La seguridad del Internet de las Cosas está en entredicho, sobre todo si compras dispositivos especialmente baratos. En muchas ocasiones, el precio es una consecuencia directa de una nula inversión en proteger nuestra red ante ataques de extraños.

Cada bombilla, cada enchufe o termostato inteligente que compras forma parte de tu red local; y por lo tanto, una vulnerabilidad en su sistema puede abrir las puertas a cualquiera. De hecho, en muchos casos estos dispositivos salen inseguros de fábrica, con versiones sin actualizar de sus sistemas y con bugs aparentes. Y luego las actualizaciones son escasas o inexistentes, por lo que estos bugs siempre están presentes.

Contraseña guardada en bombillas inteligentes sin protección

Pero eso no es todo. Una investigación del blog Limited Results ha revelado que muchos de estos dispositivos guardan información delicada y fácilmente accesible; como por ejemplo, la contraseña de nuestra red Wi-Fi y el SSID, el identificador.

La investigación se ha centrado en modelos baratos de bombillas “inteligentes”; es decir, aquellos que podemos controlar a través de la red, normalmente con algún tipo de app. Normalmente el proceso de configuración consiste en conectar primero con nuestro smartphone con Bluetooth e introducir la contraseña de la red; así la bombilla no necesita más nuestro móvil y podemos controlarla directamente desde la app.

Es un proceso muy común y que prácticamente todos los fabricantes siguen. El verdadero problema está en la manera en la que se gestionan esos datos; y lo que se ha descubierto es que en muchos modelos esta información se guarda sin ningún tipo de protección.

Lo único que un atacante tendría que hacer es llegar a las entrañas de la bombilla; en algunos modelos es más difícil que en otros, ya que los componentes eléctricos suelen estar recubiertos de un producto químico para evitar incendios por las altas temperaturas que alcanza.

Un problema endémico del Internet de las Cosas

Pero una vez que se llega a la placa, es posible conectarse directamente a los pines y acceder a la información guardada en los chips de memoria. Es entonces cuando nos damos cuenta de que en muchos casos datos como la contraseña o el identificador de red están guardados sin cifrar. Por lo tanto, un atacante sólo tendría que usar la contraseña para entrar en nuestra red, y desde ahí, a nuestros dispositivos u ordenadores. Algunos modelos incluso tienen almacenada de manera insegura la clave RSA con la que el dispositivo se conecta a los servidores de la compañía.

Este es el caso en varios fabricantes, especialmente aquellos provenientes de China, como Xiaomi (con las Yeelight), Lifx, Tuya y Wiz. En algunos casos estos fabricantes incluso comparten el mismo código para sus respectivos modelos. Hay quien ve esta baja seguridad el precio a pagar por unos dispositivos tan baratos; y es cierto que si estamos usando la bombilla, no resulta un problema tan grave. Pero no es menos cierto que los estándares de seguridad de la industria dejan mucho que desear.