Реверс-инжиниринг подозрительных устройств IoT, установленных под рабочими столами сотрудников

Что бы вы сделали, если бы обнаружили подозрительное устройство IoT (Интернет вещей) под своим столом на работе? Если вы работодатель, как вы устанавливаете безобидные IoT-устройства в своем офисном здании, вызывая обеспокоенность у своих сотрудников? Если вы хотите производить свои собственные устройства IoT, как вы гарантируете их этичность, законность и безопасность?

Эрих Стайгер отвечает на все эти вопросы в журнале своего путешествия по обратному инжинирингу устройства IoT, найденного в реальном офисе. По этическим и, вероятно, юридическим причинам Стайгер не говорит, где именно это устройство было найдено, а также кто его спроектировал или изготовил. Он связался с производителем, чтобы сообщить им об обнаруженных им недостатках, но его сообщение в основном предназначено для образовательных целей.

Эти конкретные устройства были обнаружены установленными по всему рабочему пространству, в том числе под столами сотрудников. Каждое IoT-устройство крепилось на магнитах и ​​легко демонтировалось, но их назначение было неясным. Это само по себе является первым красным флагом.

Работодатели никогда не должны устанавливать оборудование для мониторинга без ведома своих сотрудников. Большинство остальных красных флажков связаны с безопасностью оборудования, которое было полно уязвимостей. Внутри легко открываемого корпуса находилась печатная плата с LoRa-модулем и антенной, микроконтроллер STM32 Arm Cortex-M0, датчик влажности/температуры, PID-датчик движения и акселерометр, который, по-видимому, остался неподключенным.

Как оказалось, устройство предназначалось для простого наблюдения за условиями окружающей среды в офисе и срабатывало при движении с помощью PID-датчика для экономии заряда батареи. Однако Стайгер нашел несколько способов перехвата этих данных и даже методы ввода ложных данных. Самый простой способ собрать данные и, что более важно, секретный ключ приложения — это просто подобрать их при передаче между микроконтроллером и модулем LoRa, потому что они были отправлены в виде открытого текста.

С помощью этой информации устройство можно было подделать через сеть LoRaWAN. Выводы и функции отладки были даже оставлены доступными, поэтому прошивку устройства можно было скопировать, реконструировать и изменить. По сути, если вы ищете подробное объяснение того, чего не следует делать при проектировании устройства IoT, которое должно быть безопасным, пост в блоге Stygers идеально подойдет. СВЯЗАННЫЙ ВОПРОС Я не получил Google Glass Explorer Edition.

Неужели попытка выучить Glass dev без оборудования-бесполезная попытка? Нет, вы все еще можете изучить основы разработки стекла без оборудования. Для этого есть три основных подхода: 1) Посетите документацию Mirror API, зайдите на игровую площадку и начните хешировать код.

Загрузите библиотеку PHP, Java и Python, в зависимости от того, что вам наиболее удобно. Ознакомьтесь с жаргоном и преобразованием (временная шкала, пачки, меню и т. Д.). Прочтите документацию поддержки (вторая ссылка ниже), чтобы увидеть, как на самом деле функционирует оборудование Glass.

Постройте некоторые приложения к этой спецификации. Достаточно скоро, вы найдете друга с оборудованием, чтобы t