Bus ans Internet bringen usw

[tulpentom]

Hallo zusammen,
ich hoffe die Überschrift ist nicht zu irreführend.
Also, ich möchte gerne meine wenigen KNX Teile vom Android-Smartphone und Tablet bzw über das Internet mit dem Notebook bedienen und dort ablesen was so alles an/aus bzw offen/zu ist usw und auch schalten natürlich. Ebenso möchte ich die Daten der Wetterstation und diverser Temperatur und Füllstandssensoren abspeichern in zb. Excel-Tabellen. Auf der Anzeige fände ich auch die Daten meines PV-Analge schön, evtl auch Wettervorhersagedaten. Auch Kamera(s) rund ums Haus bzw Eingang die mir dann Bilder der in Abwesenheit klingelnden abspeichern und auf das Mobiltelefon schicken (in Zukunft).
Habe von Berker das BIOS empfohlen bekommen, was einfach einzurichten wäre aber nichts abspeichern kann. Andere Alternative wäre der IP-Control von Berker der 500.000 Datensätze speichern können soll und auch viel anderes bietet aber nicht so einfach wäre. Hier lese ich öfter über den Gira Homeserver, dessen App auf dem iPhone mir sehr gefällt, aber was ich hier so gelesen habe über Logikbausteine zum runterladen und diese verwirrenden Bilder, da bin ich etwas abgeschrocken worden. Ebenso hab ich etwas über Loxone oder so ähnlich gelesen, sagt mir bisher garnichts.
Also im großen und ganzen soll es bezahlbar sein und auch für einen nicht-Fachmann einrichtbar (evtl eine nette Hotline im Hintergrund:-))
Was könnt ihr mir da empfehlen bzw ans Herz legen oder sogar abraten? Meine fin. Schmerzgrenze läge da bei knapp 2000.

Vielen Dank schon mal für eure Tipps und Anregungen
und falls es in ein anderes Unterforum gehört bitte ein Mod zum verschieben, Danke

Schöne Grüße

Tom

[Jürgen]

Hallo Tom,

geht auch kostenlos?
Lade die APp Knxcontroller (gibt es hier im Forum auch einen Fred zu).
Dann brauchst Du eine IP Schnittstelle oder einen Router, falls noch nicht vorhanden ab ca. 150 Euro in derBucht.
Dann im DSL Router eine VPN Verbindung oder ein Portforwarding einrichten und fertig.

Gruß Jürgen

[StefanW]

oder ein Portforwarding einrichten

Bitte keinesfalls ein "Portforwarding" empfehlen.

Damit können 3,5 Milliarden Rechner über den so "geforwardeten" Port auf die KNX-Installation zugreifen.


Die drei wichtigsten Sicherheitsmaßnahmen beim Zugriff aus dem Internet nach Innen sind:

1. Sichere Authentifizierung
2. Sichere Authentifizierung
3. Sichere Authentifizierung

Am besten mit zwei Faktoren, also PIN & Wechselcode oder PIN & Keypair mit wirklich geheimen private Key. Wenigstens mit 12 bis 16 stelligem Passwort aus Groß- und Klein-Buchstaben mit Zahlen und Sonderzeichen, die nur ordentlich verschlüsselt / sicher gehashed übertragen werden.


Alles andere ist Murks. Beispiele hier: HD Moore warnt vor "Bergen von Sicherheitslücken" | heise Security


lg


Stefan

[Jürgen]

HAllo Stefan,

danke für Deinen Hinweis..
"Empfohlen" habe ich nicht, nur technische Möglichkeiten aufgezeigt.

Natürlich möchte ich nicht, dass jemand aus China auf meinen Heimreaktor zugreift und den Kühlkreislauf stoppt - das halbe Ruhrgebiet müsste evakuiert werden. Nein, das möchten wir alle nicht..



Nachtrag: Stefan hat mit seinem Hinweis natürlich Recht !
Man sollte aber auch immer die Verhältnisse beachten. Wenn es nur darum geht, Daten der Wetterstation ins Netz zu bringen, braucht man dafür vielleicht keinen 20 stelligen Schlüssel. Die Ct´berichtet aber auch davon, dass Sie problemlos Zugriff auf eine Kraftwerkssteuerung bekam.
Der realistische Weg liegt irgendwo dazwischen.

Was passiert realistisch, wenn jemand erkennt, dass die IP x.y.z.v Port xyzxy auf einer KNX Schnittstelle landet?
Wenn er dann noch die Möglichkeit hat, ein KNX Telegramm zu senden, kann er mein Licht schalten.....
Anhand der Logfiles meines Routers würde ich den Zugriff erkennen und dann vielleicht doch eher auf VPN umschalten....

Zusammenfassung: Klare Empfehlung ist VPN, Portforwarding geht, damit bestehen aber Gefahren, die jeder für sich abwägen muß.


Gruß Jürgen

[StefanW]

Jürgen,

alles was ein alter Hase mit 500 Beiträgen gegenüber einem KNX-Neuling auch nur nebenbei aufzählt, kann wie eine Empfehlung wirken.

Meine grundsätzlichen Empfehlungen zur Sicherheit lächerlich zu machen ist wenig zielführend.


Stefan

[tulpentom]

Hallo zusammen,
danke für die Antworten.
Kostenlos hört sich natürlich gut an macht mich aber sehr skeptisch. Stehe oft auf dem Standpunkt, was kostenlos ist hat auch meist nen Haken.
Sicherheit sollte schon gegeben sein. Das mir aus China das Licht ausgeschaltet wird oder aus Südamerika mal die Rollos bewegt werden ist nicht schön aber ich ich kann mir gut vorstellen, dass wenn man das kann auch ruckzuck meinen Rechner fernsteuert und ausspioniert.
Was ich halt auch gerne hätte ist die erwähnte Speicherung der diversen Werte.
Und ich gehe mal davon aus, dass ein IP-Controller und der IP-Control von Berker zwei unterschiedliche Schuhe sind und auch völlig andere Dinge ermöglichen. Oder kann man mit beiden das selbe anstellen?
Stefan, bei dir lese ich was von Wiregate. und inmanchen Beiträgen lese ich auch etwas darüber in Verbindung mit Visualisierungen usw. Gibt es da denn irgendwas, was meine Vorstellungen realisierbar macht?
BTW VPN/Portforwarding sind vorerst extrem böhmische Dörfer. Wenn es nicht anders geht werde ich den Sprung ins Wasser wohl wagen, wird schon schief gehen.
Was ich halt bisher immer gelesen habe ist der Homeserver bzw Berkers IP-Control. Bin aber für alles andere auch offen was genau so gut funktioniert undeinfacher oder günstiger ist.

Danke erstmal und sonnige Grüße

Tom

[Jürgen]

Hallo Tom,

grundsätzlich hast Du ja zwei verschiedene Themen:

- Zugang von Deinem Androiden in Dein Heimnetz
- Visualisierung / Fernsteuerung

Wenn das gewünschte aus Deinem Heimnetz funktioniert, kannst Du Dich mit den Möglichkeiten des Netzwerks beschäftigen, ist dann aber nicht unbedingt ein KNX Thema.

Gruß Jürgen

[tulpentom]

Danke Jürgen,
und ich bin davon ausgegangen, dass das eine nicht ohne dem anderen funktioniert. Sprich, ich brauch z.b. den Homeserver/IP-Control um etwas zu visualisieren, sei es auf dem PC oder auf dem Smartphone/Tablet-PC. Und somit habe ich auch gleich das Grundgerüst zum bedienen, speichern usw.
Das habe ich anscheinend noch viel Aufklärungsbedarf.....

Sonnige Grüße

Tom

OT: Ich habe gerade auf den Link in der Mail geklickt um auf die letzte Antwort zu kommen, kam selbstverständlich das Anmeldefenster, eingeloggt und wieder das Fenster, bei Klick auf Forum war ich aber angemeldet. Dort abgemeldet und auf der Startseite wieder eingeloggt, Thread gesucht und am Ende auf Antworten geklickt sollte ich mich schon wieder einloggen obwohl ja gerade erst passiert. Nach klick oaf ok kam das Anmeldefenster wieder. Das hatte ich schon öfter, was kann das bedeuten wie kann man so was abstellen? Danke!

[Jambala]

Für das iPhone gibt es die App OpenRemote KNX Lite bzw. Open Remote.

Hinsichtlich der Sicherheit ist es nicht einfach einen guten Kompromiß aus Schutz und Komfort zu finden.

Ich baue von meinem Smartphone einen VPN Tunnel zu meiner Fritzbox auf und komme so über eine IP Schnittstelle auf den KNX Bus.

Mein Passwort ist relativ lang, hat Sonderzeichen und Groß/Kleinschreibung. In der Praxis (z.B. im Urlaub) empfand ich es aber als relativ lästig dies immer manuell einzugeben. Nun habe ich es fest im iPhone hinterlegt und hänge damit am Fliegenfänger der Apple Sicherheit.

Ist sicherlich nicht so gut, aber jetzt nutze ich den VPN Tunnel viel häufiger.

Optimal wäre vermutlich, wenn mir meine Fritzbox eine Email senden würde, wenn ein anderes Gerät als meines versucht die VPN Verbindung aufzubauen.

[division]

Meine grundsätzlichen Empfehlungen zur Sicherheit lächerlich zu machen ist wenig zielführend.

Da hast du vollkommen recht. Jemandem jetzt aber für seine Visu eine Token Lösung per SSL VPN und Clientzertifikaten andrehen zu wollen ist jetzt schon etwas unrealistisch oder?

Wo anders benutzen sie gerootete Android Handys mit Software von sonstwo und nun muss es die Tripple Authentifizierung sein? Das passt ja so nich zusammen.

Ich denke jeder der sein iphone oder sonst was per VPN mit seinem Router verbindet ist da schon auf dem richtigen weg.

Wen kein VPN im Router hat, muss halt etwas eher anfangen...

Viele Grüße

[StefanW]

Jemandem jetzt aber für seine Visu eine Token Lösung per SSL VPN und Clientzertifikaten andrehen zu wollen ist jetzt schon etwas unrealistisch oder?

Bitte nochmal nachlesen was ich genau geschrieben habe. Von Token ist da nicht die Rede. Und bitte wieso "andrehen"?

Ich habe einen guten Sicherheitsstandard mit zwei-Faktor-Authentifizierung beschrieben und danach - für eine geringeren Standard mit nur einem Faktor - wie ein hinreichend sicheres Passwort aussehen sollte.

Ich frage mich allen ernstes, was das mit "andrehen" zu tun hat?

und nun muss es die Tripple Authentifizierung sein?

Bitte nochmal nachlesen und nachzählen. Für Dich habe ich das 'oder' in meiner kurzen Ausführung jetzt extra unterstrichen.

Ich denke jeder der sein iphone oder sonst was per VPN mit seinem Router verbindet ist da schon auf dem richtigen weg.

Nicht unbedingt. Es kommt nicht auf die Verschlüsselung sondern auf die Qualität der Authentifizierung an. Das Passwort "Test123" ist wirklich häufig anzutreffen....


Stefan

[dirm]

Hi!

eigentlich wollte ich gerade meine KNX Newbie fragen posten, bin aber über dieses Thema gestolpert.

da ich aus dem IT-Bereich komme und die "bei mir gibt's eh nix"-Aussage oft höre:
Das problematischste an "offenen" Zugängen ist eher die Tatsache, dass man oft annimmt der "Angreifer" kann ja "nur mein Licht einschalten" oder die Rollo runter lassen. Weil dafür nutzt man ja das System selbst...

Der "Angreifer" kann aber auch erkennen wann jemand zu Hause ist, wenn er sich eine Zeitlang das Nutzungsverhalten loggt.
es ist ja auch nicht sicher, dass der KNX Router nur "KNX" spricht, immerhin hängt er an einer Seite ja im LAN.

Webinterfaces können harmlos wirken und "eh nur ein paar Infos" anzeigen - zb SQL injections, können schnell die gesamte Datenbank preisgeben...

und Router logs sieht sich doch wirklich niemand laufend durch. bzw. wenn man ein IPS laufen hat, dann hat man das VPN eh schon dabei...

sg Dirm

[Gast]

1. Sichere Authentifizierung
2. Sichere Authentifizierung
3. Sichere Authentifizierung

zählt dazu auch VPN -> L2TP / IPSSEC? oder SSL VPN?

[division]

Bus ans Internet bringen usw

Sorry Stefan... Nich genau genug gelesen und in der Wortwahl vertan. Deinem Post ist nichts entgegenzusetzen.

Gruß Jan

Sent from my iPad using Tapatalk

[division]

Bus ans Internet bringen usw

Ach ja... Ich benutze die OpenVPN ESXi Appliance mit Kennwort und Zertifikat. Geht recht einfach und kostet nix...


Sent from my iPad using Tapatalk