Mythen um die Sicherheit von Portfreigaben & Co

Allgemein
1

Ich finde es immer wieder faszinierend, wie schnell hier Angst gemacht wird, vor bösen Hackern, die quasi alles mit der eigenen Hausautomatisierung machen können, wenn sie denn nur wollen.

Da ist dann Zigbee plötzlich absolut unsicher, weil die Hue Bridge vor Jahren mal eine Lücke hatte, mit der es wohl möglich gewesen wäre (vor Ort) auf die Bridge zuzugreifen. Daraus wird dann postuliert, darüber hätte man im Netzwerk Ransomware verbreiten können.
Bei der Nachfrage, wie denn dieser Schritt wohl hätte gelingen sollen, kommt, wie so oft, irgendwie nicht wirklich etwas Brauchbares.

In einem anderen Thema wird jetzt wieder behauptet, dass ja eine Portfreigabe gewissermaßen der Highway to Hell sei und dies so unglaublich unverantwortlich wäre, weil … Keine Ahnung. Ist halt so!

Wenn ich Nachfrage wird mit Buzzwords um sich geworfen, Meinung verbreitet und viel geredet, ohne wirklich etwas (korrektes) zu sagen.

Daher habe ich mal, unwissend wie ich bin, das unfassbare getan und einen HA Server ohne jegliche Verschlüsselung ins Netz gestellt.

http://81.169.190.100:8123/ - falls jemand die vielen unbekannten Sicherheitsheitslücken selbst testen möchte. :wink:

Wenn ich die Kritiker hier richtig verstehe, wird ja Sodum & Gomohra über diesen Server hineinbrechen.
Und, wie mir erklärt wurde, muss man bei jedem Dienst, den man ins Internet stellt, unbedingt die Logs überwachen.

2024-11-23 08:20:17.286 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain mobile_app.notify
2024-11-23 08:20:17.288 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain sun.sensor
2024-11-23 08:20:17.288 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain cloud.tts
2024-11-23 08:20:17.288 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain homeassistant.scene
2024-11-23 08:20:17.288 WARNING (MainThread) [homeassistant.helpers.translation] Failed to load integration for translation: Invalid domain energy.sensor
2024-11-23 08:31:09.662 ERROR (MainThread) [aiohttp.server] Error handling request
Traceback (most recent call last):
  File "/usr/local/lib/python3.12/site-packages/aiohttp/web_protocol.py", line 377, in data_received
    messages, upgraded, tail = self._request_parser.feed_data(data)
                               ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
  File "aiohttp/_http_parser.pyx", line 563, in aiohttp._http_parser.HttpParser.feed_data
aiohttp.http_exceptions.BadStatusLine: 400, message:
  Invalid method encountered:

    b'\x16\x03\x01'
      ^

ist die aktuelle Log. Man darf gespannt sein, wie diese sich in den nächsten Wochen mit den zahlreichen, ausgenutzten, 0-day-Schwachstellen füllen wird. :wink:

Bis dahin … Kann mir vielleicht jemand fachlich korrekt erklären, was die große Gefahr ist, dass dieser Server extern erreichbar ist? Und dann evtl. sogar gleich am Beispiel dieses Servers demonstrieren?!

Zum Aufbau … Die Maschine ist ein 1-Euro-Server bei ionos, den ich eh herumstehen habe. (Nebenbei läuft nur ein ungenutztes netbird…) Home Assistant läuft als docker compose, ohne jegliche Absicherung in irgendeiner Form. Genau genommen habe ich bislang nicht einmal Port 22 dicht gemacht. :rofl:

Ist dann auch ein schöner Test, um zu sehen, wie lange er braucht, um bei Shodan.io gelistet zu werden, wenn er es überhaupt schafft.

Meine These ist, dass der HA-Instanz absolut nichts passieren wird. Ich glaube sogar, dass die fehlgeschlagenen Log-ins sich in Grenzen halten werden. Und Nein, Stand jetzt gibt es auch kein Fail2Ban oder Ähnliches. :wink:

Und sollte ich Unrecht haben, gibt es absolut keine relevanten Informationen auf der Maschine, was aber ein Angreifer unmöglich vorher wissen kann.

Ich bin sehr gespannt, was mir hier erklärt oder sogar am Beispiel aufgezeigt wird / werden kann, was und wieso es unsicher ist.

Ich würde sogar das Abfangen des Passwortes gelten lassen, wenn es jemand hinbekommt. Die Verbindung ist schließlich nicht verschlüsselt. Hint: 128 Zeichen, aus einem Passwortmanager + 2FA. Also auch mit dem abgegriffenen Passwort alleine wäre kein Log-in möglich. Aber das erfährt man ja erst, wenn man es hat. :crazy_face:

2 „Gefällt mir“
2

Werfe mal einen Blick auf diese Karte
Das sind reale Angriffsversuche auf IT-System in Echtzeit und zwar nur von einem Provider.

Ob du deinen Server frei ins Internet stellst ist am Ende deine Sache, ich arbeite im IT-Bereich und habe täglich mit IT-Sicherheit zu tun udn wir treiben bei uns in der Firma da einen riesen Aufwand, und das machen wir nicht aus Langeweile, sondern wiel es notwendig ist.
Eines ist sicher - es gibt keine sicheren IT-Systeme, auch mit 2FA davor. Jedes System, auch HA, hat Sicherheitslücken und jemand findet die und nutzt die aus - selbst wenn nur just-for-fun.

4 „Gefällt mir“
3

Um Passwörter abzufangen muss sie auch Aktiv Benutzt werden!

Laut einigen Leuten macht man dies aus Spaß :wink: .

4

Ich behaupte ja auch nicht, dass es im Internet keine Angriffe geben würde. Aber das ist ziemliches Äpfel & Birnen, oder nicht?

Meine These ist, dass es keine bekannte Sicherheitslücke im Log-in von Home Assistant gibt und es daher grundsätzlich ungefährlich ist, wenn dieser extern erreichbar ist.

Ob es gleichzeitig erfolglose Angriffe auf die Infrastruktur von Firmen gibt, welche nicht zwangsweise Log-In Versuche sein müssen, sondern auch DDoS oder anderes darstellen können, ist für meinen HA-Server in gleich welcher Weise relevant?

Garantiert gibt es auch diverse Log-In-Versuche auf Port 22 des Servers. Don’t know, don’t care. :wink: Wieso auch? Also abgesehen davon, dass dieser bei einem regulären HA-Server ja nicht einmal erreichbar wäre.

Ich kann mich gerne in der Companion App auf meinem Diensthandy einloggen und von mir aus auch mehrfach täglich über den Browser am Rechner.

Ich habe gerade schon Spaß. Aber mir kann gerne der Spaß verdorben werden, in dem man mir aufzeigt, wie Unrecht ich habe. Ein praktisches Beispiel für einen proof of concept haben wir ja.

5

Mehr als diesen Satz braucht es eigentlich nicht mehr! Bloß weil es keine bekannte Sicherheitslücke im HA gibt, ist es nach deiner so fachlich fundierten Meinung also grundsätzlich ungefährlich ihn extern erreichbar zu machen? Alle bekannten Sicherheitslücken waren mal unbekannt, oder??

6

Stimmt. Aber bei einem der größten Open-Source-Projekte der Welt bin ich optimistisch. Also auch, nachdem bei einem bezahlten Audit keine Lücken zum umgehen des Log-Ins gefunden wurden.

Und wenn Du behauptet, dass es unsicher ist, wäre das gesamte Geschäftsmodell von NabuCasa ja mindestens fragwürdig, oder nicht? Und müsste man dann nicht auch vor Dingen wie dem Cloudflare Addon viel deutlicher warnen?

Und wie hoch ist die Wahrscheinlichkeit, dass es eine unbekannte, kritische Lücke gibt, jemand diese entdeckt, nicht veröffentlicht aber ausnutzt und damit meine Instanz übernimmt.
Was genau wäre der Gewinn daran, gegenüber dem Gewinn an Reputation eines Responsible Disclosure, evtl. inkl. dem Angebot des passenden Fixes?

Jemand der es schafft so eine Lücke zu finden, wird sicher vermutlich weitergehend mit Home Assistant beschäftigen. Und ich glaube ein Responsible Disclosure wäre ne ziemlich coole Bewerbung auf einen Nabu Casa Job, oder? :wink:

7

Sorry, da sag ich nichts mehr zu.

6 „Gefällt mir“
8

Löschst Du Deine Aussage, dass Du nichts mehr sagst, dann auch, oder ist es doch nur Rhetorik bei fehlenden Argumenten? :wink:

9

Ich denke das der Heimnetz Bereich an sich für die Kollegen nicht so spannend ist, eher Geräte darin, die die Akteure dann z.B. für ein BotNet verwenden, um “richtige” Ziele anzugreifen.

Wenn ich das bei uns in der Firma betrachte, läuft das ca. so ab:
Die erreichbaren Geräte werden gescannt, von bekannten sowie unbekannten Scannern
Ich vermute danach werden offene Ports näher geprüft und Devices dahinter auf mögliche Sicherheitslücken gecheckt.

Und dann geht halt der Krawall los :sunglasses:

Bei ASA z.B. im Moment hauptsächlich Passwort Spray Attacken

1 „Gefällt mir“
10

Stimmt. Aber bei einem der größten Open-Source-Projekte der Welt bin ich optimistisch. Also auch, nachdem bei einem bezahlten Audit keine Lücken zum umgehen des Log-Ins gefunden wurden.

Es wurden natürlich auch alle bislang unbekannten Angriffsmöglichkeiten getestet!

Und wie hoch ist die Wahrscheinlichkeit, dass es eine unbekannte, kritische Lücke gibt, jemand diese entdeckt, nicht veröffentlicht aber ausnutzt und damit meine Instanz übernimmt.

Nach deiner Logik ist die Wahrscheinlichkeit natürlich nahe Null!
Gibt ja zum Glück weltweit auch fast keine Cyberangriffe und wenn nur auf wenige große Unternehmen.

11

Die Kollegen testen alles mögliche und unmögliche, schreiben sich sogar extra angepasste Programme.

Und genau dafür werden die bezahlt - um unbekannte Schwachstellen zu suchen und zu finden. Bekanntes zu suchen wäre auch unpraktisch :wink:

12

Da wäre ja aber nicht HA das Ziel sondern eher diverse China Clouds und ähnlich.
Ich glaube billige IoT Geräte, die dann auch noch Internetzugang haben, aber nie ein Update sehen werden, sind deutlich attraktivert. :wink:

Ist eine offene Frage. Wenn Du sie stichhaltig beantworten und damit meine These widerlegen kannst, wäre ich sowohl überrascht als auch dankbar.
Ich möchte meine Einstellung ja hinterfragen, um zu verstehen, dass bzw. wenn ich etwas falsch sehe.

Hast Du gerade Zahlen zur Hand wie häufig Privatpersonen gezielt angegriffen werden. Im Idealfall aufgeschlüsselt nach den Motiven?

Stand jetzt sind wir übrigens bei zwei Log-in Versuchen. Einmal Chrome auf Android 10, aus dem Netz von Kabel Deutschland, also Vodafone. Meines Wissens nach gibt es seit 2022 keine Updates mehr für Android 10… Da könnte es Sicherheitslücken geben. :wink:

Einmal von Versanet, über ein Linux mit einem Firefox. Immerhin da die aktuelle Version…

13

Oder halt Router mit alter Firmware usw. HA in dem Fall dann eher das OS, ins Internet kommt der ja.

1 „Gefällt mir“
14

Wenn man sieht, was die Menschen alles an Geräten installieren, uralt und billig Routern usw. nutzen, kann einem schon Angst und Bange werden.

Gefühlt ist es nicht einmal so lange her, dass ich noch irgendwo XP gesehen habe. Über die Aktualität von Smartphones mal ganz zu schweigen. :wink:
Aber darüber spricht man ja nicht. :stuck_out_tongue:

1 „Gefällt mir“
15

Und da liegt die viel größere Gefahr für ein Heimnetz. Alte Geräte oder auch moderne aber falsch konfigurierte.

Aber eine aktuelle HA Instanz eher nicht, da bin ich ganz deiner Meinung.

Und bei Zigbee sehe ich das so: Die Reichweite ist (wie auch bei Bluetooth) nicht so berauschend. Und wenn der Kollege dann im Zigbee Netz ist, was dann weiter? Da sind keine WLAN Schlüssel oder andere Zugangsdaten.

1 „Gefällt mir“
16

@tarag
Meines Erachtens versuchst Du mit deinem Thread nur zu provozieren, deshalb spare ich mir irgendwelche Ratschläge …

… der Artikel ist zwar schon 5 Jahre alt, aber dennoch lesenswert:

2 „Gefällt mir“
17

Im Threat geht es um eine aktuelle Version von HA. Mit 2FA.

Wenn jemand natürlich sein ungepatchtes System, Drucker… Oder uralt Systeme frei ins Internet stellt, dann ist das schon dumm.[quote=“mkonline, post:17, topic:38351, full:true”]
Um Threat geht es um eine aktuelle Version von HA. Mit 2FA.

Wenn jemand natürlich sein ungepatchtes System, Drucker… Oder uralt Systeme frei ins Internet stellt, dann ist das schon dumm.
[/quote]

1 „Gefällt mir“
18

Wieso ersparst Du Dir dann nicht auch den Kommentar, dass Du es Dir ersparst?

Das im Artikel erwähnte Video, habe ich oben bereits verlinkt. :wink:
Wir sind uns also einig, dass es eine dumme Idee ist, wenn alle möglichen Geräte wild ins Internet funken.

Dann sollte unter jedem Tuya Gerät und allem was mit Cloud arbeitet immer davor gewarnt werden, dass das ein Sicherheitsrisiko darstellt, oder?
Insbesondere, da man bei diesen Geräten eben nicht prüfen kann, was wirklich passiert. Geräte die mit einer Cloud arbeiten, dürften dann kategorisch rausfallen.

Aber das Thema hier ist ja eine Open-Source-Software, die zu den aktivsten der Welt gehört.

Obstreicher Tag heute. :smiling_face:

2 „Gefällt mir“
19

Es ist ebenfalls dumm anzunehmen, dass ein System, welches gegen alle heute bekannten Angriffsmöglichkeiten getestet wurde, grundsätzlich sicher ist! Besonders, wenn man es mit unverschlüsselten Datenverkehr ins Netz stellt.

20

Welche Sicherheit gibt dann die Verschlüsselung gegenüber Sicherheitslücken?

Und welche reale Gefahr besteht nun? Also ganz konkret und sachlich!

Oder anders gefragt. Hast Du persönliche Informationen auf Deinem Smartphone? Hat das Gerät Internetzugang? Und ist das nicht potentiell unsicher?! Du kannst ja nicht wissen wer Deine privaten Informationen abgreift!

1 „Gefällt mir“