Traduit de English par IA ·
Un peu long, désolé. Nous exploitons environ 50 enregistreurs d’énergie en armoire de rue pour une mairie, chacun derrière un petit routeur LTE avec une carte SIM d’opérateur classique, et tous remontent vers une même organisation Hermetry. Le mois dernier, la mairie a fait intervenir un testeur d’intrusion pour un audit sans rapport, et il a décidé de s’en prendre aussi à nous. Il a installé l’une de ces fausses stations de base dans une camionnette, a forcé une armoire de test à repasser en 2G et a montré qu’il pouvait voir le trafic qui en sortait.J’ai maintenant reçu un e-mail du service informatique me demandant de « confirmer que le trafic IoT est sécurisé de bout en bout » d’ici vendredi.
- 38 enregistreurs sont des modèles récents ; ils parlent MQTT sur TLS, port 8883, aucun problème.
- 12 sont d’anciens enregistreurs équipés de modems SIM800 qui ne peuvent pas faire de TLS (ou peuvent, mais pas avec une suite de chiffrement moderne). Pour ceux-là, quelqu’un a coché le MQTT en clair dans leur profil il y a deux ans, et ils publient sur le port 1883.
- Tous se trouvent actuellement dans le même profil d’appareil.
Ce que le testeur a vu provenait d’un des anciens appareils. Il m’a montré une capture contenant CONNECT et ce qui ressemblait à notre jeton d’accès dans le champ du nom d’utilisateur. Ce détail m’a serré l’estomac.Il y a donc vraiment deux questions. Le chiffrement de la liaison radio cellulaire nous apporte-t-il quelque chose ici ? Et quelle est la façon raisonnable de traiter les 12 anciens appareils sans devoir envoyer une équipe à chaque armoire ce mois-ci ?
Bit of a long one, sorry. We run about 50 street-cabinet energy loggers for a council, each behind a small LTE router with an ordinary operator SIM, all reporting into one Hermetry org. Last month the council brought in a pen tester for an unrelated review and he decided to have a go at us too. He set up one of those fake base stations in a van, forced a test cabinet down to 2G and showed he could see traffic leaving it.
Now I’ve got an email from IT asking me to « confirm the IoT traffic is secure end to end » by Friday.
What I know about our setup:
- 38 of the loggers are newer units, they speak MQTT over TLS on 8883, no problem.
- 12 are older loggers with SIM800 modems that can’t do TLS (or can, but not with a modern cipher suite). For those someone ticked plain MQTT on their profile two years ago and they publish on 1883.
- All of them are in the same device profile at the moment.
What the tester saw was from one of the old ones. He showed me a capture with CONNECT and what looked like our access token in the username field. That bit made my stomach drop.
So two questions really. Is the cellular radio encryption doing anything for us here? And what’s the sensible way to deal with the 12 old units without a truck roll to each cabinet this month?
Traduit de English par IA ·
Le chiffrement du fournisseur de la carte SIM ne couvrirait-il pas cela ? Je pensais que les réseaux mobiles chiffraient de toute façon tout ce qui transite par l’air.
Wouldn’t the SIM provider’s encryption cover that? I thought mobile networks encrypt everything over the air anyway.
Traduit de English par IA ·
Uniquement entre le téléphone et l’antenne-relais, et la version 2G de cette protection est faible, ce qui explique que l’astuce du van fonctionne. Au-delà du cœur de réseau de l’opérateur, c’est de l’internet en clair. Considérez la liaison radio comme non fiable.
Only between the phone and the tower, and 2G’s version of it is weak, which is why the van trick works. After the operator’s core it’s plain internet. Treat the radio as untrusted.
Traduit de English par IA ·
Merci Laura, c’est à peu près ce que je craignais. Les unités SIM800 fonctionnent avec un firmware que nous pourrions, en théorie, mettre à jour à distance, mais le fournisseur ne répond plus aux e-mails depuis 2024.
Thanks Laura, that’s roughly what I feared. The SIM800 units are on firmware we can update remotely in theory, but the vendor stopped answering emails in 2024.
Traduit de English par IA ·
Nous avons réalisé notre projet de fin d’études sur quelque chose de presque identique (compteurs intelligents sur 2G, nous avons intercepté notre propre trafic). Tout ce que Laura a dit est juste. Voici ce que je ferais à votre place, dans cet ordre.Premièrement, séparez le profil. Créez un nouveau profil pour les 38 unités TLS et laissez-le par défaut, TLS uniquement sur 8883. Transférez-les vers ce profil. Les appareils de ce profil ne peuvent pas se connecter sur 1883 du tout, donc même si quelqu’un tente d’interagir avec eux, rien ne circule en clair.Deuxièmement, les 12 anciennes unités obtiennent leur propre profil avec MQTT en clair autorisé, et vous le verrouillez fortement :
- Réseaux autorisés : n’indiquez que la plage d’adresses d’où provient le trafic de votre opérateur. Demandez à l’opérateur un APN privé si possible ; ce sera alors sa plage privée. Tout ce qui vient de l’extérieur est refusé (CONNACK 5).
- Commandes autorisées sans TLS : laissez vide, ou au maximum
sys.info. Jamaissys.reboot. Les autres commandes attendent simplement une session TLS, que ces unités n’auront jamais, donc elles expirent. - Authentification autorisée : uniquement le jeton d’accès, si c’est tout ce qu’elles utilisent.
Troisièmement, renouvelez le jeton de l’armoire capturée par le testeur, et honnêtement les 12, car elles font transiter leurs données en clair sur Internet depuis deux ans.Les mises à jour du micrologiciel et les paramètres des appareils ne sont de toute façon jamais envoyés en clair, donc vous ne divulguez pas ces données. Tout ce qui précède se trouve sur cette page : Device transport security. Pour l’informatique, la réponse honnête est : « 38 sont chiffrées de bout en bout, 12 ne le sont pas et sont isolées jusqu’à leur remplacement ».
Did our final-year project on almost exactly this (smart meters over 2G, we sniffed our own). Everything Laura said. Here’s what I’d do in your position, in this order.
First, split the profile. Make a new profile for the 38 TLS units and leave it on the default, TLS only on 8883. Move them over. That profile’s devices can’t log in on 1883 at all, so even if somebody pokes at them nothing goes in clear.
Second, the 12 old ones get their own profile with plain MQTT allowed, and you lock it down hard:
- Allowed networks: put in only the address range your operator’s traffic comes from. Ask the operator for a private APN if you can, then it’s their private range. Anything outside gets refused (CONNACK 5).
- Commands allowed without TLS: leave it empty, or at most
sys.info. Neversys.reboot. Other commands just wait for a TLS session, which these units will never have, so they expire. - Allowed authentication: only access token if that’s all they use.
Third, rotate the token of the cabinet the tester captured, and honestly all 12, because they’ve been crossing the internet in clear for two years.
Firmware updates and device settings are never sent in clear anyway, so you’re not leaking those. Everything above is on this page: Device transport security. For IT, the honest answer is « 38 are encrypted end to end, 12 are not and are fenced in until they’re replaced ».
Traduit de English par IA ·
La séparation a été effectuée hier et s’est bien passée. L’opérateur a pu nous fournir un APN privé pour l’ancienne 12, un appel et un formulaire ont suffi. Les réseaux autorisés se limitent désormais à leur /24 et rien d’autre. Nous avons renouvelé les 12 jetons et transmis les nouveaux via le canal de configuration SMS du fournisseur ; deux armoires ne l’ont pas accepté, je devrai donc m’y rendre quoi qu’il arrive.La DSI a accepté la formule « isolé jusqu’au remplacement », avec une date de remplacement. Le testeur a relancé son dispositif embarqué sur un équipement TLS et n’a obtenu aucune donnée lisible.
Did the split yesterday and it went fine. The operator could give us a private APN for the old 12, took one call and a form. Allowed networks is now their /24 and nothing else. Rotated the 12 tokens and pushed the new ones through the vendor’s SMS config channel, two cabinets didn’t take it so I’ll have to visit those anyway.
IT accepted the « fenced in until replaced » line, with a replacement date. The tester re-ran his van thing on a TLS unit and got nothing readable.
Traduit de English par IA ·
Nous avons eu la même question d’audit dans notre usine l’année dernière. La liste des réseaux autorisés est ce qui a permis de calmer les auditeurs, et elle vaut la peine d’être mise en place même avec le profil TLS.
We got the same audit question at our plant last year. The allowed networks list was the thing that got the auditors off our backs, worth doing even on the TLS profile.
- Vous devez être connecté pour répondre à ce sujet.
Rejoignez la discussion
Connectez-vous pour poser et répondre à des questions, aimer les messages utiles et marquer la réponse qui a résolu votre problème. Chaque contribution rapporte des points et des niveaux.