Wie sicher ist Ihr Smart Home?

[1Home]

Durch die Verbindung mit inzwischen über 20.000 Smart Homes mit Loxone Miniservern, Gira X1, Home Servern und verschiedenen KNX IP Interfaces hatten wir die einmalige Gelegenheit, eine tiefgehende Recherche zum Thema Sicherheit in Smart Homes zu betreiben.

Wir fanden heraus, wie Smart Home Besitzer ihre Apps zur Fernsteuerung nutzen, wie Systemintegratoren das Zuhause ihrer Kunden aus der Ferne programmieren und wie Smart Home Bewohner unsere Sprachsteuerung verwenden.

Was Sie bei all dem beachten sollten, wenn es um das Thema Sicherheit geht, lesen Sie hier!
https://1home.io/de/blog/security-knx-loxone

[BadSmiley]

und an dieser Stelle wird Niemand stutzig? Mir dreht es gerade den Magen um. Das ist bestimmt ein 2 Zeiler in den AGBs irgendwo bei 1Home....

[PhilW]

Boah , wenn das wenigstens gute Werbung wäre, aber so plump und unbeholfen.
1Home Reicht doch wenn ihr das auf FB macht, nicht auch noch hier

[givemeone]

Cloud im Smarthome? Damit verkauft ihr alle eure Daten an den Cloudanbieter... Keiner sollte man sich auf sowas einlassen.... Schlimm....

[1Home]

Ok, also nur um es zu klären:

- ihr denkt, dass die Smart Home Mobile App überhaupt nicht Teil eines Smart Home sein sollte?

- ihr seid auch der Meinung, dass Systemintegratoren vor Ort fahren, Zeit und Geld verlieren und wahnsinnige Geldbeträge an intelligente Hausbesitzer für eine einfache Diagnose und Programmierung berechnen sollten?

oder meint ihr nur, dass das alles getan werden sollte - ohne auf die Sicherheit zu achten?

[givemeone]

Ok, also nur um es zu klären:

Gerne, klären wir es. Wie wollt ihr erklären, dass euer Cloudserver auch nur
irgendetwas zur Steigerung der Sicherheit beiträgt?
Alles andere kann getrost mit nein beantwortet werden. Und es gibt dafür praktische und gute Standardlösungen. No Cloud included.

Allein schon dass ihr eine Untersuchung machen konntet, zeigt, dass ihr wohl mehr Daten abgreift als für den Betrieb unbedingt nötig ist.

[stefda]

Die 20.000 Kunden tun mir tatsächlich etwas leid... Ich glaube die wenigsten wissen was ihr da treibt.

Aber ja, zwei Gedanken zu eurem Blog Post:

Spätestens bei diesem Absatz merkt man, dass ihr keine Ahnung von Security habt...

Jedoch gibt es beim Gira X1, Gira Homeserver und Loxone Miniserver immer noch eine Authentifizierung in Form von Username und Passwort, die für die Verbindung mit dem Gateway des Zuhauses benötigt werden. Aus Sicherheitssicht ist es somit schwerer anzugreifen als Ihre E-Mail Adresse oder Social Media Account.

Edit: Es könnte die Frage kommen warum ich meine, dass ihr keine Ahnung von Security habt: Was bringt eine Authentifizierung ohne Verschlüsselung? Der Loxone Miniserver unterstützt z.B. keine Verschlüsselung. Mit einem ManInTheMiddle-Angriff könnte jeder die Login Daten einfach mitlesen. Damit ist jeder E-Mail Account der auch nur ein Username und Passwort hat sicherer, da die Kommunikation höchstwahrscheinlich mit SSL gesichert ist.

Und irgendwie will ich es auch noch nicht ganz glauben, dass ihr es schon geschafft habt 20.000 Kunden an der Nase rum zu führen... Denn welcher SmartHome Besitzer der einen Systemintegrator an der Hand hat würde sich an euch wenden?

So haben wir herausgefunden, ... wie Systemintegratoren die Häuser Ihrer Kunden aus der Ferne programmieren

Ergebnis: Wenn man den Artikel durchliest wird einem klar, das man dazu keine 20.000 Smart Homes analysieren muss. Das ist billiges 0815 Marketing Gelaber...

[Gast1961]

ohne auf die Sicherheit zu achten?

Tut mir leid, wenn deine Kunden "hinter dem Mond leben", was Sicherheit angeht. Tut mir leid, daß deine Kunden tatsächlich Ports öffnen, um eure Demoversion zu testen.

Wenn Sie eine App für die Fernsteuerung Ihres Smart Homes nutzen, Ihr Systemintegrator Ihr Zuhause aus der Ferne wartet oder Sie unser Cloud Produkt nutzen, haben Sie wahrscheinlich eine Portweiterleitung eingerichtet.

Das ist natürlich inakzeptabel und informierte Kunden nutzen bessere (sichere) Technik für den Zugriff auf ihre Smarthomes. Offenbar dämmert auch bei 1home die Erkenntnis, daß Sicherheit wichtig ist und es bessere Technik gibt als Ports zu öffnen. Glückwunsch dazu - besser spät gelernt als nie.

[BlackDevil]

Mit dem Gira X1 und Gira Homeserver (wenn KNX IP-Ports nicht weitergeleitet werden), ist dies definitiv das Schlimmste, was passieren kann.

Sicher? Ich erinnere mich an einen Artikel über eine Sicherheitslücke bei Loxone. Ein Angreifer hatte somit Zugriff auf die Geodaten und konnte Rückschlüsse auf Anwesenheit ziehen und somit einen Einbau - theoretisch - planen.

Gira S1 war eine der ersten Lösungen auf dem Markt für dieses Problem. Es ist unserem Fernzugriff- und Verwaltungsprodukt sehr ähnlich - allerdings eingeschlossen im Gira Ökosystem - und funktioniert nur mit dem Gira X1 oder dem Gira Homeserver. Es ist auch kompatibel mit KNX IP Interfaces, aber nur zur Programmierung des Zuhauses (über KNX ETS).

ihr seid also besser als Gira, soso.

Es gibt noch Alternativen zum S1, von ISE zB. Und ich finde den Weg über S1 und X1 von unterwegs aus akzeptabel, da ich keinen Vollzugriff auf mein Haus brauche oder wünsche ... Aus der Ferne programmieren zu können ist für viele SE sicher schon viel wert. Mehr jedenfalls als die Kontrolle über das Kundenhaus.

Fernzugriff braucht mehr als nur eine Cloud App. Das geht tiefer in die Netzwerktechnik.

[1Home]

givemeone : Du behauptest also, dass Menschen ihre Smart Homes über mobile Apps aus der Ferne steuern können und Systemintegratoren Smart Homes über ETS ohne die Cloud-Komponente aus der Ferne programmieren können? Könntest du uns bitte ein Beispiel zeigen?

Mit Ausnahme des VPN - das im Artikel übersichtlich dargestellt wird. Mit VPN vertraust du als Smart Home Besitzer jedoch Ihrem Systemintegrator, dass seine Sicherheit absolut zuverlässig ist. Denn wenn jemand sein VPN-Zertifikat in die Hände bekommt - kann er auf alle Geräte im Netzwerk zugreifen (Computer, Mobiltelefone und NAS-Systeme auch).

stefda : Ich möchte nicht öffentlich behaupten, dass du nicht weißt, wovon du sprichst, aber:

-Gira HS verwendet eine "https"-Verbindung (daher sind Benutzername/Pw verschlüsselt).
-Gira X1 verwendet verschlüsselte Web-Sockets (daher sind Benutzername/Pw verschlüsselt).
- Loxone Miniserver verwendet Token-basierte Authentifizierung (daher sind Benutzername/Pw verschlüsselt) - wenn du mehr über Token-basierte Authentifizierung erfahren möchtest, kannst du hier nachlesen: https://www.loxone.com/enen/wp-conte...Miniserver.pdf

Der Großteil der Verkäufe erfolgt direkt an den Endkunden. Aber wir haben ein Netzwerk von Systemintegratoren in über 20 Ländern. Die meisten Systemintegratoren, mit denen wir zusammenarbeiten, verstehen, dass unser 1Home Box-Produkt die gleichen Sicherheitsstandards bietet wie jedes andere Sprachsteuerungsprodukt auf dem Markt …

Und wir haben nicht 20.000 Häuser untersucht, um die beste Lösung für die Sicherheit herauszufinden, sondern haben es getan, um zu beurteilen, ob es einen Bedarf auf dem Markt gibt oder nicht.

Gast1961 : Die meisten unserer Kunden öffnen keine Ports, um unser Produkt zu nutzen, sondern haben sie bereits geöffnet, um ihre mobile App-Visualisierung aus der Ferne zu nutzen. Das mag dich vielleicht überraschen - aber die meisten Systemintegratoren (die nicht damit vertraut sind/oder sich nicht mit VPN beschäftigen wollen) richten Port-Freigabe sofort ein

BlackDevil : Das ist wahr - und darum sagen wir das auch nur für Gira - und nicht für Loxone.
Für Loxone gilt: Wenn man den App/Web-Port weiterleitet, gibt man automatisch Loxone Config frei. Darum ist es wichtig, verschiedene Anmeldedaten für die Loxone App und für Loxone Config zu verwenden - wie im Artikel erwähnt.

ISE gehört übrigens zur Firma Gira, damit ist es die gleiche Lösung wie S1 und keine wirkliche Alternative.

Und ich stimme dir zu - für dich als Systemintegrator ist unser Produkt der Schnittstelle S1 wirklich sehr ähnlich - nur dass es günstiger ist.

[vento66]

Denn wenn jemand sein VPN-Zertifikat in die Hände bekommt - kann er auf alle Geräte im Netzwerk zugreifen (Computer, Mobiltelefone und NAS-Systeme auch).

Ah ja! Mann lernt ja nie aus..... Soll ich Dir mal einen VPN Zugang zu mir geben, und Du schaust mal wie weit Du kommst? Genau auf das Gerät, welches ich für deinen VPN Zugang freigebe, sonst nirgendwo hin!

Jetzt wird es irgendwie komisch hier. Also nicht das es schon komisch wäre, aber mir rollt es gerade die Zehennägel hoch!

[MasterOfPuppets]

Richtig vento66 wenn ich einen SI brauche vertraue ich ihm natürlich und kenne ihn auch persönlich, er darf dann gerne per VPN auf meine Netzwerkschnittstelle und kommt sonst nirgendwo rein.

Wenn ich von unterwegs auf mein Zuhause zugreife nutze ich ebenfalls einen VPN Tunnel.... den Cloud Schrott Brauch somit kein Mensch.

[vento66]

Ach und fast noch vergessen, Normalerweise gibt es so einen Button in der Visu, oder ein Taster wird für die VPN Freigabe verwendet. Da kann nicht mal der böse SI auf das Netzwerk zugreifen, wenn der Kunde es nicht freigibt.

[BlackDevil]

Mal eine Verständnisfrage: ihr seid ein international aufgestelltes Unternehmen mit 20000 Kunden. Warum braucht ihr diese Guerilla Werbung, welche andere nicht nötig haben?

[Cybso]

Einer Portweiterleitung (ich die abschalten und nur bei Bedarf aktivieren kann) oder einer VPN (z.B. geht inzwischen auch direkt in der Fritzbox, kann ich ebenfalls nach Bedarf aktivieren) soll ich nicht vertrauen, aber eurer Serverinfrastruktur, die vollen Zugriff auf das Gerät in meinem Haus hat, schon?

Schon mal überlegt, was für ein tolles Angriffsziel eure Server sind, wenn darüber tausende Geräte direkt angesteuert werden können? Wenn ich einen DDOS betreiben möchte, würde ich nach genau solchen Setups suchen. Eine Kiste (idealerweise unbemerkt) aufgemacht und volle Kontrolle über eine Armada von Minions.