IoT Security Checklist Before Production: 6 Việc Phải Kiểm Tra Trước Khi Ship

Sắp ship một sản phẩm IoT là lúc mình không muốn phát hiện ra rằng tất cả thiết bị đang dùng chung một password, firmware chưa được ký, hoặc OTA chỉ tải file về rồi chạy.

Bài viết này là bản tóm tắt. Mình đã làm thêm PDF checklist IoT Security for Production để bạn in ra, phân công người phụ trách và lưu bằng chứng.

Cách dùng checklist

1. Ghi rõ sản phẩm, hardware revision và firmware version đang review.
2. Mỗi mục chọn Pass, Fail hoặc N/A; đừng chọn Pass nếu chưa có bằng chứng cụ thể.
3. Với mục Fail, ghi nguyên nhân, hướng khắc phục, người phụ trách và hạn xử lý vào Remediation Tracker.
4. Chỉ sign-off khi không còn mục CRITICAL mở, hoặc residual risk đã được người có thẩm quyền chấp nhận bằng văn bản.

Mỗi lớp bảo mật cần control rõ ràng, người phụ trách và bằng chứng trước khi sản phẩm được ship.

1. TLS/SSL và transport security

“Có HTTPS” chưa đủ nếu firmware chấp nhận certificate sai hoặc vẫn có đường HTTP fallback. Trước khi ship, hãy kiểm tra plaintext endpoint đã bị vô hiệu hóa, certificate và hostname được validate, secret không xuất hiện trong log, và có quy trình rotate key/certificate.

2. Password và credential storage

Mỗi thiết bị nên có danh tính và credential riêng. Không dùng default password hoặc API key chung cho cả fleet; không lưu password/token dạng plaintext; phải revoke được từng thiết bị và factory reset phải xóa đúng credential, bond và account linkage.

Credential riêng theo từng thiết bị giúp thu hồi một node bị lộ mà không ảnh hưởng cả fleet.

3. Secure Boot và firmware signing

Secure Boot xác minh firmware trước khi chạy, còn firmware signing là quy trình tạo image được tin cậy. Hãy chứng minh image unsigned hoặc ký sai key bị từ chối. Production signing key không nên nằm trong repo, CI log hoặc laptop dùng hằng ngày.

4. OTA security

HTTPS bảo vệ đường tải; chữ ký firmware xác thực image. OTA production cần verify signature, ghi vào inactive slot, health check và rollback khi firmware mới không boot hoặc không kết nối mạng được. Hãy test cả mất nguồn giữa lúc download và ghi partition, image sai chữ ký và anti-rollback.

OTA chỉ đáng tin sau khi đã thử image sai chữ ký, mất nguồn và firmware mới không boot được.

5. Data encryption và data minimization

Sensitive data nên được mã hóa khi truyền và khi lưu. Nhưng câu hỏi đầu tiên là sản phẩm có thật sự cần lưu dữ liệu đó không. Kiểm tra key lifecycle, log redaction, retention và hành vi xóa dữ liệu khi account bị xóa.

6. Debug interface và release evidence

UART, JTAG, ROM download mode và test pad rất tiện khi phát triển, nhưng cũng là entry point khi ai đó cầm được sản phẩm. Trước production, quyết định interface nào bị khóa, interface nào cần cho RMA và ai được phép mở lại.

Đừng chỉ ghi “đã test”. Hãy lưu firmware hash, version, kết quả test TLS/OTA/reset/debug, reviewer, ngày review và issue của rủi ro còn mở.

Tải checklist

Nếu bạn đang chuẩn bị ship, hãy dùng tài liệu đầy đủ:

• Tải PDF checklist v1.1 — bản in để review và sign-off.

PDF có priority CRITICAL / HIGH / MEDIUM / LOW, evidence guidance, remediation tracker, scoring summary, approval workflow và final sign-off. Đây không phải security audit hay penetration test, nhưng giúp team không bỏ sót các lớp bảo vệ căn bản trước khi ship.

Kết luận

Một sản phẩm IoT production-ready không chỉ là thiết bị kết nối được cloud. Nó cần danh tính riêng, kết nối được xác thực, firmware có chain of trust, OTA có rollback và dữ liệu được bảo vệ trong suốt vòng đời.

Nếu chỉ có thời gian làm vài việc, mình sẽ ưu tiên bỏ shared credential, bật TLS đúng cách, ký firmware, làm OTA có rollback và lưu bằng chứng kiểm thử.

Tham khảo

• OWASP IoT Security Testing Guide
• ESP-IDF security examples
• ESP-IDF OTA examples
• NIST IR 8259A