Bir IoT cihazında eski bir SSL / TLS uygulamasının güvenlik değerlendirmesi

Aug 16 2020

Eski bir IoT cihazının iletişim güvenliğiyle ilgili bir güvenlik değerlendirmesi yapıyorum. Amaç, mevcut tasarım / uygulamadaki güvenlik açıklarını değerlendirmek ve bulmaktır.

Değerlendirme modu, öncelikle mevcut tasarım ve kod referans alınarak manueldir. Bu, cihazda yalnızca istemci tarafıdır; sunucu ise bulut tabanlı bir sunucudur. Cihaz bir GSM modülü (SIMCom SIM900) kullanıyor ve GSM AT komutlarını kullanarak internet üzerinden sunucuya HTTPS iletişimi yapıyor.

SSL / TLS konusundaki anlayışıma dayanarak, bu değerlendirme için aşağıdaki parametreleri veya kriterleri değerlendiriyorum:

a. TLS protokolü sürümü

b. Kullanılan şifre paketleri

c. sertifika ve anahtar yönetimi

d. Cihazda yüklü kök CA'lar

e. Cihaz kimliği yönetimi için yerleşik PKI yönü

f. Donanım kripto yönü (SHE / TPM)

Bunu doğru bir şekilde mi yapıyorum? Yukarıdaki parametreler listesinin Cihaz Donanım / Yazılım platformuna özgü olmadığını düşünmeme rağmen; oldukça genel. ama sanırım böyle olması gerekiyor! Demek istediğim, parametre listesi hemen hemen aynı olacak; ancak bunlarla ilgili gerçek değerlendirme, güvenlik gereksinimlerine ve cihaz ayak izi ve platformu vb. gibi diğer hususlara bağlı olacaktır.

Düşündüğüm değerlendirme parametre listesi iyi ve yeterli mi?

Yanıtlar

3 mti2935 Aug 16 2020 at 05:47

Bu iyi bir başlangıç, ancak kapsamlı bir değerlendirmenin bundan çok daha derine inmesi gerekiyor. Örneğin:

  • Müşteri rastgele sayıları nasıl üretir? Bir kullanıyor mu CSPRNG ? Ya da, pasif bir saldırganın oturum anahtarları için oluşturulan rastgele sayıları tahmin edebildiği ve böylece ağ üzerinden şifreli metnin şifresini çözebildiği , Netscape Navigator'ın önceki sürümlerinde kullanılana benzer zayıf bir rastgele sayı üreteci kullanıyor mu ?

  • İstemci bir doldurma hatasıyla karşılaştığında bilgi sızdırıyor mu? Öyleyse , Steam Oyun İstemcisinde olduğu gibi, bir dolgu oracle saldırısına duyarlı olabilir .

  • Müşteri ECDSA'yı nasıl uyguluyor ? Müşteri, oluşturduğu her imza için yeni bir rastgele k oluşturuyor mu? Değilse, pasif bir saldırganın, Sony Playstation 3'te olduğu gibi, birkaç imzayı gözlemledikten sonra özel imzalama anahtarını hesaplaması mümkün olabilir .

Bunlar sadece birkaç örnektir. Ancak, görebileceğiniz gibi, kriptografinin uygulanmasındaki ince hatalar feci sonuçlara yol açabilir. Bu yüzden kriptografiyi doğru yapmak çok zor.