Bezpecnost ESP8266

[Jindroush]

On 22.10.2016 17:16, Pavel Hudecek wrote:
> Dobrý den všem,
>
> v poslední době se objevuje dost zpráv ohledně hacknutí a zneužití různé
> drobné elektroniky připojené k netu.
> (např.
> http://byznys.lidovky.cz/internet-veci-je-nebezpecny-masivni-utok-spachali-hackeri-diky-domacim-spotrebicum-ge9-/media.aspx?c=A161022_152716_ln-media_ele
> )
>
> Jak je to z bezpečností oblíbeného ESP8266?
> Co je potřeba udělat, aby zařízení s ním nebylo takto hacknutelné?

Neexistuje jednoducha odpoved, tech problemu s IoT je rada a budu mluvit 
spis obecne, nez primo k ESP.
1) Zneuziti funkcnosti bez autentikace - je mozne provest privilegovanou 
operaci bez kontroly autentikace (casto u domacich routeru, napr. lze 
nastavit zvenci dns apod)
2) Slaba autentikace - znama nezmenena default hesla, nezmenitelna 
backdoor hesla, odposlechnutelna hesla na nesifrovanych protokolech 
(telnet), neni kontrola certifikatu pro ssl/tls (mitm)
3) Odposlechnuti/zmena prijimanych/odesilanych dat - chodi zcela bez 
sifrovani, pripadne je mozny odposlech bocnim kanalem (frekvence zprav, 
korelace zprav a jinych udalosti, timing zprav apod). Lze take zcela 
odstavit zarizeni 'zahlcenim' komunikacniho kanalu.
4) Z hlediska zakaznika pak samozrejme nebezpeci tykajici se ukladani 
dat na backendu, jejich zneuziti/odcizeni jak utocnikem, tak prodejem 
treti strane, naruseni soukromi bez moznosti kontroly.

Hledal jsem nejake souhrnne howto, ale nic snadneho a souhrnneho jsem 
nenasel.
-- 
Jindroush <jindroush at seznam.cz>