Da Internet Das Coisas Inseguras
“Faz tempo que não há só computadores na Internet, mas o foco da segurança é sempre neles, e isso é um problema. Uma simples busca no Google retorna milhares de câmeras de monitoramento de bebês, vigilância doméstica ou webcams abertas pra Rede. Roteadores sem atualização podem ser invadidos com uma simples chamada Web, carros estão sendo hackeados remotamente, e os fabricantes parecem não entender sua responsabilidade.” #ad
Carlos Cardoso 8 anos e meio atrás
Post publieditorial
Nos primórdios da microInformática ninguém falava de redes. Computadores eram entidades isoladas, e por isso mesmo extremamente seguros. Era preciso acesso físico ao equipamento, nenhum sistema operacional tinha senha, não fazia sentido.
A segurança era a porta, os guardas, a cerca em volta do complexo onde o computador ficava. Aquela cena no Missão Impossível onde Tom Cruise tem que invadir a sede da agência pois o computador não tinha conexões de rede representa bem a realidade dos tempos antigos, mas ela é ridícula.
Como é ridícula a notícia de que a Rússia iria se proteger de hackers utilizando máquinas de escrever e arquivos de papel. Isso, claro, foi pura propaganda, mas se fosse real os inimigos adorariam, pois cumpriria o objetivo de qualquer sabotagem: inutilizar a capacidade do inimigo de utilizar recursos ou informações.
Antigamente um computador com rede era um luxo. Conexões entre computadores remotos era uma eventualidade. Linhas dedicadas tornavam desnecessárias medidas de precaução.
Hoje a situação se inverteu, um computador sem internet é algo inútil. Precisamos estar conectados, e não só nossos computadores, mas nossos tablets, telefones, televisões e relógios.
A chamada Internet das Coisas é uma definição arbitrária de algo que surgiu no exato momento em que a primeira conexão Internet foi fechada. Coisas na Internet não faltam, o CU-SeeMe (por favor, se pronuncia SIII IUL SIII MIII) foi criado no longínquo ano de 1992 na Universidade Cornell pra monitorar uma cafeteira que ficava em outro andar.
Faz tempo que não há só computadores na internet, mas o foco da segurança é sempre neles, e isso é um problema. Uma simples busca no Google retorna milhares de câmeras de monitoramento de bebês, vigilância doméstica ou webcams abertas pra Rede. Roteadores sem atualização podem ser invadidos com uma simples chamada Web, carros estão sendo hackeados remotamente, e os fabricantes parecem não entender sua responsabilidade.
No caso dos sistemas operacionais as atualizações são constantes, outros equipamentos, nem pensar. Se seu roteador tem mais de 3 anos, esqueça. Se seu carro não for de um fabricante antenado como a Tesla, terá que fazer o update você mesmo, via pendrive.
Esse cenário soa assustador, mas piora. As instalações industriais de hoje são totalmente dependentes de interconexão. Só para ficarmos na Tesla, são 2.542 robôs na linha de montagem dos carros. Imagine se alguém sobe um firmware hackeado removendo as 3 Leis da Robótica.
A interconexão em tempo real é uma vantagem inegável, um fabricante de tratores pode identificar que uma colheitadeira em Iowa está apresentando desgaste em uma peça e enviar uma ordem de serviço para uma autorizada, que baterá na porta do fazendeiro e trocará a unidade antes de falhar totalmente.
Um freezer inteligente com acesso internet pode receber um alerta geral e soar um alarme caso alguém retire um conjunto de vacinas de um lote contaminado. Isso não é ficção científica, é uma implementação trivial envolvendo internet, webservices e RFID. O que não é trivial são fabricantes de geladeira informatizando produtos.
O maior risco da Internet Das Coisas é colocar empresas que não possuem expertise em tecnologia da informação para criar produtos dependentes dessa tecnologia. Essas empresas costumam partir do princípio que o usuário não será malicioso, que todos que usarem o produto o farão de forma legítima, e nós sabemos que o mundo real não funciona assim. Um bom exemplo é o Vauxhall Nova Sri. Nos modelos dos anos 80 se você removesse o suporte do botão de alerta, invertesse e colocasse de volta no conector, o carro ligava.
A lógica era que o alerta precisava de energia mesmo sem a chave na ignição, então ele completava o circuito independente da chave. Os ladrões adoraram essa invenção.
Os fabricantes de celulares, computadores, softwares aprenderam depois de muito esforço a pensar em segurança, mesmo assim temos escândalos como o Ashley Madison para mostrar como essas medidas podem ser falhas. Os novos players do mercado têm duas opções: refazer o mesmo caminho ou trabalhar com quem tem expertise na área.
Por players não estamos falando de fabricantes de escovas de dente com internet (sim, existem). O mundo não vai acabar se alguém hackear a escova e divulgar quantos pivôs você tem, mas imagine unidades de certificação de linhas de montagem. Siderúrgicas. Sistemas de refrigeração industriais. Um simples relógio de ponto modificado remotamente já causará um transtorno imenso, e quem pensaria em criar camadas de segurança para um relógio de ponto?
Em 2010 uma série de problemas começou a ser notado nas ultracentrífugas na unidade de Natanz, Irã, usadas para purificar urânio. As máquinas davam defeito em uma taxa alarmante, durante meses o número de centrífugas em funcionamento — de um total de 7.052 — veio caindo. Ao final só 3.936 estavam funcionando.
O culpado foi um vírus chamado Stuxnet, de origem desconhecida. Ele foi projetado para modificar parâmetros nas centrífugas, variar pressão e causar danos físicos. Os computadores que controlavam as máquinas estavam teoricamente protegidos, sem conexão com o exterior, mas os misteriosos hackers contaminaram empresas que proviam serviços para a planta de Natanz.
O Stuxnet era transmitido através de pendrives, foi só questão de tempo até um funcionário de uma das 5 empresas invadidas levar um pendrive para a planta, espetar em uma máquina conectada às centrífugas, e sem-querer contaminar toda a instalação.
O programa nuclear iraniano sofreu um atraso considerável, mais foi conseguido com software e inteligência do que com bombas, que costumava ser o método tradicional.
Golda Meir, ex-Primeira Ministra de Israel dizia que mesmo os paranoicos têm inimigos. Não existe verdade maior na Internet das Coisas, assim como não existe isso de ser paranoico demais. Quando algo do nível de um programa nuclear é colocado de joelhos por causa de um sujeito com um pendrive, temos um problema.
Essa visão estratégica é essencial para quem quer sobreviver na Internet das Coisas. Não é ser pessimista, é trabalhar dentro de sua área de expertise, fazer bem o que você sabe fazer e ter conhecimento do que você não sabe. Até porquê, o que matou a Estrela da Morte não foi uma falha de projeto, mas a percepção de que ninguém se aproveitaria dela.
Clique aqui ou no banner abaixo para receber o artigo “A Gestão da Internet das Coisas”.
Este post publieditorial é parte de uma campanha da PTC.
