Здравствуйте, netch80, Вы писали:

N>Только вот тут начинается особенность — нормальные люди все эти потрошка не выставляют в интернет голым мировым задом даже при наличии адресов. Им дают link-local, site-local (да, формально устаревшие), и прочее. Это если вообще у них будут IP адреса, а не локальные идентификаторы какой-то другой системы. Времена энтузиазма 90-х, когда думали, что можно выставить всех напрямую, давно прошли (ну, у вменяемых, разумеется. в разум комитетов я давно не верю), каждый очередной CVE и смысл буквы S в аббревиатуре IoT этому помогает.
У меня есть сомнения в критериях нормальности тут. Потому что вы пересказываете иными словами историю ранней IP-телефонии, когда каждый телефон при пробуждении тупо шёл по ftp://localname/mymacadress.xml и качал свою конфигурацию (включая SIP username & password). Потому что "нормальные люди все эти потрошка не выставляют в интернет голым мировым задом", сталбыть и секьюрности никакой не надо.
А потом наступил Cloud IP Telephony, когда у пользователя телефоны вполне себе торчат во внешнюю сеть, и никакого локального FTP-сервера для файлов конфигурации не существует.
И тут-то все и забегали — внезапно выяснилось, что толковые пацаны успешно угоняют пользовательские аккаунты и прекрасно звонят родственникам в антарктиду за счёт посторонних абонентов.

А всего-то надо было с самого начала вклеивать в устройства поддержку SSL и идентификацию по device certificate.
Аналогичные проблемы были с железом для видеоконференций: дегенераты-электронщики всё проектировали в парадигме "secured perimeter" и "corporate VPN". Поэтому примерно любой желающий с порт-сканнером мог безо всяких кредов зайти и посмотреть на митинг румы штаб-квартир корпораций из Fortune 500.

IoT — это ровно та же история, когда мы применяем "простую железку", и нам категорически не хочется думать ни о правилах файрволла для неё, ни о том, чтобы её как-то конфигурировать "локально".
Воткнул — работает. Отсканировал QR-код, зарегистрировал на себя у вендора, и настроил через вендорскую же контрольную панель. То, что лампочка с выключателем будут общатся по локальной сети — это, конечно плюс; но возможность выключить утюг, уже сидя в самолёте таки требует доступа в большой интернет.
И вот иллюзия того, что от хакеров можно защититься NAT-ом, а не криптографией — это иллюзия. Если протокол засекьюрен, то наличие прямого доступа ничем хакерам не поможет. (на всякий случай напомню, что примерно любой желающий сейчас эксплуатирует домашний роутер на белом IP-адресе; так что как минимум одна железка из дома торчит наружу — и никаких массовых взломов этих роутеров не происходит). Если не засекьюрен — то никакой NAT не спасёт: рано или поздно атака будет выполнена.