Towards decentralized and scalable architectures for access control systems for IIoT scenarios.

The Industrial Internet of Things (IIoT) architecture is complex due to, among other things, the convergence of protocols, standards, and buses from such heterogeneous environments as Information Technology (IT) and Operational Technology (OT). IT – OT convergence not only makes interoperability difficult but also makes security one of the main challenges for IIoT environments. In this context, this thesis starts with a comprehensive survey of the protocols, standards, and buses commonly used in IIoT environments, analyzing the vulnerabilities in assets implementing them, as well as the impact and severity of exploiting such vulnerabilities in IT and OT environments. The Vulnerability Analysis Framework (VAF) methodology used for risk assessment in IIoT environments has been applied to 1,363 vulnerabilities collected from assets implementing the 33 protocols, standards and buses studied. On the other hand, Access Control Systems emerges as an efficient solution to mitigate some of the vulnerabilities and threats in the context of IIoT scenarios. Motivated by the variety and heterogeneity of IIoT environments, the thesis explores different alternatives of Access Control Systems covering different architectures. These architectures include Access Control Systems based on traditional Authorization policies such as Role-based Access Control or Attribute-based Access Control, as well as Access Control Systems that integrate other capabilities besides Authorization such as Identification, Authentication, Auditing and Accountability. Blockchain technologies are incorporated into some of the proposals as they enable properties not achievable in centralized architectures, at different levels of complexity: they can be used just as a verifiable data registry, executing simple off-chain authorization policies, up to scenarios where the blockchain enables on-chain an Identity and Access Management System, based on Self-Sovereign Identity.La arquitectura del Internet de las Cosas Industrial (del inglés, IIoT) es compleja entre otras cosas, debido a la convergencia de protocolos, estándares y buses de entornos tan heterogéneos como los de tecnologías de la información (del inglés, IT) y tecnologías operacionales (del inglés, OT). La convergencia IT – OT no solamente dificulta la interoperabilidad sino también hace la seguridad uno de los principales retos para los entornos IIoT. En este contexto esta tesis inicia con una exhaustiva revisión de la literatura acerca de los protocolos, estándares y buses comúnmente usados en los entornos IIoT analizando además, las vulnerabilidades en activos que implementan estos protocolos, estándares y buses, así como el impacto y la severidad de explotar dichas vulnerabilidades en entornos puramente IT y puramente OT. Para llevar a cabo dicho análisis se propone la metodología “Vulnerability Analysis Framework” (VAF) usada para la determinación del riesgo en entornos IIoT, la cual ha sido aplicada sobre 1363 vulnerabilidades recolectadas de activos que implementan los 33 protocolos, estándares y buses estudiados. Por otra parte, los Sistemas de control de Acceso emergen como una solución eficiente para mitigar algunas de las vulnerabilidades y amenazas en el contexto de los escenarios IIoT. Motivados por la variedad y la heterogeneidad de los entornos IIoT, la tesis explora diferentes alternativas de Sistemas de Control de Acceso cubriendo diferentes arquitecturas. Estas arquitecturas incluyen Sistemas de Control de Acceso basados en políticas tradicionales de Autorización como Control de Acceso basado en Roles o Control de Acceso basado en Atributos, así como Sistemas de Control de Acceso que integran otras capacidades además de la Autorización como Identificación, Autenticación, Auditoría y Rendición de Cuentas. Las tecnologías blockchain integradas en algunas de las propuestas habilitan propiedades no alcanzables en arquitecturas centralizadas a diferentes niveles, formando parte de escenarios que van desde únicamente ser usadas como un registro de datos verificables ejecutando simples políticas de autorización fuera de la cadena hasta escenarios donde la tecnología blockchain habilita sistemas descentralizados de gestión de la identidad y el acceso basados en Identidad Auto-Soberana