Os pesquisadores têm proposto algumas frameworks para investigação de vulne-rabilidades de dispositivos IoT. Porém, a abordagem realizada por eles não abrange uma gama de dispositivos ou tecnologias comumente utilizadas em dispositivos de redes de baixo alcance, geralmente são somente para uma dispositivos específicos, como Android Yum e Raspberry Pi, que inclusive não são dispositivos que utilizam protocolo de redes de baixo alcance. Com isso, as propostas não abrangem uma gama maior de dispositivos, de uma maneira genérica. Para abranger este tipo de dispositivos/rede, algumas abordagens utilizadas nas redes tradicionais podem ser adaptadas.
Tomasi et al. [22] propõem a adição de uma extensão na framework denomidada Meta-Exploit para esta suportar o 6LoWPAN. Esta extensão tem o objetivo de incluir uma camada de tradução dos pacotes entre as redes tradicionais e 6LoWPAN, para então realizar ataques as redes IoT. Essa abordagem não é eficiente quando a rede contém alguma contramedida, como criptografia.
33
Seguindo o mesmo escopo do 6LoWPAN, Reziouk [23] propõe uma ferramenta para auditoria de segurança de redes com protocolo 6LoWPAN. Esta auditoria ocorre pela detecção de redes 802.15.4 por meio de um scanner. Além disso há a adoção de um roteador de borda capaz de rotear pacotes IPv6 entre as redes Ethernet e 6LoWPAN. Ao combinar ambas, se obteve uma ferramenta de teste de invasão que permite a exploração de vulnerabilidades com diversas ferramentas em redes 6LoWPAN. Entretanto, nesta proposta é necessário estar no mesmo ambiente físico que a rede e dispositivos que, e que muitas vezes, não condiz com um ambiente real, i.e., um atacante nunca sempre está no mesmo ambiente físico e utiliza somente a Internet como meio para comunicar-se com os objetos de redes IoT.
Alberca et al. [24] seguem uma linha diferente dos anteriores, com a exploração de vulnerabilidades no Arduino Yum com ataques propostos pelo autor. Porém, o Arduino Yum utiliza pilha de rede tradicional, também portas Ethernet e conexão IEEE 802.11, além da capacidade de processamento ser muito maior que os dispositivos de redes de baixo alcance. Apesar do Arduino Yum ter uma menor capacidade de memória e processamento que dispositivos tradicionais, ainda assim é bem mais robusto que dispositivos de IoT que trabalham com redes de curto alcance e sistema operacional Contiki.
Por fim, Lahmadi et al. [25] propõe a investigação de potenciais vulnerabilidade presentes em dispositivos 6LoWPAN por meio de um processo chamado de fuzzying uti-lizando o Scapy do Python. Esta abordagem permite investigar as vulnerabilidades por meio da injeção de pacotes na rede.
35
3 OBJETIVOS
O principal objetivo deste trabalho é desenvolver uma framework para realizar teste de invasão em dispostivos IoT. Entre os objetivos específicos temos:
1. Realizar uma revisão bibliográfica dos trabalhos envolvendo investigação de vulne-rabilidades em dispositivos IoT, e trabalhos relacionados à segurança nesses dispo-sitivos;
2. Selecionar as vulnerabilidades mais exploradas e relevantes nos testes de invasão; 3. Os testes serão executados em um ambiente simulado, utilizando o software Cooja,
e os resultados serão comparados com os trabalhos de abordagem semelhante; 4. Implementação da framework para realização do teste de invasão.
37
4 PROCEDIMENTOS METODOLÓGICOS/MÉTODOS E
TÉCNICAS
Primeiramente, será realizada uma revisão bibliográfica dos trabalhos que tenham como tema a investigação de vulnerabilidades em computadores, ou dispositivos da abor-dagem tradicional e trabalhos envolvendo vulnerabilidades presentes em dispositivos IoT. Em relação ao primeiro grupo, serão identificadas as vulnerabilidades tradicional-mente mais exploradas. Após isso, as vulnerabilidades serão classificadas de acordo com a quantidade de citações na literatura, quais as ferramentas empregadas para a realiza-ção da investigarealiza-ção e outras possíveis abordagens utilizadas no processo de investigarealiza-ção. Esta investigação das abordagens tradicionais permite o levantamento de exploração de vulnerabilidades que não foram exploradas nas abordagens existentes para IoT.
No segundo grupo, serão identificados quais trabalhos relatam as vulnerabilida-des presentes nos dispositivos IoT. Então, serão coletadas as vulnerabilidavulnerabilida-des a serem investigadas, possíveis ferramentas ou algoritmos já existentes.
Com a escolha das vulnerabilidades a serem investigadas, ocorrerá o processo de implementação dos ataques em nós criados no Cooja. Após a implementação será reali-zado o teste de invasão nos dispositivos simulados no Cooja. Durante esse processo serão capturados os pacotes da rede e consumo de energia para analisar o impacto dos ataques neste tipo de dispositivo.
O último passo será a finalização da framework com os ajustes necessários de acordo com as vulnerabilidades encontradas e a validação do processo com diferentes categorias de dispositivos encontrados no Cooja.
39
5 CONTRIBUIÇÕES E/OU RESULTADOS ESPERADOS
Espera-se que o desenvolvimento de uma framework, para a realização de testes de invasão em redes 6LoWPAN, ajude a apontar as vulnerabilidades existentes em dis-positivos e rede simulados por meio de auditorias em redes de curto alcance com maior precisão e simplicidade. Permitindo, também, a exploração de vulnerabilidades em dispo-sitivos/redes reais.
41
43
REFERÊNCIAS
[1] SANTOS, B. P. et al. Internet das Coisas: da Teoria à Prática.
Homepa-ges.Dcc.Ufmg.Br, p. 52, 2016.
[2] SHELBY, Z.; BORMANN, C. 6LoWPAN: The Wireless Embedded Internet. Wiley, 2009. (Wiley Series on Communications Networking & Distributed Systems). ISBN 9780470747995. Disponível em: <https://books.google.com.br/books?id= uvgzlAEACAAJ>.
[3] WALLGREN, L.; RAZA, S.; VOIGT, T. Routing attacks and countermeasures in the RPL-based internet of things. International Journal of Distributed Sensor
Networks, v. 2013, 2013. ISSN 15501329.
[4] XIAO, Y. Security in Sensor Networks. CRC Press, 2016. ISBN 9781420013399. Disponível em: <https://books.google.com.br/books?id=ISkYgg-tUBoC>.
[5] ANGRISHI, K. Turning internet of things (iot) into internet of vulnerabilities (iov): Iot botnets. arXiv preprint arXiv:1702.03681, 2017.
[6] SICARI, S. et al. Security, privacy and trust in Internet of Things: The road ahead. Computer Networks, Elsevier B.V., v. 76, p. 146–164, 2015. ISSN 13891286. Disponível em: <http://dx.doi.org/10.1016/j.comnet.2014.11.008>.
[7] MARTINS, S. M. A Internet e a Rede das coisas: desafios e oportunidades. 2013. Monografia (Ciência da Computação), USP (Universidade de São Paulo), São Paulo, Brasil.
[8] MENEZES, P. M.; ROCHA, F. G.; CARDOSO, L. M. Segurança Em Redes De Computadores Uma Visão Sobre O Processo De Pentest. Interfaces Científicas
-Exatas e Tecnológicas, v. 1, n. 2, p. 85–96, 2015. ISSN 2359-4942.
[9] ATZORI, L.; IERA, A.; MORABITO, G. The internet of things: A survey. Computer
networks, Elsevier, v. 54, n. 15, p. 2787–2805, 2010.
[10] WHITMORE, A.; AGARWAL, A.; Da Xu, L. The Internet of Things—A survey of topics and trends. Information Systems Frontiers, v. 17, n. 2, p. 261–274, 2015. ISSN 15729419.
[11] GUBBI, J. et al. Internet of Things (IoT): A vision, architectural elements, and future directions. Future Generation Computer Systems, Elsevier B.V., v. 29, n. 7, p. 1645–1660, 2013. ISSN 0167739X. Disponível em: <http: //dx.doi.org/10.1016/j.future.2013.01.010>.
[12] BRUNO, L. Security in Lossy and Low-power Networks- tools for 6LoWPAN. 2010. Monografia (Engenharia em Informática), Istituto Superiore Mario Boella, Torino, Itália.
[13] CECÍLIO, M. Segurança em sensores com IPv6. 2013. Estágio (Mestrado em Engenharia Informática), FCTUC (Faculdade de Ciência e Tecnologia de Coimbra), Coimbra, Portugal.
44
[14] TANENBAUM, A. S. Redes de computadoras. [S.l.]: Pearson Educación, 2003. [15] IPV6.BR. ZigBee usa agora 6loWPAN! Sua próxima lâmpada terá IPv6? 2013.<http:
//ipv6.br/post/zigbee-usa-agora-6lowpan-sua-proxima-lampada-tera-ipv6/>. [Online; acessado 23-Junho-2017].
[16] SUDEVALAYAM, S.; KULKARNI, P. Energy harvesting sensor nodes: Survey and implications. IEEE Communications Surveys and Tutorials, v. 13, n. 3, p. 443–461, 2011. ISSN 1553877X.
[17] IETF.ORG. RFC 3513 - Internet Protocol Version 6 (IPv6) Addressing Architecture . 2003.<https://tools.ietf.org/html/rfc3513>. [Online; acessado 15-09-2017].
[18] PONGLE, P.; CHAVAN, G. A survey: Attacks on RPL and 6LoWPAN in IoT.
2015 International Conference on Pervasive Computing: Advance Communication Technology and Application for Society, ICPC 2015, v. 00, n. c, p. 0–5, 2015.
[19] MALLERY, J. Building a secure organization. Computer and Information Security
Handbook, p. 527–540, 2009.
[20] FRANCIS, R. How to conduct an IoT Pentest . 2017. <https://www.networkworld. com/article/3198495/internet-of-things/how-to-conduct-an-iot-pen-test.html>. [Online; acessado 16-09-2017].
[21] HEILAND, D. IoT Security Testing Methodology. 2017. <https://blog.rapid7.com/ 2017/05/10/iot-testing-methodology/>. [Online; acessado 16-09-2017].
[22] TOMASI, R. et al. Meta-exploitation of IPv6-based WSNs. Proceedings of the 3rd
International Workshop on Security and Communication Networks, IWSCN 2011,
p. 39–44, 2011.
[23] REZIOUK, A.; LEBRUN, A.; DEMAY, J.-C. Auditing 6lowpan networks using standard penetration testing tools. 2011.
[24] ALBERCA, C. et al. Security analysis and exploitation of arduino devices in the internet of things. In: ACM. Proceedings of the ACM International Conference on
Computing Frontiers. [S.l.], 2016. p. 437–442.
[25] LAHMADI, A.; BRANDIN, C.; FESTOR, O. A testing framework for discovering vulnerabilities in 6LoWPAN networks. Proceedings - IEEE International Conference
on Distributed Computing in Sensor Systems, DCOSS 2012, n. July 2012, p.