Ich finde es immer wieder faszinierend, wie schnell hier Angst gemacht wird, vor bösen Hackern, die quasi alles mit der eigenen Hausautomatisierung machen können, wenn sie denn nur wollen.
Da ist dann Zigbee plötzlich absolut unsicher, weil die Hue Bridge vor Jahren mal eine Lücke hatte, mit der es wohl möglich gewesen wäre (vor Ort) auf die Bridge zuzugreifen. Daraus wird dann postuliert, darüber hätte man im Netzwerk Ransomware verbreiten können.
Bei der Nachfrage, wie denn dieser Schritt wohl hätte gelingen sollen, kommt, wie so oft, irgendwie nicht wirklich etwas Brauchbares.
In einem anderen Thema wird jetzt wieder behauptet, dass ja eine Portfreigabe gewissermaßen der Highway to Hell sei und dies so unglaublich unverantwortlich wäre, weil … Keine Ahnung. Ist halt so!
Wenn ich Nachfrage wird mit Buzzwords um sich geworfen, Meinung verbreitet und viel geredet, ohne wirklich etwas (korrektes) zu sagen.
Daher habe ich mal, unwissend wie ich bin, das unfassbare getan und einen HA Server ohne jegliche Verschlüsselung ins Netz gestellt.
http://81.169.190.100:8123/ - falls jemand die vielen unbekannten Sicherheitsheitslücken selbst testen möchte.
Wenn ich die Kritiker hier richtig verstehe, wird ja Sodum & Gomohra über diesen Server hineinbrechen.
Und, wie mir erklärt wurde, muss man bei jedem Dienst, den man ins Internet stellt, unbedingt die Logs überwachen.
2024-11-23 08:20:17.286 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain mobile_app.notify
2024-11-23 08:20:17.288 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain sun.sensor
2024-11-23 08:20:17.288 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain cloud.tts
2024-11-23 08:20:17.288 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain homeassistant.scene
2024-11-23 08:20:17.288 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain energy.sensor
2024-11-23 08:31:09.662 ERROR (MainThread) [aiohttp.server] Error handling request
Traceback (most recent call last):
File "/usr/local/lib/python3.12/site-packages/aiohttp/web_protocol.py", line 377, in data_received
messages, upgraded, tail = self._request_parser.feed_data(data)
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
File "aiohttp/_http_parser.pyx", line 563, in aiohttp._http_parser.HttpParser.feed_data
aiohttp.http_exceptions.BadStatusLine: 400, message:
Invalid method encountered:
b'\x16\x03\x01'
^
ist die aktuelle Log. Man darf gespannt sein, wie diese sich in den nächsten Wochen mit den zahlreichen, ausgenutzten, 0-day-Schwachstellen füllen wird.
Bis dahin … Kann mir vielleicht jemand fachlich korrekt erklären, was die große Gefahr ist, dass dieser Server extern erreichbar ist? Und dann evtl. sogar gleich am Beispiel dieses Servers demonstrieren?!
Zum Aufbau … Die Maschine ist ein 1-Euro-Server bei ionos, den ich eh herumstehen habe. (Nebenbei läuft nur ein ungenutztes netbird…) Home Assistant läuft als docker compose, ohne jegliche Absicherung in irgendeiner Form. Genau genommen habe ich bislang nicht einmal Port 22 dicht gemacht.
Ist dann auch ein schöner Test, um zu sehen, wie lange er braucht, um bei Shodan.io gelistet zu werden, wenn er es überhaupt schafft.
Meine These ist, dass der HA-Instanz absolut nichts passieren wird. Ich glaube sogar, dass die fehlgeschlagenen Log-ins sich in Grenzen halten werden. Und Nein, Stand jetzt gibt es auch kein Fail2Ban oder Ähnliches.
Und sollte ich Unrecht haben, gibt es absolut keine relevanten Informationen auf der Maschine, was aber ein Angreifer unmöglich vorher wissen kann.
Ich bin sehr gespannt, was mir hier erklärt oder sogar am Beispiel aufgezeigt wird / werden kann, was und wieso es unsicher ist.
Ich würde sogar das Abfangen des Passwortes gelten lassen, wenn es jemand hinbekommt. Die Verbindung ist schließlich nicht verschlüsselt. Hint: 128 Zeichen, aus einem Passwortmanager + 2FA. Also auch mit dem abgegriffenen Passwort alleine wäre kein Log-in möglich. Aber das erfährt man ja erst, wenn man es hat.