Yapay zekâ tarafından English dilinden çevrildi ·
Son sınıf bitirme projemizde hemen hemen bunun aynısını yaptık (2G üzerinden akıllı sayaçlar, kendi trafiğimizi dinledik). Laura’nın dediklerinin hepsi doğru. Sizin yerinizde ne yapardım, sırasıyla anlatayım.Birincisi, profili ayırın. 38 TLS cihazı için yeni bir profil oluşturun ve varsayılan ayarda bırakın, yani yalnızca 8883 üzerinden TLS. Cihazları bu profile taşıyın. Bu profildeki cihazlar 1883 üzerinden hiç giriş yapamaz, dolayısıyla biri onlara dokunsa bile hiçbir şey açık metin olarak gitmez.İkincisi, 12 eski cihaz için düz MQTT’ye izin veren ayrı bir profil oluşturun ve bunu sıkı şekilde kilitleyin:
- İzin verilen ağlar: Yalnızca operatörünüzün trafiğinin geldiği adres aralığını girin. Mümkünse operatörden özel bir APN isteyin; böylece aralık onların özel aralığı olur. Bunun dışından gelenler reddedilir (CONNACK 5).
- TLS olmadan izin verilen komutlar: Boş bırakın ya da en fazla
sys.infoekleyin. Aslasys.rebooteklemeyin. Diğer komutlar yalnızca bir TLS oturumu bekler; bu cihazların hiçbir zaman sahip olmayacağı bir oturum olduğundan bu komutlar zaman aşımına uğrar. - İzin verilen kimlik doğrulama: Yalnızca erişim belirteci kullanıyorlarsa onu seçin.
Üçüncüsü, test uzmanının ele geçirdiği kabinin belirtecini yenileyin; dürüst olmak gerekirse 12’sinin de belirtecini yenileyin, çünkü iki yıldır internet üzerinden açık metin olarak geçiyorlar.Yazılım güncellemeleri ve cihaz ayarları zaten hiçbir zaman açık metin gönderilmez, dolayısıyla bunları sızdırmıyorsunuz. Yukarıdakilerin tamamı bu sayfada: Device transport security. BT ekibine verilecek dürüst yanıt şu: “38’i uçtan uca şifreli, 12’si şifreli değil ve değiştirilene kadar izole edildi”.
Did our final-year project on almost exactly this (smart meters over 2G, we sniffed our own). Everything Laura said. Here’s what I’d do in your position, in this order.
First, split the profile. Make a new profile for the 38 TLS units and leave it on the default, TLS only on 8883. Move them over. That profile’s devices can’t log in on 1883 at all, so even if somebody pokes at them nothing goes in clear.
Second, the 12 old ones get their own profile with plain MQTT allowed, and you lock it down hard:
- Allowed networks: put in only the address range your operator’s traffic comes from. Ask the operator for a private APN if you can, then it’s their private range. Anything outside gets refused (CONNACK 5).
- Commands allowed without TLS: leave it empty, or at most
sys.info. Neversys.reboot. Other commands just wait for a TLS session, which these units will never have, so they expire. - Allowed authentication: only access token if that’s all they use.
Third, rotate the token of the cabinet the tester captured, and honestly all 12, because they’ve been crossing the internet in clear for two years.
Firmware updates and device settings are never sent in clear anyway, so you’re not leaking those. Everything above is on this page: Device transport security. For IT, the honest answer is “38 are encrypted end to end, 12 are not and are fenced in until they’re replaced”.