CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
Moderator: Co-Administratoren
-
- Beiträge: 4156
- Registriert: 26.01.2016, 08:14
- System: Alternative CCU (auf Basis OCCU)
- Wohnort: Renningen
- Hat sich bedankt: 348 Mal
- Danksagung erhalten: 284 Mal
Re: CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
Klingt gut. Wer physikalischen Zugriff auf's Gerät hat (Knopf drücken) darf das wohl auch. Fände ich eine sinnvolle Idee falls sich das "so einfach" umsetzen ließe.
- Black
- Beiträge: 5483
- Registriert: 12.09.2015, 22:31
- System: Alternative CCU (auf Basis OCCU)
- Wohnort: Wegberg
- Hat sich bedankt: 424 Mal
- Danksagung erhalten: 1074 Mal
- Kontaktdaten:
Re: CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
Generell eine gute Idee. Das Thema hatten wir ja auch bei der letzten Hacking-Aktion im Rahmen unseres im Hintergrund PN-Meetings zu Angriffsvektoren.jmaus hat geschrieben: ↑18.01.2023, 09:26(...)
Was haltet Ihr von der prinzipiellen Idee das Recovery System dahingehend zu erweitern das man dort etwas einbaut um es zu ermöglichen die Credentials des Admin users, etc. zurückzusetzen um so wieder auf die Zentrale zu gelangen? Das sollte es jedem Nutzer der entweder so gehackt wurde oder sein Passwort vergessen hat (...)
Macht meine Aktionen dann auch überflüssig.
Nun das aber: das wieder reinkommen ist der kleinste Teil bei so einem Hacking Desaster. Das bzw die Spackenkinders vergeben ja gerne Sicherheitsschlüssel.
Und in dem Moment, wo jemand über diese "Recovery Aktion" wieder in sein System kommt und in Freunde und Unwissenheit sein letztes Backup zurückspielt, in dem Moment werden seine Bidcos Geräte ohne Kostrenpflichtiges reflash nicht mehr funktionieren.
Black
Wenn das Fernsehprogramm immer mehr durch nervende Werbung unterbrochen wird und der Radiomoderator nur noch Müll erzählt, ist es besser, die Zeit für sinnvolle Dinge zu nutzen -
mal aufs Klo zu gehen, ein Bier zu holen oder einfach mal den roten AUS-Knopf zu drücken. Klick - und weg
Script Time Scheduler V1.3
AstroSteuerung über Zeitmodul flexibel mit Offset / spätestens, frühestens
SDV 5.03.01 Das umfassende Entwicklungs und Diagnosetool für Homematik
Selektive Backups - Nützliche Dinge, die die WebUI nicht kann
Intel NUC6 Celeron 16GB mit 512GB SSD unter Proxxmox mit insgesamt 5 VM: 2 x bloatwarebefreiter Raspberrymatik, 2 x IOBroker als Middleware und einer MariaDB zur Archivierung. Verbrauch: 6W
technical contribution against annoying advertising
mal aufs Klo zu gehen, ein Bier zu holen oder einfach mal den roten AUS-Knopf zu drücken. Klick - und weg
Script Time Scheduler V1.3
AstroSteuerung über Zeitmodul flexibel mit Offset / spätestens, frühestens
SDV 5.03.01 Das umfassende Entwicklungs und Diagnosetool für Homematik
Selektive Backups - Nützliche Dinge, die die WebUI nicht kann
Intel NUC6 Celeron 16GB mit 512GB SSD unter Proxxmox mit insgesamt 5 VM: 2 x bloatwarebefreiter Raspberrymatik, 2 x IOBroker als Middleware und einer MariaDB zur Archivierung. Verbrauch: 6W
technical contribution against annoying advertising
-
- Beiträge: 279
- Registriert: 01.11.2021, 14:32
- System: CCU und Access Point
- Hat sich bedankt: 86 Mal
- Danksagung erhalten: 23 Mal
Re: CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
Man könnte dann doch auch, wenn das Passwort durch Recovery zurückgesetzt wurde, das Fenster Sichicherheitsschlüssel mit dem Kommentar: Neuen Sicheitsschlüssel eingeben, aufklappen lassen. Das müsste doch gehen und wäre Idotensicher.
Oder habe ich da etwas falsch auf dem Schirm??
Oder habe ich da etwas falsch auf dem Schirm??
CCU3 mit RaspberryMatic
- Black
- Beiträge: 5483
- Registriert: 12.09.2015, 22:31
- System: Alternative CCU (auf Basis OCCU)
- Wohnort: Wegberg
- Hat sich bedankt: 424 Mal
- Danksagung erhalten: 1074 Mal
- Kontaktdaten:
Re: CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
Prüfen ob key vergeben ist...
Wenn ja
Eigentlich zuerst Backup des kompromitierten Systemen. Grund. Geht bei Vergabe des neuen key was schief so hat man dieses um noch auf die Geräte zu kommen. "Hackingbackup'
Neuen key vergeben
Erst wenn keine Konfiguration Meldungen mehr anstehen
Dann nochmal Backup 'ownkeybackup'
Wenn ja
Eigentlich zuerst Backup des kompromitierten Systemen. Grund. Geht bei Vergabe des neuen key was schief so hat man dieses um noch auf die Geräte zu kommen. "Hackingbackup'
Neuen key vergeben
Erst wenn keine Konfiguration Meldungen mehr anstehen
Dann nochmal Backup 'ownkeybackup'
Wenn das Fernsehprogramm immer mehr durch nervende Werbung unterbrochen wird und der Radiomoderator nur noch Müll erzählt, ist es besser, die Zeit für sinnvolle Dinge zu nutzen -
mal aufs Klo zu gehen, ein Bier zu holen oder einfach mal den roten AUS-Knopf zu drücken. Klick - und weg
Script Time Scheduler V1.3
AstroSteuerung über Zeitmodul flexibel mit Offset / spätestens, frühestens
SDV 5.03.01 Das umfassende Entwicklungs und Diagnosetool für Homematik
Selektive Backups - Nützliche Dinge, die die WebUI nicht kann
Intel NUC6 Celeron 16GB mit 512GB SSD unter Proxxmox mit insgesamt 5 VM: 2 x bloatwarebefreiter Raspberrymatik, 2 x IOBroker als Middleware und einer MariaDB zur Archivierung. Verbrauch: 6W
technical contribution against annoying advertising
mal aufs Klo zu gehen, ein Bier zu holen oder einfach mal den roten AUS-Knopf zu drücken. Klick - und weg
Script Time Scheduler V1.3
AstroSteuerung über Zeitmodul flexibel mit Offset / spätestens, frühestens
SDV 5.03.01 Das umfassende Entwicklungs und Diagnosetool für Homematik
Selektive Backups - Nützliche Dinge, die die WebUI nicht kann
Intel NUC6 Celeron 16GB mit 512GB SSD unter Proxxmox mit insgesamt 5 VM: 2 x bloatwarebefreiter Raspberrymatik, 2 x IOBroker als Middleware und einer MariaDB zur Archivierung. Verbrauch: 6W
technical contribution against annoying advertising
- robbi77
- Beiträge: 13864
- Registriert: 19.01.2011, 19:15
- System: CCU
- Wohnort: Landau
- Hat sich bedankt: 182 Mal
- Danksagung erhalten: 739 Mal
Re: CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
Wer ließt denn den Text, das man keine Ports öffnen soll?Oliver900 hat geschrieben: ↑18.01.2023, 11:10Man könnte dann doch auch, wenn das Passwort durch Recovery zurückgesetzt wurde, das Fenster Sichicherheitsschlüssel mit dem Kommentar: Neuen Sicheitsschlüssel eingeben, aufklappen lassen. Das müsste doch gehen und wäre Idotensicher.
Oder habe ich da etwas falsch auf dem Schirm??
Dann wäre das ganze hier auch nicht nötig.
Mal drüber nach denken …
Soviel zum „Idiotensicher“.
-
- Beiträge: 138
- Registriert: 31.08.2022, 16:04
- System: CCU
- Hat sich bedankt: 41 Mal
- Danksagung erhalten: 14 Mal
Re: CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
Viel effektiver fände ich als Vorsorge ein „nervendes Pop-up“, das immer vorhanden ist, wenn ein Port offen ist.
Gruß
Thomas
--------------------------------------------------------------------------------------------------
CCU3, 116 Geräte, ioBroker, CCU-Historian, CloudMatic, AIO Neo Creator (Tablet an der Wand)
Anfänger...
Thomas
--------------------------------------------------------------------------------------------------
CCU3, 116 Geräte, ioBroker, CCU-Historian, CloudMatic, AIO Neo Creator (Tablet an der Wand)
Anfänger...
- shartelt
- Beiträge: 7421
- Registriert: 14.01.2015, 14:59
- System: Alternative CCU (auf Basis OCCU)
- Hat sich bedankt: 524 Mal
- Danksagung erhalten: 753 Mal
Re: CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
gibts doch in Raspberrymatic mit Alarmmeldung seit einigen Versionen...
-
- Beiträge: 12116
- Registriert: 20.11.2016, 20:01
- Hat sich bedankt: 849 Mal
- Danksagung erhalten: 2150 Mal
- Kontaktdaten:
Re: CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
Da kann man die RaspberryMatic härten wie man will.
Hier werden weiterhin immer wieder Original-CCU3-FW Nutzer (wie in diesem Thread, zumindest habe ich nichts Gegenteiliges gelesen) aufschlagen.
Führt Black evtl. eine Statistik, wie vielen RaspberryMatic vs. orig CCU FW Nutzern er bereits geholfen hat?
Hier werden weiterhin immer wieder Original-CCU3-FW Nutzer (wie in diesem Thread, zumindest habe ich nichts Gegenteiliges gelesen) aufschlagen.
Führt Black evtl. eine Statistik, wie vielen RaspberryMatic vs. orig CCU FW Nutzern er bereits geholfen hat?
- jmaus
- Beiträge: 9865
- Registriert: 17.02.2015, 14:45
- System: Alternative CCU (auf Basis OCCU)
- Wohnort: Dresden
- Hat sich bedankt: 464 Mal
- Danksagung erhalten: 1883 Mal
- Kontaktdaten:
Re: CCU3 gehackt (Happy Hacking Button) - trotz Warnungen...
Genau deshalb hab ich mich heute mal hingesetzt und ein prinzipielles Ticket zu weiteren möglichen Sicherheitsverbesserungen erstellt. Siehe:
https://github.com/jens-maus/RaspberryMatic/issues/2175
Wer da also gerne noch mehr Ideen hat bzw. kommentieren will, dann bitte gerne. Sind einfach nur mal so ein paar Sachen die mir durch den Kopf gehen.
Das hab ich mich ehrlich gesagt auch schon gefragt. Gibt es diese Problematik überhaupt mit neueren RaspberryMatic Versionen? Da wurden ja schon einige Sicherheitsverbesserungen integriert die bei der originalen CCU3 Firmware nicht dabei sind und vielleicht sprechen wir hier bzgl. Hacking ja über ein reines CCU3 Firmwareproblem...
RaspberryMatic 3.75.7.20240420 @ ProxmoxVE – ~200 Hm-RF/HmIP-RF/HmIPW Geräte + ioBroker + HomeAssistant – GitHub / Sponsors / PayPal /