Traduit de English par IA ·
Nous avons réalisé notre projet de fin d’études sur quelque chose de presque identique (compteurs intelligents sur 2G, nous avons intercepté notre propre trafic). Tout ce que Laura a dit est juste. Voici ce que je ferais à votre place, dans cet ordre.Premièrement, séparez le profil. Créez un nouveau profil pour les 38 unités TLS et laissez-le par défaut, TLS uniquement sur 8883. Transférez-les vers ce profil. Les appareils de ce profil ne peuvent pas se connecter sur 1883 du tout, donc même si quelqu’un tente d’interagir avec eux, rien ne circule en clair.Deuxièmement, les 12 anciennes unités obtiennent leur propre profil avec MQTT en clair autorisé, et vous le verrouillez fortement :
- Réseaux autorisés : n’indiquez que la plage d’adresses d’où provient le trafic de votre opérateur. Demandez à l’opérateur un APN privé si possible ; ce sera alors sa plage privée. Tout ce qui vient de l’extérieur est refusé (CONNACK 5).
- Commandes autorisées sans TLS : laissez vide, ou au maximum
sys.info. Jamaissys.reboot. Les autres commandes attendent simplement une session TLS, que ces unités n’auront jamais, donc elles expirent. - Authentification autorisée : uniquement le jeton d’accès, si c’est tout ce qu’elles utilisent.
Troisièmement, renouvelez le jeton de l’armoire capturée par le testeur, et honnêtement les 12, car elles font transiter leurs données en clair sur Internet depuis deux ans.Les mises à jour du micrologiciel et les paramètres des appareils ne sont de toute façon jamais envoyés en clair, donc vous ne divulguez pas ces données. Tout ce qui précède se trouve sur cette page : Device transport security. Pour l’informatique, la réponse honnête est : « 38 sont chiffrées de bout en bout, 12 ne le sont pas et sont isolées jusqu’à leur remplacement ».
Did our final-year project on almost exactly this (smart meters over 2G, we sniffed our own). Everything Laura said. Here’s what I’d do in your position, in this order.
First, split the profile. Make a new profile for the 38 TLS units and leave it on the default, TLS only on 8883. Move them over. That profile’s devices can’t log in on 1883 at all, so even if somebody pokes at them nothing goes in clear.
Second, the 12 old ones get their own profile with plain MQTT allowed, and you lock it down hard:
- Allowed networks: put in only the address range your operator’s traffic comes from. Ask the operator for a private APN if you can, then it’s their private range. Anything outside gets refused (CONNACK 5).
- Commands allowed without TLS: leave it empty, or at most
sys.info. Neversys.reboot. Other commands just wait for a TLS session, which these units will never have, so they expire. - Allowed authentication: only access token if that’s all they use.
Third, rotate the token of the cabinet the tester captured, and honestly all 12, because they’ve been crossing the internet in clear for two years.
Firmware updates and device settings are never sent in clear anyway, so you’re not leaking those. Everything above is on this page: Device transport security. For IT, the honest answer is « 38 are encrypted end to end, 12 are not and are fenced in until they’re replaced ».