Я планирую использовать простой выключатель света, который установлен на стене. Коммутатор получает питание от батареи или пьезоэлектрического преобразователя и отправляет уникальные последовательности данных (при включении и выключении) на частоте 433 МГц на приемник, который подключен к моему SmartHome-RaspberryPI.
Поскольку я живу на первом этаже, у меня есть некоторые соображения по поводу безопасности. Кто-то может записывать и воспроизводить уникальные последовательности, которые посылает коммутатор.
Можно ли улучшить безопасность с помощью аппаратного или программного обеспечения?
security
smart-home
raspberry-pi
Борис Бродский
источник
источник
Ответы:
Да, вы можете значительно повысить безопасность практически любого низкоуровневого протокола с помощью программного обеспечения, но любое решение для домашнего пивоварения всегда может иметь некоторые недостатки.
Вам нужно рассмотреть как минимум 3 возможности атаки.
Отказ в обслуживании. Возможно, есть резервный режим работы, который вы хотите использовать, если радиоканал заблокирован. Вы также можете отфильтровать необычное поведение, направленное на износ оборудования.
Жульнические сообщения. Простое статическое сообщение тривиально записывается и воспроизводится, но скользящие коды и шифрование могут помочь снизить риск.
Сообщения могут содержать информацию, которую вы предпочитаете хранить в секрете. Как наличие сообщения, так и информационное содержание могут быть утечки. Заполнение и фиктивные сообщения будут смягчаться здесь.
источник
Я думаю, что следует учитывать следующее: может ли кто-нибудь отправить информацию по частоте 433 МГц Raspberry Pi? Какую информацию можно отправить? Есть ли уязвимость в приложении, которое переводит сообщения между Pi OS и выключателем света? По сути, приемник 433 МГц дает злоумышленнику точку опоры в остальной части вашей сети? Я не могу ответить на эти вопросы для вас без всестороннего анализа уязвимостей на вашем устройстве, но любой, кто имеет дело с безопасностью IoT, должен думать так, а не «иметь большое значение, если он может включить свет». Атакующий не хочет включать или выключать ваши огни. Злоумышленник хочет подключиться к остальной части вашей сети.
источник
Если у вас есть контроль над устройством, которое передает сигнал, вы можете попробовать отправить дополнительную последовательность проверки. Эта последовательность может сообщить программному обеспечению, которое получает данные, какие правила оно должно использовать при расшифровке сигнала. Таким образом, фактические данные (вкл / выкл) могут быть динамически зашифрованы, в то время как проверка может быть дешифрована с использованием специального ключа, который известен только аппаратному и программному обеспечению.
Это похоже на авторизацию на основе хеша .
Тем не менее, я думаю, что важно реально смотреть на устройства IoT.
Лично, если у кого-то возникнут проблемы с мониторингом / фильтрацией частоты моего выключателя, я бы позволил им это сделать.
Подобные нарушения встречаются везде, где бы мы ни находились. Настоящий вопрос всегда касается «Сколько я готов заплатить за это?». Когда вы принимаете файлы cookie на веб-сайте, чтобы вам больше не приходилось входить в систему, вы принимаете на себя риск нарушения безопасности, потому что вы чувствуете, что получаете больше риска, чем вы бы понесли в результате.
источник
Используйте скользящий код, аналогичный тому, который используется сейчас в гаражных воротах. Вот пример с открытым исходным кодом .
источник