Fernsehsendung WISO im ZDF

[Gezi]

Hallo zusammen,

falls es jemanden interessiert, am 03.09.18 kam in der Sendung WISO ein 9 minütiger Beitrag über eQ3's Homematic.
Hier ist der Link zu diesem Beitrag in der Mediathek (müsste 4 Wochen zu sehen sein...).
https://www.zdf.de/verbraucher/wiso/hac ... e-100.html

Gruß Gezi

[alchy]

Es reiht sich ein in den schon alten, aber immer noch wichtigen und aktuellen >> THREAD << zum Thema.

Wenigstens wurde in dem Beitrag / Video nicht der genaue Weg beschrieben, wie man die CCUs im Netz findet und bestimmte Sachen geblurrt.
Aber auch in dem Video wird Sicherheit suggeriert, wenn man die automatische Anmeldung deaktiviert.
DAS alleine bietet keine Sicherheit, wenn es auch den sofortigen Zugang zum System per einfachen Mausklick erstmal verhindert.
Dieses kann man ebenso wieder umgehen.

Seit langer Zeit versuche ich User zu kontaktieren, deren CCUs im Netz offen zu finden sind. Es sind einige zusammen gekommen in der Zeit.
Auch weiß ich von mindestens einem Mitstreiter aus der Schweiz habe ich, der sich um seine "Eidgenossen CCUs" kümmert. Vielen Dank dafür an dieser Stelle.
Viele davon sind vom Netz - und das ist gut. Es werden aber trotzdem immer mehr.
Die Reaktionen auf die Warnung sind sehr unterschiedlich. Von Dankbarkeit bis Drohungen und Androhung per Anwalt und Polizei.
Letztere haben *IMHO* eben den Knall noch nicht gehört.


Deshalb bleibe ich dabei: Portweiterleitung ist in keinem Fall in Ordnung. Weder Fantasieports noch sonstige Gedankengänge dabei bieten auch nur ansatzweise Sicherheit.


Benutzt am einfachsten VPN oder einen Reverse Proxy sofern ihr es einrichten könnt und wollt usw.
Wem es zu schwer ist, der stellt Fragen. Ich bin mir sicher, das er hier Antworten bekommt.

Und jetzt hier noch die wichtige Bitte.
Wir werden hier im Forum nicht veröffentlichen, wie man fremde CCUs findet, wie man auf die Anlagen kommt oder wie man die automatische Anmeldung umgeht usw.
Beiträge dieser Art werden entfernt.


Alchy

[jmaus]

Und hier noch der kurze Hinweis das in einer der nächsten CCU Firmware Updates (CCU3/RaspberryMatic) es die Möglichkeit geben wird die XMLRPC, ReGaSkript und nicht nur die WebUI mit https zu betreiben, sondern gerade die Skripten Ports via Basic Authentication (Login+Passwort) abzusichern um damit die größten Scheunentüren schliessen zu können.

[NickHM]

XMLRPC, ReGaSkript und nicht nur die WebUI mit https zu betreiben, sondern gerade die Skripten Ports via Basic Authentication (Login+Passwort) abzusichern um damit die größten Scheunentüren schliessen zu können.

Ist das dann Option oder Pflicht? Ich denke an die unzähligen Apps und Anwendungen, bei denen ich derzeit für Zugriffe keine User / PW Daten eingeben kann.

[jmaus]

Ist das dann Option oder Pflicht? Ich denke an die unzähligen Apps und Anwendungen, bei denen ich derzeit für Zugriffe keine User / PW Daten eingeben kann.

Natürlich wird das optional sein

[ptweety]

Hi Jens,

hast du dazu schon einen Issue auf GitHub? Ich würde das gerne als Referenz verwenden, um andere Projekte, die auf eine CCU zugreifen, über dieses kommende Feature zu informieren. Das ist m.E. sicher nicht nur für ioBroker, openHAB, RedMatic relevant ...

[jmaus]

Das ist kein Feature das ich alleine/explizit entwickle, sondern eQ-3 baut daran selber auch. Von daher heisst es: It‘s done, when it‘s done

[sumpfnagel]

Ich war von dem Beitrag zunächst etwas irritiert: es war nur mit Hintergrundwissen zu erkennen, dass das Hauptproblem (und nur die) die Portweiterleitung ist. Erst später wurde das erwähnt, man konnte zunächst aber den Eindruck bekommen, mit automatischer Anmeldung ist die CCU immer aus dem Internet erreichbar...

-sumpfnagel.

[Micha121]

Wie kann man denn selbst prüfen, ob seine CCU wirklich sicher ist?

Ich habe keine Portfreigaben für die IP Adresse der CCU und nutze CloudMatic und das VPN der FritzBox. Aber ich würde gerne mal testen, ob ich wirklich safe bin. Oder jemand von Euch testet es mal?

Dann noch eine Frage: Im Beitrag hat einer der Experten auch beschrieben, dass seine CCU mehrmals am Tag angegriffen wird (wenn ich mich recht erinnere) - wie kann man denn das überprüfen?


Danke Euch und viele Grüße

[HomeManiac]

Also den letzten Beitrag von WISO den ich mir angeschaut habe, war zu Zeiten der "Killerspiel Dabatte".

Dort wurden Spiel-Szenen von in D-Land verbotenen Spielen geschickt mit spielenden CS-Spielen aneinandergeschnitten - alles möglichst
reiserisch. Dieses waren damals wirkliche Fake-News.

Wie ich sehe hat sich seither nicht viel verändert....

Edith meint:
Aber vieleicht hiilft der Beitrag, dass man bei manchen das Bewustein schafft, die Kisten nicht ungeschützt ins Internet stellen ....