Wenn dies dein erster Besuch hier ist, lies bitte zuerst die Hilfe - Häufig gestellte Fragen durch. Du musst dich vermutlich registrieren, bevor du Beiträge verfassen kannst. Klicke oben auf 'Registrieren', um den Registrierungsprozess zu starten. Du kannst auch jetzt schon Beiträge lesen. Suche dir einfach das Forum aus, das dich am meisten interessiert.
Ankündigung
Einklappen
Keine Ankündigung bisher.
Objekt mit 12 Linien & >300 Geräten angegriffen; 70% der Geräte kaputtprogrammiert
Ich bin mal gespannt, welcher Freak sich die Mühe macht, in ein System einzudringen(nicht über offene Ports) und dann die Geräte zu löschen. Auf den Präzedenzfall bin ich gespannt, wenn eine Anlage gekidnappt wurde und sich rausstellt der Hersteller hat ein Datenleck….
Ich bin froh wenn Kunden überhaupt ein ETS Projekt haben. Dann sollen noch welche mit BAU Passwort anfangen…..
Secure wäre das Mittel meiner Wahl, falls dies ein Kunde wünscht. Aber wie Roman schon sagt, manche Hersteller springen da nicht mit auf.
Es erschreckt mich, dass ausgerechnet ein ITler den Vorschlag bringt, einen Standard für die Herleitung eines Passworts zu definieren.
Man kann nur hoffen, dass niemand diese Idee aufgreift oder weiterverfolgt....
Da wäre ein Standard für die Ablage der Projekt-Datei wesentlich sinnvoller, und an der Stelle könnte man dann auch gleich das BAU-Passwort deponieren.
Oder man klebt einfach einen Dymo-Streifen hinter die Abdeckung auf das Netzteil.
Da du meinen Beitrag vermutlich nicht vollständig gelesen hast, möchte ich folgende Aussage nochmal zitieren:
"Klar wird die Sicherheit durch solch eine Logik aufgeweicht, dafür aber das Risiko sich selbst auszusperren (was ich für wahrscheinlicher halte) gesenkt"
Mein Vorschlag bezieht sich einzig allein da drauf, sich vor dem unwahrscheinlichen Fall eines Fernsetzen des Passwortes zu schützen.
Die meisten Nutzer haben gar kein Passwort gesetzt (und die Anlage ist damit anfällig für das beschriebene Angriffsszenario) -> von daher wäre selbst ein PW mit Ableitungslogik besser als gar keins. Wir sprechen hier auch nicht von einem hochkomplexen Passwort zur Datenverschlüsselung, sondern um eine Zeichenkette die im Zweifel lediglich verhindern soll, dass jemand anderes diese setzt. Für mich hat dieses Kennwort in einem EFH überhaupt keine Relevanz bzgl. der Anlagensicherheit selbst.
Viele User betreuen ihre KNX Anlage in Eigenregie. Klar dokumentiert man sich alles ... aber wenn der Zettel doch mal abhanden kommen sollte (oder man selbst), hat man (oder im Zweifel die Frau) je nach Hersteller durchaus einen beträchtlichen Schaden.
Mir geht es einfach nur darum den potenziellen Schaden im Falle eines "Angriffs" einzugrenzen und das potenzielle Risiko durch setzen des Passwortes zu minimieren.
Dafür wäre dieses Vorgehen zweckmäßig und in meinen Augen ausreichend sicher.
Der Hinweis kann auch gerne um eine Warnung ergänzt werden, dass das Passwort in diesem Fall natürlich sämtlichen "Best Practices" widerspricht. In wie weit das für das jeweilige Anwendungsszenario relevant ist kann jeder selbst entscheiden.
Es sind aktuell nur Fälle, wo der Port offen im Internet hängt.
Sorry, selbst Schuld.
Wer trotzdem noch ein Alu Hut benötigt, sollte auf IP Secure und Data Secure wechseln.
Du sagst es selbst: Aktuell
Lass mal den ersten Hersteller etwas schlampig mit seiner Infrastruktur umgehen.
Ich kann z.B. im 1Home Webportal mit einem Mausklick einen Fernzugriffslink "auf" meine Anlage setzen über welchen ich mich von überall "sicher" mit der ETS verbinden kann. Eine tolle Angelegenheit (auch wenn ich diese dank eigener VPN Lösung niemals nutzen würde) aber wir wissen, dass u.U. eine kleine Sicherheitslücke im Webportal oder dahinterliegenden Server ausreicht um ggf. hunderte Kunden "offen" zu legen.
Und ein Angreifer der einem Hersteller von KNX-Lösungen etwas böses will, wird natürlich auch wissen wie er dann weiter macht um maximalen Schaden anzurichten (und damit ggf. Lösegeld einfordert).
Da kann deine Infrastruktur zu Hause noch so toll und logisch getrennt sein. Die jeweilige Bridge / HomeServer hängt einfach mal 1:1 am Bus und hat ein Bein in eine fremdkontrollierte Welt.
Ich für mich werde es wie beschrieben handhaben. Es kann ja jeder für sich selbst bewerten ...
"Klar wird die Sicherheit durch solch eine Logik aufgeweicht, dafür aber das Risiko sich selbst auszusperren (was ich für wahrscheinlicher halte) gesenkt"
Weiß nicht, das sehe ich nicht so....
Ein Passwort sollte grundsätzlich immer geheim und in keiner Weise her-leitbar sein. Hinterher wird so ein Passwort gerne zum Standard-Passwort für den gesamten Haushalt, mit dem ich dann auf jeder Kamera, Waschmaschine und Fernseher anmelden kann
Wenn ich im Besonderen dieses Passwort gemeinsam mit der Projektdatei aufbewahre und sichere, und zusätzlich physikalisch auf die Komponenten schreibe, geht das Risiko sich selbst auszusperren nach meiner Ansicht gegen NULL
Von Lingg und Janke gibt es seit kurzem das Programmierschloss, welche sämtliche Programmierungen auf der Linie unterbindet. Erst nach Freischaltung über eine Secure Gruppenadresse ist es möglich, zu programmieren. Damit schützt man sich auch wirksam vor Angriffen von innen. Aus meiner Sicht geht es momentan nicht sicherer.
Damit schützt man sich auch wirksam vor Angriffen von innen.
Man sollte differenzieren, um was für ein Objekt es sich handelt, welche Auswirkungen es haben könnte u. was man wie realisiert hat.
Die ganz groben Schnitzer kamen bislang durch Dummheit und/oder grober Fahrlässigkeit - weniger durch spitzfindige u. ausgeklügelte "Angriffe".
Was soll beste Technik helfen, wenn man sich quasi selbst in das Knie schiesst?
Der Einbrecher auf'm Dach mit Laptop an der Wetterstation/BWM ist imho ein kaum reales Konstrukt.
Aber die Tüftler basteln sich eine Visu zum Haustüröffnen, natürlich mit Fernzugriff dessen Sicherheit entweder nicht existent oder fragwürdig ist - dann hilft busseitig die beste "Sicherung" nichts.
Ein Passwort sollte grundsätzlich immer geheim und in keiner Weise her-leitbar sein. Hinterher wird so ein Passwort gerne zum Standard-Passwort für den gesamten Haushalt, mit dem ich dann auf jeder Kamera, Waschmaschine und Fernseher anmelden kann
Wenn ich im Besonderen dieses Passwort gemeinsam mit der Projektdatei aufbewahre und sichere, und zusätzlich physikalisch auf die Komponenten schreibe, geht das Risiko sich selbst auszusperren nach meiner Ansicht gegen NULL
Das wäre bei mir ausgeschlossen.
Meine Familie ist auch komplett durch-sensibilisiert KeePass und individuelle kryptische Passwörter zu verwenden.
Ich stimme dir bzgl. des Passwortes voll und ganz zu. Aber im Falle des Bau-Passwortes würde ich es für mich nicht als ein Passwort sehen, sondern wirklich nur eine Maßnahme um potenzielle Fremdmanipulationen / Beschädigungen der Anlage zu vermeiden.
Finde ein Programmierschloss sichtbar im Verteiler ist die beste Wahl. So kann eine Anlage auch nach Jahrzehnten, wenn alles Weg ist und das Objekt den Besitzer gewechselt hat, noch betreut werden.
Ich für meinen Teil, sichere die IP Ebene ab, dass ein Zugriff auf TP von IP nur mit Secure möglich ist. Denke damit erreiche ich schon mal eine gute Basis Sicherheit und der Tunnel liegt nicht offen im Netzwerk. Sollte der Secure Schlüssel abhanden kommen, sind es nur die LKs.
Man sollte differenzieren, um was für ein Objekt es sich handelt, welche Auswirkungen es haben könnte u. was man wie realisiert hat.
Ich bin jetzt in Gedanken nicht im Einfamilienhaus gewesen, sondern eher im Bürogebäude. Es gibt ja heutzutage kaum Taster und Präsenzmelder, die man vernünftig gegen herausziehen sichern kann. Somit hat also theoretisch jeder, der dort arbeitet, einen Buszugriff. Mit einem Programmierschloss ist man diesbezüglich wunderbar abgesichert.
Dafür wäre ein MDT Sicherheitsmodul doch auch "ausreichend", wenn ich das temporäre Freischalten per Telegramm nicht aktiviere, sondern nur über Tastendruck für 2h freigebe?
Wir verarbeiten personenbezogene Daten über die Nutzer unserer Website mithilfe von Cookies und anderen Technologien, um unsere Dienste bereitzustellen. Weitere Informationen findest Du in unserer Datenschutzerklärung.
Indem Du unten auf "ICH stimme zu" klickst, stimmst Du unserer Datenschutzerklärung und unseren persönlichen Datenverarbeitungs- und Cookie-Praktiken zu, wie darin beschrieben. Du erkennst außerdem an, dass dieses Forum möglicherweise außerhalb Deines Landes gehostet wird und bist damit einverstanden, dass Deine Daten in dem Land, in dem dieses Forum gehostet wird, gesammelt, gespeichert und verarbeitet werden.
Kommentar