Julien Moinard y Gwénolé Audic de Opale Security han creado un framework para automatizar la revisión de vulnerabilidades de los dispositivos de Internet de las Cosas.
 
Se trata del proyecto Hardsploit, una herramienta todo-en-uno para las auditorías de seguridad de hardware que será presentada próximamente en:

• Hack In The Box (HITB) – May 26 2016 10:45 am – 11:45 am – Amsterdam
• NullCon – 11 / 12th March 2016 – Goa
• (FORMACIÓN) BlackHat – July 30 / 31 & August 1 / 2 – Mandala Bay / Las Vegas

Pretende convertirse en el Metasploit o Nessus para hardware, sin duda un punto de revisión más a cubrir en cualquier pentesting. Tener en cuenta que en estas auditorías de seguridad normalmente no se cubren análisis del hardware de firewalls, antivirus, IDS y otras aplicaciones que funcionan en dispositivos embebidos. Y no es raro por ejemplo encontrar contraseñas hardcodeadas en los sistemas de archivos y otros fallos de configuración en el firmware...

"La brecha entre el software y el hardware de seguridad se ha ampliado desde la década de 2000 ... porque el hardware es fundamentalmente sólo una forma de obtener acceso a software" dice Gwénolé. Por otro lado Julien comenta que "el objetivo es crear un puente entre el hardware y el software ... la mayor parte del tiempo de pruebas de intrusión saben cómo acceder a software, pero cuando se tiene el hardware, entonces es más complicado".

HardSploit se presenta como un tool box con una placa modular HSP-R1-001 (300€) más software y un GUI para Kali Linux. Esta le permitirá al pentester interceptar, reenviar o enviar datos a través de cualquier bus I2C, JTAG, SPI, PARALLEL o UART del hardware analizado.

Tenéis más información, documentación e incluso videotutoriales en la página del proyecto: https://hardsploit.io

Via: www.hackplayers.com