FS20 Sicherheitsbedenken

[Take-Off]

Hallo zusammen,

Ich nutze fhem auf einem Raspberry Pi mit angeschlossenem CUL zur Steuerung meiner FS20 Aktoren.

Angenommen mein Nachbar kauft sich die selbe Hardware und aktiviert die "autocreate" Funktion.
Nun bekommt er ja theoretisch jeden meiner Schaltvorgänge (bzw. jeden neuen Sensor/Aktor der seinem System nicht bekannt ist) durch die autocreate Funktion aufgelistet und kann so Hauscode etc. auslesen.

Er könnte nun also Problemlos über sein System meine Aktoren bedienen.
Eine Änderung des Hauscodes ist nur insofern eine Abhilfe bis er diesen wieder durch autocreate aufgelistet bekommt.

Denke ich hier zu kompliziert oder ist es tatsächlich so einfach umliegende Systeme "abzuhören" und mit einfachsten Mitteln zu beeinflussen?
Wenn ja, gibt es Abhilfe?

Freundliche Grüße

[rudolfkoenig]

FS20 ist wirklich so einfach abzuhoeren bzw. zu bedienen, das ist aber nicht neu.

Falls Sicherheit relevant ist, dann sollte man andere Protokolle wie z.Bsp. Homematic von ELV, DECT von AVM oder Kabelbasierte evaluieren, diese haben meist andere Nachteile. Z.Bsp. bietet Homematic keine Abhoersicherheit und mit aktivierten Authentifizierung ist die Verzoegerung bis zum Reaktion merkbar.

[Puschel74]

Hallo,

diverse "Sicherheitsbedenken" bei FS20 sollten sich schön langsam rumgesprochen haben.
Es gab hier auch mal einen Beitrag dazu aber so sind sie die Fragesteller - aussagekräftiger Titel bleibt meist auf der Strecke das man die Beiträge nicht oder nur schwer wieder findet.

Angenommen mein Nachbar kauft sich die selbe Hardware und aktiviert die "autocreate" Funktion.

Braucht er nicht - ist aber bequemer.
Das hier http://www.conrad.de/ce/de/product/620384/FS20-Funk-Diagnose-Tool-DT-Aussenbereich genügt für den Anfang.

Er könnte nun also Problemlos über sein System meine Aktoren bedienen.

Ja - und er braucht dafür kein "System".
Eine FS20-Fernbedienung mit dem richtigen Haus- und Gerätecode gefüttert reicht aus.

Eine Änderung des Hauscodes ist nur insofern eine Abhilfe bis er diesen wieder durch autocreate aufgelistet bekommt.

Richtig.

Denke ich hier zu kompliziert oder ist es tatsächlich so einfach umliegende Systeme "abzuhören" und mit einfachsten Mitteln zu beeinflussen?

Abhören und beeinflussen sind 2 Paar Schuhe.
Abhören lässt sich naturgemäß alles was durch den Äther funkt - logischerweise.
Beeinflussen sieht dann schon anders aus aber - ja, es ist (bei FS20 - abhören und schalten) so einfach.

Wenn ja, gibt es Abhilfe?

Klar, Abhilfe gibt es immer.

Wenn es Funk sein muss/soll dann ggf. auf eine Verschlüsselung der Kommunikation achten.
Geräte sollen sich explizit bei EINER Zentrale anmelden bevor sie sich schalten lassen.
Und was du eben noch so für Funk bevorzugen würdest.
(Achtung! Auch Homematic ist nicht das Gelbe vom Ei aber etwas besser).

Oder aber auf kabelgebundene Lösungen umbauen.
Da muss der "Angreifer" dann schon physisch auf das Kabel zugreifen um manipulieren zu können.

Aber mal ehrlich.
Wenn ich mir die beiliegenden Anleitungen zu den FS20-Geräten so durchlese muss mir doch zwangsläufig mal der Gedanke kommen das mein Nachbar genau das selbe machen kann wie ich.
Woher soll meine FS20ST wissen das der Nachbar schaltet und nicht ich 

Grüße

Edith: Kurz und knackig (und mal wieder schneller) - Rudi 

[Doggiebert]

Und auch hier wieder die bei dem Thema IT-Security oft vernachlässigte Frage - die ja die eigentliche Kernfrage darstellt:
Wer ist der Angreifer, was will er bewirken, welchen Schaden kann er anrichten.

Also, solange Du nicht gerade Deine Haustür mit FS20-Komponenten aufschließen kannst, gibt's zwei Szenarien:
a) einer Deiner Nachbarn hat zufälligerweise den gleichen Hauscode gewählt: na gut, einmaliger Hauscode-Wechsel
b) Du hast einen Scherzkeks in der Nachbarschaft: ärgerlich, dann kann er Dein Licht anschalten und Dein Wohnzimmer in eine Sauna verwandeln.

Solange zweiteres nicht zutrifft, braucht man sich keine großen Gedanken machen, andernfalls kann man mit anderen Funksystemen die Hürde schon höherlegen.

[Take-Off]

Ich danke euch für die ausführlichen Antworten. Dann werde ich die FS20 Geschichte wohl erstmal auf Beleuchtung beschränken.
Da hält sich das Chaos dann im Fall der Fälle zumindest in Grenzen 

[TeeVau]

Ich setzte seit Anbeginn auf FS20. Hab zuerst ganz klein angefangen, ohne FHEM und wollte zudem auf die Kosten achten (Was mittlerweile eigentlich nicht mehr so sehr das Thema ist).  Ich habe mich entschieden so lang FS20 zu benutzen, bis ich Probleme bekomme. Ich wohne in einer "normalen" Wohnsiedlung in einer 250t Einwohner Stadt. Hier in den Straßen gibt es eigentlich nur Mehrfamilienhäuser mit 3-4 Etagen und ca. 6 bis 10 Wohnparteien. Bislang hat bei mir noch niemand das Licht an und aus geschaltet oder sonst was vermurkst.

Ich habe die selbe Überlegung angestellt wie Doggiebert sie genannt hat. Bei mir wird über FS20 lediglich Licht an oder aus schalten. Das wäre vielleicht ärgerlich, wenn es jemand von außen macht, bedroht aber nicht meine Existenz oder meine Wertsachen. Von daher bin ich recht gelassen und habe seit 2,5 Jahren keine Probleme mit störenfrieden.

[nobody42]

Ja, hier gibt es viele Diskussionspunkte und Ansätze.

Jeder muss für seinen Sicherheitsbedarf unter Berücksichtigung aller Kosten versuchen für sich selbst das Optimum zu finden.

Ich bin daher bei Rolläden und allen Steuerungen auf EnOcean/ElTako mit den verschlüsselten Aktoren gegangen, weil es eines der wenigen Systeme ist,
bei denen es Antworten auf mögliche Angriffe gibt (Anti-Replay, Rolling Codes, verschlüsselte Kommandos etc).
Bei den passiven Komponenten, wie Temperatur/Luftfeuchte auf günstigere JeeLink/LaCrosse.
Natürlich kosten die Elemente dann mehr, wie welche ohne Sicherheitstechnik.
Aber Dank FHEM sind ja auch gemischte Setups möglich.

Wie gesagt, dass kann nur der Einzelne für sich selbst beantworten - Lösungen gibt es.

Gruss