Sicherheit bei externem Zugriff auf openHAB

[mepi0011]

Hallo,

openHab läuft bei mir auf meinem Rapberry mit Debian. Nun stelle ich mir die Frage wie sicher ist das System vor unerwünschtem Zugriff wenn ich meinen Router über dyndns bekanntmache und eine Portweiterleitung einrichte um von extern mein Haus steuern zu können.

1.) openHAB bringt ein USER und Passwortabfrage mit. Wie sicher ist diese und werden die Daten verschlüsselt übertragen?

2.) Welche Board-Tools von Linux (Debian) und iPhone würdet ihr empfehlen?

3.) Wie würdet ihr euer System absichern?

Vielen Dank im voraus für die Hinweise!

Gruß
mepi0011

[Jockel]

Wie würdet ihr euer System absichern?

Über ein VPN oder einen Reverse-Proxy, direkt ins Internet würde ich openHAB auf keinen Fall stellen!

[boxerfahrer]

OpenVPN

Über ein VPN oder einen Reverse-Proxy, direkt ins Internet würde ich openHAB auf keinen Fall stellen!

Ich stimme Jockel zu. Ich habe ein OpenVPN auf meinem NAS und auch auf dem Smartphone. Bei erfolgreicher Verbindung bekomme ich dann eine Intranet-Adresse und muss im Browser und auf dem smartphone nicht zwischen Internet und Intranet bei der Adressierung von openhab unterscheiden.

Soviel ich weiß gibt es openVPN auch für den pi.

VG boxerfahrer

[thoern]

hi

...

1.) openHAB bringt ein USER und Passwortabfrage mit. Wie sicher ist diese und werden die Daten verschlüsselt übertragen?

Wenn du den SSL-Port von OpenHAB verwendest (8443 per default) kann die Authentifizierung als sicher betrachtet werden. Und ja, sowohl User/Passwortinformationen als auch Nutzdaten werden dann verschlüsselt übertragen, insofern eine Authentifizierung konfiguriert wurde.

2.) Welche Board-Tools von Linux (Debian) und iPhone würdet ihr empfehlen?
mepi0011

Eigentlich bringt OpenHAB schon alles mit.
Meine persönliche Präferenz ist jedoch ein vorgeschaltet ReverseProxy. Da brauchts nur einen ordentlichen Webserver (Apache mit mod_ssl) - alles bei Debian dabei.

3.) Wie würdet ihr euer System absichern?
mepi0011

1. OpenHAB installieren (ohne Authentifizierung)
2. Apache mit Mod_SSL installieren und einen SSL-ReverseProxy für OpenHAB konfigurieren
3. Authentifizierung am ReverseProxy konfigurieren

Verbindungsaufbau ist dann wie folgt:

Browser im Internet -> DSL Router:443 -> Apache Reverseproxy:443 -> OpenHAB:8080

Die Authentifizierung macht in diesem Fall der Apache-RP

Der DSL-Router sollte dann einen Request auf Port 443 annehmen und an den ReverseProxy (ggf. auch Port 443) weiterreichen. 443 ist der Standardport für https und eignet sich deshalb optimal für https-Verbindungen.

Sollte https aus irgendwelche Gründen nicht möglich sein, so kannst du auch einen reinen http-ReverseProxy konfigurieren. Dann aber auf jeden Fall keine Basic-Authentication, sondern Digest-Authentication verwenden.

Vorteil gegenüber VPN: weltweit von jedem Browser aus aufrufbar!
Nachteil gegenüber VPN: weltweit von jedem Browser aus aufrufbar!


Gruß,
thoern

[teichsta]

Hi,

welchen Vorteil bringt der Reverse-Proxy gegenüber der SSL Terminierung durch openHAB?

Wenn der Wunsch besteht, könnten wir auch noch weitere Authentifizierungsmechanismen, wie die Digest-Authentication implementieren. Jetty (der mit openHAB mitgelieferte App-Server) könnte sowas schon. Kam aber bisher nicht so richtig :-)

Gruß,

Thomas E.-E.

[MatzR]

Hallo zusammen,

Ich grabe hier mal einen etwas älteren Thread aus...
Bin noch eher ein openHAB newbie und kämpfe mich da grad mal so durch. Die Grund-Funktionen laufen jetzt schon mal so einigermaßen.
Jetzt möchte ich mich mit dem Remote-Zugriff beschäftigen und das Ganze aber schon einigermaßen gegen unerwünschten Zugriff sichern. So wie ich das bis jetzt verstanden habe wäre dazu ein reverse proxy die beste Variante, nur habe ich leider keine Ahnung davon.

Das Ganze läuft bei mir zur Zeit auf einem Debian7 Server. Ich habe eine auf Basis einer anderen Anleitung folgende die Datei 000-default.conf im Verzeichnis /etc/apache2/sites-enabled angelegt:

<VirtualHost *:80>
# In order to encrypt the password sent by the clients, this vHost
# uses digest instead of basic authentication

ServerName mydomain.no-ip.info
ServerAdmin webmaster@localhost

ProxyRequests Off
<Location />
Deny from all
Allow from 10.0.1.11 10.0.1.50 10.0.1.51
AuthType Digest
AuthName "Privater Bereich"
AuthDigestProvider file
AuthDigestDomain / http://mydomain.no-ip.info/
AuthUserFile /etc/apache2/passwd/passwords_digest
Require user openhab_web
Satisfy Any

RedirectMatch permanent ^/$ http://mydomain.no-ip.info/openhab.a...emap=mysitemap

ProxyPass http://localhost:8080/
ProxyPassReverse http://localhost:8080/
</Location>

ErrorLog ${APACHE_LOG_DIR}/openhab-error.log
LogLevel warn
CustomLog ${APACHE_LOG_DIR}/openhab-access.log combined
</VirtualHost>

Aber schon beim restart des apache bekomme eine Fehlermeldung: File does not exist: /var/www/openhab

Kann mir jemand weiterhelfen?

Danke
Matthias

[staehler]

Was willst Du erreichen? my.openhab ist für mich die einfache Lösung. Damit verbindet sich mein habDroid mit openhab und per Browser kommt auch auf mein OH-GUI.

[MatzR]

OK, hatte mir my.openHab noch nicht angesehen. Bin jetzt mal registriert.
Warum ich ursprünglich etwas anderes wollte ist, dass es auch wieder bedeutet mein Haus durch die Cloud angreifbar zu machen. Das wollte ich vermeiden (und habe daher auch von OpenRemote zu openHAB gewechselt).