Netzwerkkabel außerhalb des Hauses - Sicherheit

[vento66]

Das die Türstation mittels get/post ohne Authentifizierung die Tür öffnet ist ja auch nicht normal. Erstens sendet die Innenstation, und 2. ohne authentifizierung kannst Sicherheit vergessen. Aber da denkt ja bei den Doorbird und co keiner nach.

[vophatechnicus]

Und jedes Gerät dass man zwischen oder statt der Türsprechanlage anstöpselt kann sich als eben diese Anlage ausgeben und ist dann durch die Firewall im Heimnetz und darf was die Anlage darf.

MAC gecloned, und nun? Die Türstation setzt ein http get ab damit KNX Server die Tür öffnet…

Was lernen wir daraus? Sicherheitssachen wie die Entriegelung der Haustür nicht an den Bus.

Abgesehen davon braucht ein potenzieller Angreifer dennoch ein gewisses Maß an Kenntnis über das anzugreifende Netz, sonst kommt er nicht weit. Wenn ich nicht weiß was im Netzwerk so unterwegs ist, kann ich mich auch nicht als etwas das da unterwegs ist ausgeben.

Wenn man die ganze Sache wirklich Leben will, wirds aufwändig. Gute Lektüre bietet z.B. das BSI. Auch ein Blick in die relevanten Unterlagen zur Umsetzung von KritisV schaden nicht.

Ist aber so oder so alles mit sehr dicken Kanonen auf sehr kleine Spatzen geschossen.
Gerade heute schadet Vorsorge nicht aber man kann den Dom auch im Dorf lassen.

Sicherheit kostet Bequemlichkeit... Und solange die Bequemlichkeit siegt (Cloud Kameras, Alexa und Co.) braucht man sich über SOWAS eigentlich keine Sorgen machen

[tsb2001]

Ich mag mich nicht mit Euch zu den Themen zoffen, ich halte mich als IT-er mit 30 Jahren Erfahrung im sicherheitsrelevanten Umfeld bei den EFK-Themen auch zurück.
tsb2001 erklär mal Dein Statement zu vom NAS geklauten "persönlichen" Fotos und deren Veröffentlichung oder einer von effektiven Identitätsdiebstahl betroffenen Person, dann wirst Du vielleicht verstehen wovon ich spreche.

Und das schützt eine Segmentierung im LAN genau wie?
Wer wirklich die kriminelle Energie eines Identitätsdiebstahls vorsieht und in der Lage ist, Benutzersperren zu umgehen, der hackt auch das Passwort deines Switches und wirft alles in ein VLAN und umgeht die Segmentierung. Denn die Firmware von Switchen und Routern ist auch nicht unfehlbar.

Glaubst du ernsthaft, jemand mit solchen Fähigkeiten verdient sein Geld damit, die Identität von Lieschen Müller zu kapern, um illegale Geschäfte darüber abzuwickeln?
Der greift irgend ein milliardenfach vorhandenes privates Netzwerk Weltweit an, um Bilder zu klauen und jemandem zu schaden, den er gar nicht kennt?

Effektiver Identitätsdiebstahl mag von allem ausgehen, von gestohlenen Geldbörsen mit Personalausweis oder geklauter Post aus dem Briefkasten.
Da kann jeder Langfinger und Bösewicht viel einfacher mehr Schaden mit anrichten, als über jeden umständlich gehackten Zugang eines Netzwerks.

Apropos Diebstahl von Bildern: solange die Bilder mit einem Fotohandy (wie bei dem größten Teil meiner Umgebung üblich) gemacht worden sind und dort verbleiben, braucht man sich darüber keine Gedanken zu machen, wo die Bilder denn nun unsicherer gelagert sind…

[ETechniker]

Auch wenn meine Antwort schon fast offtopic wird:

Die Türöffnung auf einen nicht gesicherten Bus zu bringen (egal ob ETH oder KNX) halte ich für grob fahrlässig. Das (wie früher manchmal praktizierte) rausführen der Öffnungsdrähte direkt vor die Tür ist einfach nur doof.

Wenn man vor hat, über eine „Gebäudeleittechnik“ die Türöffnung zu steuern, geht m.M.n. nix an den VdS-Richtlinien vorbei. Ein machbarer Weg wäre z.B. den (unsicheren) Öffnungspfad eines Bussystems durch ein Relais der EMA abschalten zu lassen, sodass bei scharf geschalteter EMA die Manipulation ausgeschlossen ist.

Ich halte es für einen Mythos, dass niemand den Einbruch über solche Systeme versuchen wird. Der Angriff per Laptop vor der Haustür kann man wohl ausschließen, nicht jedoch den Angriff durchs WWW. Als Ergebnis steht dann einfach die Tür offen, wenn niemand da ist. Eine nette Einladung für Gelegenheitsdiebe. Und wenn nur der Postbote kurz zum Portmonaie greift.

Kleine Ergänzung, wenn eh schon offtopic:
1. Meist wird die mechanische Sicherheit der Tür unterschätzt. Also eher hier noch etwas Energie investieren (Mehrfachverriegelungen, sichere Schließzylinder, Bohrschutzabdeckungen, etc.)
2. Heute ist die Haustür nicht mehr Einfallstor Nr. 1 für Einbrecher, sondern (schlecht einsehbare, schlecht gesicherte) Nebeneingänge oder Fenster.
3. Man neigt in der Planung der „Sicherheit“ des Eigenheims natürlich, sich auf ein Thema zu fokussieren. Wenn ein echtes Sicherheitsbedürfniss besteht, sollte zwingend einen Bedarfs-/Gefahrenanalyse erstellt werden. Am besten unter Zuhilfenahme eines Profis.

jm2c

[tsb2001]

Auch wenn meine Antwort schon fast offtopic wird:

Die Türöffnung auf einen nicht gesicherten Bus zu bringen (egal ob ETH oder KNX) halte ich für grob fahrlässig. Das (wie früher manchmal praktizierte) rausführen der Öffnungsdrähte direkt vor die Tür ist einfach nur doof.

Ich halte es für einen Mythos, dass niemand den Einbruch über solche Systeme versuchen wird. Der Angriff per Laptop vor der Haustür kann man wohl ausschließen, nicht jedoch den Angriff durchs WWW. Als Ergebnis steht dann einfach die Tür offen, wenn niemand da ist. Eine nette Einladung für Gelegenheitsdiebe. Und wenn nur der Postbote kurz zum Portmonaie greift.

Beim ersten Punkt bin ich voll bei dir.

Beim zweiten Punkt nicht:
Erstens: Kaum eine Türe öffnet sich von selbst, wenn sie entriegelt wird. Die Entriegelungsdauer sind immer nur wenige Sekunden.
Was sollte also ein krimineller Hacker aus Usbekistan übers Web versuchen, eine ihm unbekannte Tür an einem für ihn unbekannten Standort in beispielsweise Klein-Kleckersdorf zu entriegeln - in der Hoffnung - das diese auch innerhalb dieser kurzen Zeitspanne aufgeht, grade auch ausgerechnet niemand zu Hause ist der das merkt und in dem Augenblick ein Gelegenheitsdieb das auch noch erspäht.

Die Früchte des mühsam erkämpften „Erfolgs“ des Türöffnens soll ein anderer ernten…
…fast so argumentativ, als das ein Bankräuber seine mühsam gestohlenen Geldscheine dem Hospiz spendet…

Das macht doch niemand. Jeder, der einen extremen Aufwand treibt um was gezielt zu erreichen (das öffnen einer bestimmten Tür z.B.) macht das doch aus einem Grund, der ihm selbst einen Vorteil verschafft. Ich gehe auch nicht täglich arbeiten, um am Ende des Monats auf das Gehalt zu verzichten.

Ungeachtet der Dinge habe ich ein klassisches Schloss ohne irgendwelchen Schnickschnack an der Tür. Wenn jemand klingelt gehe ich hin und gucke, wer davor steht. Dann mache ich „rein mechanisch“ auf.
Hält fit und ist digital „unhackbar“, da nichts elektrisch oder elektronisch vorhanden ist.

Wer wirklich ohne meinen Willen rein möchte, nimmt einen Stein und wirft den durch die Scheibe am Seitenteil oder am nächsten Fenster. Dauert nur wenige Sekunden und ist dadurch wesentlich schneller, als jeden Türöffner - egal ob mechanisch, digital über das Netzwerk vor Ort oder übers Internet von irgendwoher - zu überlisten…

[vento66]

Solange die Tür wieder verriegelt ist ja alles gut. Sobald die Tür beim entriegeln etwas aufgedrückt wird, bleibt sie offen. Wenn man dann noch ein paar Tage nicht da ist….

[ETechniker]

tsb2001 :

Es gibt Motorschlösser, die einen „Dauerhaft offen“ Modus haben, also Falle ganz eingefahren. Da steht die Tür schon einen Spalt auf (zumindest bei uns). Für den klassischen Türsummer gilt das natürlich nicht.

Man darf die externe Gefahr allerdings nicht unterschätzen. Es gibt heute Hobbygruppen, die sich mit dem Hack all solcher Sachen beschäftigen. Das sind die gleichen, die auch die Kameras hacken. Denn - mit Verlaub - einen Berufshacker interessiert nicht, meinen Blumen beim wachsen zuzusehen.

[TabSel]

ja, und man kann das auch noch automatisieren so dass alle 10sek entriegelt wird *g* wenn man was aus wirklicher Leidenschaft macht ist man altruistisch genug und überhaupt nicht an den Folgen interessiert. Also ja, ich bin in allen Punkten beim ETechniker.

[tsb2001]

tsb2001 :

Es gibt Motorschlösser, die einen „Dauerhaft offen“ Modus haben, also Falle ganz eingefahren. Da steht die Tür schon einen Spalt auf (zumindest bei uns). Für den klassischen Türsummer gilt das natürlich nicht.

Da stelle ich mir die Frage: hat das jemand und vor allem: wenn ja, warum?
Jeder Windzug lässt das Ding unkontrolliert irgendwo gegenknallen.

Das macht doch kein Mensch.

Hier sind so viele „hätte, wäre, könnte…“ im Spiel, dass das konstruierte Eventualitäten jenseits jeglicher Realität sind.

[vento66]

Naja nicht wirklich, wenn ich mir die Anlagen anschaue, die umprogramiert wurden, und mit BAU passwort versehen wurden… hätte das scriptkiddie ein anderes script laufen lassen, was alle GA mit 0/1 beschreibt….

[ETechniker]

Da stelle ich mir die Frage: hat das jemand und vor allem: wenn ja, warum?
Jeder Windzug lässt das Ding unkontrolliert irgendwo gegenknallen.

Das macht doch kein Mensch.

Hier sind so viele „hätte, wäre, könnte…“ im Spiel, dass das konstruierte Eventualitäten jenseits jeglicher Realität sind.

Wir haben ein Fuhr 881, das kann das. Und wir nutzen es auch, weil wir kleine Kinder haben. Halt nicht von außen angreifbar…
Bzgl. gegenknallen: wir nutzen einen Obentürschließer, der das verhindert (ist auch windig bei uns). Aber bei den rund 100 Haustüren, die ich kenne, gibt es das nicht.

Konstruiert ist in dem ganzen Thread nur der Einbrecher, der mit Schraubenzieher und Laptop kommt.

[vento66]

Der braucht keinen Laptop. So ein Raspi mit Akku reicht doch. Eibd / Knxd installiert und noch ein Netzwerkkabel finden das wars schon. Über discover kann man rausfinden, ob im Haus ein Router oder IP Interface erreichbar ist. Ist es ein IP Router sind wir schon fertig. Wir wissen, das es kein getrenntes VLAN gibt (Sonst hätte die discover Methode über multicast nicht funktioniert) und wir sind schon durch. Keine Kenntnis vom Netzwerk notwendig, da wir über Multicast das script laufen lassen können. Finden wir ein IP gateway, meldet es sich mit seiner IP. Auch hier ist nichts weiter zu tun, als diese zu nutzen. Schwieriger ist es dann schon wenn ich in einem VLAN lande, das kein Multicast in die anderen Netzwerksegmente durchlässt. Also einfach ein etwas schwereres „Amazon Paket“ gegen die Tür lehnen, und im Auto warten bis das script durchgelaufen ist. Ganz ohne sichtbare Spuren zu hinterlassen.

[Hennessy]

Naja nicht wirklich, wenn ich mir die Anlagen anschaue, die umprogramiert wurden, und mit BAU passwort versehen wurden.

Und diese Umprogrammiererei wurde ja bloss gemacht, weil man es kann und ohne irgendwelchen weiteren Absichten (gem. dem betreffenden Thread).

[vento66]

Ja und genau so kann ich als Spass mal auf alle GA 1 / 0 senden... Nur weil ichs kann. Das da ne Tür aufgehen kann, keine Ahnung. Das die dann eventuell länger offen steht, und andere einläd, ist mir auch egal. Oder man erwischt noch ein Haus mit Schücco Gateway... Dann gehen auch noch die Fenster auf.

[Lennox]

Einbrecher kommen selten über die Haustür ins Haus…. Unlängst erst wieder einen Vortrag bei Telenot von einen Polizisten darüber gehört…

Aber was sagt schon die Statistik aus…