TREN
Görüşme PlanlayınGörüşme Planlayın

Endüstriyel ve Gömülü Sistemler

IoT, Gömülü Sistem ve Donanım Güvenliği

Cihazınızı satın alan herkes onu aylarca kendi masasında inceleyebilir. Biz bu incelemeyi ürün sahaya çıkmadan yapıyoruz. Firmware'i çıkarıyor, güncelleme mekanizmasını ve bulut bağlantısını test ediyoruz. Asıl soru, tek bir cihazdan alınan anahtarın tüm cihazlara ve bulut servisinize ulaşıp ulaşmadığıdır.

Ürün Güvenliği Görüşmesi PlanlayınTüm Hizmet Alanları

IoT, Gömülü Sistem ve Donanım Güvenliği

Sahadaki bir cihazın donanım hatası güncellemeyle düzeltilemeyebilir. Tasarım aşamasında ise bir kart revizyonuyla giderilir. Siber Dayanıklılık Tüzüğü, Aralık 2027'den itibaren AB'de satılan ürünlerin bilinen istismar edilebilir zafiyet olmadan piyasaya sunulmasını zorunlu kılar.

İhtiyaç

Hangi durumlarda ihtiyaç duyulur?

  • Son donanım revizyonu seri üretime onaylanmadan önce.
  • Ürününüzün AB pazarı için Siber Dayanıklılık Tüzüğü'ne uyduğunu göstermeniz gerektiğinde.
  • Cihazlarınıza uzaktan (OTA) güncelleme özelliği eklenmeden önce.
  • Binlerce adet alınacak bir cihaz kurumsal ağınıza bağlanmadan önce.

Sorular

Bu çalışma neyi yanıtlar?

  1. Tek bir cihazdan elde edilen anahtar veya parola diğer cihazlarda da geçerli mi?
  2. Cihaz, değiştirilmiş bir firmware ile açılır mı?
  3. Güncelleme paketinin kaynağı ve bütünlüğü cihaz tarafından doğrulanıyor mu?
  4. Bakım ve debug arayüzleri üretimden sonra kapatılıyor mu?

IoT, Gömülü Sistem ve Donanım Güvenliği

Neler yapıyoruz

  • IoT Ürün Güvenlik Değerlendirmesi

    Cihazı, mobil uygulamayı ve bulut servisini birlikte inceleriz. Bir bileşendeki zayıflığın diğerlerine nasıl taşındığını gösteririz.

  • Firmware Güvenlik Analizi

    Firmware'i açar, içine gömülmüş parola ve anahtarları ararız. Üçüncü taraf bileşenleri de inceleriz.

  • Gömülü Sistem Haberleşme Güvenliği

    Cihazın bulut ve mobil uygulamayla haberleşmesinde kimlik doğrulamayı ve şifrelemeyi sınarız. Mesajların değiştirilip değiştirilemediğine de bakarız.

  • Güncelleme ve OTA Güvenliği

    Cihazın güncelleme imzasını doğrulayıp doğrulamadığını sınarız. Eski sürüme dönüşün engellenip engellenmediğine ve güncelleme sunucusunun yetkilerine bakarız.

  • Cihaz Kimliği ve Anahtar Saklama

    Cihaza özgü anahtarların üretim hattında nasıl yüklendiğini inceleriz. Cihazın bu anahtarları güvenli donanımda saklayıp saklamadığına bakarız.

  • Donanım ve Hata Ayıklama (Debug) Arayüzü Analizi

    JTAG ve UART gibi bakım arayüzlerinin üretimden sonra kapatılıp kapatılmadığını sınarız. Bellek yongalarından veri okunup okunamadığına da bakarız.

  • Güvenli Önyükleme (Secure Boot) ve Güven Zinciri

    Önyükleyiciden uygulamaya kadar her aşamanın bir sonrakini doğrulayıp doğrulamadığını sınarız. Cihazın değiştirilmiş firmware ile açılıp açılmadığına bakarız.

  • Fiziksel Erişim Risk Analizi

    Cihazı açan birinin karttan hangi veriye ve sisteme ulaşabileceğini değerlendiririz.

  • Araç ve CAN Bus Haberleşme Güvenliği

    Araç içi ağlarda mesajların doğrulanıp doğrulanmadığını inceleriz. Telematik ünitesinden kritik kontrol birimlerine ulaşılıp ulaşılamadığını sınarız.

  • RF ve Kablosuz Protokol Analizi

    Özel radyo protokollerinde kimlik doğrulamayı ve şifrelemeyi sınarız. Kaydedilen bir sinyalin yeniden gönderildiğinde kabul edilip edilmediğine bakarız.

Kapsam

Kapsam, ürünün satıştaki sürümünü ve bağlı olduğu mobil uygulama ile bulut servisini içerir. Test için en az iki cihaz gerekir. Mümkünse bir geliştirme kartı ve teknik belgeler de isteriz.

Çalışma yöntemi

Önce cihazı bir saldırgan gibi, belge olmadan ele alırız. Kartı inceler, arayüzleri bulur ve firmware'i çıkarırız. Sonra geliştirme ekibinizle çalışırız. Her bulgunun kök nedenini ve hangi modelleri etkilediğini belirleriz.

Çıktılar

Teslim edilenler

Her bulgu için tek bir cihazı mı, tüm modeli mi etkilediği. Düzeltmenin yazılım güncellemesiyle mi, donanım revizyonuyla mı yapılacağı. AB pazarı hedefleniyorsa bulguları Siber Dayanıklılık Tüzüğü'nün temel gereksinimleriyle eşleştiren bir tablo.

NotBellek yongasını karttan sökmek gibi cihaza zarar verebilecek testler ayrıca planlanır. Kullanılacak cihaz sayısı önceden belirlenir.

İlgili hizmetler

Tersine Mühendislik Kaynak kodu elinizde olmayan yazılım ve cihazların gerçekte ne yaptığını ortaya çıkarıyoruz. İnceleyin OT ve Endüstriyel Kontrol Sistemleri Güvenliği Kontrol sistemlerinize uzanan erişim yollarını üretimi aksatmadan analiz ediyoruz. İnceleyin Zafiyet Araştırması Geliştirdiğiniz ve güvendiğiniz ürünlerdeki bilinmeyen zafiyetleri saldırganlardan önce tespit ediyoruz. İnceleyin

Ürün Güvenliği Görüşmesi Planlayın

Hedefinizi ve kritik sistemlerinizi paylaşın. Doğru kapsamı ilk görüşmede netleştirelim.

Görüşme Planlayın