分享至
您好,請問在AWS的IoT服務中,我建立一個裝置並下載給該裝置使用的連線套件,裡面包含像是憑證、私鑰...等檔案,因為我們要使用某家廠商的感測器,所以需要提供他們這些憑證和私鑰,他們再把這些檔案傳輸到感測器裡,才能夠和我們公司的AWS IoT平台連線及發佈訊息。
請問這個私鑰給出去後,是否會有資安風險? 如果有風險, 是會發生哪方面的問題? 謝謝
已邀請的邦友 {{ invite_list.length }}/5
IoT 請搭配 IAM 服用:https://docs.aws.amazon.com/zh_tw/iot/latest/developerguide/security-iam.html
https://docs.aws.amazon.com/zh_tw/iot/latest/developerguide/security-best-practices.html
IAM 可以限制金鑰的存取範圍...
這資訊對我有用。感謝!
你提供的答案非常具體, 有實質上的幫助!
風險是有的, 端看對方是否有不良動機. 就像你把你個人的公司門禁卡借給別人一樣,會有甚麼風險.風險就是,有意攻擊者本來進公司要刷門禁卡才能進,現在就少了這道驗證防護.若知道連系統的通訊方式或API後, 就可以連進系統就可訪問到的範圍找有價值的資料或找漏洞做進一步攻擊.
當然,風險發生的機會高低.就要看 貴司IoT平台系統內是否有高價值資訊或可被利用去攻擊他人的價值.
謝謝您的回答,但我更想知道的是,有心人士是否能透過我AWS IoT的憑證、私鑰做更多事情?像是藉此入侵我的AWS帳號,亂改我AWS上其他服務的設定像是虛擬機等等,或是亂改我的帳單資訊或帳號的資料,這才是我比較擔心的事情
WILL.I.AM最近有在接觸AWS,IAM有權限可以設定能做哪些事情(比方說只能讀資料庫資料),不確定這是不是你想要了解得東西
要看你這張憑證是用在哪些服務或用途上. 要分散風險就是不同用途申請不同憑證. 不同服務連接,給不同的API Key.安全和方便,一直很難兩全其美. 孰輕孰重,自行取捨.
phes11434謝謝你, 看來似乎要從IAM下手
IT邦幫忙