Yapay zekâ tarafından English dilinden çevrildi ·
Yarı ciddi bir soru. Bir depoda 9 ESP32 düğümüm var (sıcaklık, kapı kontakları, birkaç akım pensi), bunlar MQTT/TLS üzerinden Hermetry ile konuşuyor. Ekibimizden biri, internet servis sağlayıcılarının ve saldırganların trafik desenlerinden IoT cihazlarının parmak izini çıkardığına dair bir makale okudu ve şimdi depo Wi-Fi’si ile internet arasına bir Tor yönlendiricisi koymamızı öneriyor; böylece “cihazların ne yaptığını kimse göremesin”.İçgüdüm bunun işleri daha kötüye götüreceğini söylüyor, ama “yanlış hissettiriyor” dışında bunu açıklayamıyorum. Trafik zaten TLS 1.2. Buradaki gerçek tehdit modeli nedir ve patron “daha fazla güvenlik” istiyorsa bunun yerine yapmam gereken daha iyi bir şey var mı?
Half serious question. I’ve got 9 ESP32 nodes in a depot (temperature, door contacts, a couple of current clamps) talking to Hermetry over MQTT/TLS. Someone on our team read an article about IoT devices being fingerprinted by ISPs and attackers from traffic patterns, and now suggests we put a Tor router between the depot Wi-Fi and the internet so “nobody can see what the devices are doing”.
My gut says this makes things worse not better, but I can’t explain why beyond “it feels wrong”. The traffic is already TLS 1.2. What’s the actual risk model here, and is there something better I should do instead if the boss wants “more security”?
Yapay zekâ tarafından English dilinden çevrildi ·
Tor her şeyi epey yavaşlatmaz mı? Otelimizde bir VPN denedik ve kapı sensörleri gecikmeli çalışmaya başladı.
Wouldn’t Tor slow everything down a lot? We tried a VPN in our hotel and the door sensors got laggy.
Yapay zekâ tarafından English dilinden çevrildi ·
Tor, kiminle iletişim kurduğunu gizler, değil mi? Yani biri depo hattını izliyorsa Hermetry kullandığını bilemez. Bu iyi değil mi?
Tor hides who you are talking to right? so if someone is watching the depot line they wouldn’t know you use Hermetry. isn’t that good?
Yapay zekâ tarafından English dilinden çevrildi ·
Evet, Rahul, depo hattını izleyen birinden hedefi gizler. Ama hedef hiçbir zaman sır değildi ve Tor, Hermetry tarafında gerçek bedeller getirir.Bugün seni gerçekten koruyan şey: MQTT oturumu, ileri gizlilik destekleyen paket şifrelemeleriyle en az TLS 1.2 kullanıyor, dolayısıyla içerik ve cihaz token’ı ağ üzerinden okunamaz. Depo çıkış trafiğini dinleyen biri yalnızca her N saniyede bir bir cihazın bir broker ile konuştuğunu öğrenir. Tor broker adını gizler, ama gecikmeyi ve bağlantı yenilenmesini ciddi biçimde artırır.Şimdi bedeller. Her Tor devresi farklı bir adresten çıkar. Hermetry, bir cihaz yeni bir ağdan giriş yaptığında yöneticilerinize bildirim gönderir (cihaz başına en fazla saatte bir), dolayısıyla 9 düğümün çıkışlar arasında zıplaması bunların sürekli akmasına yol açar ve insanları tam da bir token’ın çalındığını söyleyecek uyarıyı görmezden gelmeye alıştırırsınız. Ayrıca profilin İzin verilen ağlar seçeneğini kaybedersiniz; bu, sabit konumlu cihazlar için sahip olduğunuz en iyi kontrollerden biridir: deponun genel adresini listeleyin, çalınmış bir token başka her yerden kullanılırsa CONNACK 5 alır. Üstelik tekrarlanan başarısız girişler, arkasındaki her cihaz için bir adresi engeller ve paylaşılan çıkışlarda bu sizin kontrolünüzde değildir.Patron daha fazlasını isterse, bunun yerine şunu yapardım, hepsi cihaz profilinde:
- İzin verilen ağlar: deponun genel IP adresi
- Yalnızca TLS, URL’de Token kapalı, TLS olmadan Komutlara izin verilen boş
- Firmware destekliyorsa erişim token’larından X.509’a geçin, aksi halde MQTT basic kullanın, cihaz başına bir kimlik bilgisi
- Profil Limits değerlerini düğümlerin gerçekten gönderdiği miktara indirin ki ele geçirilen bir düğüm hızla kesilsin
Ve ESP32’leri kendi VLAN’larına alın, böylece ele geçirilmiş bir düğüm ofis PC’lerine ulaşamasın. Kontrol listesi Device transport security sayfasında.
It hides the destination from someone watching the depot line, yes, Rahul. But the destination was never the secret, and Tor costs you real things on the Hermetry side.
What actually protects you today: the MQTT session is TLS 1.2 minimum with forward-secret suites, so contents and the device token aren’t readable on the wire. Someone sniffing the depot uplink learns there’s a device talking to a broker every N seconds. Tor hides the broker name and adds a lot of latency and connection churn.
Now the costs. Every Tor circuit exits from a different address. Hermetry sends your admins a notice when a device logs in from a new network (at most once an hour per device), so 9 nodes hopping exits means a steady stream of those, and you train people to ignore exactly the warning that would tell them a token was stolen. You also lose the profile’s Allowed networks option, which is one of the best controls you have for fixed-site devices: list the depot’s public address and a stolen token used from anywhere else gets CONNACK 5. Plus repeated failed logins block an address for every device behind it, and on shared exits that’s not under your control.
If the boss wants more, I’d do this instead, all on the device profile:
- Allowed networks: the depot’s public IP
- TLS only, Token in the URL off, Commands allowed without TLS empty
- move from access tokens to X.509 if your firmware can, otherwise MQTT basic, one credential per device
- lower the profile Limits to what the nodes really send so a hijacked one gets cut off fast
And put the ESP32s on their own VLAN so a compromised node can’t reach the office PCs. Checklist is on Device transport security.
Yapay zekâ tarafından English dilinden çevrildi ·
Savunamadığım argüman buydu. Yalnızca yeni ağ bildirimleri bile Tor fikrini çöpe atıyor. Bu öğleden sonra İzin verilen ağlar ayarını sabit IP adresimize ayarladım, telefonumun hotspot’u üzerinde bir düğümle test ettim ve reddedildi; Günlük sekmesi nedenini gösterdi. Patron memnun, kimse Tor kurmuyor.
That’s the argument I couldn’t make. The new-network notices alone kill the Tor idea. Set Allowed networks to our static IP this afternoon, tested with a node on my phone hotspot and it got refused, Log tab showed the reason. Boss is happy, nobody installs Tor.
Yapay zekâ tarafından English dilinden çevrildi ·
Allowed networks özelliğini bilmiyordum, bunu da otel profilimize ekliyorum.
Didn’t know about Allowed networks, adding it to our hotel profile too.
- Bu konuyu yanıtlamak için giriş yapmış olmalısınız.
Sohbete katılın
Soru sormak ve yanıtlamak, yararlı gönderileri beğenmek ve sorununuzu çözen yanıtı işaretlemek için oturum açın. Her katkı puan ve seviye kazandırır.