In Kooperation mit siio hat AV TEST, einer der weltweit führenden IT Sicherheitsunternehmen das Smart Home Gateway von Rademacher, den Homepilot2 genauer unter die Lupe genommen.
Wir von siio.de, wollen zusammen mit AV-TEST.org herausfinden, wie gut und vor allem wie sicher die Smart Home Zentralen auf dem Markt sind. Während sich siio.de um die Bedienbarkeit und User Experience kümmert, nimmt das, im Bereich IT-Sicherheit weltweit führende Institut AV-TEST, die Smart Home Zentralen hinsichtlich der IT-Sicherheit ganz genau unter die Lupe.
Den Homepilot 2, hatten wir hier auf siio vor kurzem in diesem Artikel vorgestellt: Homepilot2 – Smart Home Zentrale & Mediaplayer in einem #Review. Neben dem Hersteller eigenen Funkprotokoll Duofern, welches vor allem in den Markisen und Jalousieantrieben des Spezialisten verwendet wird, kann die Box auch via Z-Wave funken. Beide Funksysteme werden dabei via USB Stick einfach "angesteckt". Die Oberfläche ist vor allem für Tecki Einsteiger geeignet. Klar strukturierte Menüführung und einfaches erstellen von Szenen war der große Pluspunkt des Homepilot 2. Natürlich lässt sich der Homepilot auch via Smartphone App von unterwegs steuern. Doch wie steht es um die (IT) Sicherheit der Smart Home Zentrale?
AV-TEST hat sich die wichtigsten Fakten wie auch beim Almond (+) Plus angesehen. Zunächst wurde geprüft, ob die Verbindung sowie auch die Kommunikation zwischen Zentrale und dem PC, bzw. Smartphone verschlüsselt erfolgt. Außerdem wurde geprüft ob eine aktive Authentifizierung erforderlich ist und ob der Fernzugriff gesichert ist, so das eine Manipulation Dritter bestmöglich verhindert wird.
Verschlüsselung und Verbindung
TOP: Die Verbindung zwischen dem Homepilot 2 und dem Server, sowie der Zugriff auf das Webportal und auch der Fernzugriff über die Smartphone App laufen über das sichere HTTPS sowie auch teilweise via SSH. Damit ist der Zugriff von Außen auf den Homepilot 2 ausreichend geschützt.
Sogenannte "Man-in-the-Midlde" Angriffe werden dank der SSL-Verbindung durch die Standard Methoden des Browsers und des jeweiligen Betriebssystems abgesichert.
Die Smartphone App verwendet das TLS 1.0 für den Zugriff. Dieses ist als sicher anzusehen, besser wäre aber die Verwendung des TLS 1.2 Protokoll.
Lokal im Netz, also der Zugriff im eigenen LAN auf die Weboberfläche des Homepilot ist leider nicht abgesichert. Hier läuft alles über das "normale" HTTP Protokoll, ohne zusätzliche Authentifizierung.
[carousel arrows="display" buttons="display"] [panel title="Rademacher Homepilot2"]
[/panel]
[panel title="Rademacher Homepilot2"]
[/panel]
[panel title="Rademacher Homepilot2"]
Aktive Authentifizierung
Bei der Authentifizierung sprechen wir vor allem über das Thema Benutzerverwaltung. In der Regel gibt es da den Benutzer "Admin", welcher volle Zugriffsrechte auf die Zentrale und die Konfiguration verbundener Geräte hat. Besser ist es, wenn dieser Benutzer nicht zwingend Admin heißt sondern individuell benannt ist. So ist die Kombination zwischen Benutzer und Passwort schwerer herauszufinden, da es exorbitant mehr Kombinationen gibt.
Beim Homepilot 2 ist intern, innerhalb des heimischen Netzwerks keine Authentifizierung notwendig.
Dies ist für den Endanwender sehr praktisch, da der Zugriff auf das Smart Home sehr schnell geht und es stellt auch nicht direkt eine Gefährdung dar. Sollte es aber ein Dritter, oder Schadsoftware über einen PC oder eine andere Stelle schaffen, in das lokale Netz einzudringen, so ist der Zugriff auf den Smart Home Gateway unverschlüsselt und ohne Benutzerauthentifizierung möglich. Der Angreifer könnte nun die Kontrolle über die verbundenen Smart Home Komponenten übernehmen und diese steuern.
Die Sicherheitsexperten von AV TEST empfehlen an dieser Stelle eine Benutzer Authentifizierung zu implementieren.
Der Fernzugriff auf den Homepilot 2 ist durch eine Benutzer Authentifizierung abgesichert. Hier muss neben dem selbst gewählten Benutzer sowie dem eigenen Passwort auch die MAC Adresse des Homepilot 2 angegeben werden.
Smartphone App - Fernzugriff Einstellungen
Fazit
Das Sicherheitskonzept des Rademacher Homepilot ist gut. Die Kommunikation erfolgt nach Außen stets verschlüsselt und die Verbindung ist gesichert. Einer Manipulation durch Dritte wird keine Möglichkeit geboten. Auch der Fernzugriff ist wirksam abgesichert. Verbesserungspotential gibt es hier jedoch auf der lokalen Ebene. Mindestens eine Benutzer Authentifizierung sollte vorhanden sein, eine Verschlüsselung wäre super.
Das Testprotokoll mit allen Details kannst du dir hier im PDF Format herunter laden
Update: 7.Juli 2015,
Nach unserem Beitrag erhielten wir folgendes Statement von Rademacher:
... tatsächlich ist es so, dass das Thema Login ins eigene Netzwerk auf unserer ToDo-Liste steht. Es zieht aber auch die Überarbeitung der Service Menüs und Apps nach sich. Daher ist das kein kleines Arbeitspaket und in Bezug auf den Umsetzungszeitraum noch nicht bewertet worden. ...
Wir von siio finden das Klasse!
Ein noch wichtigerer Angriffspunkt ist das Funk-Protokoll. Leider finde ich nirgendwo eine Spezifikation oder Sicherheitsanalyse des DuoFern-Protokolls. Wäre es hier evtl. möglich, durch Abhören oder durch Ausprobieren per Brute Force eine Art Dosenöffner-Gerät zu entwickeln?
Ein Zugriff vom LAN aus ohne Authentifizierung ist für mich glatt durchgefallen. Da hilft auch die Blenderei mit der gut umgesetzten App nichts.
Das Sicherheitskonzept ist schlicht ungenügend.
Was habt Ihr denn da getestet... Zugriff im loken Netz nur über unverschlüsseltes http, keine Möglichkeit sich zu authentifizieren, offenes Scheunentor für Jeden User in LAN.