NodeMCUボードにロードされたプログラムを抽出できますか？

WiFi機能を備えたNodeMCUボードを使用して、シンプルなアセットトラッカーを構築しています。Azure IoT Hubへの接続とメッセージの投稿を可能にするArduinoスケッチをいくつか見つけました。

ボードに「ロード」する必要があるキーの1つは、Azureデバイス接続文字列と、もちろんWiFi SSIDとパスワードです。

私の恐れは、誰かが単にボードを取り、ファイルを「ダウンロード」してセキュリティ認証情報にアクセスするかもしれないということです。

私の恐怖は正当ではありませんか、または資格情報の紛失は私が軽減する必要がある本当の脅威ですか？

[免責事項：私はセキュリティ/暗号の専門家であり、毎日このようなセキュリティアーキテクチャの問題に対処しています。]

無人プロセスがそれらにアクセスできるが、攻撃者はアクセスできないような方法で、資格情報を保存する問題につまずきました。これはよく知られた解決が非常に難しい問題です。

IoTデバイスに、一部のTPMなどのマザーボードにハードウェアキーストアが組み込まれている場合、またはAndroidハードウェアキーストアまたはApple Secure Enclaveに相当するものがある場合は、それを使用できます。

従来のサーバーではHSMまたはスマートカードを使用できますが、私が知っている唯一の完全なソフトウェアソリューションは、すべてのハードウェアデバイスのシリアル番号を組み合わせて構築された何らかの「ハードウェアフィンガープリント」からAESキーを導出することです。次に、そのAESキーを使用して資格情報を暗号化します。同じサーバー上で実行されているプロセスは、AESキーを再構築し、資格情報を復号化できますが、サーバーからファイルを抽出すると、本質的に復号化できなくなります。

IoTは、次の2つの理由でレンチを投入します。

1. ハードウェアのシリアル番号が一意であるという仮定はおそらく成り立たず、

2. サーバーとは異なり、攻撃者はデバイスに物理的にアクセスできるため、デバイス上でシェルを取得して復号化プログラムを実行できます。

基本的に、ローカルプロセスがデータを復号化できる場合、そのローカルプロセスを実行できる攻撃者もデータを復号化できるため、ハードウェア暗号化（TPM）と「ハードウェアフィンガープリント」暗号化はいずれも難読化です。

したがって、標準のトリックはここでは機能しないように見えます。自問する必要がある最初の質問は次のとおりです。

• 私の脅威モデルは何ですか/このプロジェクトはどこにSecure <--> Convenientスケールしますか？

最終的に、私はあなたがそれを決定しsecurity > convenience、各起動後に人間に資格情報を入力させる必要があると思います（@BenceKaulicsの答えのようなものを使用して）、またはあなたはそれを決定security < convenienceしてデバイスに資格情報を置くだけです、おそらくあなたがそれが違いを感じます。

これは、IoTデバイスの性質によって難しくなる難しい問題です。

完全を期すため、この問題に対する本格的な産業ソリューションは次のとおりです。

• 製造時に各IoTデバイスに一意のRSA公開キーを与えます。デバイスのシリアル番号に対して、この公開鍵をdbに記録します。
• 適切なサーバーに機密資格情報を保存し、「ゲートウェイ」と呼びましょう。
• IoTデバイスが（RSAキーを使用して）ゲートウェイに対して認証されると、ゲートウェイは保存された資格情報を使用してそのセッションを開き、セッショントークンをデバイスに返します。
• 最高のセキュリティを実現するために、ゲートウェイは物理（またはVPN）ゲートウェイであるため、IoTデバイスからのすべてのトラフィックはゲートウェイを通過し、ファイアウォールルールなどをより細かく制御できます。理想的には、デバイスが直接（VPN以外のトンネル）インターネットへのアクセス。

このようにして、デバイスを侵害した攻撃者はセッションを開くことができますが、資格情報に直接アクセスすることはできません。

脅威は本物ですが、幸いなことに、この種のセキュリティ上の懸念があるのはあなただけではありません。

ここで必要なのは、ESP WiFiマネージャーです。

このライブラリを使用すると、セッションが保存されていないESPはAPモードに切り替わり、Webポータルをホストします。PCまたはスマートフォンでこのAPに接続すると、Webページを介してWiFi資格情報を設定できます。

重要な情報をハードコーディングする必要はありません。また、デバイスを再フラッシュすることなく、任意のWiFiネットワークで使用できます。

使い方

• ESPが起動すると、ステーションモードでセットアップされ、以前に保存されたアクセスポイントに接続しようとします

• これが失敗した場合（または以前のネットワークが保存されていない場合）、ESPをアクセスポイントモードに移行し、DNSおよびWebサーバーを起動します（デフォルトのip 192.168.4.1）

• ブラウザ（コンピューター、携帯電話、タブレット）でWiFi対応デバイスを使用して、新しく作成されたアクセスポイントに接続する

• キャプティブポータルとDNSサーバーにより、「ネットワークへの参加」タイプのポップアップが表示されるか、アクセスしようとするドメインが設定ポータルにリダイレクトされます

• スキャンしたアクセスポイントのいずれかを選択し、パスワードを入力して、[保存]をクリックします

• ESPは接続を試みます。成功した場合、制御をアプリに放棄します。そうでない場合は、APに再接続して再構成します。

（ESP WiFiマネージャーのドキュメント）

はい、プレーンテキストのままにすると、パスワードにアクセスできます。

良い点は、多くのwifi接続インターフェースがハッシュ化されたパスワードを受け入れることです。私が使用したものはmd5ハッシュを受け入れ、md5は非常に安全ではありませんが、それでも平均的なジョーにとっては非常に難しい挑戦です。構成ファイルに応じて、ハッシュアルゴリズムの名前を指定してパスワードを書き込むか、wifiインターフェイスが使用するデフォルトを使用します。

簡単な答え-はい。できます。最低限の保護を提供するには、少なくとも何らかの難読化を実行する必要があります。