Autoria: Samuel Cruz Departamento de Sistemas de Informação
O IoT, ou Internet das Coisas, é um conceito que se massificou nos últimos anos, prometendo transformar profundamente as nossas vidas, e em que as empresas de tecnologia, desde fabricantes de equipamentos e criadores de software a prestadores de serviços, estão a apostar fervorosamente. A ideia é bastante simples: pegar em todos os dispositivos e ligá-los à internet.
O primeiro caso documentado, daquilo a que actualmente chamamos de IoT, deu-se em 1991, na Universidade de Carnegie, quando alguns alunos no âmbito de um projecto académico modificaram uma máquina de vending da Coca-Cola, de forma a que esta fosse ligada à rede da universidade e fornecesse dados sobre o seu próprio stock e informasse da necessidade de reabastecimento. Desde então, começou um processo gradual de ligar à rede os mais diversos dispositivos e equipamentos.
Hoje em dia temos smart phones, smart watches, smart cars, smart cameras, smart houses, smart cities… Tudo é smart e tudo está de alguma forma ligado a uma rede. É aqui que surgem também os riscos de ataques a estes dispositivos. A imensidão de diferentes tipos de dispositivos ligados à internet, como câmaras de vigilância, sensores, actuadores, e mais um sem fim de equipamentos, cada um com as suas características, representa um desafio gigantesco, uma vez que cada sistema precisará de soluções de segurança específicos, dependendo das suas características.
Há uma demanda por soluções de segurança capazes de oferecer suporte a multi-plataformas e fornecer níveis de segurança equivalentes para vários tipos de dispositivos. À data, a falta de normalização e de legislação que regule os dispositivos IoT, faz com que sejam os fabricantes a decidir que sistemas de segurança implementam nos seus dispositivos e alguns fabricantes decidiram não implementar nenhuns. Outro obstáculo é o facto de que, ao contrário dos computadores ou smartphones, os dispositivos de IoT geralmente têm pouco poder de processamento e memória, o que significa que muitos deles não têm capacidade para executar soluções robustas de segurança e protocolos de criptografia que os protejam das ameaças.
Em 2016 tivemos um primeiro vislumbre do que poderá vir a acontecer com frequência no futuro: um exército de 1.5 milhões de câmaras IP ligadas à internet, provenientes de circuitos de videovigilância espalhadas por todo o mundo, que foram pirateadas e usadas para desferir um colossal ataque a múltiplos sites de notícias, que acabaram por ficar offline durante várias horas. Tudo isto feito de forma incrivelmente simples: o software destas câmaras IP não obrigava à alteração da password aquando da instalação, todas elas estavam com a password de fábrica.
Se na indústria de IT existem elevados standards de segurança para tudo aquilo que sejam servidores, redes corporativas, sistemas de backup, etc., a verdade é que os standards para dispositivos IoT são inexistentes e tardam em surgir. Segundo um estudo da Gartner, em 2017 estavam ligados à internet 8.4 biliões de dispositivos IoT. Espera-se que este número chegue aos 20.4 biliões já em 2020, à medida que o IoT se estenda a mais áreas das nossas vidas, expandindo também a superfície vulnerável.
Uma solução de segurança abrangente para IoT terá de incluir regulamentação governamental, standards e inteligência artificial. A indústria tem a capacidade de criar a solução, mas é pouco provável que o consiga rapidamente. Actualmente, na corrida entre segurança de IoT e massificação de IoT, o último está a ganhar.
