Ankündigung

Einklappen
Keine Ankündigung bisher.

Objekt mit 12 Linien & >300 Geräten angegriffen; 70% der Geräte kaputtprogrammiert

Einklappen
X
 
  • Filter
  • Zeit
  • Anzeigen
Alles löschen
neue Beiträge

    Es sind aktuell nur Fälle, wo der Port offen im Internet hängt.
    Sorry, selbst Schuld.

    Wer trotzdem noch ein Alu Hut benötigt, sollte auf IP Secure und Data Secure wechseln.

    Das BAU Passwort wäre für mich das letzte Mittel.
    Elektroinstallation-Rosenberg
    -Systemintegration-
    Planung, Ausführung, Bauherren Unterstützung
    http://www.knx-haus.com

    Kommentar


      Zitat von larsrosen Beitrag anzeigen
      Das BAU Passwort wäre für mich das letzte Mittel.
      Sprich du setzt keins? Ist das nicht Pflicht, sobald du Geräte mit Secure verwendest?

      Zitat von larsrosen Beitrag anzeigen
      Es sind aktuell nur Fälle, wo der Port offen im Internet hängt.
      Aktuell vielleicht, aber nicht ausgeschlossen, dass ein angegriffenes Gerät im Heimnetzwerk als Proxy fungierte.
      OpenKNX www.openknx.de | OpenKNX-Wiki (Beta)

      Kommentar


        Herrje, Bau Passwort hat nichts mit secure zu tun und mdt ignoriert das Bau Passwort z. B.

        Ps: mdt ignoriert, außer beim tapko Router, auch secure.
        Dieser Beitrag enthält keine Spuren von Sarkasmus... ich bin einfach so?!

        Kommentar


          Pflicht bei Secure ist ein Projektpasswort.

          Ich bin mal gespannt, welcher Freak sich die Mühe macht, in ein System einzudringen(nicht über offene Ports) und dann die Geräte zu löschen. Auf den Präzedenzfall bin ich gespannt, wenn eine Anlage gekidnappt wurde und sich rausstellt der Hersteller hat ein Datenleck….

          Ich bin froh wenn Kunden überhaupt ein ETS Projekt haben. Dann sollen noch welche mit BAU Passwort anfangen…..

          Secure wäre das Mittel meiner Wahl, falls dies ein Kunde wünscht. Aber wie Roman schon sagt, manche Hersteller springen da nicht mit auf.
          Elektroinstallation-Rosenberg
          -Systemintegration-
          Planung, Ausführung, Bauherren Unterstützung
          http://www.knx-haus.com

          Kommentar


            Zitat von ITler Beitrag anzeigen
            Es erschreckt mich, dass ausgerechnet ein ITler den Vorschlag bringt, einen Standard für die Herleitung eines Passworts zu definieren.
            Man kann nur hoffen, dass niemand diese Idee aufgreift oder weiterverfolgt....

            Da wäre ein Standard für die Ablage der Projekt-Datei wesentlich sinnvoller, und an der Stelle könnte man dann auch gleich das BAU-Passwort deponieren.
            Oder man klebt einfach einen Dymo-Streifen hinter die Abdeckung auf das Netzteil.


            Da du meinen Beitrag vermutlich nicht vollständig gelesen hast, möchte ich folgende Aussage nochmal zitieren:

            "Klar wird die Sicherheit durch solch eine Logik aufgeweicht, dafür aber das Risiko sich selbst auszusperren (was ich für wahrscheinlicher halte) gesenkt"

            Mein Vorschlag bezieht sich einzig allein da drauf, sich vor dem unwahrscheinlichen Fall eines Fernsetzen des Passwortes zu schützen.
            Die meisten Nutzer haben gar kein Passwort gesetzt (und die Anlage ist damit anfällig für das beschriebene Angriffsszenario) -> von daher wäre selbst ein PW mit Ableitungslogik besser als gar keins. Wir sprechen hier auch nicht von einem hochkomplexen Passwort zur Datenverschlüsselung, sondern um eine Zeichenkette die im Zweifel lediglich verhindern soll, dass jemand anderes diese setzt. Für mich hat dieses Kennwort in einem EFH überhaupt keine Relevanz bzgl. der Anlagensicherheit selbst.

            Viele User betreuen ihre KNX Anlage in Eigenregie. Klar dokumentiert man sich alles ... aber wenn der Zettel doch mal abhanden kommen sollte (oder man selbst), hat man (oder im Zweifel die Frau) je nach Hersteller durchaus einen beträchtlichen Schaden.
            Mir geht es einfach nur darum den potenziellen Schaden im Falle eines "Angriffs" einzugrenzen und das potenzielle Risiko durch setzen des Passwortes zu minimieren.
            Dafür wäre dieses Vorgehen zweckmäßig und in meinen Augen ausreichend sicher.

            Der Hinweis kann auch gerne um eine Warnung ergänzt werden, dass das Passwort in diesem Fall natürlich sämtlichen "Best Practices" widerspricht. In wie weit das für das jeweilige Anwendungsszenario relevant ist kann jeder selbst entscheiden.

            Grüße
            Neutrino

            Kommentar


              Zitat von larsrosen Beitrag anzeigen
              Es sind aktuell nur Fälle, wo der Port offen im Internet hängt.
              Sorry, selbst Schuld.

              Wer trotzdem noch ein Alu Hut benötigt, sollte auf IP Secure und Data Secure wechseln.
              Du sagst es selbst: Aktuell

              Lass mal den ersten Hersteller etwas schlampig mit seiner Infrastruktur umgehen.
              Ich kann z.B. im 1Home Webportal mit einem Mausklick einen Fernzugriffslink "auf" meine Anlage setzen über welchen ich mich von überall "sicher" mit der ETS verbinden kann. Eine tolle Angelegenheit (auch wenn ich diese dank eigener VPN Lösung niemals nutzen würde) aber wir wissen, dass u.U. eine kleine Sicherheitslücke im Webportal oder dahinterliegenden Server ausreicht um ggf. hunderte Kunden "offen" zu legen.
              Und ein Angreifer der einem Hersteller von KNX-Lösungen etwas böses will, wird natürlich auch wissen wie er dann weiter macht um maximalen Schaden anzurichten (und damit ggf. Lösegeld einfordert).

              Da kann deine Infrastruktur zu Hause noch so toll und logisch getrennt sein. Die jeweilige Bridge / HomeServer hängt einfach mal 1:1 am Bus und hat ein Bein in eine fremdkontrollierte Welt.

              Ich für mich werde es wie beschrieben handhaben. Es kann ja jeder für sich selbst bewerten ...

              Grüße
              neutrino


              Zuletzt geändert von neutrino; 14.02.2023, 09:09.

              Kommentar


                Zitat von larsrosen Beitrag anzeigen
                Pflicht bei Secure ist ein Projektpasswort.
                Danke dachte das gehört dazu.

                Zitat von larsrosen Beitrag anzeigen
                Ich bin mal gespannt, welcher Freak sich die Mühe macht, in ein System einzudringen(nicht über offene Ports) und dann die Geräte zu löschen.
                Jemand der von irgend einem KNX Hersteller ein Remotezugriff aufgrund einer Sicherheitslücke missbrauchen kann. Der ist dann auch im Thema drinne.

                Aber ja Secure ist die Lösung hier die bessere Wahl.
                OpenKNX www.openknx.de | OpenKNX-Wiki (Beta)

                Kommentar


                  Zitat von neutrino Beitrag anzeigen
                  "Klar wird die Sicherheit durch solch eine Logik aufgeweicht, dafür aber das Risiko sich selbst auszusperren (was ich für wahrscheinlicher halte) gesenkt"
                  Weiß nicht, das sehe ich nicht so....

                  Ein Passwort sollte grundsätzlich immer geheim und in keiner Weise her-leitbar sein. Hinterher wird so ein Passwort gerne zum Standard-Passwort für den gesamten Haushalt, mit dem ich dann auf jeder Kamera, Waschmaschine und Fernseher anmelden kann

                  Wenn ich im Besonderen dieses Passwort gemeinsam mit der Projektdatei aufbewahre und sichere, und zusätzlich physikalisch auf die Komponenten schreibe, geht das Risiko sich selbst auszusperren nach meiner Ansicht gegen NULL

                  Kommentar


                    Von Lingg und Janke gibt es seit kurzem das Programmierschloss, welche sämtliche Programmierungen auf der Linie unterbindet. Erst nach Freischaltung über eine Secure Gruppenadresse ist es möglich, zu programmieren. Damit schützt man sich auch wirksam vor Angriffen von innen. Aus meiner Sicht geht es momentan nicht sicherer.

                    Kommentar


                      Zitat von DerStandart Beitrag anzeigen
                      Damit schützt man sich auch wirksam vor Angriffen von innen.
                      Man sollte differenzieren, um was für ein Objekt es sich handelt, welche Auswirkungen es haben könnte u. was man wie realisiert hat.

                      Die ganz groben Schnitzer kamen bislang durch Dummheit und/oder grober Fahrlässigkeit - weniger durch spitzfindige u. ausgeklügelte "Angriffe".
                      Was soll beste Technik helfen, wenn man sich quasi selbst in das Knie schiesst?

                      Der Einbrecher auf'm Dach mit Laptop an der Wetterstation/BWM ist imho ein kaum reales Konstrukt.
                      Aber die Tüftler basteln sich eine Visu zum Haustüröffnen, natürlich mit Fernzugriff dessen Sicherheit entweder nicht existent oder fragwürdig ist - dann hilft busseitig die beste "Sicherung" nichts.
                      Zuletzt geändert von GLT; 14.02.2023, 10:25.
                      Gruss
                      GLT

                      Kommentar


                        Zitat von ITler Beitrag anzeigen

                        Weiß nicht, das sehe ich nicht so....

                        Ein Passwort sollte grundsätzlich immer geheim und in keiner Weise her-leitbar sein. Hinterher wird so ein Passwort gerne zum Standard-Passwort für den gesamten Haushalt, mit dem ich dann auf jeder Kamera, Waschmaschine und Fernseher anmelden kann

                        Wenn ich im Besonderen dieses Passwort gemeinsam mit der Projektdatei aufbewahre und sichere, und zusätzlich physikalisch auf die Komponenten schreibe, geht das Risiko sich selbst auszusperren nach meiner Ansicht gegen NULL
                        Das wäre bei mir ausgeschlossen.
                        Meine Familie ist auch komplett durch-sensibilisiert KeePass und individuelle kryptische Passwörter zu verwenden.

                        Ich stimme dir bzgl. des Passwortes voll und ganz zu. Aber im Falle des Bau-Passwortes würde ich es für mich nicht als ein Passwort sehen, sondern wirklich nur eine Maßnahme um potenzielle Fremdmanipulationen / Beschädigungen der Anlage zu vermeiden.

                        Kommentar


                          Finde ein Programmierschloss sichtbar im Verteiler ist die beste Wahl. So kann eine Anlage auch nach Jahrzehnten, wenn alles Weg ist und das Objekt den Besitzer gewechselt hat, noch betreut werden.

                          Ich für meinen Teil, sichere die IP Ebene ab, dass ein Zugriff auf TP von IP nur mit Secure möglich ist. Denke damit erreiche ich schon mal eine gute Basis Sicherheit und der Tunnel liegt nicht offen im Netzwerk. Sollte der Secure Schlüssel abhanden kommen, sind es nur die LKs.

                          Kommentar


                            Zitat von GLT Beitrag anzeigen
                            Man sollte differenzieren, um was für ein Objekt es sich handelt, welche Auswirkungen es haben könnte u. was man wie realisiert hat.
                            Ich bin jetzt in Gedanken nicht im Einfamilienhaus gewesen, sondern eher im Bürogebäude. Es gibt ja heutzutage kaum Taster und Präsenzmelder, die man vernünftig gegen herausziehen sichern kann. Somit hat also theoretisch jeder, der dort arbeitet, einen Buszugriff. Mit einem Programmierschloss ist man diesbezüglich wunderbar abgesichert.

                            Zitat von Axel Beitrag anzeigen
                            Finde ein Programmierschloss sichtbar im Verteiler ist die beste Wahl.
                            Das sehe ich genau so.

                            Kommentar


                              Dafür wäre ein MDT Sicherheitsmodul doch auch "ausreichend", wenn ich das temporäre Freischalten per Telegramm nicht aktiviere, sondern nur über Tastendruck für 2h freigebe?

                              Kommentar


                                Wie funktioniert denn so ein "Programmierschloss"?

                                Kommentar

                                Lädt...
                                X