Amnesia:33 und Ripple20

[Hugo Oberstein]

Hallo Zusammen,
ich habe gerade gelesen, dass kritische Sicherheitslücken aufgedeckt wurden.

https://www.heise.de/news/Amnesia-33-ei ... 82063.html

Kann mir jemand sagen, ob Homematic davon auch betroffen ist ?

Vielen Dank

Hugo

[shartelt]

ja.

und nu?

[Hugo Oberstein]

Hi Shartelt,
danke für die Rückmeldung. Hört sich ja nicht so gut an. Ich hatte nach dem Artikel die Hoffnung, dass ELV die Lücken vielleicht schon geschlossen hätte.

Vielleicht sollte ich meine CCU erstmal offline weiter betreiben oder was meinst Du ?

Hugo

[jp112sdl]

CCU erstmal offline weiter betreiben

Andersrum gefragt: Wie betreibt man eine CCU denn online?

[Xel66]

Wenn Du Deine CCU nicht per Portweiterleitung aus dem Internet erreichbar gemacht hast, sollte diese Sicherheitslücke kein Problem für Dich sein. Wer seine CCU so erreichbar gemacht hat, ist selbst Schuld. Selbst in der WebUI wird in aktuellen Firmwareversionen gewarnt und hier im Forum wird auch oft genug darauf hingewiesen. Unabhängig davon haben wohl dem Vernehmen nach so einige ihre CCU im Netz hängen, weil ihnen die Sicherheit weder etwas Aufwand (VPN) oder die Kosten eines Diensteanbieters (ca. 2 EUR pro Minat) nicht wert sind.

Gruß Xel66

[Hugo Oberstein]

Naja ist in meinem lokalen Netzwerk eingebunden. Von unterwegs greife ich per VPN darauf zu...

Keine Portfreigabe etc , nur über VPN Verbindung zum Router.

Nun mach ich mir Gedanken, ob das noch sicher ist bzw. was passieren könnte.
Ich habe ja schon einiges Gelesen über Hacker, die den Sicherheitsschlüssel geändert haben etc.

Habe in der CCU Passworte vergeben und die Firewall eingeschaltet. Hoffe das genügt...

[jp112sdl]

Mit

Keine Portfreigabe etc , nur über VPN Verbindung zum Router.

hast du ja schon alles richtig gemacht.

[Hugo Oberstein]

Wenn Du Deine CCU nicht per Portweiterleitung aus dem Internet erreichbar gemacht hast, sollte diese Sicherheitslücke kein Problem für Dich sein. Wer seine CCU so erreichbar gemacht hat, ist selbst Schuld. Selbst in der WebUI wird in aktuellen Firmwareversionen gewarnt und hier im Forum wird auch oft genug darauf hingewiesen. Unabhängig davon haben wohl dem Vernehmen nach so einige ihre CCU im Netz hängen, weil ihnen die Sicherheit weder etwas Aufwand (VPN) oder die Kosten eines Diensteanbieters (ca. 2 EUR pro Minat) nicht wert sind.

Gruß Xel66

Da haben sich unsere Antworten überschnitten:-)
Danke aber für die Erläuterung. Also müsste es für mich unproblematisch sein.

[Xel66]

Also müsste es für mich unproblematisch sein.

Davon würde ich in diesem Falle unter der Maßgabe der ausschließlichen Nutung per VPN ausgehen. In den Berichten mit den gehackten CCUs hat sich immer herausgestellt, dass diese direkt aus dem Internet per Portweiterleitung erreichbar waren. Ich suche nicht selbst, bin aber mal vor längerer Zeit selbst bei einer Standardsuche (Sciptschnipsel) auf einer fremden CCU gelandet. Leute mit den richtigen Suchbegriffen und der richtigen Suchmaschine haben keine Probleme, noch eine Vielzahl solcher CCUs zu finden.

Gruß Xel66