Security und HomeAssistant

Nachdem ich mir das Video zum Firetablet angesehen habe konnte ich nicht anders, ich musste einfach diesen Kommentar schreiben:

Ich hatte schon recht früh unter einem Home Assistant Video von Simon einen Vorschlag gemacht: Wie wäre es denn mit Home Assistant und Security? Was tut man?

Und heute mit dem Video sehe ich mich nochmals bestätigt. Zitat: „Also so 16 Zeichen und komplex würde ich nicht empfehlen“. Ich bin mittlerweile lange genug mit Home Assistant zugange, um zu begreifen, dass man irgendwo immer zu Kompromissen gezwungen ist. Ich bin aber noch weit viel länger in der IT unterwegs und weiß wohin diese ganzen Kompromisse letztlich führen. Als jemand der „when shit hits the fan“ buchstäblich gesehen hat, ist mir diese Nonchalance in Punkto Security unbegreiflich, die in der Automatisiererszene herrscht.

Man mag einwenden: „Das ist mein Haus und mein Leben und ich habe das Recht, meine IT so zu bauen wie ich es für richtig halte.“ Nur habe ich schon oft genug neben Menschen gestanden und ihnen erklärt, dass weniger ihr Haus, aber ihr Leben nun auf einer verschlüsselten oder defekten Festplatte liegt und ich da auch nicht mehr drankomme. Man mag einwenden, dass das doch alles klar sei und man gerne das Risiko selbst trägt und das finde ich okay.

Genauso ist es aber auch mein Recht, auf die Gefahren hinzuweisen und Blödsinn, oder das was ich dafür halte, auch als solchen zu betiteln. Ich betone: Ich kritisiere hier Handlungen, nicht Menschen! Ich halte wichtig, dass sich jeder, der mal so eben sein 4-Zeichen-Passwort für einen Account einhackt, sich eine Sache absolut klar macht: Der HomeAssistant ist das mit Abstand wertvollste Angriffsziel im ganzen Haus und oft auch in der ganzen Straße! Da liegen nicht nur die Zigbeethermometer sondern oft auch die Rechte für Garagentore, Haustüren, Alarmanalage, Feuermelder, Netzwerkfestplatten, Router, WLAN und weiteres. Das Teil will man einfach nicht gehackt haben, weil ein 16 Zeichen langes und komplexes Kennwort eine unzumutbare Belastung darstellt.

Natürlich mag man einwenden, es handele sich hier nur um einen kleinen Benutzer und dass dieser doch gar keine Rechte habe. Aber wer unterschreibt mir, dass nicht doch jemand irgendwann einen Weg findet, hintenrum durch eine Sicherheitslücke die Rechte zu erweitern? Elevated Code Execution ist kein Witz, sondern gefährlich und zu behaupten dass es garantiert keine Lücke geben wird ist, entschuldigung dafür, naiv! Smart Home ist keine Modeerscheinung, sondern langfristig ausgelegte Infrastruktur und ein Angriffsziel, was theoretisch über Jahre anwesend ist, ist kein Smartphone, was nach einem Jahr durchgetauscht wird.

Wer trotzdem sein Home Assistant so betreiben möchte, wie er oder sie es für richtig hält und überzeugt sind, das aus folgenden 5 Gründen nichts passieren wird: In Ordnung, ist nicht mein Haus! Aber jedem der noch unsicher ist, ob nicht vielleicht doch ein wenig mehr Security gut wäre: HTTPS und komplexe, lange Kennwörter sind ein so grundlegender und selbstverständlicher Schutz, dass es aus meiner Sicht keinen rationalen Grund geben kann, darauf zu verzichten.

3 „Gefällt mir“

Ich nutze https per Subdomain und SSL Let Encrypt über den HA Proxy der OpnSense. Außerdem hat meine Familie nur INTERNEN Zugang zum Home Assistant, es gibt einen separaten Admin Account, wir nutzen komplexe und laaaaange Passwörter und zusätzlich die 2FA mittels Yubikey.

Mehr fällt mir jetzt nicht ein, außer Home Assistant nicht zu nutzen, um Sicherheitsrisiken zu vermeiden. :wink:

Sollte es noch Tipps in Puncto Sicherheit geben, bin ich immer offen für Vorschläge. :+1:

Ich komme selbst aus der IT. Zwar von der Softwareseite, aber nach mehr als 25 Jahren Erfahrung kann ich Dir nur Recht geben.
Es geht hier um die beiden größten Unsicherheitsfaktoren überhaupt.

  • Bequemlichkeit
  • Aussagen über eine Zukunft treffen, die nicht nur keiner kennt, sondern mit der Erfahrung, dass alle bisherigen Zukunftsaussagen in der Branche schlichtweg Unsinn waren

Insofern: Danke für Deinen Kommentar!

Der 3. Unsicherheitsfaktor wäre übrigens, seine Daten einfach jemandem zu überlassen, der sagt, dass alles sicher ist, ohne dass man es überprüfen kann… Auch schon oft genug gesehen :smiley:

Und mich nervt es schon, dass einige MQTT Geräte nicht mehr als 32 und teilweise nur 16 Zeichen Passwort akzeptieren. Und gestern noch darüber aufgeregt, dass das Nuki MQTT keine verschlüsselte Verbindung kann und sich auf die WLAN Verschlüsselung beruft, was netzwerkintern ja aber witzlos ist.

Dabei fällt mir ein, dass ich den Beitrag zu Let‘s encrypt auf private IP Adressen noch schreiben wollte.

Den würde ich wirklich gerne lesen! Ich habe selbst noch keinen echten Ansatz, aber damit wäre ich mein Selfsigned los.

Ja, bitte - das steht bei mir auch auf der to-do Liste