"Am I Just That Dumb?": Applicability, Action and Verification in Consumer IoT Security Advice
Este estudio evalúa la aplicabilidad, la capacidad de acción y la verificabilidad de los consejos de seguridad para el IoT de consumo emitidos por el gobierno en los Países Bajos, revelando brechas significativas entre la orientación genérica y las capacidades reales de los dispositivos más vendidos, los cuales a menudo carecen de credenciales predeterminadas compartidas y mecanismos de actualización claros, dificultando así la capacidad de los usuarios para asegurar sus dispositivos de manera efectiva.
Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
En el hogar moderno, se ha producido una revolución silenciosa. Objetos cotidianos —desde altavoces inteligentes y timbres hasta electrodomésticos y bombillas— se han conectado a Internet, creando una red de dispositivos que pueden controlarse de forma remota. Esta comodidad, sin embargo, conlleva un coste oculto: la seguridad. Así como una casa física necesita una cerradura en la puerta principal, estos dispositivos digitales necesitan protección contra intrusos que podrían intentar tomar el control de ellos. Durante años, los gobiernos y los expertos en seguridad han ofrecido una solución sencilla de dos partes para mantener seguros estos hogares: cambiar la contraseña predeterminada que viene con el dispositivo y mantener actualizado el software del dispositivo. La suposición detrás de este consejo es que cualquier persona puede seguir estas instrucciones, encontrar los ajustes adecuados en su gadget específico y verificar que lo ha hecho. Pero esta suposición se basa en la creencia de que el consejo se ajusta perfectamente a cada dispositivo y que el camino hacia la seguridad es claro y visible para la persona promedio.
Un equipo de investigadores de la Universidad Tecnológica de Delft, en los Países Bajos, decidió poner a prueba si este sencillo consejo realmente funciona en el mundo real. No preguntaron a la gente qué pensaban que harían; los observaron hacerlo. Los investigadores reclutaron a veintiocho voluntarios y les plantearon un desafío específico. A cada persona se le entregó una tarjeta impresa que contenía el consejo estándar del gobierno de cambiar las contraseñas predeterminadas y comprobar las actualizaciones. Luego, se les pidió que intentaran seguir este consejo en tres dispositivos domésticos inteligentes seleccionados de las listas de los más vendidos de un importante minorista en línea. Los dispositivos incluían un enchufe inteligente, un sensor de humedad, un timbre de puerta, un altavoz inteligente, una impresora y una cámara de seguridad interior. Se les dijo a los participantes que imaginaran que eran dueños de estos dispositivos y que intentaban asegurarlos, pero no se les permitió cambiar realmente los ajustes ni instalar actualizaciones, solo mostrar dónde irían para hacerlo. Esto permitió a los investigadores ver exactamente hacia dónde conducían las instrucciones y dónde se quedaban estancados, sin alterar el estado real de los dispositivos.
Los resultados revelaron una brecha significativa entre el consejo dado y la realidad de los dispositivos. Cuando los participantes intentaron cambiar la contraseña predeterminada, se enfrentaron a un laberinto confuso. En treinta y tres de ochenta y cuatro intentos, no pudieron encontrar ningún ajuste de contraseña. En cincuenta ocasiones, encontraron un lugar para cambiar una contraseña, pero era para una cuenta en línea vinculada al dispositivo, no para el dispositivo en sí. Solo una sesión llegó realmente al ajuste específico en el hardware del dispositivo donde se cambiaría una contraseña predeterminada. Los investigadores descubrieron que ninguno de los seis dispositivos populares que probaron tenía el tipo de contraseña compartida y configurada de fábrica que describía el consejo. En cambio, algunos dispositivos tenían contraseñas únicas para cada unidad, mientras que otros no tenían ninguna contraseña predeterminada, requiriendo que el propietario creara una desde cero. Debido a que el consejo no explicaba cómo distinguir la diferencia, los participantes a menudo sentían que habían tenido éxito cuando en realidad habían cambiado la cosa equivocada, como su inicio de sesión de cuenta, dejando el dispositivo mismo vulnerable.
La situación fue similar cuando los participantes intentaron actualizar el software. En veintisiete sesiones, no pudieron encontrar ninguna opción de actualización. En diecinueve sesiones, encontraron una actualización, pero era para la aplicación complementaria en su teléfono, no para el software interno del dispositivo. Solo treinta y ocho sesiones llegaron con éxito al estado de actualización de firmware real del dispositivo. Los investigadores descubrieron que el lenguaje utilizado en el consejo y las etiquetas en los dispositivos a menudo no coincidían. Términos como "firmware" eran desconocidos para muchos usuarios, quienes dudaban en hacer clic en ellos por miedo a romper algo. En algunos dispositivos, la información de actualización estaba oculta en menús profundos, mientras que en otros, se mostraba claramente. La confusión fue tan profunda que, en varios casos, los participantes concluyeron que habían seguido el consejo perfectamente, a pesar de que no habían asegurado el dispositivo. Un participante, frustrado por la dificultad, preguntó a los investigadores: "¿Soy yo simplemente un tonto?". La respuesta de los investigadores fue clara: el problema no era la inteligencia del usuario, sino la falta de coincidencia entre las instrucciones genéricas y el diseño específico, a menudo oculto, de los dispositivos.
El estudio demostró que el enfoque actual de los consejos de seguridad es defectuoso porque asume que todos los dispositivos funcionan de la misma manera. Cuando se le dice a un usuario que "cambie la contraseña predeterminada", no tiene forma de saber si su dispositivo siquiera tiene una, o si el ajuste que encuentra es el correcto. Los investigadores descubrieron que los usuarios seguían naturalmente el camino más obvio, que a menudo los llevaba a cambiar la contraseña de su cuenta en lugar de la del dispositivo. Esto les dio una falsa sensación de seguridad, la sensación de que habían hecho el trabajo cuando el dispositivo permanecía desprotegido. La evidencia sugiere que simplemente decir a la gente que sea más cuidadosa o que lea las instrucciones no es suficiente. El consejo mismo necesita cambiar para ayudar a los usuarios a determinar si la acción es siquiera necesaria para su dispositivo específico, y los dispositivos deben diseñarse para que los ajustes de seguridad sean visibles y fáciles de entender. Hasta que no se cierre la brecha entre el consejo y la tecnología, los usuarios seguirán luchando, no porque sean incapaces, sino porque el camino hacia la seguridad está oscurecido por un diseño que no habla su idioma.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.