicional tem alguns milhares de ativos monitorados, uma implantação IoT pode ter milhões de dispositivos heterogêneos, fisicamente expostos, com recursos computacionais limitados e ciclos de vida longos (10 a 25 anos).
A IoT inverte a relação tradicional asset surface / control capability: a superfície de ataque explode enquanto a capacidade de aplicar controles por dispositivo diminui. Por isso, segurança em IoT exige abordagens distintas das usadas em TI convencional.
2. OWASP IoT Top 10 (2018 / atualização 2023)
A OWASP mantém um Top 10 de riscos em IoT, atualizado em 2023:
| # | Risco | Descrição |
|---|---|---|
| 1 | Senhas fracas e hard-coded | Credenciais default não alteradas (admin/admin), fábrica não força troca |
| 2 | Interfaces de rede inseguras | Serviços expostos (Telnet, FTP, HTTP sem TLS), ausência de rate limiting |
| 3 | Ecossistema inseguro | APIs mobile e cloud expostas, dependências vulneráveis |
| 4 | Falta de mecanismo de atualização segura | Sem signature, sem rollback, dispositivos sem patch por anos |
| 5 | Uso de componentes inseguros | Bibliotecas desatualizadas (OpenSSL antigo, BusyBox com CVEs conhecidos) |
| 6 | Privacidade insuficiente | Dados pessoais coletados sem consentimento, sem criptografia em repouso |
| 7 | Transferência e armazenamento de dados inseguros | Tráfego em texto puro, chaves em filesystem comum |
| 8 | Gestão deficiente de dispositivos | Sem inventário, sem asset management, sem monitoramento de integridade |
| 9 | Configuração padrão insegura | UPnP habilitado, depuradores (UART/JTAG) expostos, serviços desnecessários |
| 10 | Falta de hardening físico | Portas UART/JTAG acessíveis, reset por botão sem proteção |
3. Casos Históricos de Ataques em Escala
3.1. Mirai Botnet (2016)
O malware Mirai explorou câmeras IP e DVRs com credenciais default (60 combinações). Em pico, comprometeu 600 mil dispositivos e usou-os para o DDoS que derrubou Dyn, afectando Twitter, Netflix, Reddit, GitHub e Spotify. A lição: dispositivos IoT são army silencioso esperando para ser recrutado.
3.2. VPNFilter (2018)
Attribuído ao grupo APT28 (Fancy Bear), VPNFilter infectou 500 mil roteadores e NAS. Capacidades incluíam sniffing de SCADA, kill switch para derrubar dispositivos remotamente e firmware bricking. Demonstrou que IoT é alvo de APTs patrocinados por Estado.
3.3. Stuxnet (2010)
Embora anterior ao termo IoT, foi o primeiro worm deificação conhecido a atacar controladores industriais (Siemens S7-300) via Pen USB, modificando código de centrifugas nucleares iranianas. Marco histórico da segurança em OT (Operational Technology).
3.4. Triton/Trisis (2017)
Atacou sistemas Safety Instrumented (SIS) da Schneider Electric em uma refinaria saudita. Pela primeira vez, malware buscou desabilitar sistemas de segurança físicos, com potencial para explosões e mortes.
4. Características Técnicas que Dificultam a Segurança
| Característica | Impacto em Segurança |
|---|---|
| Recursos limitados (CPU, RAM, bateria) | Impossibilita TLS completo, EDR, antivírus |
| Heterogeneidade de SOs | Fragmentação: RTOS (FreeRTOS, Zephyr), Linux embarcado, microcontroladores bare-metal |
| Ciclo de vida longo (10-25 anos) | Hardware fica obsoleto enquanto expoções novas surgem |
| Conectividade intermitente | Impossibilita pull de patches; exige push assíncrono |
| Exposição física | Sensores em campo podem ser roubados, substituídos, glitched |
| Ausência de teclado/display | Sem UI para configurar credenciais, exige provisionamento remoto |
5. Estratégias de Defesa
5.1. Secure by Design
- Secure Boot: Cadeia de confiança desde o bootloader; apenas firmware assinado pela fabricante é carregado.
- Hardware Root of Trust: TPM, secure element (Microchip ATECC608, NXP EdgeLock), ou eSIM para armazenar chaves.
- Memory Protection Unit (MPU): Em MCUs, isola tarefas críticas de tarefas user.
- Code signing obrigatório: Para OTA, assinatura ECDSA ou Ed25519; rejeição automática de imagens não assinadas.
5.2. Identidade por Dispositivo
Cada dispositivo deve ter identidade única — não uma senha compartilhada. Padrões:
- X.509 certificates emitidos durante fabricação (Device Provisioning Service da Azure IoT, AWS IoT Core).
- Device Attestation via TPM/Secure Element.
- Rotatividade de chaves automática, com certificado válido por 1 ano no máximo.
5.3. Comunicação Segura
| Protocolo | Uso | Recomendação de Segurança |
|---|---|---|
| MQTT | Pub/sub leve | TLS 1.3 + autenticação mútua de certificados |
| CoAP | REST sobre UDP | DTLS 1.2 ou OSCORE |
| HTTPS | API cloud | TLS 1.3 + HSTS + certificado público |
| LwM2M | Gerência de dispositivos | DTLS ou OSCORE |
| OPC-UA | Industrial | Security Policy Basic256Sha256 |
5.4. Atualização OTA (Over-the-Air)
Estratégias para garantir OTA seguro:
- A/B partitions: Mantém dois slots; update no inativo, boot no novo, rollback automático se houver falha.
- Assinatura e hashing: Imagem assinada (Ed25519/ECDSA), hash SHA-256 verificado antes de aplicar.
- Throttling / canary release: Atualiza 1% dos dispositivos, monitora, expande gradualmente.
- Delta updates: Envia apenas diff, economizando banda (importante para LPWAN).
5.5. Segmentação de Rede
Dispositivos IoT nunca devem compartilhar VLAN com estações corporativas. Padrão recomendado:
| VLAN | Função | Acesso |
|---|---|---|
| IoT-Cameras | CFTV | Saída apenas para servidor NVR, sem Internet |
| IoT-Sensores | Sensores ambientais | Saída apenas para gateway MQTT |
| IoT-Industrial | CLP / SCADA | Sem Internet; firewall OT/IT (Purdue Model) |
| IoT-Usuarios | Wearables, assistentes | Acesso restrito à Internet |
Recomenda-se microssegmentação via SDN e firewall L7 capaz de inspecionar protocolos IoT (ex: Claroty, Nozomi, Fortinet OT).
5.6. Gestão de Ciclo de Vida (IoT Lifecycle)
| Fase | Atividade | Controle de Segurança |
|---|---|---|
| Fabricação | Provisionamento de chaves | HSM na fábrica; key injection auditável |
| Implantação | Onboarding | DPS, zero-touch provisioning |
| Operação | Monitoramento | Device shadow, health-check, attestation periódico |
| Manutenção | Patches OTA | A/B partition, rollback |
| Aposentadoria | Decommissioning | Wipe criptográfico, revogação de certificado, reciclagem segura |
6. Frameworks e Normas
| Norma | Origem | Aplicação |
|---|---|---|
| IEC 62443 | International | Segurança em automação industrial e SCADA |
| NIST SP 800-213 | EUA | Guidance para dispositivos IoT em ambientes federais |
| ETSI EN 303 645 | Europa | Padrão de segurança para IoT consumer |
| ENISA Baseline Security Recommendations | EU | Recomendações para IoT |
| California SB-327 | EUA | Proíbe senhas default em dispositivos IoT vendidos na Califórnia |
| UK PSTI Act 2024 | Reino Unido | Proíbe senhas default; exige política de divulgação de vulnerabilidades |
| ANATEL Resolução 715 | Brasil | Requisitos para homologação de equipamentos IoT |
7. Criptografia Lightweight
Dispositivos com restrição de CPU/bateria não suportam RSA-2048 ou AES-256 com performance aceitável. Alternativas:
| Algoritmo | Uso | Característica |
|---|---|---|
| ChaCha20-Poly1305 | Cifra simétrica AEAD | Mais rápida que AES em software sem AES-NI |
| AES-CCM | Simétrica AEAD | Padrão IEEE 802.15.4 |
| Curve25519 / Ed25519 | Assinatura digital | Mais eficiente que RSA |
| ASCON | Authenticated encryption | Selecionado pelo NIST para lightweight crypto (2023) |
| PRESENTER, SPARX | Block ciphers | Para hardware extremamente restrito |
8. IoT Industrial (IIoT) e o Modelo Purdue
Em ambientes industriais, o Modelo Purdue divide a rede em níveis hierárquicos com Zonas de Segurança e Conduítes (ANSI/ISA-99):
| Nível | Função |
|---|---|
| 5 | Enterprise IT (ERP, e-mail) |
| 4 | Site Business (MES local) |
| 3.5 | DMZ Industrial (historiador, jump host) |
| 3 | Operations & Control (SCADA, HMI) |
| 2 | Supervisory (PLC supervision) |
| 1 | Basic Control (PLC, RTU) |
| 0 | Process (sensores, atuadores) |
A passagem entre Nível 3 (OT) e Nível 4 (IT) deve ser obrigatoriamente por um firewall OT/IT com inspeção de protocolos industriais (Modbus, DNP3, IEC 61850, OPC-UA).
9. Resumo de Boas Práticas
- Sem senhas padrão. Forçar troca no first boot, ou eliminar senha por certificate.
- Cada dispositivo é único. Identidade criptográfica individual, sem compartilhamento.
- Toda comunicação é cifrada. TLS 1.3 ou DTLS 1.2 no mínimo, com autenticação mútua.
- OTA assinado e A/B. Sem bricking em caso de falha; sem possibilidade de injetar firmware não assinado.
- Segmentação rigorosa. VLANs dedicadas, microssegmentação, firewall OT/IT.
- Inventário contínuo. Saber quais dispositivos existem, qual firmware, qual CVE pendente.
- Monitoramento de comportamento. Detectar comunicação anômala, beaconing C2, data exfil.
- Plano de fim de vida. Atualizar, substituir ou aposentar dispositivos antes do fim do suporte do fabricante.
- Privacy by Design. Coletar apenas dados necessários; anonimizar quando possível; consentimento explícito.
- Compliance. Atender IEC 62443, ETSI EN 303 645, LGPD/GDPR aplicáveis.
10. Conclusão
A segurança em IoT é o maior desafio de superfície de ataque da década. Com dezenas de bilhões de dispositivos conectados, qualquer descuido — uma senha default, um firmware não assinado, uma porta debug exposta — escala para milhões de dispositivos comprometidos. Os ataques não mais afetam apenas dados: em smart grids, carros autônomos, marcapassos conectados e plantas industriais, o comprometimento IoT tem potencial para causar danos físicos, ambientais e até mortes. A boa notícia é que o arsenal técnico já existe: identidade por dispositivo, secure boot, OTA assinado, segmentação, frameworks de gestão. A má notícia é que ainda hoje a maioria dos dispositivos vendidos implementa apenas uma fração dessas medidas. A transição para uma IoT segura será lenta, regulatória e exigirá pressão simultânea de consumidores, fabricantes e governos.