एयर अपडेट पर सुरक्षित के लिए सर्वोत्तम अभ्यास [बंद]

Question

IoT उपकरणों के बेड़े में OTA अपडेट जारी करते समय सर्वोत्तम सुरक्षा अभ्यास क्या हैं? चिंता के महत्वपूर्ण कारण क्या हैं?

उदाहरण के लिए,

• किसी अपडेट को इंटरसेप्ट होने से रोकना
• स्थापित मानकों का पालन
• सॉफ्टवेयर वितरण के लिए प्लेटफार्म
• स्वचालित अपडेट बनाम वैकल्पिक अपडेट

Comments

यह प्रश्न प्रश्नोत्तर के लिए अच्छा होने के लिए बहुत विस्तृत है।

— शॉन हुलिएन

@ सीनहुली, मैंने ओटीए की सुरक्षा पर ध्यान केंद्रित किया है। अब कैसा दिखता है?

— नोआम हैकर

यह अभी भी बहुत व्यापक है क्योंकि प्रत्येक बुलेट पॉइंट अपने आप में एक पूर्ण स्टैंड अलोन प्रश्न हो सकता है। यहां तक ​​कि सफलताओं के परीक्षण के अंतिम बुलेट बिंदु के लिए भी आप इसके बारे में पूरी किताब लिख सकते हैं।

— डोम

मैं डोम से सहमत हूँ। ओटीए का एक पहलू लेने के लिए बेहतर है (जैसे विश्वसनीय परिणाम सुनिश्चित करना)। फिर भी, कई उत्तर हैं। आदर्श रूप से, एक प्रश्न के लिए केवल एक या दो उच्च गुणवत्ता वाले उत्तर की आवश्यकता होनी चाहिए ताकि आप इसे स्वीकार कर सकें।

— शॉन होउलहेन 18

शीर्षक भी संपादित करें?

— सीन होलीहेन

Answer 1

यह प्रश्न बहुत व्यापक है, लेकिन यह देखते हुए कि आपने एकल सबसे महत्वपूर्ण चीज को छोड़ दिया है, मुझे लगता है कि मुझे पाइप करने की आवश्यकता है।

अद्यतन को प्रमाणित करें ।

यदि आप यह सुनिश्चित करना चाहते हैं कि आपके उपकरण आपका कोड चला रहे हैं, तो आपको प्रमाणीकरण की आवश्यकता है, एन्क्रिप्शन की नहीं। एन्क्रिप्शन सुनिश्चित करता है कि अन्य लोग यह नहीं जान सकते कि आपके कोड में क्या है, और इसे प्राप्त करना कठिन है और शायद ही कभी उपयोगी है। (आप एन्क्रिप्ट कर सकते हैं, लेकिन अगर डिक्रिप्शन कुंजी डिवाइस पर है, तो आपको कुछ भी हासिल नहीं हुआ है जब तक आपके पास डिक्रिप्शन कुंजी की रक्षा करने का एक तरीका नहीं है जो आपको सीधे कोड की सुरक्षा नहीं करने देता है।) प्रामाणिकता वह संपत्ति है जो अन्य लोग हैं। एक नकली अपडेट नहीं दे सकता है, और यह संपत्ति आमतौर पर वांछनीय है।

ध्यान दें कि एन्क्रिप्ट करने से प्रामाणिकता में मदद नहीं मिलती है। यह एक गलत धारणा है कि जो लोग वास्तव में कभी-कभी सुरक्षा को नहीं समझते हैं, लेकिन यह सिर्फ सच नहीं है।

कुछ उपकरणों के लिए, किसी भी फर्मवेयर को चलाने के लिए ठीक है अगर मालिक इतना चुनता है। उस स्थिति में, आपको यह सुनिश्चित करने के लिए अभी भी कुछ तंत्र की आवश्यकता है कि केवल डिवाइस का मालिक फर्मवेयर स्थापित कर सकता है, न कि कुछ रैंडम राहगीर। आम तौर पर इसका मतलब है कि डिवाइस को पंजीकृत मालिक से आने वाले अपडेट को प्रमाणित करना होगा।

Comments

यह वास्तव में सही नहीं है। एन्क्रिप्शन को प्राप्त करना न तो बहुत कठिन है और न ही यह केवल "शायद ही उपयोगी" है। इसके अलावा, वह एन्क्रिप्शन "प्रामाणिकता में मदद नहीं करता है" केवल अर्ध-सत्य है। अधिकांश आधुनिक एन्क्रिप्शन मोड, जैसे जीसीएम, वास्तव में "प्रमाणित एन्क्रिप्शन" योजनाएं हैं, जो प्रामाणिकता और गोपनीयता को जोड़ती हैं।

— मैट

@mat मैंने औपचारिक रूप से सही होने के लिए उस वाक्य को बदल दिया है। एन्क्रिप्शन कठिन नहीं है, लेकिन मैं गोपनीयता की बात कर रहा था, जो कठिन है। यदि आप कुंजी गोपनीय नहीं रख पा रहे हैं, तो एन्क्रिप्शन आपको गोपनीयता नहीं देता है। एन्क्रिप्शन प्रामाणिकता के साथ बिल्कुल भी मदद नहीं करता है। यदि आप प्रमाणित एन्क्रिप्शन का उपयोग करते हैं, तो यह आपको दोनों देता है, लेकिन यह तथ्य कि इसमें एन्क्रिप्शन शामिल है, प्रामाणिकता प्राप्त करने में मदद नहीं करता है।

— गिल्स एसओ- बुराई को रोकें '

यदि आपकी कुंजी लीक हो जाती है, तो प्रत्येक क्रिप्टो अपनी उपयोगिता खो देता है, चाहे वह गोपनीयता के लिए हो या प्रमाणीकरण के लिए। यदि यह डिवाइस पर एक असुरक्षित कुंजी के साथ एन्क्रिप्शन का उपयोग करने के लिए समझ में आता है, तो आपके खतरे के मॉडल (डिवाइस की क्षमता, विरोधियों की क्षमता) पर निर्भर करता है

— मैट

@ मैं नहीं, मुझे अपनी पिछली टिप्पणी में उस GCM टिप्पणी पर प्रतिक्रिया देनी चाहिए। जीसीएम अपडेट प्रसारित करने का एक अच्छा तरीका नहीं है, क्योंकि इसका मतलब है कि कक्षा की कुंजी के साथ प्रामाणिकता की जांच की जाती है। जब तक आप एक अत्यधिक कठोर प्लेटफ़ॉर्म (जैसे स्मार्टकार्ड) नहीं बना रहे हैं, तब तक एक क्लास की चाबी सार्वजनिक रूप से अच्छी होती है। अपडेट में असममित क्रिप्टोग्राफी का उपयोग करना चाहिए। इस तरह, किसी उपकरण को एक नकली अपडेट को तैनात करने के लिए, उस विशेष उपकरण को भंग करने की आवश्यकता होती है: एक नकली अपडेट का उत्पादन करने के लिए जो हर जगह काम करता है, हमलावर को सर्वर या प्रोटोकॉल को तोड़ने की आवश्यकता होगी और ये आमतौर पर उपकरणों की तुलना में बेहतर संरक्षित होते हैं खेत।

— गिलेस एसओ- बुराई को रोकना '