Afstudeerproject Embedded Hacken

[Athylus]

Hey Tweakers,

In februari mag ik beginnen met afstuderen voor HBO Technische Informatica. Ik heb het erg naar mijn zin gehad en veel geleerd, met name over microcontrollers, embedded devices, OSes, low-level programming en algoritmiek. Nu volg ik een minor in cyber security en ik vind het geweldig leuk. Het liefst zou ik embedded devices willen hacken.

Ik heb twee mogelijkheden tot mijn beschikking wat betreft afstudeerplaatsen. De ene is als embedded software engineer bij bedrijf E, de andere als hacker voor embedded devices bij bedrijf H.

Bij bedrijf E moet ik met behulp van meet en regeltechniek een slimme routine schrijven voor het verwarmen van water met een boiler. Dit lijkt me leerzaam, maar ik krijg het idee alsof ik grotendeels onderzoek moet doen. Zij zeggen zelfs dat een prototype geen vereiste is voor hen, enkel het onderzoek of een verbeterde routine mogelijk is en het proces dat daaruit voortkomt. Ik had ook aangegeven bij hen dat de hogeschool veel nadruk op onderzoeken legt, maar ze willen ook een praktisch deel. Nu heeft het bedrijf naar mijn mening een opdracht met iets te veel onderzoek, althans zo klinkt het.

Bedrijf H geeft mij de mogelijkheid om een soort van generieke test tool te maken voor het hacken via interfaces, zoals UART e.d. Dit lijkt me ontzettend cool om te maken, en is waarschijnlijk iets waar ik me in wil specialiseren. Echter hebben zij minder kennis van embedded software engineering, en werken er ook geen elektrotechnici.

Tevens zit bedrijf H verder weg, terwijl E om de hoek zit. Maarja, de opdracht staat mij momenteel niet aan. Aan de andere kant, zal ik niet eerst gewoon ES engineering moeten leren voordat ik ga beginnen met het hacken van zulke devices?

Ik hoor graag jullie mening.


Ondertekend,
Student in een zware tweestrijd

[magic_nl]

Kies het afstudeerproject waar je over 10 jaar nog op terug kijkt en kunt denken aan alles wat het je gebracht heeft.

[99ruud99]

Gaaf!
How goed bwn je nu al? Het lijkt erop dat je de opdracht bij bedrijf H leuker vindt, maar dat bedrijf E je beter kan begeleiden.

Is er vanuit je opleiding iemand die als 2e begeleider zou kunnen fungeren zodat je je vakspecifieke veagen aan hem of haar kan stellen?

Want STEL dat het goed gaat, dan ben je een expert in elektro techniek die ook al kennis heeft van hacken en manier van werken bij H. Dus dan zou het zomaar kunnen dat je een baan aangeboden krijgt.

Ik denk dat je kan raden wat ik zou doen. Als je iemand vindt die helpt met al je vragen ga ervoor. Een gave afstudeerstage is zoveel waard.

[Athylus]

Dan zou ik toch kiezen voor bedrijf H @magic_nl . Super cool lijkt me dat.

Hoe goed ik ben? Nouja, met hacken een complete beginner. Ik heb voorheen een stage gelopen als software engineer, duurde een half jaar. Toen nog een jaar parttime blijven werken als software engineer, veel geleerd daar (zonder begeleiding).

Goed punt van de begeleider, ik ga morgen even informeren daarover bij de hogeschool. Ik verwacht niet meteen een expert te zijn op gebied van elektro (ookal zou dat wel leuk zijn), maar ik zou zeker een soort van basiskennis willen opdoen. Beetje PCBs begrijpen, en in ieder geval de juiste aansluitingen kunnen vinden.


Mijn enige probleem is dat ik over de snelweg moet naar bedrijf H, en daar staat het vaak vast 's ochtends. Met de trein ben ik ruim anderhalf uur onderweg. Bedrijf E is 15 minuten met de auto of 30 met de fiets. Maarja, die reistijd is het wrs wel waard voor een leuke opdracht.

[ Voor 18% gewijzigd door Athylus op 28-11-2019 22:45 ]

[Sissors]

Ik weet niet of er meer bekend is van de opdracht bij bedrijf H, maar ik vraag me af als daar ook niet veel ervaring is met embedded, en geen elektrotechnici rondlopen, of die opdracht wel fatsoenlijk doordacht is. Ik vind hem persoonlijk namelijk een beetje vaag overkomen. (Gezien de data die over UART gaat niet gestandaardiseerd is ofzo, lijkt me een generieke tool voor zoiets maken lastig, buiten brute forcen om, maar dat lijkt me ook weer zo zijn nadelen hebben).

Of bedoelen ze met test tool de hardware ook? Maar dat is een FT232H boardje kopen.

[ Voor 8% gewijzigd door Sissors op 28-11-2019 22:57 ]

[GoldenSample]

Van wie ga je bij bedrijf H leren? Juist van niemand.. Begeleiding is vaak een knelpunt qua beschikbare tijd, echter op het moment dat van tevoren al bekend is dat we geen inhoudelijke kennis aanwezig is... Major red flag.. Een extra begeleider op de uni ondervangt dit eigenlijk (vrijwel) nooit.

Ik ben groot voorstander van zelf dingen aanpakken en proberen maar dit klinkt als het wiel opnieuw uit proberen te vinden. Zie helaas daarvan voorbeelden elke dag in mijn werk, dit maakt potentieel goede engineers slecht doordat ze geen goede practices kunnen overnemen en alles zelf moeten uitvinden.

[Pizza_Boom]

Kies voor zekerheid! Begeleiding is zoooo belangrijk, zeker vanuit het bedrijf. Zij zien jou iedere dag, kunnen je bijsturen, zijn je klankbord en je vraagbaak.

Een hardwaretool voor UART, I2C e.d. hacken hoef je niet te maken, er zijn standaard oplossingen/interfaces daartoe. Kom je alleen op de software die je moet hebben. Ik heb het gevoel dat je het hopeloos idealiseert.

Probeer ook iets te zoeken waarin je al ervaring hebt. Van allerlei nieuwe dingen leren is leuk, maar kost ontzettend veel tijd. Kostbare tijd. Je hebt maar 20 weken om een geheel product neer te zetten. Maar in die 20 weken moet je ook je PvA schrijven, onderzoek doen, tot resultaten komen en bij voorkeur ook nog niets produceren. En dan in de eerste 16 weken ook nog even een scriptie erbij schrijven. Dan is het gewoon heel fijn bepaalde ervaring te hebben, een klein beetje basiskennis waarop je kan terugvallen.

Een stukje routine verbeteren is natuurlijk ook een praktisch resultaat hè. Je moet een nieuw stappenplan maken, software aanpassen, etc. Als jij een device programmeert, heb je al iets praktisch gedaan. Als er 1 ding is dat ik geleerd heb, is dat je alles goedgekeurd krijgt... Mits je de juiste omschrijving eraan hangt. Soms moet je daar even mee spelen en de juiste bewoording vinden. Zelfde als wanneer bedrijf x zegt dat zij graag software A hebben. Kleine vergelijking met B, C en D, paar specificaties opstellen die A heeft en voor jouw bedrijf doorslaggevend zouden kunnen zijn en klaar is je afgewogen keuze. En zelfs daarin kan je zeggen dat jij denkt dat B/C/D een betere keuze zou zijn, maar het bedrijf nou eenmaal vereist dat jij A gebruikt (bijvoorbeeld omdat ze daar al 10.000 licenties voor hebben).

Uiteindelijk blijft het toch kiezen uit twee kwaden, je opleiding heeft namelijk per definitie een ander belang dan jouw stagebedrijf. Zelfs als jij tot de conclusie komt dat de door jou geproduceerde oplossing niet handig is bij het bedrijf, kan jouw opleiding jou nog steeds een prima cijfer geven. Andersom heb ik gehad, bedrijf heppiedepeppie, internationale C level manager die direct begint over greenhouses, patenten en dergelijke, maar opleiding die je aardig door midden zaagt met je presentatie.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

[Zenix]

Ik zou voor bedrijf E kiezen, omdat de kans daarbij groter is dat je afstudeerd. Het doel is namelijk het afstuderen. Probeer dan de uitdaging te zoeken in de opdracht zo goed mogelijk uit te voeren.

De leukere opdrachten kan jezelf kiezen na het afstuderen.

[Ernemmer]

Ik heb voor mijn afstuderen ook voor zekerheid gekozen en een eenvoudiger project gekozen waarvan ik zeker wist dat ik het zou halen.
Uitdagende projecten krijg je later in het bedrijfsleven nog wel, nu is het eerst zaak dat je een diploma haalt.

Na het halen van mijn diploma is er ook nog nooit door iemand gevraagd wat voor afstudeerproject ik had gedaan, het ging ze eigenlijk alleen om het diploma.

[Zenix]

Inderdaad. Daarnaast kan je een beter resultaat halen door een eenvoudig project zo goed mogelijk uit te voeren. Want dan heb je meer tijd om te voldoen aan alle competenties.

[Athylus]

Beide bedrijven geven mij een opdracht waar ik niet zo veel ervaring mee heb (meet- en regeltechniek en hacken, beiden zeer weinig kennis van). Bedrijf H beweert ervaring te hebben met het hacken van IoT apparatuur. Er zitten trouwens ook wat jongere gasten meer van mijn leeftijd bij H.

Daarnaast heeft bedrijf H de opdracht veranderd naar het hacken van een auto laadpaal (van die elektrische weet je wel). Zoeken welke vulnerabilities er mogelijk zijn en die proberen te exploiten.

Bedrijf E heeft zeker weten ervaren programmeurs en elektrotechnici, dus dat is een gegeven.

@Pizza_Boom je hebt een uitgebreide reply geschreven, en dat prikkelt zeker wat bij me. Onderzoek doen is zeker leuk, ik wil ook zoveel mogelijk leuke dingen leren. En security interesseert mij heel erg. Misschien verandert de aangepaste opdracht ook wat er aan de hand is, en ze beweren mij te kunnen steunen. Het zijn geen embedded programmeurs of elektrotechnici bij bedrijf H, maar ze hebben wel ervaring met IoT hacking.

Daarnaast hou ik het liefst een baan er aan over, en dan is het kiezen tussen interessante baan of reistijd. Minimaal 30 minuten, waarschijnlijk altijd langer vanwege file staat mij niet aan. 10 minuten rijden zonder file wel. Maar goed, is dat het waard voor een leuke baan?

Ik heb ook het idee dat als ik één van beide bedrijven afzeg dat ik daar niet meer terecht kan komen, en dat zou jammer zijn.


Wat ik uit de meerderheid van jullie replies haal is: ga voor zekerheid, en studeer af bij bedrijf E. Meer ervaren mensen en meer kans op slagen. Misschien kan ik daarna nog doorbreken in security.

[ Voor 8% gewijzigd door Athylus op 03-12-2019 00:31 ]

[Corrit]

Even de advocaat van de duivel spelen: bedrijf E is inderdaad de veilige keuze denk ik, maar klinkt ook veel meer als een 'standaard' opdracht. En je geeft zelf al aan dat het je niet heel er aanspreekt. Zodra je 'echt' aan het werk gaat zul je nog vaak genoeg "saai" of standaard werk moeten doen, nu kun je nog even experimenteren.

Zo'n opdracht als bij bedrijf H krijg je waarschijnlijk niet snel nog een keer. Het is tevens iets meer een gok, maar aan de andere kant, als het je superleuk lijkt dan zou ik het gewoon doen. In het ergste geval kost het je een half jaar (als de begeleiding écht niet goed is oid) of studeer je misschien af met een iets minder goed cijfer. En dat zijn beide dingen die nu even vervelend zijn, maar waar je je over drie jaar echt niet meer druk over maakt. Mij is in ieder geval nooit gevraag wat voor cijfer ik voor m'n scriptie heb gekregen, boeit niemand iets blijkbaar.

[jeroen3]

Bedrijf H lijkt mij het meest aansluiten bij je studie, hardware is niet de primaire focus TI. Je kunt bij H juist met de meer abstracte kant van het vak werken, de communicatie en de software naar IT. Terwijl je daarvoor ook je stukje hardware kan maken.

Bedrijf E lijkt meer een procestechniek opdracht te geven. Kan ook, moet je eerst even toestemming vragen aan je school of het complex genoeg is om je punten te halen.

[Athylus]

@Corrit ben het helemaal met je eens. H lijkt me interessanter, en als beide bedrijven op dezelfde afstand zaten had ik hier zeker voor gekozen. Helaas moet ik over de A9 van Alkmaar richting Amsterdam om hier te komen, en die staat nogal best vaak vast! Grote domper. Bij mijn huidige baan reis ik naar Middenmeer, dat is enkel 30 minuten en sta nooit vast. Naar bedrijf H is 30-50 min volgens google maps, en dan heb ik gelukkig een motor dus dat maakt het ook extra aangenaam, behalve in februari nog.

@jeroen3 Klopt, hardware is niet de primaire focus. Maar het programmeren ervan wel. RTOS, microcontrollers, C en andere low-level perikelen. Voor deze opdracht is het wiskundige model en de beschrijving van het proces de belangrijke uitkomst. Nu interesseert mij dat niet zo zeer, maar het bedrijf zit wel op 10 min rijafstand en dat zou lekker zijn als er kan blijven werken na de opdracht.

Ik las laatst een artikel over een project waarbij ze de cache van een ARM CPU afgeschermd hadden en daarin executable code konden uitvoeren, dat lijkt me dan weer de super leuke kant van embedded programmeren.

[jeroen3]

Vergeet niet dat bus en trein nu nog goedkoop zijn. En je als stagair ook best wel wat flexibele met je uren kan zijn.
Ik heb voor mijn stage elke dag 1.5uur met trein+bus gedaan. En voor de korte tijd daarvan is dat prima.

De afstand tot de het bedrijf mag volgens mij geen zwaarwegende factor zijn. Als dat wel zo is, dan kan je ook ergens anders naar een bedrijf+kamer/appartement kijken.

[Athylus]

Valt mee, heb geen studenten OV. Wel een korting abbo.

Moest jij dan 1,5 uur per richting of heen en terug samen?

Ik snap wat je bedoelt met de afstand, helaas zit ik niet in de gemiddelde situatie. De trein is duur voor mij en ik heb alleen een motor. Gelukkig wel bezig met autorijbewijs, maar waarschijnlijk pas in maart een auto.

Eigenlijk speelt dat de grootste rol samen met de plezierfactor en begeleiding. Ik verdoem het eigenlijk om elke dag in de file te staan.

[3V3RT]

Als je iets wilt hacken, wil je dan niet een bedrijf zoeken die daarin gespecialiseerd is?
Ik zou persoonlijk een bedrijf zoeken die je vrijlaat in het auditen van de security van hun embedded device. Als ze serieus daarin zijn, hebben ze vast ook wel wat budget er voor over om wat pentesting tools aan te schaffen (ChipWhisperer, goeie debuggers, jtagulator etc.). Kan je ze laten zien wat een voltage glitch doet met hun secure boot proces

[Athylus]

3V3RT schreef op vrijdag 6 december 2019 @ 14:39:
Als je iets wilt hacken, wil je dan niet een bedrijf zoeken die daarin gespecialiseerd is?
Ik zou persoonlijk een bedrijf zoeken die je vrijlaat in het auditen van de security van hun embedded device. Als ze serieus daarin zijn, hebben ze vast ook wel wat budget er voor over om wat pentesting tools aan te schaffen (ChipWhisperer, goeie debuggers, jtagulator etc.). Kan je ze laten zien wat een voltage glitch doet met hun secure boot proces

Zij zijn daarin gespecialiseerd, maar pas sinds bijna twee jaar in IoT hacken. Ze zeggen er tools en een lab voor te hebben. Wat bedoel je precies met auditen?

Je lijkt er iig verstand van af te hebben, ik neem aan dat je zelf binnen die sector werkt.

[3V3RT]

Ik houd mij er inderdaad af en toe mee bezig ;-)

Met auditten bedoel ik, dat er onafhankelijk onderzoek wordt gedaan naar de staat van de beveiliging van het product in de breedste zin. Dus dat kan pentesting zijn, maar ook kijken naar hoe keys beveiligd worden en hoe het proces is ingericht om tot een secure system te komen (zijn er testen, documentatie, architectuur etc)

Als dat bedrijf een lab heeft, dan hebben ze vast ook werknemers die er in werken, dan is het natuurlijk erg interessant om eens te vragen wat zij zoal op een dag doen. En van die lui kan je dan ook weer veel leren waarschijnlijk.

Wat ik persoonlijk merk is dat er maar weinig echte embedded security bedrijven zijn in Nederland. Iedereen praat over security, maar ik moet het eerste bedrijf in NL nog vinden die een volledig embedded systeem onder handen kan nemen.

[Athylus]

Ik ga kijken of ik nog een afspraak kan maken met de hackers, dan zou ik wel zo een IoT hacker willen spreken. Beetje vragen wat jij voorstelt, ben erg benieuwd.

Dit is zeker iets wat ik mezelf op de langere termijn zou zien doen, op freelance basis als dat kan. Dat lijkt me helemaal geweldig. Maar misschien is het handig om dan eerst eens goed embedded systemen te leren, voordat ik die kant op ga?

Ik hoop dat embedded security serieuzer wordt genomen de aankomende jaren, want er valt een boel te misbruiken. Al is het maar iets simpels zoals garage deuren, tot aan complexe dingen zoals auto's. Zeker met de onderling communicerende auto's waaraan gewerkt wordt.