<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Thu, Dec 1, 2016 at 7:55 PM, Jerry Leichter <span dir="ltr"><<a href="mailto:leichter@lrw.com" target="_blank">leichter@lrw.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><span class="gmail-">> Of course, some electrical utilities (at least outside the U.S.) are already in the ISP business.  But they have to bypass the last transformer just prior to your home to be able to pass the high frequencies that "broadband" requires.  Of course, anyone who can access these same external wires can tap into these home powerline networks.<br>
</span>The physical layer is encrypted.  I couldn't find much in the way of detail other than two facts:  The e </blockquote><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">ncryption uses 128-bit AES, and there's a "push the button to set it up" mode for adding new devices.  I'm guessing they are simply re-using WiFi technologies, including WPS (which, yes, has recently been shown to have vulnerabilities).<br></blockquote><div><br></div><div><br></div><div>A number of manufacturers have, historically, made a pigs ear of the authentication implementation though - <a href="https://www.bentasker.co.uk/documentation/security/282-infiltrating-a-network-via-powerline-homeplugav-adapters">https://www.bentasker.co.uk/documentation/security/282-infiltrating-a-network-via-powerline-homeplugav-adapters</a> - so although the crypto looks fairly sound, it's trivially circumvented.</div><div><br></div><div>Though things do seem to be improving, I was recently told that TP-Link are finally deriving the DAK from something else.</div><div><br></div><div>FWIW, the Homeplug spec itself isn't too bad, the crypto's been quite well thought about. It just unfortunate that the main chip suppliers reference toolkit used the devices MAC addresses to generate a key that should be secret.</div></div><div><br></div>-- <br><div class="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr">Ben Tasker<br><a href="https://www.bentasker.co.uk" target="_blank">https://www.bentasker.co.uk</a><br><br></div></div></div></div></div></div>
</div></div>