Cuando un buen microondas se estropea: por qué la seguridad de los sistemas integrados es la próxima batalla campal para los desarrolladores

Hay muchas referencias en la cultura popular a la IA y los robots rebeldes, así como a los electrodomésticos que se activan por sí solos. Todo ello está lleno de diversión y fantasía de ciencia ficción, pero a medida que el Internet de las cosas y los dispositivos conectados se vuelven cada vez más comunes en nuestros hogares, también debería serlo el debate sobre la ciberseguridad y la seguridad. El software está en todas partes, y es fácil olvidar hasta qué punto dependemos de unas pocas líneas de código para llevar a cabo todas esas cosas ingeniosas que nos aportan grandes innovaciones y comodidades. Al igual que el software basado en la web yAPI y dispositivos móviles, si un atacante encuentra código vulnerable en un sistema integrado, lo aprovechará.

Aunque es poco probable que un ejército de microondas venga a esclavizar a la humanidad (pero los robots de Tesla son un poco preocupantes), los incidentes cibernéticos maliciosos siguen siendo posibles debido a los ataques cibernéticos. Algunos de nuestros automóviles, aviones y equipos médicos aún dependen de un complejo código de sistemas integrados para realizar tareas críticas, y la posibilidad de que estos objetos sean pirateados no solo es alarmante, sino que también puede poner en peligro la vida.

Al igual que con cualquier otro tipo de software, los desarrolladores son los primeros en entrar en contacto con el código, justo al inicio de la fase de creación. Al igual que con cualquier otro tipo de software, esto puede ser un caldo de cultivo para vulnerabilidades potenciales que podrían pasar desapercibidas antes de que el producto se lance al mercado.

Los desarrolladores no son expertos en seguridad, y ninguna empresa debe esperar que desempeñen ese papel, pero pueden disponer de un arsenal más potente para hacer frente a las amenazas que les afectan. A medida que nuestras necesidades tecnológicas evolucionan, los sistemas integrados (normalmente escritos en C y C++) se utilizarán con mayor frecuencia, por lo que es fundamental que los desarrolladores reciban formación especializada en seguridad sobre las herramientas de ese entorno.

Explosiones de freidoras de aire caliente, vehículos robados... ¿Vamos a quedarnos de brazos cruzados?

Aunque existen algunas normas y reglamentos en torno al desarrollo de la seguridad para garantizar nuestra seguridad, necesitamos lograr avances más precisos y significativos en la seguridad de todo tipo de software. Puede parecer descabellado pensar en un problema que pueda provocar el hackeo de una freidora, pero ha ocurrido en forma de un ataque de ejecución remota de código (que permite a los actores maliciosos elevar la temperatura a niveles peligrosos), al igual que la vulnerabilidad que permite el control remoto de un vehículo.

En particular, los vehículos son especialmente complejos, con múltiples sistemas integrados, cada uno de los cuales es responsable de microfunciones; desde los limpiaparabrisas automáticos hasta las funciones del motor y los frenos,todo lo que se pueda imaginar. Los vehículos conectados, junto con la creciente tecnología de comunicaciones (como Wi-Fi, Bluetooth y GPS), representan una compleja infraestructura digital que se enfrenta a múltiples vectores de ataque. Además, se prevé que en 2023 habrá 76,3 millones de vehículos conectados en las carreteras de todo el mundo, lo quesupone una base sólida para una defensa que garantice una seguridad real.

MISRA es una organización clave que aborda activamente las amenazas a los sistemas embebidos y ha establecido directrices para promover la seguridad, la protección, la portabilidad y la fiabilidad del código en entornos de sistemas embebidos. Estas directrices son la guía que todas las empresas deben seguir en sus proyectos de sistemas embebidos.

Sin embargo, para crear y ejecutar código que cumpla con este estándar de oro, se necesitan ingenieros de sistemas embebidos que confíen plenamente en las herramientas (por no hablar de la concienciación sobre la seguridad).

¿Por qué es tan específico el aumento de las habilidades de seguridad de los sistemas integrados?

Según los estándares actuales, los lenguajes de programación C y C++ están obsoletos, pero siguen siendo ampliamente utilizados. Constituyen el núcleo funcional del código de los sistemas embebidos, y el C/C++ embebido disfruta de una brillante vida moderna como parte del mundo de los dispositivos conectados.

A pesar de que estos lenguajes tienen raíces bastante antiguas y muestran un comportamiento similar en cuanto a vulnerabilidades comunes, como inyección de defectos y desbordamiento de búfer, para que los desarrolladores puedan mitigar con éxito las vulnerabilidades de seguridad en los sistemas embebidos, deben experimentar de primera mano el código que imita su entorno de trabajo. La formación genérica en C de las prácticas de seguridad generales no es tan potente e inolvidable como la que se obtiene trabajando en un entorno C embebido.

Dado que los automóviles modernos cuentan con entre una docena y más de cien sistemas integrados, es necesario formar adecuadamente a los desarrolladores para que sepan qué buscar en el IDE y cómo solucionarlo.
‍

Proteger los sistemas integrados desde la base es responsabilidad de todos.

La realidad actual de muchas organizaciones es que la velocidad de desarrollo prima sobre la seguridad, al menos en lo que respecta a las responsabilidades de los desarrolladores. Rara vez se les evalúa en función de su capacidad para generar código seguro, sino que el estándar de oro es desarrollar rápidamente funciones excelentes. La demanda de software no hará más que aumentar, pero esta cultura nos predispone al fracaso a la hora de defendernos contra las vulnerabilidades y los ciberataques que estas permiten.

Si los desarrolladores no han recibido formación, no es culpa suya, sino que alguien del equipo de AppSec debe ayudar a subsanar esta carencia recomendando a toda la comunidad de desarrolladores programas de mejora de habilidades adecuados, accesibles (por no hablar de evaluables). La seguridad debe ser una prioridad desde el inicio de cualquier proyecto de desarrollo de software, y todos, especialmente los desarrolladores, deben tener en cuenta que deben desempeñar su papel.

Experiencia personal con los problemas de seguridad de los sistemas integrados

El desbordamiento del búfer, los defectos de inyección y los errores de lógica de negocio son trampas comunes en el desarrollo de sistemas integrados. Cuando están profundamente enterrados en el laberinto de microcontroladores de un solo vehículo o dispositivo, desde el punto de vista de la seguridad, pueden significar un desastre.

Los desbordamientos de búfer son especialmente comunes. Si desea obtener más información sobre cómo pueden afectar a la freidora que hemos mencionado anteriormente (permitiendo la ejecución remota de código), consulte este informe sobre CVE-2020-28592.

Ahora es el momento de experimentar de primera mano una vulnerabilidad de desbordamiento de búfer en código C/C++ integrado real. Participa en este desafío y comprueba si eres capaz de encontrar, identificar y corregir el patrón de codificación defectuoso que provoca este error tan insidioso:
‍

¿Cómo lo estás haciendo? Visita www.securecodewarrior.com para obtener formación precisa y eficaz sobre seguridad en sistemas embebidos.