Por qué debería preocuparse por la ley de hogares inteligentes que California acaba de aprobar
La primera ley de seguridad para el hogar inteligente de Estados Unidos acaba de convertirse en ley en California, pero independientemente de dónde viva, es algo que probablemente debería repasar.
El proyecto de ley (SB-327) dicta que a partir del 1 de enero de 2020, todos los fabricantes de dispositivos IoT (altavoces inteligentes, termostatos inteligentes, lo que sea) deben incluir funciones de seguridad "razonables". Básicamente, se trata de mantener todos sus dispositivos conectados a salvo de ataques maliciosos. mentes que de otro modo podrían manipularlos desde fuera de su hogar.
Lea esto: La batalla de seguridad para la tecnología de su hogar ha comenzado
El proyecto de ley ha causado mucha discusión, con algunos elogiando las legislaciones y subrayando la importancia de establecer estos cimientos temprano, pero ha sido criticado por otros por ser ineficaz e incluso perjudicial. Vamos a desglosarlo.
Ok, ¿qué hace realmente el proyecto de ley?
El edicto central del proyecto de ley establece que los fabricantes de dispositivos IoT deben equipar su tecnología con características de seguridad "razonables" que evitarán el "acceso no autorizado, la destrucción, el uso, la modificación o la divulgación" de la información del usuario.
Un requisito específico establecido en el proyecto de ley es que cualquier tecnología de hogar inteligente con formas de acceder fuera de una red de área local debe tener una contraseña única para ese dispositivo, o permitir que los usuarios establezcan una contraseña única cuando configuran el dispositivo.
Algunos dispositivos domésticos inteligentes vienen con contraseñas codificadas a las que podrían acceder personas externas con intenciones maliciosas (estas contraseñas a menudo están fácilmente disponibles en la web) para ingresar de forma remota.
Sí, así es, las contraseñas codificadas siguen siendo un problema en el hogar inteligente. El año pasado, una investigación realizada por la empresa finlandesa de seguridad de la información F-Secure descubrió que las cámaras de seguridad domésticas construidas por la empresa Foscam usaban estas contraseñas codificadas. Parece ridículo que pueda existir un defecto como ese, pero es tristemente cierto.
No estoy en California. ¿Por qué debería importarme?
Tranquilo, amigo. Si bien el proyecto de ley solo se aprobó en California (hasta ahora), los clientes de todo EE. UU. sentirán los efectos, ya que presumiblemente se incluirán las mismas disposiciones de seguridad en todos los dispositivos. Es decir, no podemos prever una situación en la que empresas como Samsung y Amazon modifiquen sus productos solo para el mercado californiano.
Incluso si un dispositivo se fabrica fuera de California o de los EE. UU., aún tendrá que cumplir con la ley si va a vender sus dispositivos en el estado, en caso de que piense que podría haber una laguna legal allí.
Suena bien. ¿Por qué no todos están de acuerdo?
Porque si bien el espíritu del proyecto de ley es correcto, los expertos en seguridad cibernética no creen que tenga los efectos deseados.
El experto en IoT, Robert Graham , dice que el proyecto de ley se basa en una "comprensión superficial" de la ciberseguridad, y afirma que no mejorará la seguridad. Graham compara el problema con la dieta: en la forma en que comer menos es clave para la dieta, la seguridad cibernética no debería consistir en agregar más funciones de seguridad, sino en eliminar las funciones que son menos seguras. “Agregar funciones es la típica ‘píldora mágica' o ‘solución milagrosa' pensando que pasamos gran parte de nuestro tiempo luchando contra la seguridad de la información", dijo.
Graham también criticó el lenguaje "vago" del proyecto de ley que exige que los dispositivos tengan características de seguridad "razonables" y "apropiadas". “Es imposible que cualquier empresa sepa lo que significan estas palabras, imposible saber si cumplen con la ley”.
Graham también cree que el enfoque en las contraseñas codificadas es un error. Está de acuerdo en que estos deberían eliminarse, pero dice que "se equivocan en el lenguaje". Él dice que el problema es más complejo: un dispositivo típico “no tiene una sola contraseña, sino muchas cosas que pueden o no llamarse contraseñas”.
Otros expertos están de acuerdo en que el lenguaje es demasiado vago en algunos lugares, creyendo que las reglas en su mayoría se dejan sin definir. De hecho, el proyecto de ley establece repetidamente que las disposiciones deben ser "apropiadas" para el dispositivo sin establecer detalles. Pero algunos han sugerido que esta redacción es intencional, ya que permite a los fabricantes de dispositivos adaptarse y evolucionar con la tecnología.
Otro punto planteado por la Asociación de Fabricantes y Tecnología de California es que el proyecto de ley podría alejar la competencia en el estado, pero como dijimos anteriormente, parece poco probable que las empresas consideren crear dispositivos que sean más seguros en California que en otros estados. Además, es probable que otros estados sigan los pasos de California.
En resumen, este será el comienzo de una conversación más larga. El corazón del proyecto de ley está en el lugar correcto; todo esto es importante para mantener segura la casa inteligente. Pero será una discusión continua antes y después de enero de 2020.