Traducido del English por IA ·
Es un poco largo, perdón. Gestionamos unos 50 registradores de energía en armarios de calle para un ayuntamiento, cada uno detrás de un pequeño router LTE con una tarjeta SIM de operador normal, y todos envían datos a una única organización de Hermetry. El mes pasado, el ayuntamiento contrató a un auditor de seguridad para una revisión no relacionada, y este decidió probar también con nosotros. Montó una de esas falsas estaciones base en una furgoneta, obligó a un armario de prueba a bajar a 2G y me demostró que podía ver el tráfico que salía de él.Ahora tengo un correo de TI pidiéndome que «confirme que el tráfico IoT es seguro de extremo a extremo» antes del viernes.
- 38 de los registradores son unidades nuevas; hablan MQTT sobre TLS en el puerto 8883, sin problema.
- 12 son registradores antiguos con módems SIM800 que no pueden usar TLS (o pueden, pero no con un conjunto de cifrado moderno). Para esos, alguien marcó MQTT sin cifrar en su perfil hace dos años, y publican en el puerto 1883.
- Todos están actualmente en el mismo perfil de dispositivo.
Lo que vio el auditor procedía de uno de los antiguos. Me enseñó una captura con CONNECT y algo que parecía nuestro token de acceso en el campo de nombre de usuario. Esa parte me encogió el estómago.Así que son realmente dos preguntas. ¿El cifrado de la radio celular nos aporta algo aquí? Y ¿cuál es la forma sensata de tratar los 12 equipos antiguos sin tener que enviar a alguien a cada armario este mes?
Bit of a long one, sorry. We run about 50 street-cabinet energy loggers for a council, each behind a small LTE router with an ordinary operator SIM, all reporting into one Hermetry org. Last month the council brought in a pen tester for an unrelated review and he decided to have a go at us too. He set up one of those fake base stations in a van, forced a test cabinet down to 2G and showed he could see traffic leaving it.
Now I’ve got an email from IT asking me to «confirm the IoT traffic is secure end to end» by Friday.
What I know about our setup:
- 38 of the loggers are newer units, they speak MQTT over TLS on 8883, no problem.
- 12 are older loggers with SIM800 modems that can’t do TLS (or can, but not with a modern cipher suite). For those someone ticked plain MQTT on their profile two years ago and they publish on 1883.
- All of them are in the same device profile at the moment.
What the tester saw was from one of the old ones. He showed me a capture with CONNECT and what looked like our access token in the username field. That bit made my stomach drop.
So two questions really. Is the cellular radio encryption doing anything for us here? And what’s the sensible way to deal with the 12 old units without a truck roll to each cabinet this month?
Traducido del English por IA ·
¿No cubriría eso el cifrado del proveedor de la SIM? Pensaba que las redes móviles cifran todo por el aire de todos modos.
Wouldn’t the SIM provider’s encryption cover that? I thought mobile networks encrypt everything over the air anyway.
Traducido del English por IA ·
Solo entre el teléfono y la antena, y la versión de 2G de esa protección es débil, por eso funciona el truco de la furgoneta. Más allá del núcleo del operador es internet sin cifrar. Trate la radio como no confiable.
Only between the phone and the tower, and 2G’s version of it is weak, which is why the van trick works. After the operator’s core it’s plain internet. Treat the radio as untrusted.
Traducido del English por IA ·
Gracias Laura, eso es más o menos lo que temía. Las unidades SIM800 tienen un firmware que, en teoría, podemos actualizar de forma remota, pero el proveedor dejó de responder correos electrónicos en 2024.
Thanks Laura, that’s roughly what I feared. The SIM800 units are on firmware we can update remotely in theory, but the vendor stopped answering emails in 2024.
Traducido del English por IA ·
Hicimos nuestro proyecto de fin de carrera sobre algo casi idéntico (contadores inteligentes sobre 2G, interceptamos nuestro propio tráfico). Todo lo que dijo Laura es correcto. Esto es lo que haría yo en tu lugar, en este orden.Primero, separa el perfil. Crea un perfil nuevo para las 38 unidades TLS y déjalo en el valor predeterminado, solo TLS en 8883. Muévelas a ese perfil. Los dispositivos de ese perfil no pueden iniciar sesión en 1883 en absoluto, así que aunque alguien intente algo con ellos, nada viaja en claro.Segundo, las 12 unidades antiguas tienen su propio perfil con MQTT sin cifrar permitido, y lo bloqueas al máximo:
- Redes permitidas: introduce solo el rango de direcciones desde el que llega el tráfico de tu operador. Pide al operador un APN privado si puedes; así será su rango privado. Todo lo que venga de fuera se rechaza (CONNACK 5).
- Comandos permitidos sin TLS: déjalo vacío o, como máximo,
sys.info. Nuncasys.reboot. Los demás comandos simplemente esperan una sesión TLS, que estas unidades nunca tendrán, así que caducan. - Autenticación permitida: solo token de acceso, si es lo único que usan.
Tercero, rota el token del armario que capturó el tester, y, siendo honestos, los 12, porque llevan dos años cruzando internet en claro.Las actualizaciones de firmware y la configuración de los dispositivos tampoco se envían nunca en claro, así que no estás filtrando esos datos. Todo lo anterior está en esta página: Device transport security. Para TI, la respuesta honesta es: «38 están cifradas de extremo a extremo, 12 no lo están y quedan aisladas hasta que se reemplacen».
Did our final-year project on almost exactly this (smart meters over 2G, we sniffed our own). Everything Laura said. Here’s what I’d do in your position, in this order.
First, split the profile. Make a new profile for the 38 TLS units and leave it on the default, TLS only on 8883. Move them over. That profile’s devices can’t log in on 1883 at all, so even if somebody pokes at them nothing goes in clear.
Second, the 12 old ones get their own profile with plain MQTT allowed, and you lock it down hard:
- Allowed networks: put in only the address range your operator’s traffic comes from. Ask the operator for a private APN if you can, then it’s their private range. Anything outside gets refused (CONNACK 5).
- Commands allowed without TLS: leave it empty, or at most
sys.info. Neversys.reboot. Other commands just wait for a TLS session, which these units will never have, so they expire. - Allowed authentication: only access token if that’s all they use.
Third, rotate the token of the cabinet the tester captured, and honestly all 12, because they’ve been crossing the internet in clear for two years.
Firmware updates and device settings are never sent in clear anyway, so you’re not leaking those. Everything above is on this page: Device transport security. For IT, the honest answer is «38 are encrypted end to end, 12 are not and are fenced in until they’re replaced».
Traducido del English por IA ·
Hicimos la separación ayer y salió bien. El operador nos pudo dar un APN privado para el antiguo 12; bastó una llamada y un formulario. Las redes permitidas ahora son solo su /24 y nada más. Rotamos los 12 tokens y enviamos los nuevos por el canal de configuración SMS del proveedor; dos armarios no lo aceptaron, así que tendré que visitarlos de todos modos.TI aceptó la frase «aislado hasta su sustitución», con una fecha de sustitución. El tester repitió su montaje de furgoneta en una unidad TLS y no obtuvo nada legible.
Did the split yesterday and it went fine. The operator could give us a private APN for the old 12, took one call and a form. Allowed networks is now their /24 and nothing else. Rotated the 12 tokens and pushed the new ones through the vendor’s SMS config channel, two cabinets didn’t take it so I’ll have to visit those anyway.
IT accepted the «fenced in until replaced» line, with a replacement date. The tester re-ran his van thing on a TLS unit and got nothing readable.
Traducido del English por IA ·
El año pasado recibimos la misma pregunta de auditoría en nuestra planta. La lista de redes permitidas fue lo que hizo que los auditores nos dejaran en paz, y vale la pena hacerlo incluso con el perfil TLS.
We got the same audit question at our plant last year. The allowed networks list was the thing that got the auditors off our backs, worth doing even on the TLS profile.
- Debes estar registrado para responder a este debate.
Únete a la conversación
Inicia sesión para preguntar y responder, dar me gusta a las publicaciones útiles y marcar la respuesta que resolvió tu problema. Cada aportación suma puntos y niveles.