Ask HN: Soy comisionado de la FCC y propongo una regulación sobre actualizaciones de seguridad para IoT

• El comisionado de la FCC Nathan Simington busca abordar el problema de que las vulnerabilidades graves son comunes en los dispositivos IoT, los fabricantes tardan en publicar actualizaciones o directamente no las ofrecen, y el período de soporte no se comunica adecuadamente al momento de la venta ni al final de la vida útil
• La FCC presentó una propuesta de reglamentación para un programa de etiquetado de ciberseguridad para dispositivos conectados, y busca incluir criterios para divulgar durante cuánto tiempo un producto recibirá actualizaciones de seguridad
• Como los fabricantes se oponen a los compromisos relacionados con las actualizaciones de seguridad, si se envían comentarios al procedimiento de la FCC antes de la medianoche ET del 25 de septiembre de 2023, la FCC deberá revisar esos argumentos

[GN⁺]

Opinión de Hacker News

• Un comisionado de la FCC está proponiendo una regulación sobre actualizaciones de seguridad para IoT y se está comunicando con la comunidad de Hacker News para debatirla y recibir comentarios.
• La FCC está recibiendo comentarios oficiales sobre esta propuesta en línea hasta el 25 de septiembre. Todos los comentarios se reflejarán en la regla final.
• La discusión incluye diversas perspectivas, entre ellas las de ingenieros de firmware, quienes plantean preguntas sobre la definición de fallas de seguridad, los posibles riesgos de seguridad de las actualizaciones remotas y la responsabilidad de los fabricantes por daños causados por ataques a dispositivos vulnerables.
• Algunos comentarios destacan el aumento de los delitos cibernéticos relacionados con dispositivos IoT, especialmente en zonas de conflicto, y la posibilidad de que estos dispositivos se utilicen para vigilancia ilegal o coordinación de ataques.
• Existen preocupaciones sobre los desafíos que enfrentan los fabricantes, especialmente los equipos pequeños, para identificar vulnerabilidades y mantener la seguridad, así como sobre qué ocurrirá si cierran el negocio o si sus sitios web son comprometidos.
• Hay una propuesta de que los dispositivos IoT deban poder funcionar sin contactar a un servicio central y que deba existir una regla que exija una funcionalidad mínima en entornos aislados o autogestionados para evitar riesgos de seguridad inherentes.
• Se pide que los fabricantes den soporte a sus dispositivos durante un período mínimo y que, cuando ese soporte termine, publiquen todo el código fuente, de modo que los consumidores puedan controlar el firmware y evitar que el dispositivo quede inutilizable.
• Hay preocupaciones sobre la posibilidad de hacer cumplir la regulación propuesta, especialmente frente a fabricantes extranjeros, y también se propone que las plataformas de IoT con gran poder auditen los dispositivos y prohíban aquellos que no cumplan los estándares.