Abusing the Internet of Things Blackouts, Freakouts, and Stakeouts

Estudio pionero en ciberseguridad sobre hardware de consumo escrito por el investigador Nitesh Dhanjani (publicado por O'Reilly en 2015), que evidencia cómo las debilidades en el diseño del Internet de las Cosas pueden romper el aislamiento del software y ocasionar daños tangibles en el espacio físico y la privacidad personal. Está pensado para profesionales de ciberseguridad, analistas de pruebas de penetración, ingenieros de sistemas embebidos y desarrolladores de software que tengan bases sólidas sobre redes TCP/IP, autenticación web, protocolos inalámbricos y metodologías de evaluación de amenazas.

El autor somete a una auditoría técnica profunda productos comerciales de gran distribución en la época: bombillas conectadas Philips Hue (mostrando cómo forzar apagones permanentes mediante llamadas API locales con tokens generados a partir de hashes predecibles de direcciones MAC), cerraduras electrónicas basadas en Z-Wave y Bluetooth (Kevo y sistemas hoteleros Onity), monitores para bebés y cámaras web (Foscam y Belkin WeMo), plataformas de domótica (SmartThings y la arquitectura de sus SmartApps), televisores inteligentes con cámaras y micrófonos integrados, e incluso vehículos conectados (examinando buses CAN, sensores TPMS y las vulnerabilidades en las APIs de la aplicación móvil de Tesla). Hacia el final, propone un enfoque de prototipado seguro apoyándose en los módulos electrónicos modulares littleBits y cloudBit.

El punto más destacado de la obra es su capacidad para desmitificar la aparente inocuidad de los dispositivos inteligentes mediante ataques e ingeniería inversa reales, explicando cómo errores comunes de arquitectura (como credenciales fijas, falta de cifrado local o autorización laxa) comprometen entornos físicos. Incluye como práctica guiada la construcción de un timbre inteligente conectado por SMS para ilustrar la seguridad por diseño en prototipos. Aunque los modelos específicos evaluados corrigieron estas vulnerabilidades con actualizaciones posteriores, el análisis de superficie de ataque y los patrones de modelado de amenazas continúan siendo altamente formativos.