Cuando las microondas avanzadas fallan: por qué la seguridad de los sistemas integrados se convierte en el próximo gran reto para los desarrolladores.

En la cultura pop hay muchas referencias a IA malvada, robots y electrodomésticos que atacan a sus dueños humanos. Aunque la ciencia ficción y la fantasía están profundamente arraigadas,a medida que el IoT y los dispositivos conectados se extienden por los hogares, también debería extenderse el debate sobre la ciberseguridad y la seguridad. El software está presente en todos los aspectos de nuestra vida y tendemos a olvidar lo mucho que dependemos de las líneas de código para llevar a cabo todas esas cosas ingeniosas que nos aportan innovación y comodidad. Al igual que el software basado en web, las API y los dispositivos móviles, el código vulnerable de los sistemas integrados puede ser explotado por los atacantes si lo descubren.

Aunque es poco probable que un ejército de microondas esclavice a la humanidad (aunque Teslabot me preocupa un poco), sigue existiendo la posibilidad de que se produzcan ciberataques maliciosos como resultado de ciberataques. Algunos de nuestros automóviles, aviones y dispositivos médicos dependen de códigos de sistemas integrados complejos para realizar tareas importantes, por lo que la posibilidad de que estos objetos sean vulnerables no solo es preocupante, sino que también puede poner en peligro la vida.

Al igual que con otros tipos de software disponibles en el mercado, los desarrolladores entran en contacto con el código al inicio de la fase de creación. Y, al igual que con todos los demás tipos de software, este código también puede convertirse en un foco de vulnerabilidades ocultas y comunes que podrían pasar desapercibidas antes de que el producto se lance al mercado.

Los desarrolladores no son expertos en seguridad, por lo que ninguna empresa debería esperar que desempeñen esa función. Sin embargo, los desarrolladores pueden adquirir armas mucho más poderosas para hacer frente a los tipos de amenazas que les afectan. A medida que las necesidades tecnológicas siguen evolucionando, los sistemas integrados (normalmente escritos en C o C++) se utilizan con mayor frecuencia, por lo que es imprescindible que los desarrolladores reciban formación especializada en seguridad sobre las herramientas de este entorno.

Una freidora que explota, un vehículo malvado... ¿Es un pato el que está sentado?

Sin embargo, para garantizar nuestra seguridad, es necesario lograr avances más precisos y significativos en todo tipo de seguridad de software, más allá de las normas y regulaciones existentes sobre desarrollo seguro. Puede parecer descabellado pensar en los problemas que podría causar el hackeo de un Air Fryer, pero lo mismo ocurre con la vulnerabilidad que permite el secuestro de un vehículo mediante un ataque de ejecución remota de código (que permite al atacante elevar la temperatura a niveles peligrosos).

Los vehículos son especialmente complejos, ya que incorporan múltiples sistemas integrados, cada uno de los cuales gestiona todo tipo de funciones minuciosas, desde los limpiaparabrisas automáticos hasta el motor y los frenos. Los vehículos conectados, que se entrelazan con una pila de tecnologías de comunicación en constante crecimiento, como Wi-Fi, Bluetooth y GPS, se han convertido en una infraestructura digital compleja expuesta a múltiples vectores de ataque. se prevé que en 2023 habrá 76,3 millones de vehículos conectados circulando por las carreteras de todo el mundo, lo que supone un reto para la seguridad.

Misra es una organización líder que promueve la seguridad, la fiabilidad y la portabilidad del código en los sistemas integrados mediante la elaboración de directrices y la lucha activa contra las amenazas que afectan a estos sistemas. Estas directrices son la guía que todas las empresas deben seguir en sus proyectos de sistemas integrados.

Sin embargo, para crear y ejecutar código que cumpla con este estándar de oro, es necesario contar con ingenieros de sistemas integrados que no solo sean conscientes de la seguridad, sino que también confíen en las herramientas que utilizan.

¿Por qué es tan concreto el aumento de las habilidades de seguridad de los sistemas integrados?

Los lenguajes de programación C y C++ son lenguajes antiguos según los estándares actuales, pero siguen siendo muy utilizados. El C/C++ integrado constituye el núcleo funcional de la base de código de los sistemas integrados, y el C/C++ integrado sigue teniendo una vida moderna y brillante como parte del mundo de los dispositivos conectados.

Estos lenguajes tienen raíces bastante antiguas y muestran un comportamiento de vulnerabilidad similar en lo que respecta a problemas comunes como los fallos de inyección y el desbordamiento del búfer, pero para que los desarrolladores puedan reducir realmente los errores de seguridad de los sistemas integrados, deben utilizar código que imite su entorno de trabajo.La formación general en C en las prácticas de seguridad habituales no es tan eficaz ni memorable como dedicar tiempo y esfuerzo adicionales al trabajo en contextos C integrados.

Los vehículos modernos incorporan entre varias decenas y más de cien sistemas integrados, por lo que es esencial que los desarrolladores reciban una formación precisa sobre qué deben buscar en el IDE y cómo deben realizar las correcciones.
‍

Proteger el sistema integrado desde el primer piso es responsabilidad de todos.

En muchas organizaciones, al menos en lo que respecta a las responsabilidades de los desarrolladores, la velocidad de desarrollo tiene prioridad sobre la seguridad. Rara vez se valora la capacidad de crear código seguro, sino que el estándar de oro es desarrollar rápidamente funciones excelentes. La demanda de software no deja de aumentar, pero esta cultura es la causa de que perdamos la batalla contra las vulnerabilidades y los ciberataques que estas provocan.

Aunque los desarrolladores no hayan recibido formación, no es culpa suya, sino que alguien del equipo de AppSec debe ayudar a suplir esa carencia recomendando a toda la comunidad de desarrolladores un programa de mejora de habilidades adecuado y accesible (por supuesto, evaluable). En las primeras fases de un proyecto de desarrollo de software, la seguridad debe ser una prioridad absoluta y todos, especialmente los desarrolladores, deben recibir lo necesario para desempeñar su función.

Experimentar de primera mano los problemas de seguridad de los sistemas integrados.

El desbordamiento del búfer, los defectos de inyección y los errores de lógica empresarial son todos ellos errores comunes en el desarrollo de sistemas integrados. Si se ocultan en lo más profundo del laberinto de un microcontrolador instalado en un vehículo o dispositivo, pueden provocar una catástrofe desde el punto de vista de la seguridad.

Los desbordamientos de búfer son especialmente frecuentes. Si desea obtener más información sobre cómo se vio expuesto a peligro el AirFlyer (que permite la ejecución remota de código), consulte el siguiente informe sobre CVE-2020-28592.

Entonces, veamos cómo funciona realmente la vulnerabilidad de desbordamiento de búfer en el código C/C++ integrado. Juega a este desafío y comprueba si puedes encontrar, identificar y corregir el patrón de codificación deficiente que causa este molesto error.
‍

¿Qué tal? Visita www.securecodewarrior.com Impartimos formación precisa y eficaz sobre la seguridad de los sistemas integrados.