Yapay zekâ tarafından English dilinden çevrildi ·
Biraz uzun, kusura bakmayın. Bir belediye için yaklaşık 50 sokak dolabı enerji kaydedicisi işletiyoruz; her biri sıradan bir operatör SIM’i olan küçük bir LTE yönlendiricinin arkasında ve hepsi tek bir Hermetry organizasyonuna veri gönderiyor. Geçen ay belediye, ilgisiz bir inceleme için bir sızma testi uzmanı getirdi ve o da bizi de denemeye karar verdi. Bir minibüse bu tür sahte baz istasyonlarından birini kurdu, test dolaplarından birini 2G’ye zorladı ve dolaptan çıkan trafiği görebildiğini gösterdi.Şimdi BT biriminden, “IoT trafiğinin uçtan uca güvenli olduğunu” Cuma gününe kadar “onaylamamı” isteyen bir e-posta aldım.
- Kaydedicilerin 38 tanesi yeni modeller; MQTT’yi 8883 portunda TLS üzerinden konuşuyorlar, sorun yok.
- 12 tanesi, TLS yapamayan (ya da yapabilen ama modern bir şifreleme paketiyle yapamayan) SIM800 modemli eski kaydedicilerdir. Bunlar için iki yıl önce biri profillerinde düz MQTT’yi işaretlemiş ve bunlar 1883 portunda yayın yapıyor.
- Hepsi şu anda aynı cihaz profilinde.
Test uzmanının gördüğü, eski kaydedicilerden birinden geldi. Bana içinde CONNECT ve kullanıcı adı alanında erişim belirtecimize benzeyen bir şey bulunan bir yakalama gösterdi. Bu kısım midemi bulandırdı.Yani aslında iki sorum var. Burada hücresel radyo şifrelemesi bizim için bir işe yarıyor mu? Ve 12 eski birimi, bu ay her dolaba ayrı ayrı saha ziyareti yapmadan ele almanın mantıklı yolu nedir?
Bit of a long one, sorry. We run about 50 street-cabinet energy loggers for a council, each behind a small LTE router with an ordinary operator SIM, all reporting into one Hermetry org. Last month the council brought in a pen tester for an unrelated review and he decided to have a go at us too. He set up one of those fake base stations in a van, forced a test cabinet down to 2G and showed he could see traffic leaving it.
Now I’ve got an email from IT asking me to “confirm the IoT traffic is secure end to end” by Friday.
What I know about our setup:
- 38 of the loggers are newer units, they speak MQTT over TLS on 8883, no problem.
- 12 are older loggers with SIM800 modems that can’t do TLS (or can, but not with a modern cipher suite). For those someone ticked plain MQTT on their profile two years ago and they publish on 1883.
- All of them are in the same device profile at the moment.
What the tester saw was from one of the old ones. He showed me a capture with CONNECT and what looked like our access token in the username field. That bit made my stomach drop.
So two questions really. Is the cellular radio encryption doing anything for us here? And what’s the sensible way to deal with the 12 old units without a truck roll to each cabinet this month?
Yapay zekâ tarafından English dilinden çevrildi ·
Bunu SIM sağlayıcısının şifrelemesi kapsamaz mı? Mobil ağların havadan iletilen her şeyi zaten şifrelediğini sanıyordum.
Wouldn’t the SIM provider’s encryption cover that? I thought mobile networks encrypt everything over the air anyway.
Yapay zekâ tarafından English dilinden çevrildi ·
Yalnızca telefon ile baz istasyonu arasında, ve 2G’nin buradaki koruması zayıf; bu yüzden van numarası işe yarıyor. Operatörün çekirdek ağından sonra ise düz internet trafiği var. Radyo bağlantısını güvenilmez kabul edin.
Only between the phone and the tower, and 2G’s version of it is weak, which is why the van trick works. After the operator’s core it’s plain internet. Treat the radio as untrusted.
Yapay zekâ tarafından English dilinden çevrildi ·
Teşekkürler Laura, korktuğum şey tam olarak buydu. SIM800 cihazları teoride uzaktan güncellenebilecek bir yazılımda çalışıyor, ancak üretici 2024’ten beri e-postalara yanıt vermiyor.
Thanks Laura, that’s roughly what I feared. The SIM800 units are on firmware we can update remotely in theory, but the vendor stopped answering emails in 2024.
Yapay zekâ tarafından English dilinden çevrildi ·
Son sınıf bitirme projemizde hemen hemen bunun aynısını yaptık (2G üzerinden akıllı sayaçlar, kendi trafiğimizi dinledik). Laura’nın dediklerinin hepsi doğru. Sizin yerinizde ne yapardım, sırasıyla anlatayım.Birincisi, profili ayırın. 38 TLS cihazı için yeni bir profil oluşturun ve varsayılan ayarda bırakın, yani yalnızca 8883 üzerinden TLS. Cihazları bu profile taşıyın. Bu profildeki cihazlar 1883 üzerinden hiç giriş yapamaz, dolayısıyla biri onlara dokunsa bile hiçbir şey açık metin olarak gitmez.İkincisi, 12 eski cihaz için düz MQTT’ye izin veren ayrı bir profil oluşturun ve bunu sıkı şekilde kilitleyin:
- İzin verilen ağlar: Yalnızca operatörünüzün trafiğinin geldiği adres aralığını girin. Mümkünse operatörden özel bir APN isteyin; böylece aralık onların özel aralığı olur. Bunun dışından gelenler reddedilir (CONNACK 5).
- TLS olmadan izin verilen komutlar: Boş bırakın ya da en fazla
sys.infoekleyin. Aslasys.rebooteklemeyin. Diğer komutlar yalnızca bir TLS oturumu bekler; bu cihazların hiçbir zaman sahip olmayacağı bir oturum olduğundan bu komutlar zaman aşımına uğrar. - İzin verilen kimlik doğrulama: Yalnızca erişim belirteci kullanıyorlarsa onu seçin.
Üçüncüsü, test uzmanının ele geçirdiği kabinin belirtecini yenileyin; dürüst olmak gerekirse 12’sinin de belirtecini yenileyin, çünkü iki yıldır internet üzerinden açık metin olarak geçiyorlar.Yazılım güncellemeleri ve cihaz ayarları zaten hiçbir zaman açık metin gönderilmez, dolayısıyla bunları sızdırmıyorsunuz. Yukarıdakilerin tamamı bu sayfada: Device transport security. BT ekibine verilecek dürüst yanıt şu: “38’i uçtan uca şifreli, 12’si şifreli değil ve değiştirilene kadar izole edildi”.
Did our final-year project on almost exactly this (smart meters over 2G, we sniffed our own). Everything Laura said. Here’s what I’d do in your position, in this order.
First, split the profile. Make a new profile for the 38 TLS units and leave it on the default, TLS only on 8883. Move them over. That profile’s devices can’t log in on 1883 at all, so even if somebody pokes at them nothing goes in clear.
Second, the 12 old ones get their own profile with plain MQTT allowed, and you lock it down hard:
- Allowed networks: put in only the address range your operator’s traffic comes from. Ask the operator for a private APN if you can, then it’s their private range. Anything outside gets refused (CONNACK 5).
- Commands allowed without TLS: leave it empty, or at most
sys.info. Neversys.reboot. Other commands just wait for a TLS session, which these units will never have, so they expire. - Allowed authentication: only access token if that’s all they use.
Third, rotate the token of the cabinet the tester captured, and honestly all 12, because they’ve been crossing the internet in clear for two years.
Firmware updates and device settings are never sent in clear anyway, so you’re not leaking those. Everything above is on this page: Device transport security. For IT, the honest answer is “38 are encrypted end to end, 12 are not and are fenced in until they’re replaced”.
Yapay zekâ tarafından English dilinden çevrildi ·
Dün ayrımı yaptık ve sorunsuz geçti. Operatör, eski 12 için özel bir APN verebildi; bir telefon görüşmesi ve bir form yeterli oldu. İzin verilen ağlar artık yalnızca onların /24 bloğu. 12 token’ı döndürdük ve yenilerini satıcının SMS yapılandırma kanalı üzerinden gönderdik; iki kabin bunu kabul etmedi, bu yüzden yine de oraya gitmem gerekecek.BT, “değiştirilene kadar çevrelenmiş” ifadesini değiştirme tarihiyle birlikte kabul etti. Test uzmanı TLS cihazında kendi van düzeneğini yeniden çalıştırdı ve okunabilir hiçbir şey alamadı.
Did the split yesterday and it went fine. The operator could give us a private APN for the old 12, took one call and a form. Allowed networks is now their /24 and nothing else. Rotated the 12 tokens and pushed the new ones through the vendor’s SMS config channel, two cabinets didn’t take it so I’ll have to visit those anyway.
IT accepted the “fenced in until replaced” line, with a replacement date. The tester re-ran his van thing on a TLS unit and got nothing readable.
Yapay zekâ tarafından English dilinden çevrildi ·
Geçen yıl tesisimizde aynı denetim sorusuyla karşılaştık. Denetçilerin bizi rahat bırakmasını sağlayan şey izin verilen ağlar listesi oldu; TLS profilinde bile yapmaya değer.
We got the same audit question at our plant last year. The allowed networks list was the thing that got the auditors off our backs, worth doing even on the TLS profile.
- Bu konuyu yanıtlamak için giriş yapmış olmalısınız.
Sohbete katılın
Soru sormak ve yanıtlamak, yararlı gönderileri beğenmek ve sorununuzu çözen yanıtı işaretlemek için oturum açın. Her katkı puan ve seviye kazandırır.