Von English mit KI übersetzt ·
Halb ernst gemeint. Ich habe 9 ESP32-Knoten in einem Lager (Temperatur, Türkontakte, ein paar Stromzangen), die über MQTT/TLS mit Hermetry kommunizieren. Jemand aus unserem Team hat einen Artikel gelesen, dass IoT-Geräte von ISPs und Angreifern anhand von Verkehrsmustern identifiziert werden, und schlägt nun vor, einen Tor-Router zwischen das WLAN des Lagers und das Internet zu setzen, damit „niemand sehen kann, was die Geräte tun“.Mein Bauchgefühl sagt, dass das die Lage eher verschlechtert als verbessert, aber ich kann es über „fühlt sich falsch an“ hinaus nicht begründen. Der Verkehr ist bereits TLS 1.2. Wie sieht das tatsächliche Risikomodell aus, und gibt es etwas Besseres, das ich tun sollte, falls der Chef „mehr Sicherheit“ will?
Half serious question. I’ve got 9 ESP32 nodes in a depot (temperature, door contacts, a couple of current clamps) talking to Hermetry over MQTT/TLS. Someone on our team read an article about IoT devices being fingerprinted by ISPs and attackers from traffic patterns, and now suggests we put a Tor router between the depot Wi-Fi and the internet so „nobody can see what the devices are doing“.
My gut says this makes things worse not better, but I can’t explain why beyond „it feels wrong“. The traffic is already TLS 1.2. What’s the actual risk model here, and is there something better I should do instead if the boss wants „more security“?
Von English mit KI übersetzt ·
Würde Tor nicht alles deutlich verlangsamen? Wir haben in unserem Hotel ein VPN ausprobiert, und die Türsensoren wurden träge.
Wouldn’t Tor slow everything down a lot? We tried a VPN in our hotel and the door sensors got laggy.
Von English mit KI übersetzt ·
Tor verbirgt, mit wem du kommunizierst, richtig? Wenn also jemand die Depotleitung überwacht, würde er nicht wissen, dass du Hermetry verwendest. Ist das nicht gut?
Tor hides who you are talking to right? so if someone is watching the depot line they wouldn’t know you use Hermetry. isn’t that good?
Von English mit KI übersetzt ·
Es verbirgt das Ziel vor jemandem, der die Depotleitung mitliest, ja, Rahul. Aber das Ziel war nie das Geheimnis, und Tor kostet dich auf der Hermetry-Seite echte Dinge.Was dich heute tatsächlich schützt: Die MQTT-Sitzung nutzt mindestens TLS 1.2 mit Forward-Secrecy-Cipher-Suiten, daher sind Inhalte und das Geräte-Token auf der Leitung nicht lesbar. Wer den Uplink des Depots mitschneidet, erfährt nur, dass ein Gerät alle N Sekunden mit einem Broker spricht. Tor verbirgt den Broker-Namen, fügt aber viel Latenz und häufigen Verbindungsabbau und -aufbau hinzu.Nun die Kosten. Jeder Tor-Circuit tritt über eine andere Adresse aus. Hermetry sendet deinen Administratoren eine Benachrichtigung, wenn sich ein Gerät aus einem neuen Netz anmeldet (höchstens einmal pro Stunde und Gerät). Wenn 9 Knoten ständig die Austrittsadressen wechseln, gibt es einen stetigen Strom davon, und du gewöhnst die Leute daran, genau die Warnung zu ignorieren, die ihnen sagen würde, dass ein Token gestohlen wurde. Außerdem verlierst du die Option „Erlaubte Netzwerke“ im Profil, eine der besten Kontrollmöglichkeiten für ortsfeste Geräte: Trägst du die öffentliche Adresse des Depots ein, erhält ein gestohlenes Token, das von irgendwo anders verwendet wird, CONNACK 5. Dazu blockieren wiederholt fehlgeschlagene Anmeldungen eine Adresse für jedes Gerät dahinter, und bei geteilten Austrittsadressen liegt das nicht in deiner Hand.Wenn der Chef mehr will, würde ich stattdessen Folgendes tun, alles im Geräteprofil:
- Erlaubte Netzwerke: die öffentliche IP des Depots
- Nur TLS, Token in der URL aus, Befehle ohne TLS erlaubt leer
- Wenn die Firmware es unterstützt, von Zugriffstoken auf X.509 umstellen, sonst MQTT basic, eine Zugangsdaten pro Gerät
- Die Limits des Profils auf das senken, was die Knoten tatsächlich senden, damit ein gekapertes Gerät schnell abgeschaltet wird
Und setze die ESP32s in ein eigenes VLAN, damit ein kompromittierter Knoten die Büro-PCs nicht erreichen kann. Die Checkliste findest du unter Device transport security.
It hides the destination from someone watching the depot line, yes, Rahul. But the destination was never the secret, and Tor costs you real things on the Hermetry side.
What actually protects you today: the MQTT session is TLS 1.2 minimum with forward-secret suites, so contents and the device token aren’t readable on the wire. Someone sniffing the depot uplink learns there’s a device talking to a broker every N seconds. Tor hides the broker name and adds a lot of latency and connection churn.
Now the costs. Every Tor circuit exits from a different address. Hermetry sends your admins a notice when a device logs in from a new network (at most once an hour per device), so 9 nodes hopping exits means a steady stream of those, and you train people to ignore exactly the warning that would tell them a token was stolen. You also lose the profile’s Allowed networks option, which is one of the best controls you have for fixed-site devices: list the depot’s public address and a stolen token used from anywhere else gets CONNACK 5. Plus repeated failed logins block an address for every device behind it, and on shared exits that’s not under your control.
If the boss wants more, I’d do this instead, all on the device profile:
- Allowed networks: the depot’s public IP
- TLS only, Token in the URL off, Commands allowed without TLS empty
- move from access tokens to X.509 if your firmware can, otherwise MQTT basic, one credential per device
- lower the profile Limits to what the nodes really send so a hijacked one gets cut off fast
And put the ESP32s on their own VLAN so a compromised node can’t reach the office PCs. Checklist is on Device transport security.
Von English mit KI übersetzt ·
Genau dieses Argument konnte ich nicht vorbringen. Allein die Hinweise auf neue Netzwerke machen die Tor-Idee zunichte. Ich habe heute Nachmittag Erlaubte Netzwerke auf unsere statische IP gesetzt, mit einem Knoten am Hotspot meines Handys getestet, und er wurde abgelehnt; der Reiter Protokoll zeigte den Grund. Der Chef ist zufrieden, und niemand installiert Tor.
That’s the argument I couldn’t make. The new-network notices alone kill the Tor idea. Set Allowed networks to our static IP this afternoon, tested with a node on my phone hotspot and it got refused, Log tab showed the reason. Boss is happy, nobody installs Tor.
Von English mit KI übersetzt ·
Ich wusste nicht von Allowed networks, ich füge es auch unserem Hotelprofil hinzu.
Didn’t know about Allowed networks, adding it to our hotel profile too.
- Du musst angemeldet sein, um auf dieses Thema antworten zu können.
Mitdiskutieren
Melde dich an, um Fragen zu stellen und zu beantworten, hilfreiche Beiträge mit „Gefällt mir“ zu markieren und die Antwort zu kennzeichnen, die dein Problem gelöst hat. Jeder Beitrag bringt Punkte und Stufen.