Kbuca: lo que necesitas saber sobre Shelly y la UE Roja

Introducción

El propósito de este artículo es ofrecer una visión clara de la nueva norma aplicada de la Directiva de equipos radioeléctricos (RED), EN 18031-1, y de sus requisitos de ciberseguridad en relación con los devices Shelly.

Explicaremos cuándo y cómo entran en vigor estas normas, por qué matter y la importancia de comunicar claramente a nuestros clientes qué pueden esperar.

En Shelly, estamos trabajando activamente para adaptarnos a los nuevos requisitos de la RED y garantizar que nuestros devices sigan siendo conformes, seguros y fiables. En este artículo también se explicará cómo afectará la implementación de estas normas al comportamiento de los devices Shelly y se detallarán los cambios clave que nuestros clientes pueden esperar en adelante.

A partir de la versión de firmware 1.8 de nuestros devices, los cambios mencionados a continuación entrarán en vigor para los devices de nueva producción y se aplicarán parcialmente a los devices actualizados a esta versión del firmware.

Algunos de los próximos cambios afectarán al comportamiento tradicional de los devices Shelly. Hemos hecho todo lo posible para reducir el impacto en nuestros usuarios y, al mismo tiempo, ofrecer sólidas garantías de seguridad alineadas con la norma.

Explicación de la Directiva de equipos radioeléctricos (RED) (2014/53/UE) EN 18031-1

La EN 18031 es una serie de normas europeas de ciberseguridad para equipos radioeléctricos, armonizadas en virtud de la Directiva de equipos radioeléctricos (RED) (2014/53/UE). En concreto, la EN 18031-1 se centra en los equipos radioeléctricos conectados a Internet y aborda la protección de las redes y la integridad de los servicios. Forma parte de un esfuerzo más amplio por mejorar la ciberseguridad de los equipos radioeléctricos y proteger los datos de los usuarios y las redes.

Este es un desglose más detallado:

• Propósito:

  La norma EN 18031 proporciona un marco para que los fabricantes demuestren el cumplimiento de los requisitos de ciberseguridad de la RED, especialmente de los artículos 3.3(d), (e) y (f).

• Armonización:

  La serie EN 18031, incluida la EN 18031-1, se ha armonizado oficialmente con la RED, lo que significa que el cumplimiento de estas normas puede utilizarse para demostrar la conformidad con la directiva.

• Ámbito de aplicación:

  La norma EN 18031-1 aborda específicamente los equipos radioeléctricos conectados a Internet y establece requisitos para proteger las redes frente a interferencias perjudiciales y al uso indebido de los recursos de red.

• Áreas clave:

  Abarca aspectos como mecanismos de almacenamiento seguro, comunicación segura y mecanismos de resiliencia.

• Aplicación obligatoria:

  Los requisitos de ciberseguridad de RED, incluidos los contemplados por EN 18031, son obligatorios desde el 1 de agosto de 2025.

• Relación con la Ley de Resiliencia Cibernética:

  Las normas EN 18031 también se consideran una base para futuras normas de ciberseguridad relacionadas con la Ley de Resiliencia Cibernética.

Cambios para alinearse con RED

Esta sección cubre la implementación de las mejoras de seguridad necesarias para cumplir con la certificación RED en dispositivos conectados por IP (actualmente basados en ESP32), de acuerdo con la norma EN 18031-1.

Cómo se reflejará esto en Shelly: mejorará la seguridad, el almacenamiento de certificados, secretos y datos en reposo y en tránsito, así como la seguridad del proceso de aprovisionamiento inicial. Inevitablemente, habrá cambios en el comportamiento establecido de nuestros dispositivos.

A continuación se indican los cambios que Shelly implementará y cómo afectarán al comportamiento de los dispositivos.

Almacenamiento seguro y protección de secretos

• Los activos de seguridad (secretos compartidos, claves privadas y certificados) se almacenan en una memoria flash cifrada.

• Los secretos utilizados para acceder a las redes se almacenan de forma segura.

• Las claves compartidas utilizadas para acceder al dispositivo se almacenan de forma segura.

• El cifrado de la memoria flash del hardware está habilitado con un aprovisionamiento de claves seguras único durante la fabricación.

Impacto para los usuarios

• Los certificados y secretos están protegidos cuando están almacenados.

• Sigue siendo posible volver a instalar dispositivos con firmware personalizado, pero los datos de aprovisionamiento de fábrica no se pueden recuperar. Volver a instalar el firmware de Shelly no restaurará toda la funcionalidad del dispositivo (el acceso a la nube de Shelly), ya que se perderá el contenido de los datos de fábrica.

Exige una comunicación segura

• Se exige HTTPS y WSS para acceder al servidor web del dispositivo; HTTP/WS sin cifrar se redirige a HTTPS/WSS.

• Las comprobaciones de validación de TLS de las conexiones HTTPS y MQTTS salientes incluyen el nombre de host, la fecha y hora y la cadena completa de la CA; el almacén de CA integrado se puede actualizar mediante OTA. La validación de TLS está habilitada de forma predeterminada y solo puede deshabilitarse mediante una acción deliberada de un usuario autorizado.

Impacto para los usuarios

• El servidor HTTP del dispositivo utiliza TLS y cambia a https://.

• Las integraciones que utilizan WebSockets para acceder al servidor HTTP integrado deben cambiar a wss://.

• Los navegadores y otros clientes pueden advertir sobre un problema de validación de la cadena de confianza del certificate. El certificate ha sido emitido por la CA privada de Shelly. Shelly publicará la cadena de confianza para importarla en tu cliente. La aplicación de Shelly tendrá esta cadena de confianza de forma predeterminada.

Refuerza la autenticación y limita la ventana de configuración

• Reducir los intentos de adivinar la contraseña mediante múltiples intentos de autenticación: implementar un retroceso exponencial para los inicios de sesión fallidos (por ejemplo, 10 s → 30 s → 60 s → 5 min).

• Limitación de frecuencia en todos los puntos de acceso de autenticación.

• Bloqueo de account después de varios intentos fallidos dentro de un periodo determinado; solo se permiten sesiones establecidas.

• Ventana de configuración de 15 minutos al reiniciar el dispositivo y restablecer los valores de fábrica; una vez transcurridos 15 minutos, el acceso no autenticado es imposible hasta realizar un restablecimiento físico.

• El canal Bluetooth se desactiva automáticamente después de la configuración; al activarlo, solo se abre una ventana de emparejamiento de 15 minutos.

Impacto para los usuarios

• Menos oportunidades para intentos automatizados de adivinación o fuerza bruta.

• Debes completar la configuración inicial (contraseña de administrador, Wi-Fi, etc.) dentro de la ventana guiada de 15 minutos después de encender o restablecer el dispositivo.

Lista de cambios

• HTTPS/WSS de forma predeterminada: la interfaz web y el tráfico de WebSocket ahora están protegidos con TLS 1.2. Las conexiones HTTP al puerto 80 se redirigen a HTTPS en el puerto 443.

• certificate por dispositivo: los dispositivos se aprovisionan durante la producción con un certificate emitido por nuestra CA interna y lo almacenan en la memoria flash cifrada (con la misma protección que otros secretos, como CloudToken y los códigos de instalación de Zigbee).

• Autenticación reforzada: demoras progresivas y limitación de frecuencia en todos los puntos de acceso de autenticación (WebUI/RPC/WebSockets), además del bloqueo de account después de varios intentos fallidos.

• Ventana de configuración limitada en el tiempo: después de encender o restablecer el dispositivo, hay un periodo de configuración de 15 minutos; después, el acceso RPC no autenticado se bloquea hasta realizar un restablecimiento físico.

• Valores predeterminados de seguridad de Bluetooth: Bluetooth se desactiva después de la configuración; cuando lo vuelves a activar manualmente, el emparejamiento solo está disponible durante 15 minutos.

• Vinculación Bluetooth «Just works»: limita las comunicaciones de radio no cifradas. Pasa de la comunicación sin cifrar por BLE a una comunicación cifrada sin aumentar los requisitos.

• Estado del aprovisionamiento: la nueva propiedad provision refleja el estado de configuración (por ejemplo, pending, locked) para que el nivel de seguridad del dispositivo sea claro en las aplicaciones y automatizaciones.

En conclusión

• La ventana de configuración abierta para todos los dispositivos Shelly está limitada a los primeros 15 minutos después de reiniciar el dispositivo.

• Todas las comunicaciones deben utilizar un canal seguro.

• El firmware, la configuración del dispositivo y los secretos y claves se cifran mediante una clave proporcionada de fábrica.