Automatisches Haus
Intelligente Haussteuerungen sind der Traum jedes hausbesitzenden Nerds. Internet of the Things selbst erleben und auszuprobieren, ist schlicht cool. Seien es die selbsterstellten Temperaturkurven oder schlicht die "Zentralverriegelung" für die Haustüren. Weniger macht man sich Gedanken um die Sicherheit solcher Projekte.
Allerdings sollte man das tun. Nicht, weil die bösen Hacker alles kaputtspielen. Sondern schlicht weil die meisten Hilfsmittel nicht für die Öffentlichkeit entwickelt wurden.
Hängt man solche Geräte ans Internet, sind die Überraschungen selbst dann groß, wenn man sich an die Anleitung hält.
Dieses Gerät, eine HomeMatic Haussteuerung, empfiehlt für die Benutzung im lokalen Netz schon den Gebrauch von Passworten zur Unterscheidung der Nutzerprofile.
Da die Verbindung über HTTP erfolgt, und die Anwendung die Passworte im Klartext überträgt, sollte man schon mal kein (ungesichertes) WLAN haben. Anderenfalls bläst man die Passworte selbst in die Öffentlichkeit.
Aber auch daran hat HomeMatic gedacht: Man kann Zertifikate einrichten. Die soll man vor allem benutzen, wenn man die Anlage über einen Router öffentlich zugänglich macht.
Unglücklicherweise ist dem Hersteller nicht im geringsten klar, was HTTPS überhaupt ausmacht. Er sieht darin nur die Möglichkeit, ein Schloss in der Browser-Adresszeile zuschnappen zu lassen.
- Das Schlüsselpaar für den HomeMatic-Server erzeugt man online auf den Webseiten des Herstellers und läd es als PEM herunter.
- Importiert man das Schlüsselpaar in den Server, so kann man auf HTTPS umstellen.
- Das von HomeMatic erzeugte Zertifikat ist auf die (lokale) IP-Adresse des Servers ausgestellt und selbstsigniert.
- Die Anleitung erklärt nun ausführlich, wie man in den verschiedenen Browsern die Sicherheitsmechanismen zu deaktivieren hat, um das selbstsignierte Zertifikat akzeptieren zu lassen.
Dieses Verfahren hat mit Sicherheit nichts zu tun.
- Der privaten Schlüssel für den lokal laufenden Haussteuerungsserver wird von einem fremden System erzeugt und ist damit dort bekannt.
- Es ist möglich, daß HomeMatic die Schlüssel vorhersagbar erzeugt. Damit wäre es möglich, die privaten Schlüssel nach Belieben nachzumachen. Es ist nicht notwendig, daß die Schlüssel in einem deterministischen Verfahren offenkundig vorhersagbar sind, es genügt, den Prozeß der Zufallszahlengenerierung von den übergebenen Parametern abhängig zu machen. Eine solche Manipulation ist ohne Kenntnis des Algorithmus nicht nachvollziehbar und seitens des Herstellers jederzeit abstreitbar.
- Die Nutzer werden angewiesen, die Schlüsselverwaltung aktiv zu unterlaufen. Mit dem Einlernen eines gerade angezeigten, nicht verifizierbaren Schlüssels ist eine Man-In-The-Middle Attacke jederzeit und ohne jeden Aufwand durch beliebige Dritte möglich. Der Nutzer wird darauf konditioniert, das Abhören durch Dritte als normalen Vorgang hinzunehmen.
Besonders fatal finde ich persönlich die Konditionierung der Nutzer auf Umgehen der Sicherheitsmechanismen.
Es würde aber auch nichts nützen (bis auf die Konditionierung), wenn HomeMatic die erzeugten Schlüssel von einer eigenen CA signieren lassen würde. Da das jeder auf der Webseite Zertifikate und Schlüssel bekommen kann, kann man jederzeit einen Nachschlüssel erhalten.
Es ist also zwingend notwendig, die Schlüsselerzeugung auf dem lokal stehenen Gerät vorzunehmen. Genau das ist aber nicht vorgesehen.
Ich selbst habe im Haus 5-adriges Kabel für die Elektroinstallation legen lassen. Das macht beim Neubau einen Aufpreis von ca. 500€ gegenüber dreiadrigem Kabel. Dafür hat jede Schalter, jede Steckdose und jede Lampe zwei freie Leitungen.
Soweit ich weiss ist das System in der Zentrale aber ein Linux, hast Du Dir das mal näher angeschaut? Damit müsste man das Zertifikat ja selbst erstellen und signieren können....
Ciao, Hanno, der sich für sein Haus überlegt was für eine Automatiserung er nehmen sollte...
2 Kommentare