|
|
| (9 intermediate revisions by 2 users not shown) |
| Line 1: |
Line 1: |
| == Generelle Informationen == | | {{Device|device_name=Attify Badge IoT Hacking Device|manufacturer=Attify Inc.|link=https://www.attify-store.com/collections/frontpage/products/attify-badge-uart-jtag-spi-i2c-pre-soldered-headers, https://blog.attify.com/hack-iot-device/|image_link=https://stuff.elvis.science/uploads/models/attifybadgejpg.jpg|description=hardware tool for UART, SPI, I2C, JTAG, GPIO interactions|technicalSpecification=https://github.com/attify/attify-badge-tool|supportedTechnologies=UART, SPI, I2C, JTAG, GPIO|includedEquipment=1x Badge, 10x pin cables, 1x micro USB cable|elviscategory=Security/Crypto}} |
| Das Attify Badge ist ein von Attify erstelltes Tool zur Bewertung der Hardwaresicherheit, mit dem über verschiedene Hardwarekommunikationsprotokolle zwischen einem PC und einem eingebetteten Gerät kommuniziert wird. Das Gerät wurde zunächst so gebaut, dass es bei Pentests für IoT-Geräte hilft, aber bald wurde das immense Potenzial erkannt.
| |
| Das Attify Badge verwendet einen FTDI-Chip, mit dem eine Vielzahl von Kommunikationsprotokollen und -standards wie UART, SPI, I2C, 1-Wire und JTAG gesprochen werden können. Auf diese Weise kann man mit jedem IoT / Embedded-Gerät interagieren, für das ein oder mehrere Hardware-Kommunikationsports verfügbar sind. Es unterstützt sowohl 3,3 V als auch 5 V und ist daher für eine große Anzahl von Zielgeräten geeignet.
| |
| Sie benötigen keine speziellen Anschlussdrähte oder -kabel, um Attify Badge zu verwenden, sondern die Standard-Dupont-Überbrückungsdrähte (auch in allen Attify Badges enthalten). Attify Badge verfügt über einen Micro-USB-Anschluss, über den es problemlos über ein Micro-USB-Kabel mit Ihrem PC verbunden werden kann. Dies ist auch im Lieferumfang enthalten, wenn Sie ein Attify Badge bestellen.
| |
| == Benutzung ==
| |
| Das Attify Badge Tool besteht aus 5 Hauptmodulen, die den 5 vom Attify Badge unterstützten Protokollen entsprechen:
| |
| <ul>
| |
| <li>UART</li>
| |
| <li>SPI</li>
| |
| <li>JTAG</li>
| |
| <li>I2C</li>
| |
| <li>GPIO</li>
| |
| </ul>
| |
| Wenn das Zielgerät, das man testen bzw. exploiten möchte, über eine dieser Schnittstellen verfügt, sollte Attify Badge das bevorzugte Tool für diesen Zweck sein.
| |
| == Was ist damit möglich? ==
| |
| Mithilfe der UART-Kommunikation kann man einen seriellen Root-Zugriff auf das Zielsystem bekommen, man kann debugging Protokolle, U-Boot-Zugriff und Bootprotokolle holen. Weiters ist es möglich Firmware, API-Schlüssel oder andere vertrauliche Informationen, die auf dem Flash Chip gespeichert sind, über SPI oder I2C zu speichern. Man kann auch eine eigene Firmware per Flash Write auf das Gerät schreiben oder ein JTAG-Debugging mit OpenOCD und GDB durchführen.
| |
| Attify stellt auf Ihrer eigenen Website mehrere Tutorials zur Verfügung und verkauft auch ein eigenes [https://blog.attify.com/hack-iot-devices-embedded-exploitation/ IoT Exploitation Learning Kit], welches aber nicht für jeden Hobby Pentester leistbar ist. Weiters stellen sie ein [https://github.com/attify/attify-badge GitHub Repository] mit Beispiel Code zur Verfügung.
| |
| == IoT Schwachstellen == | |
| IoT Geräte befinden sich heutzutage überall, auch bei uns zuhause, um z.B. Lampen oder die Heizung mit dem Handy steuern zu können. Viele diese Geräte sind aber sehr unsicher, weil lange kein Wert auf die Sicherheit dieser Dinge gelegt wurde. Schwachstellen sind zum Beispiel:
| |
| <ul>
| |
| <li>Schwache, erratbare oder hartgecodete Passwörter. Oft werden auch einfach die Standard Passwörter verwendet.</li>
| |
| <li>Unsichere Netzwerk Services</li>
| |
| <li>Fehlender sicherer Aktualisierungsmechanismus</li>
| |
| <li>Unsichere Datenübertragung und Speicherung</li>
| |
| <li>u.v.m</li>
| |
| </ul>
| |
