Von English mit KI übersetzt ·
Etwas lang, sorry. Wir betreiben für eine Gemeinde rund 50 Energie-Logger in Straßenschränken, jeder hinter einem kleinen LTE-Router mit einer üblichen Netzbetreiber-SIM, und alle melden sich in einer Hermetry-Organisation. Letzten Monat hat die Gemeinde für eine nicht damit zusammenhängende Prüfung einen Penetrationstester beauftragt, und der hat beschlossen, sich auch uns vorzunehmen. Er baute in einem Transporter eine dieser gefälschten Basisstationen auf, zwang einen Testschrank auf 2G herunter und zeigte, dass er den Datenverkehr sehen konnte, der aus dem Schrank herauskam.Jetzt habe ich eine E-Mail von der IT, in der ich bis Freitag „bestätigen“ soll, dass der IoT-Verkehr durchgehend sicher ist.
- 38 der Logger sind neuere Geräte, sie sprechen MQTT über TLS auf Port 8883, kein Problem.
- 12 sind ältere Logger mit SIM800-Modems, die kein TLS können (oder doch, aber nicht mit einer modernen Cipher Suite). Für diese hat vor zwei Jahren jemand in ihrem Profil einfaches MQTT angehakt, und sie veröffentlichen auf Port 1883.
- Alle befinden sich im Moment im selben Geräteprofil.
Was der Tester gesehen hat, stammte von einem der alten Geräte. Er zeigte mir einen Mitschnitt mit CONNECT und dem, was wie unser Zugriffstoken im Benutzernamensfeld aussah. Dieser Teil ließ mir das Herz in die Hose rutschen.Also eigentlich zwei Fragen. Bringt uns die Verschlüsselung der Mobilfunkverbindung hier überhaupt etwas? Und was ist der vernünftige Weg, mit den 12 alten Geräten umzugehen, ohne diesen Monat zu jedem Schrank rausfahren zu müssen?
Bit of a long one, sorry. We run about 50 street-cabinet energy loggers for a council, each behind a small LTE router with an ordinary operator SIM, all reporting into one Hermetry org. Last month the council brought in a pen tester for an unrelated review and he decided to have a go at us too. He set up one of those fake base stations in a van, forced a test cabinet down to 2G and showed he could see traffic leaving it.
Now I’ve got an email from IT asking me to „confirm the IoT traffic is secure end to end“ by Friday.
What I know about our setup:
- 38 of the loggers are newer units, they speak MQTT over TLS on 8883, no problem.
- 12 are older loggers with SIM800 modems that can’t do TLS (or can, but not with a modern cipher suite). For those someone ticked plain MQTT on their profile two years ago and they publish on 1883.
- All of them are in the same device profile at the moment.
What the tester saw was from one of the old ones. He showed me a capture with CONNECT and what looked like our access token in the username field. That bit made my stomach drop.
So two questions really. Is the cellular radio encryption doing anything for us here? And what’s the sensible way to deal with the 12 old units without a truck roll to each cabinet this month?
Von English mit KI übersetzt ·
Würde das nicht die Verschlüsselung des SIM-Anbieters abdecken? Ich dachte, Mobilfunknetze verschlüsseln ohnehin alles über die Luftschnittstelle.
Wouldn’t the SIM provider’s encryption cover that? I thought mobile networks encrypt everything over the air anyway.
Von English mit KI übersetzt ·
Nur zwischen dem Telefon und dem Funkmast, und die 2G-Version davon ist schwach, weshalb der Van-Trick funktioniert. Hinter dem Kernnetz des Betreibers ist es normales Internet. Behandeln Sie die Funkstrecke als nicht vertrauenswürdig.
Only between the phone and the tower, and 2G’s version of it is weak, which is why the van trick works. After the operator’s core it’s plain internet. Treat the radio as untrusted.
Von English mit KI übersetzt ·
Danke Laura, genau das habe ich befürchtet. Die SIM800-Geräte laufen mit einer Firmware, die man theoretisch aus der Ferne aktualisieren könnte, doch der Hersteller antwortet seit 2024 nicht mehr auf E-Mails.
Thanks Laura, that’s roughly what I feared. The SIM800 units are on firmware we can update remotely in theory, but the vendor stopped answering emails in 2024.
Von English mit KI übersetzt ·
Wir haben unser Abschlussprojekt zu genau diesem Thema gemacht (Smart Meter über 2G, wir haben unseren eigenen Verkehr mitgeschnitten). Alles, was Laura gesagt hat, stimmt. So würde ich in Ihrer Situation vorgehen, in dieser Reihenfolge.Erstens: Profil aufteilen. Legen Sie für die 38 TLS-Geräte ein neues Profil an und belassen Sie es bei der Voreinstellung, also nur TLS auf 8883. Verschieben Sie die Geräte dorthin. Geräte in diesem Profil können sich über 1883 überhaupt nicht anmelden, sodass selbst wenn jemand daran herumprobiert, nichts unverschlüsselt übertragen wird.Zweitens: Die 12 alten Geräte bekommen ein eigenes Profil, in dem einfaches MQTT erlaubt ist, und Sie sperren es konsequent ab:
- Erlaubte Netze: Tragen Sie nur den Adressbereich ein, aus dem der Verkehr Ihres Netzbetreibers kommt. Fragen Sie den Netzbetreiber nach einem privaten APN, wenn möglich, dann ist es sein privater Bereich. Alles von außerhalb wird abgelehnt (CONNACK 5).
- Ohne TLS erlaubte Befehle: Lassen Sie die Liste leer oder nehmen Sie höchstens
sys.infoauf. Niemalssys.reboot. Andere Befehle warten nur auf eine TLS-Sitzung, die diese Geräte nie haben werden, und laufen deshalb ab. - Erlaubte Authentifizierung: Nur Access-Token, falls das alles ist, was sie verwenden.
Drittens: Rotieren Sie das Token des Schranks, den der Tester mitgeschnitten hat, und ehrlicherweise alle 12, denn sie übertragen seit zwei Jahren unverschlüsselt über das Internet.Firmware-Updates und Geräteeinstellungen werden ohnehin nie unverschlüsselt gesendet, Sie geben diese also nicht preis. Alles oben Genannte steht auf dieser Seite: Device transport security. Für die IT lautet die ehrliche Antwort: „38 sind durchgehend verschlüsselt, 12 nicht und werden abgeschottet, bis sie ersetzt sind“.
Did our final-year project on almost exactly this (smart meters over 2G, we sniffed our own). Everything Laura said. Here’s what I’d do in your position, in this order.
First, split the profile. Make a new profile for the 38 TLS units and leave it on the default, TLS only on 8883. Move them over. That profile’s devices can’t log in on 1883 at all, so even if somebody pokes at them nothing goes in clear.
Second, the 12 old ones get their own profile with plain MQTT allowed, and you lock it down hard:
- Allowed networks: put in only the address range your operator’s traffic comes from. Ask the operator for a private APN if you can, then it’s their private range. Anything outside gets refused (CONNACK 5).
- Commands allowed without TLS: leave it empty, or at most
sys.info. Neversys.reboot. Other commands just wait for a TLS session, which these units will never have, so they expire. - Allowed authentication: only access token if that’s all they use.
Third, rotate the token of the cabinet the tester captured, and honestly all 12, because they’ve been crossing the internet in clear for two years.
Firmware updates and device settings are never sent in clear anyway, so you’re not leaking those. Everything above is on this page: Device transport security. For IT, the honest answer is „38 are encrypted end to end, 12 are not and are fenced in until they’re replaced“.
Von English mit KI übersetzt ·
Die Trennung gestern durchgeführt, lief gut. Der Betreiber konnte uns für die alte 12 ein privates APN einrichten, ein Anruf und ein Formular haben gereicht. Erlaubte Netze sind jetzt nur noch dessen /24 und sonst nichts. Die 12 Tokens rotiert und die neuen über den SMS-Konfigurationskanal des Herstellers übertragen; zwei Schaltschränke haben sie nicht übernommen, daher muss ich ohnehin dorthin fahren.Die IT hat die Aussage „abgeschottet bis zum Austausch“ mit einem Austauschtermin akzeptiert. Der Tester hat seinen Van-Aufbau an einem TLS-Gerät erneut ausgeführt und nichts Lesbares erhalten.
Did the split yesterday and it went fine. The operator could give us a private APN for the old 12, took one call and a form. Allowed networks is now their /24 and nothing else. Rotated the 12 tokens and pushed the new ones through the vendor’s SMS config channel, two cabinets didn’t take it so I’ll have to visit those anyway.
IT accepted the „fenced in until replaced“ line, with a replacement date. The tester re-ran his van thing on a TLS unit and got nothing readable.
Von English mit KI übersetzt ·
Wir hatten letztes Jahr in unserem Werk dieselbe Prüfungsfrage. Die Liste der zugelassenen Netze war das, was die Prüfer zufriedengestellt hat, und sie lohnt sich auch mit dem TLS-Profil.
We got the same audit question at our plant last year. The allowed networks list was the thing that got the auditors off our backs, worth doing even on the TLS profile.
- Du musst angemeldet sein, um auf dieses Thema antworten zu können.
Mitdiskutieren
Melde dich an, um Fragen zu stellen und zu beantworten, hilfreiche Beiträge mit „Gefällt mir“ zu markieren und die Antwort zu kennzeichnen, die dein Problem gelöst hat. Jeder Beitrag bringt Punkte und Stufen.