Von English mit KI übersetzt ·
Wir haben unser Abschlussprojekt zu genau diesem Thema gemacht (Smart Meter über 2G, wir haben unseren eigenen Verkehr mitgeschnitten). Alles, was Laura gesagt hat, stimmt. So würde ich in Ihrer Situation vorgehen, in dieser Reihenfolge.Erstens: Profil aufteilen. Legen Sie für die 38 TLS-Geräte ein neues Profil an und belassen Sie es bei der Voreinstellung, also nur TLS auf 8883. Verschieben Sie die Geräte dorthin. Geräte in diesem Profil können sich über 1883 überhaupt nicht anmelden, sodass selbst wenn jemand daran herumprobiert, nichts unverschlüsselt übertragen wird.Zweitens: Die 12 alten Geräte bekommen ein eigenes Profil, in dem einfaches MQTT erlaubt ist, und Sie sperren es konsequent ab:
- Erlaubte Netze: Tragen Sie nur den Adressbereich ein, aus dem der Verkehr Ihres Netzbetreibers kommt. Fragen Sie den Netzbetreiber nach einem privaten APN, wenn möglich, dann ist es sein privater Bereich. Alles von außerhalb wird abgelehnt (CONNACK 5).
- Ohne TLS erlaubte Befehle: Lassen Sie die Liste leer oder nehmen Sie höchstens
sys.infoauf. Niemalssys.reboot. Andere Befehle warten nur auf eine TLS-Sitzung, die diese Geräte nie haben werden, und laufen deshalb ab. - Erlaubte Authentifizierung: Nur Access-Token, falls das alles ist, was sie verwenden.
Drittens: Rotieren Sie das Token des Schranks, den der Tester mitgeschnitten hat, und ehrlicherweise alle 12, denn sie übertragen seit zwei Jahren unverschlüsselt über das Internet.Firmware-Updates und Geräteeinstellungen werden ohnehin nie unverschlüsselt gesendet, Sie geben diese also nicht preis. Alles oben Genannte steht auf dieser Seite: Device transport security. Für die IT lautet die ehrliche Antwort: „38 sind durchgehend verschlüsselt, 12 nicht und werden abgeschottet, bis sie ersetzt sind“.
Did our final-year project on almost exactly this (smart meters over 2G, we sniffed our own). Everything Laura said. Here’s what I’d do in your position, in this order.
First, split the profile. Make a new profile for the 38 TLS units and leave it on the default, TLS only on 8883. Move them over. That profile’s devices can’t log in on 1883 at all, so even if somebody pokes at them nothing goes in clear.
Second, the 12 old ones get their own profile with plain MQTT allowed, and you lock it down hard:
- Allowed networks: put in only the address range your operator’s traffic comes from. Ask the operator for a private APN if you can, then it’s their private range. Anything outside gets refused (CONNACK 5).
- Commands allowed without TLS: leave it empty, or at most
sys.info. Neversys.reboot. Other commands just wait for a TLS session, which these units will never have, so they expire. - Allowed authentication: only access token if that’s all they use.
Third, rotate the token of the cabinet the tester captured, and honestly all 12, because they’ve been crossing the internet in clear for two years.
Firmware updates and device settings are never sent in clear anyway, so you’re not leaking those. Everything above is on this page: Device transport security. For IT, the honest answer is „38 are encrypted end to end, 12 are not and are fenced in until they’re replaced“.