IoT Nível 3: rede, rádios e o app companheiro

Firmware é a metade estática. A outra metade é dinâmica: o que o aparelho diz quando está ligado. E ele fala por muitos canais — cada um uma oportunidade de achar algo em claro que não devia estar.

Tráfego IP

Coloque o device numa rede sua e capture com Wireshark. Veja os protocolos: MQTT e CoAP são onipresentes em IoT, muitas vezes sem TLS. HTTP em claro para APIs de nuvem é comum. A pergunta que guia tudo: o que aqui vai sem criptografia, e o que dá pra replicar?

BLE — Bluetooth Low Energy

Com um dongle nRF ou um adaptador BLE, você enumera os serviços e características GATT do aparelho, observa os advertisements e vê como o app autentica. Ferramentas: bleak/gatttool para interagir, e um sniffer BLE para capturar o pareamento. Muita fechadura e muita pulseira 'protegem' comandos que trafegam abertos.

Zigbee, Z-Wave e afins

Para o ecossistema de automação residencial, ferramentas como KillerBee (Zigbee) e o próprio zigbee2mqtt permitem observar a malha. O padrão se repete: chaves de rede mal gerenciadas e mensagens sem autenticação.

O app companheiro

O aplicativo de celular é um mapa do tesouro. Descompile o APK com jadx e você encontra os endpoints da nuvem, chaves de API embutidas, a lógica de autenticação e, não raro, como o app fala com o device por BLE. Muita 'segurança' de IoT está só escondida no app — e app se lê.

Se o segredo está no aplicativo que qualquer um baixa, ele não é segredo — é só obscuridade com data de validade.

No próximo nível: juntar firmware + rede e nomear as classes de vulnerabilidade que você vai reencontrar em quase todo aparelho.