Ecopower 1.0: Sicherheitslücke: "Verbesserung der Fernkommunikationslösung"

  • Zitat

    Welche "bezahl" Software, wo installiert, kann Angriffe aus dem Internet auf das Eco verhindern ?


    Bin zwar nicht gefragt, aber als ich das EcoPower bekam und das schlicht amateurhafte Java-Interface sah, war klar, dass das so nicht ans Netz darf. Egal was Vaillant sagt.
    Lösung bei mir war aber auch einfach: Ich habe eh einen Router mit Alix 2D3 Board. Darauf läuft PfSense (PfSense.org). PfSense kostet nichts und kann mehr als viele Bezahllösungen, u. a. alle gängigen VPNs und VLANs. Ich nutze OpenVPN. Außerdem sitzt das EcoPower in einem anderen VLAN, als mein Hausnetz. Es sieht also meinen echten Server und die Daten darauf nicht (umgekehrt geht es aber, d.h. Rechner im Hausnetz sehen es). Wird es gekapert, kann man vom EcoPower keinen Angriff auf mein restliches Netz führen (dürfte jedenfalls schwierig sein).
    Von außen kann ich jederzeit auch ohne Portfreigabe zugreifen, wenn ich mich per OpenVPN ins Hausnetz einwähle. Dafür braucht es aber mehr als ein Passwort :)


    Vaillant könnte ich einen extra OpenVPN Zugang isoliert nur auf das EcoPower einrichten. Bislang wollten sie sowas zwar nicht, aber sie lernen offenbar gerade dazu...


    Grüße,
    Georg

    EcoPower 1.0 + 500l Puffer + SLK
    Solarwatt PV 3,5kWp, Messkonzept 6
    SMA SI und 15(30) PzS Batterie nur für KWK
    Smart ED 3, Ladestrom variabel nach Erzeugerleistung
    Steuerung: fhem + 1-wire + 0-10V


  • Die "Steinzeittechnik" der FÜ des ecopower 3.0/4.7 wurde im Forum schon häufig bemängelt. Ich halte die analoge Wählverbindung aber für eine sehr sichere (bezogen auf Hacker) Variante. Ist doch nicht immer alles so schlecht, was in der "Steinzeit" entwickelt wurde. Einiges könnte man vielleicht auf die Netzwerktechnik übertragen. Eine Wählverbindung ähnlich VoIP mit eine "Bediensoftware" auf Kundendienstseite würde das Problem erheblich reduzieren. Dazu müsste man sich eine entsprechnede Telefonnummer zuordnen lassen. Da die Telefonnummer anders verwaltet werden als z.B. die DynDNS bietet das schon einen höheren Sicherheitsstandart. Auch ist dem potentiellen "Hacker" erst mal nicht bekannt ob das nun eine Telefon-, Fax- oder Datennummer ist. Bei dem ecopower 3.0/4.7 wird dann noch abgefragt ob die Bediensoftware (ecoServ) mit der richtigen Version auf der anderen Seite ist. Ist das nicht der Fall wird die Verbindung abgebrochen.


    Entspricht vielleicht nicht den heutigen Wunschvorstellungen im Internetbereich aber wenn Sicherheit gefragt ist, muss man einige Dinge eben einschränken.


    Sicherlich würden viele heutige Probleme entfallen, wenn wir uns uns Mittelalter zurückversetzen würden. Das kann aber doch nicht die Lösung sein. Eine VPN-Verbindung mit einer ordentlichen Verschlüsselung ist kein Hexenwerk und auch kein großer Aufwand und schon ist Ruhe an dieser Front.


    8)

    "Religion wird von den gewöhnlichen Leuten als wahr, von den Weisen als falsch, und von Herrschern als nützlich angesehen."

    Lucius Annaeus Seneca d. J.

  • wenn wir uns uns Mittelalter zurückversetzen würden.


    Hab nicht gesagt, dass man sich ins Mittelalter zurück versetzen sollten sondern lediglich man sollte vielleicht einige Lösungsansätze aus dem "Mittelalter" in die Neuzeit übertragen. Aber die heutigen Rechenmaschinen incl. Internet beruht auf Erfindungen aus dem "Altertum" und sogar aus der "Steinzeit". Wenn man das nicht mehr verwenden würde, würde kein Rechner funktionieren. Alle heutigen Intel-Prozessoren besitzen immer noch den Maschinen-Befehlssatz des 80286 aus dem Jahre 1982. Dieser Befehlssatz ist nur um einige Befehle und Funktionen wie z.B. "Protected Mode" erweitert worden. Auch einige Betriebssystemroutinen in Windows 8 wie z.B. die Tastaturabfragen stammen noch aus dieser Zeit.


    Die Geschichte des Computers reicht zurück bis in die Antike. Das früheste Gerät, das in rudimentären Ansätzen mit einem heutigen Computer vergleichbar ist, ist der Abakus, eine mechanische Rechenhilfe, die ca. 1100 v. Chr. im indochinesischen Kulturraum erfunden wurde. Im 1. Jh. v. Chr. wurde mit dem Computer von Antikythera die erste Rechenmaschine erfunden. 1623 baute Wilhelm Schickard den ersten mechanischen Rechner der Neuzeit. All diese Systeme beruhen auf Prinzipien, die als Grundlage der heutigen Coputertechnologien gelten und somit immer noch verwendet werden.


    Man muss das Rad nicht neu erfinden sondern es ist besser es weiter optimieren.

    Rechnen hilft. Bleistift, Stück Papier und ein Taschenrechner und man wird sich über einige Ergebnisse wundern. ?(
    http://perdok.info/
    Oscar Perdok GmbH
    Gildeweg 14, 46562 Voerde
    Beratung, Planung und Installation von: KWK-Anlagen, PV-Anlagen, Stromspeicher mit Notstromfunktion, Eigene Herstellung von Ladestationen für E-Mobile, Energie-Effizienz incl. Kosten/Nutzen-Betrachtung, Ladestation für E-Mobile (kostenlos)

  • Vaillant behauptet im Brief an die eco Besitzer und jetzt auch gegenüber Spiegel.de, dass ein Angreifer nur das eco ausschalten kann - sonst könnte nichts passieren. Aus meiner Sicht ist das mindestens "geschönt". Ich hatte aber bisher keine Zeit, mein eco tatsächlich einem Härtetest auszusetzen. Und mir ist das Risiko zu hoch.
    Als Vaillant Entwickler eingeloggt sehe ich Funktionen um den Honda komplett zurückzusetzen, ich kann eco und Spitzenlastgerät ausschalten und umkonfigurieren, Kennworte und IP ändern. Bei meinem eigenen eco traue ich mich auch nicht, einfach mal auf "Clear Drive History" zu drücken. Keine Sorge, auf ein fremdes eco logge ich mich auch nicht nochmal ein... :rolleyes:
    Die Vaillant Docu - kann man ja frei unter vaillant.de herunterladen - warnt x mal davor, was man bei der Inbetriebnahme alles kaputt machen kann, wie gefährlich Fehlkonfigurationen sind, dass man die Anleitungen auf keinen Fall an Unbefugte weitergeben darf (nochmal: man kann sie unter vaillant.de herunterladen...). Und der Vaillant Pressesprecher pfeift im Dunkeln und sagt, dass nichts passieren kann.
    Kann irgendjemand hier Entwarnung geben? Alles nicht so schlimm? Oder konkrete Hinweise - gern auch per E-Mail oder privater Nachricht hier im Forum - geben, was man über die Java-Applikation alles zerlegen kann? Vielen Dank!


    Dirk


  • Kann irgendjemand hier Entwarnung geben? Alles nicht so schlimm? Oder konkrete Hinweise - gern auch per E-Mail oder privater Nachricht hier im Forum - geben, was man über die Java-Applikation alles zerlegen kann? Vielen Dank!


    Dirk

    Kann man denke ich nicht entwarnen - soweit ich die Infos hier gelesen habe, kann man ja die PWDs auslesen und sich damit wieder einloggen, sprich VOLLzugriff.

  • Kann man denke ich nicht entwarnen - soweit ich die Infos hier gelesen habe, kann man ja die PWDs auslesen und sich damit wieder einloggen, sprich VOLLzugriff.


    Klar - darüber bin ich ja Anfang Februar gestolpert :S. Und ja, man kommt als Vaillant-Entwickler rein - und damit tiefer als der normale Fachhandwerker. Das Entwickler-Kennwort ist dabei nur ein bisschen komplizierter als die "1234" / "Vaillant" Standardkennworte, die mit hoher Wahrscheinlichkeit wie bei unserem eco nicht geändert wurden.
    Das man das nicht wegdiskutieren kann hat auch Vaillant eingesehen.
    Die Frage ist aber: Kann ein Angreifer, böser Nachbar, Skriptkiddie über das Internet mehr anstellen als nur die Heizung ausschalten?

  • Standardkennworte, die mit hoher Wahrscheinlichkeit wie bei unserem eco nicht geändert wurden.
    Das man das nicht wegdiskutieren kann hat auch Vaillant eingesehen.


    Er kann Dir de ganze Heizung verkonfigurieren - das kann z:b. z Frostschäden führen etc.
    Richtig kritisch wirds aber wenn ein Angreifer Schadcode auf dem Eco ablegen kann, der dann im lokalen Netz andere Rechner etc. angreift. Bei mir fühle ich mich dann noch immer recht (aber min. NAT und Firewall 1 sind schon mal überwunden) sicher, da JEDER Rechner nochmals ne iegene Firewall etc. hat, aber meist wird dieses Thema ja sehr lax gehandhabt. In wie weit der Eco ein upload von Daten erlaubt kann ich aber ohne insights nicht beurteilen.
    Edit: da aber offesichtlich kein also intersiver sicherheitstest vorgenommen wurde muss man davon ausgehen, code manipulation etc. ist aktuell möglich (wenn am Netz).

  • In wie weit der Eco ein upload von Daten erlaubt kann ich aber ohne insights nicht beurteilen.


    Updates werden vom Kundendienst über ein Crossover-Kabel unter Verwendung des internen Betriebssystem geladen. Also ist es auch möglich über das Netz neue Software aufzuspielen, wenn man im System ist. Da das System nicht wie eventuell beim normalen PC abgeschaltet wird, kann man damit 24 Std, 365 Tage jeglichen Unfug veranstalten ohne dass der Besitzer überhaupt was merkt. :beaengstigend:

    Rechnen hilft. Bleistift, Stück Papier und ein Taschenrechner und man wird sich über einige Ergebnisse wundern. ?(
    http://perdok.info/
    Oscar Perdok GmbH
    Gildeweg 14, 46562 Voerde
    Beratung, Planung und Installation von: KWK-Anlagen, PV-Anlagen, Stromspeicher mit Notstromfunktion, Eigene Herstellung von Ladestationen für E-Mobile, Energie-Effizienz incl. Kosten/Nutzen-Betrachtung, Ladestation für E-Mobile (kostenlos)

  • Er kann Dir de ganze Heizung verkonfigurieren - das kann z:b. z Frostschäden führen etc.


    Das ist genau was wir auch seit Februar Vaillant sagen. Vaillant behauptet aber jetzt, dass Frostschäden nicht auftreten können, da dann immer die Spitzenlasttherme anspringt. Online könnte man den Frostschutz der Spitzenlasttherme nicht deaktivieren. Außerdem könnten keine Schäden dadurch entstehen, dass man die Vorlauftemperaturen auf 80 Grad hoch dreht. Auch hier wären - laut Vaillant - immer bei allen eco 1.0 Schutzvorrichtungen zwingend vorgeschrieben und verbaut.
    Unser eco taugt leider noch nicht als Referenz, da Sanevo und der Vaillant Techniker absichtlich "Baustellenmodus" eingestellt haben: Noch haben wir fünf Heizkörper "freifliegend" im Haus, die Wandheizung wird grade erst angeschlossen. Daher hatten die Techniker wohl den Mischer anders angesteuert. Jedenfalls hat unser eco einmal völllig unerwartet die Vorlauftemperatur von 40 auf 80 Grad hochgezogen (nein, kein Hacker, hing nie am Internet) - die Heizkörper waren sehr heiß, der eco ist auf Störung gegangen da die Kühlwassertemperatur zu hoch war. Unsere Wand- und Fußbodenheizung hätte >70 Grad sicher nicht gut überlebt. Nach Neustart des eco war die Vorlauftemperatur wieder 40 Grad und alles ok...
    Verständlich dass Vaillant Schadensbegrenzung versucht. Nur wäre es wichtig, dass sie dabei die Risiken realistisch einschätzen. Und nur zu sagen dass die eco keiner hackt weil es verboten ist, ja auch technisch nichts kaputt gehen kann - find ich persönlich... nicht optimal.


  • Das ist genau was wir auch seit Februar Vaillant sagen. Vaillant behauptet aber jetzt, dass Frostschäden nicht auftreten können, da dann immer die Spitzenlasttherme anspringt.

    Das ist Quark - ich habe z.B. keine Spitzenlasttherme die anspringen kann. Wie Du auch schreibt können auch zu hohe Temp zu Schäden führen - siehe auch mein Posting zu dem "63 Grad Problem" bei verzinkten Leitungen.
    Runterspielen sollte Vaillant das Problen nicht, auch wenn ich immer noch der Meinung bin, das auf Grund des geringen "motivationpotentials" hier nicht so viel passieren wird, zumal auch nicht Millionen Ecos im Einsatz sind. Aber ja nat. kommt meins nicht ans Netz und wenn es einen trifft wird man sein Meinung womöglich ändern...

  • Ist denn schon jemandem bekannt wie die VPN Verbindung aufgebaut werden soll? Wählt sich das BHKW bei Vaillant auf einem VPN Server ein? Oder installiert Vaillant einen VPN Server bei mir im Netz, das wäre ja blöd, wenn man schon einen VPN Server hat. Ich habe leider auch keine Einstellung gefunden, mit der ich einem VPN User nur den Zugriff auf eine IP gewähren kann. Ich nutze einen Draytek Vigor 2950.

  • Ist denn schon jemandem bekannt wie die VPN Verbindung aufgebaut werden soll? Wählt sich das BHKW bei Vaillant auf einem VPN Server ein? Oder installiert Vaillant einen VPN Server bei mir im Netz, das wäre ja blöd, wenn man schon einen VPN Server hat. Ich habe leider auch keine Einstellung gefunden, mit der ich einem VPN User nur den Zugriff auf eine IP gewähren kann. Ich nutze einen Draytek Vigor 2950.


    Solange die Vaillant-Lösung nicht bekannt ist, ist es sicher mühselig, über mögliche Lösungen zu spekulieren. Ist zumindest meine Meinung.


    Ansonsten habe ich bisher sehr gute Erfahrungen mit den Draytek-Support gemacht. Die Spezis haben bisher immer eine Lösung gefunden.


    8)

    "Religion wird von den gewöhnlichen Leuten als wahr, von den Weisen als falsch, und von Herrschern als nützlich angesehen."

    Lucius Annaeus Seneca d. J.