ESP-basierte projekte und Sicherheit

[Horti]

Guten Morgen,

folgendes Thema liegt mir schon lange am Herzen und ich wundere mich, dass sich noch niemand damit auseinander gesetzt hat (oder ich war nicht in der Lage es zu finden):

Es gibt eine Menge Software- und Hardware-Projekte, die ESP(8266|32) als Basis haben. Die Einrichtung der Software/Geräte läuft dabei meistens nach dem folgenden Muster ab: es wird ein eigenes WLAN mit eigenem AP aufgespannt, man meldet sich daran an, wählt sein Heim-WLAN aus der Liste aus, gibt sein WLAN-Passwort ein und fortan kann sich das Gerät im heimischen WLAN anmelden. Womit ich aber gedanklich ein Problem habe: die WLAN Kommunikation ist ja bei dieser Einrichtung völlig ungeschützt, denn weder WLAN an sich ist verschlüsselt, noch wird https benutzt.

Damit kann doch das WLAN-Passwort des heimischen WLANs einfach mitgeschitten werden? Es mag Projekte geben, die https nutzen, aber mein Eindruck ist, dass die breite Masse es nicht tut. Bei vielen Projekten muss man man schon das WLAN-Passwort im Quellcode eingeben, selber kompilieren und flashen, wenn man das WLAN-Passwort nicht unsicher durch die Gegend funken will.

Übersehe ich irgendwas, ist alles "halb so wild"?

Wenn ich mit meinen Bedenken Recht habe, wie geht man dann damit um, außer Software selbst kompilieren/flashen oder gar nicht nutzen?

Ist WPS eine sichere/sinvolle Alternative?

[KölnSolar]

Diskutiert wurde das schon öfter.

Ich bin prinzipiell kein Freund von WLAN-Aktoren/-Sensoren. Für mich gehört Smart-Home getrennt vom Internet, was sich leider nicht immer realisieren lässt.

Wenn es denn WLAN sein muss, dann wenigstens in ein 2. Netz, welches möglichst gar keinen Zugang zum Internet hat.

[MadMax-FHEM]

Sehe ich ähnlich...

Und wenn ich ESP nutze (mache ich weniger als ich zunächst mal dachte aber eigentl. nicht wegen Sicherheit   ) dann compiliere ich selbst, WLAN Schlüssel dann direkt dort rein und Internetzugang gesperrt...

Gruß, Joachim

[Horti]

Also ist es schon grundsätzlich ein Problem, von der persönlichen Abneigung gegen WLAN in Sachen Smart Home abgesehen (die ich im Übrigen auch teile )?

Dann wundert es mich, dass es so wenig getan wird, um das Problem zu lösen/abzuschwächen. Man könnte ja https nutzen, produkt-/versions-/HW-spezifische Initial-WLAN-Passworter nutzen, Möglichkeit zum Vorkonfektionieren der Images mit eigenem WLAN-Passwort vorsehen etc pp.

[Wernieman]

Bitte beachte die Verhältnisse:

WLAN mit WAP2 (und das macht der esp) ist nun auch nicht gaaaans unsicher. Das Passwort fürs neue WLAN wir normalerweise einmalig eingegeben werden. Ein Angreifer muß also genau zu der Zeit mit lauschen, bzw. vorher wissen, das es interessant wird.

Da sehe ich die ganzen anderen "WLAN-Dinger" viel problematischer: WLAN-Kameras, Roboterstaubsauger ... wie häufig haben Hacker gezeigt, wie einfaxch man dort an die Passwörter kommen kann
... und das vorallem im laufenden Betrieb aus der Ferne. geschweige denn die diversen APS (und Handys), welche solche Infos in die Cloud Pusten.

Allerdings sehe ich den Vorteil eines 2. WLAN auch und habe es deshalb genau so bei mir umgesetzt.

Problematisch sehe ich eher Sicherheitsfunktionen (wie für eine Alarmanlage) und Funk. Dazu ist mir Funk an sich (also nicht nur WLAN) einfach zu unsicher und einfach zu stöhren ... für so etwas gehört Kabel ....

P.S.
esp und https ist einfach wegen der Leistung der Geräte nicht Möglich ....

[MadMax-FHEM]

Naja, mal die Kirche im Dorf lassen...

Der Angreifer muss ja parat stehen, wenn du einen neuen ESP ins Netz nimmst, dann dabei Mim spielen, WLAN Pw abgreifen usw.

Der Moment sollte ja eher kurz sein...

Danach ist das Ding im WLAN und somit so sicher wie eben dein WLAN, da ist dann http/https egal.
Es muss ja erst mal jemand in dein WLAN...

Und dann gleich oder vorher (wenn MAC bekannt bzw. gibt es oft auch die Einstellung beim Router neue Geräte erst mal zu sperren) den Internetzugang abdrehen...

EDIT: zu lahm getippt...

Gruß, Joachim

[Horti]

Bitte beachte die Verhältnisse:

WLAN mit WAP2 (und das macht der esp) ist nun auch nicht gaaaans unsicher. Das Passwort fürs neue WLAN wir normalerweise einmalig eingegeben werden. Ein Angreifer muß also genau zu der Zeit mit lauschen, bzw. vorher wissen, das es interessant wird.

Das ist zwar tröstlich, wenn der Angreifer immer mitlauscht und nur bei diesem Muster aktiv wird/mitschneidet, dann hat er ein leichtes Spiel. Und ja, ich weiß, wer in mein Netzwerk will, der kommt, entsprechende Ressourcen vorausgesetzt, immer rein. Aber dass hier so eine Tür bewusst offen gelassen wird? Vielleicht bin ich auch nur zu paranoid 

esp und https ist einfach wegen der Leistung der Geräte nicht Möglich ....

OK, dass ist natürlich eine handfeste Begründung, das war mir nicht klar

Der Angreifer muss ja parat stehen, wenn du einen neuen ESP ins Netz nimmst, dann dabei Mim spielen, WLAN Pw abgreifen usw.

"Mim" muss man doch dabei nicht spielen, man braucht nur fleißig mitzuschneiden und dann in Ruhe auswerten, oder?

Wie auch immer, danke für Eure Antworten, ich weiß nun, dass meine Bedenken nicht unbegründet waren und werde mir überlegen, wie ich mit diesem Thema umgehe!

[MadMax-FHEM]

Zum Mitschneiden musst du ja irgendwie dazwischen und Pakete mitlauschen...

Lauschen auf der Luft geht nat. ist aber halt auch aufwändiger...

Gruß, Joachim

[Wernieman]

24x7 lauschen um genau den Moment der Eingabe zu Wissen? Sorry aber da gibt es einfachere Möglichkeiten.

Grundsätzlich verstehe ich Deine bedenken und ich habe sie auch, aber nicht gerade in dem Bereich.

Mir sind ESP mit "bekannter" Software lieber, als irgendwelches Gedöns von irgendwelchen Firmen, wo man nicht weiß, was man sich "in die Bude" holt. Und da spreche ich nicht von "China-Kram", sondern auch Sprachsteuerungen 8Auch wenn sie im Endeffekt aus China kommt) ....

[pcbastler]

Ich hab mich bewusst für ein paar Tasmota-Geräte entschieden, aber:
- Mein WLAN hat einen MAC-Filter (openWRT auf TPLink)
- Das Konfig-WLAN des Tasmota-Geräts ist max. 5 min vorhanden

Der Preisvorteil (4x Teckin SP21 für 34€ gegen 1x Homematic) war einfach unschlagbar. Glücklicherweise reicht das heimische Class-C-Netz (192.168.x.y) für den Eigenbedarf noch aus. Ansonsten kommt ein neuer OpenWRT-tauglicher Router für das IOT-WLAN ins Haus

[Wernieman]

Mein WLAN hat einen MAC-Filter (openWRT auf TPLink)

Wobei Du damit nur die Script-Kiddies ärgerst .... MAC-Clonen ist "bei den bösen" heute Standard und deshalb wird im Firmenumfeld MAC-Filter nicht mehr als Sicherheitslösung anerkannt ...

[rob]

Das IoT ins eigene Netz zu sperren klingt vernünftig. Unterm Strich ist es Sicherheit vs. Benutzbarkeit. In der c't hatte ich einst vom Cisco Zone Concept gelesen, welches mit kaskadierten Fritzboxen beispielhaft realisiert wurde - interessant, aber für mich overkill (ich häts gerne am Beispiel OpenWRT mit einem Router gesehen ).

Funk an sich (also nicht nur WLAN) einfach zu unsicher und einfach zu stöhren ... für so etwas gehört Kabel ....

Wenn man es sehr ernst meint mit Alarm u. Co. wird m.E. ein eigener Stromkreis nebst eigenem FI Pflicht ohne Leitung nach außerhalb d. vier Wände. Sonst muss einer nur zur Steckdose auf der Terrasse gehen und mal kurz PE mit L verbinden - voila alles tot, weil viele Häuser nur einen FI haben (in Wohnhäusern ist der Raum mit den Verteilern oft nichtmal abgeschlossen ...).
Ferner wäre dieser Stromkreis via USV zu stützen usw. usw.
Man kann Sicherheit bis zum Exzess betreiben. Der nötige Kompromiss ist dann meist recht individuell, weil jeder andere Schwerpunkte setzt/setzen muss.

Die Esp's finde ich mit Firmata oder EspEasy recht sicher. Mehr Kopfschmerzen würden mir da Datenparasiten á la Alexa und GoogleSonstwas machen. Fhem=cloudfree und dann kommt da auch kein Datenkrake drangeklebt 

Viele Grüße
rob

[Wernieman]

Also eigenen Stromkreis wäre wirklich oversized. Aber für Alarmanlage (und nur darüber sprach ich) sollte USV (o.Ä.) immer Standard sein.

[rob]

@Wernieman
Bitte nicht missverstehen, ich würde auch Kabellösungen vorziehen, wo immer möglich. Ich wollte nur darstellen, dass es Situationen geben kann, wo das allein noch nicht reichen mag.
z.B. Fhem als "Alarmanlage", wo der Alarm über Telegram/Mail rausgeht. Da gibt es schnell recht viel zu puffern.

Tatsächlich habe ich den ganzen Fhem-Zoo im Kasten am eigenen Stromkreis/FI. Dazu gehört dann alles was mir Alarm-relevant vorkommt 
Absolute Sicherheit erreiche ich damit freilich nicht. Blitze oder Stromausfälle >1/2h usw. legen mir auch alles schachmatt 

Viele Grüße
rob

[Wernieman]

Also Prinzipiell würde ich FHEM auch nciht als Alarmanlage sehen, da gehört etwas mehr dazu ... Alarmsignalisierung ist dagegen etwas anderes ;o)