Penetration testing
Un attacco simulato e autorizzato contro un dispositivo, un'applicazione o una rete, condotto per trovare le debolezze sfruttabili prima che lo faccia un attaccante reale.
Un penetration test, o test di penetrazione, di un prodotto IoT va oltre l’applicazione web. I tester aprono l’involucro e cercano porte di debug, estraggono il contenuto della memoria flash e lo setacciano in cerca di chiavi, intercettano e ritrasmettono il traffico radio, sondano l’app mobile e l’API cloud, e verificano se un aggiornamento può essere contraffatto. I risultati vengono classificati per impatto e riportati con i passaggi per riprodurli, così che il fornitore possa correggerli.
L’esercizio vale quanto il suo perimetro e la sua tempistica. Testare il firmware definitivo una settimana prima del lancio non lascia tempo per correggere un problema a livello hardware, quindi i team maturi testano i primi prototipi e poi di nuovo prima del rilascio. Standard come IEC 62443 e schemi basati su ETSI EN 303 645 specificano attività di valutazione che si sovrappongono in larga parte a un buon penetration test.
Parte del Glossario IoT. Hai trovato un errore o manca un termine? Scrivici.