Bir IoT cihazında eski bir SSL / TLS uygulamasının güvenlik değerlendirmesi
Eski bir IoT cihazının iletişim güvenliğiyle ilgili bir güvenlik değerlendirmesi yapıyorum. Amaç, mevcut tasarım / uygulamadaki güvenlik açıklarını değerlendirmek ve bulmaktır.
Değerlendirme modu, öncelikle mevcut tasarım ve kod referans alınarak manueldir. Bu, cihazda yalnızca istemci tarafıdır; sunucu ise bulut tabanlı bir sunucudur. Cihaz bir GSM modülü (SIMCom SIM900) kullanıyor ve GSM AT komutlarını kullanarak internet üzerinden sunucuya HTTPS iletişimi yapıyor.
SSL / TLS konusundaki anlayışıma dayanarak, bu değerlendirme için aşağıdaki parametreleri veya kriterleri değerlendiriyorum:
a. TLS protokolü sürümü
b. Kullanılan şifre paketleri
c. sertifika ve anahtar yönetimi
d. Cihazda yüklü kök CA'lar
e. Cihaz kimliği yönetimi için yerleşik PKI yönü
f. Donanım kripto yönü (SHE / TPM)
Bunu doğru bir şekilde mi yapıyorum? Yukarıdaki parametreler listesinin Cihaz Donanım / Yazılım platformuna özgü olmadığını düşünmeme rağmen; oldukça genel. ama sanırım böyle olması gerekiyor! Demek istediğim, parametre listesi hemen hemen aynı olacak; ancak bunlarla ilgili gerçek değerlendirme, güvenlik gereksinimlerine ve cihaz ayak izi ve platformu vb. gibi diğer hususlara bağlı olacaktır.
Düşündüğüm değerlendirme parametre listesi iyi ve yeterli mi?
Yanıtlar
Bu iyi bir başlangıç, ancak kapsamlı bir değerlendirmenin bundan çok daha derine inmesi gerekiyor. Örneğin:
Müşteri rastgele sayıları nasıl üretir? Bir kullanıyor mu CSPRNG ? Ya da, pasif bir saldırganın oturum anahtarları için oluşturulan rastgele sayıları tahmin edebildiği ve böylece ağ üzerinden şifreli metnin şifresini çözebildiği , Netscape Navigator'ın önceki sürümlerinde kullanılana benzer zayıf bir rastgele sayı üreteci kullanıyor mu ?
İstemci bir doldurma hatasıyla karşılaştığında bilgi sızdırıyor mu? Öyleyse , Steam Oyun İstemcisinde olduğu gibi, bir dolgu oracle saldırısına duyarlı olabilir .
Müşteri ECDSA'yı nasıl uyguluyor ? Müşteri, oluşturduğu her imza için yeni bir rastgele k oluşturuyor mu? Değilse, pasif bir saldırganın, Sony Playstation 3'te olduğu gibi, birkaç imzayı gözlemledikten sonra özel imzalama anahtarını hesaplaması mümkün olabilir .
Bunlar sadece birkaç örnektir. Ancak, görebileceğiniz gibi, kriptografinin uygulanmasındaki ince hatalar feci sonuçlara yol açabilir. Bu yüzden kriptografiyi doğru yapmak çok zor.