Möglichkeiten zum Testen der Sicherheit von IoT-Sensoren

Ich beaufsichtige eine Gruppe von Studenten und ihre Aufgabe ist es, iot-Sensoren für einige verschiedene Aufgaben (dh Temperatur, Bewegung) zu bauen. Ich möchte sie unter anderem dahingehend bewerten, wie sicher sie ihre Sensoren konstruieren, da Sicherheit ein so großes Problem zu sein scheint. Ich hoffe, dass dies sie dazu inspiriert, der Sicherheit mehr Aufmerksamkeit zu schenken, und das bin ich auch Ich werde sie nicht vorher warnen, dass die Sicherheit getestet wird.

Wie kann ich die Sensoren testen, um festzustellen, ob sie für häufige Probleme anfällig sind?

Gerätespezifikationen - Alle Geräte basieren auf Raspberry Pi 3s und müssen über WLAN eine Verbindung zu einem Router herstellen, um einige Daten an einen Server zu senden. Ich kann eine Verbindung zum gleichen Zugangspunkt wie die Sensoren herstellen, habe jedoch keine Kenntnis über den von den Geräten verwendeten Code.

Hat jemand einige Ideen, wie ich testen könnte, ob die Geräte anfällig sind für:

• DoS-Angriffe (wie Brickerbot: http://hackaday.com/2017/04/08/brickerbot-takes-down-your-iot-devices-permanently/ )

• Schnüffeln (Ich sagte den Schülern, dass die Daten vertraulich sein sollten, und überließ es ihnen, sie auf ihre eigene Weise sicher zu halten.)

Kann mir jemand beschreiben, wie ich die Sicherheit der Sensoren meiner Schüler prüfen kann? Vielleicht pentesting Frameworks? Listen mit Passwörtern zum Ausprobieren? Weitere Tipps / Tricks?

Neben der Antwort von Sean Houlihane möchte ich noch einige Dinge hinzufügen. Ich möchte nicht arrogant klingen, aber ich denke, dass Sie die Sicherheit der Sensoren selbst nicht testen möchten, da ich davon ausgehe, dass Temperatur- und Bewegungssensoren von OEMs gekauft werden. Diese Sensoren werden von den Schülern einfach verwendet, um Informationen über den Raspberry Pi aufzuzeichnen. Ich denke, was Sie testen möchten, ist die Sicherheit der Software-Implementierung der Schüler auf dem Raspberry Pi, oder?

Wenn ja, dann gibt es ein vielversprechendes neues Projekt zum IoT-Testen auf der OWASP-Webseite https://www.owasp.org/index.php/IoT_Testing_Guides. Dort finden Sie eine Liste von Aspekten, die Sie möglicherweise testen möchten.

PS: Um fair zu sein, sollten die Schüler wissen, dass Sicherheitsaspekte bewertet werden. Transparenz bei der Benotung ist immer besser als Überraschungen.

Anstatt zu erklären, wie ein solches System gesichert werden kann, werde ich die Punkte auflisten, die ich für wichtig halte. Ich bin sicher, ich habe einige verpasst.

• Übertragung über TLS (kann also nicht abgehört oder wiedergegeben werden)
• Schutz vor dem Klonen von Knoten (vorausgesetzt, die TLS-Implementierung kann beschädigt werden)
• Schutz vor Man-in-the-Middle-Angriffen (vorausgesetzt, das Zielgerät ist vunerable und der Zertifikatspeicher kann aktualisiert werden)
• Desinfektion aller Eingänge (Schutz vor Fälschung der Sensoren)

Ich denke, der einfachste Weg, dies zu testen, besteht darin, eine Spezifikation aller angewendeten Schutzmaßnahmen anzufordern - als offene Überprüfung, anstatt zu versuchen, die Geräte selbst zu hacken. Dann können Sie überprüfen, ob sie implementiert haben, was sie sagen, dass sie haben. Bitten Sie beispielsweise um einen Nachweis darüber, wie sie mit Zertifikaten und Schlüsseln umgehen.

Ich weiß nicht, ob der Raspberry Pi über einen sicheren Speicher verfügt (möglicherweise gibt es einen internen Flash, der vertrauenszonengeschützt ist - weiß nicht). Ohne das werden sie Schwierigkeiten haben, eine gründliche Sicherheitsüberprüfung zu bestehen ...