Traducido del English por IA ·
Pregunta medio en serio. Tengo 9 nodos ESP32 en un depósito (temperatura, contactos de puerta, un par de pinzas amperimétricas) que se comunican con Hermetry por MQTT/TLS. Alguien de nuestro equipo leyó un artículo sobre dispositivos IoT identificados por los ISP y atacantes a partir de patrones de tráfico, y ahora sugiere poner un router Tor entre el Wi-Fi del depósito e internet para que «nadie pueda ver lo que hacen los dispositivos».Mi intuición dice que esto empeora las cosas en vez de mejorarlas, pero no sé explicar por qué más allá de «me parece mal». El tráfico ya usa TLS 1.2. ¿Cuál es el modelo de riesgo real y hay algo mejor que deba hacer si el jefe quiere «más seguridad»?
Half serious question. I’ve got 9 ESP32 nodes in a depot (temperature, door contacts, a couple of current clamps) talking to Hermetry over MQTT/TLS. Someone on our team read an article about IoT devices being fingerprinted by ISPs and attackers from traffic patterns, and now suggests we put a Tor router between the depot Wi-Fi and the internet so «nobody can see what the devices are doing».
My gut says this makes things worse not better, but I can’t explain why beyond «it feels wrong». The traffic is already TLS 1.2. What’s the actual risk model here, and is there something better I should do instead if the boss wants «more security»?
Traducido del English por IA ·
¿No ralentizaría Tor todo bastante? Probamos una VPN en nuestro hotel y los sensores de puerta se volvieron lentos.
Wouldn’t Tor slow everything down a lot? We tried a VPN in our hotel and the door sensors got laggy.
Traducido del English por IA ·
Tor oculta con quién te comunicas, ¿verdad? Así que si alguien vigila la línea del depósito, no sabría que usas Hermetry. ¿No es eso bueno?
Tor hides who you are talking to right? so if someone is watching the depot line they wouldn’t know you use Hermetry. isn’t that good?
Traducido del English por IA ·
Sí, oculta el destino ante alguien que observe la línea del depósito, Rahul. Pero el destino nunca fue el secreto, y Tor te cuesta cosas reales en el lado de Hermetry.Lo que realmente te protege hoy: la sesión MQTT usa TLS 1.2 como mínimo con suites de secreto hacia adelante, así que el contenido y el token del dispositivo no son legibles en la red. Alguien que capture el enlace ascendente del depósito solo sabe que hay un dispositivo hablando con un broker cada N segundos. Tor oculta el nombre del broker, pero añade mucha latencia y rotación de conexiones.Ahora los costes. Cada circuito de Tor sale por una dirección distinta. Hermetry envía a tus administradores un aviso cuando un dispositivo inicia sesión desde una red nueva (como máximo una vez por hora y dispositivo), así que 9 nodos saltando entre salidas generan un flujo constante de esos avisos, y acabas entrenando a la gente para ignorar justo la advertencia que les diría que un token fue robado. Además, pierdes la opción de Redes permitidas del perfil, uno de los mejores controles para dispositivos de ubicación fija: si incluyes la dirección pública del depósito, un token robado usado desde cualquier otro lugar recibe CONNACK 5. Y los inicios de sesión fallidos repetidos bloquean una dirección para todos los dispositivos detrás de ella, algo que en salidas compartidas no controlas.Si el jefe quiere más, haría esto en su lugar, todo en el perfil del dispositivo:
- Redes permitidas: la IP pública del depósito
- Solo TLS, Token en la URL desactivado, Comandos permitidos sin TLS vacío
- pasar de tokens de acceso a X.509 si tu firmware lo permite; si no, MQTT basic, una credencial por dispositivo
- bajar los Límites del perfil a lo que los nodos realmente envían, para que uno secuestrado se corte rápido
Y pon los ESP32 en su propia VLAN para que un nodo comprometido no pueda llegar a los PC de la oficina. La lista de verificación está en Device transport security.
It hides the destination from someone watching the depot line, yes, Rahul. But the destination was never the secret, and Tor costs you real things on the Hermetry side.
What actually protects you today: the MQTT session is TLS 1.2 minimum with forward-secret suites, so contents and the device token aren’t readable on the wire. Someone sniffing the depot uplink learns there’s a device talking to a broker every N seconds. Tor hides the broker name and adds a lot of latency and connection churn.
Now the costs. Every Tor circuit exits from a different address. Hermetry sends your admins a notice when a device logs in from a new network (at most once an hour per device), so 9 nodes hopping exits means a steady stream of those, and you train people to ignore exactly the warning that would tell them a token was stolen. You also lose the profile’s Allowed networks option, which is one of the best controls you have for fixed-site devices: list the depot’s public address and a stolen token used from anywhere else gets CONNACK 5. Plus repeated failed logins block an address for every device behind it, and on shared exits that’s not under your control.
If the boss wants more, I’d do this instead, all on the device profile:
- Allowed networks: the depot’s public IP
- TLS only, Token in the URL off, Commands allowed without TLS empty
- move from access tokens to X.509 if your firmware can, otherwise MQTT basic, one credential per device
- lower the profile Limits to what the nodes really send so a hijacked one gets cut off fast
And put the ESP32s on their own VLAN so a compromised node can’t reach the office PCs. Checklist is on Device transport security.
Traducido del English por IA ·
Ese es el argumento que no logré plantear. Solo los avisos de nueva red acaban con la idea de Tor. Configuré Redes permitidas con nuestra IP estática esta tarde, lo probé con un nodo en el punto de acceso de mi teléfono y fue rechazado; la pestaña Registro mostró el motivo. El jefe está contento, nadie instala Tor.
That’s the argument I couldn’t make. The new-network notices alone kill the Tor idea. Set Allowed networks to our static IP this afternoon, tested with a node on my phone hotspot and it got refused, Log tab showed the reason. Boss is happy, nobody installs Tor.
Traducido del English por IA ·
No sabía lo de Allowed networks, lo añado también a nuestro perfil del hotel.
Didn’t know about Allowed networks, adding it to our hotel profile too.
- Debes estar registrado para responder a este debate.
Únete a la conversación
Inicia sesión para preguntar y responder, dar me gusta a las publicaciones útiles y marcar la respuesta que resolvió tu problema. Cada aportación suma puntos y niveles.