GLT/GA Zugriffe sicherer machen? Ohne Portfreigaben und DynDNS?

[bird2609]

Hey Leute,

ich beschäftige mich schon seit längeren mit meiner Gebäudeautomation und das funktioniert auch soweit alles super.
Ich habe mehrere verschiedene Bussysteme in meiner Bude und verwalte alle über einen Server. So weit, so gut.

Jetzt, nachdem ich das Grundgerüst stehen habe, wollte ich mich mal im Thema Sicherheit schlau machen.

Nun erstmal zum Bestand:
- Es läuft ein Server (24/7) im Netzwerk
- Auf dem Server laufen mehrere Softwarepakete als Dienst
- Über Portfreigaben und DynDNS wäre es möglich auf die Softwarepakete zuzugreifen. (Kameras, Visualisierung etc)

Zur Visualisierung meiner GLT (Gebäudeleittechnik) wird eine App verwendet, dass die Daten über eine Nutzerkennung (mit SSL-Verschlüssung) über das Internet anzeigt. Hierzu benötigt man die DnyDNS, Port, User inkl. Password. Dazu muss man noch die Authtifizierung wissen mit der ich das Programm lizensiert habe. (E-Mail Adresse und Password). Ach ja, und damit was angezeigt wird ist es auch notwendig zu wissen wie die "View" (mit WYSIWYG-Editor gebastelte Anzeige) heißt.

Die Kameras werden von einem Programm mitgeschnitten und verwaltet. Der Zugriff auf die Daten kann via App erfolgen. Um auf die Daten zu kommen muss ein Codeschnippsel (Teil aus dem Schlüssel der Software), die DnyDNS und der Benutzer inkl. Passwort angezeigt werden.

Das klingt für mich im ersten Moment alles sicher. Was mich aber stört sind die nötigen Portfreigaben! Ich finde immer das sowas eine Zielscheibe ist.

Ein Kollege hatte mir mal geraten das ich einen VPN Tunnel zu einer virtuellen Maschine aufbauen soll, über den die Daten dann zu den Endgeräte gelangen. So richtig habe ich das nicht verstanden weil mein IT-Wissen da aufhört
Er meinte es wäre auch möglich eine Art "Brücke" über einen Raspberry Pi herzustellen.

Ich frage mich nur wie es dann laufen soll mit den Apps. Ich will nicht immer eine VPN Verbindung aufbauen müssen bevor ich die Apps starte.

Ende vom Lied: Ich will die Daten nicht über Portfreigaben in der Fritzbox und einer DynDNS Adresse abwickeln. Am liebsten wäre es mit wenn dies alles über VPN Verbindungen (oder eine andere sicherere Verbindung) passiert.

Freu mich über Tipps

LG

 

[Raijin]

Du willst keine Portweiterleitungen, du willst kein VPN. Einfache Lösung: Bleib zu Hause.

Auch wenn das natürlich scherzhaft gemeint ist, steckt im Kern auch ein Stück Wahrheit. Zugriff von außen muss nun mal irgendwie erfolgen. Portweiterleitungen und Apps sind schön und gut, aber je mehr Löcher man in die Firewall reißt, umso höher das Risiko. Man ist auf Gedeih und Verderb der Sicherheit einer App ausgeliefert bzw. weiß überhaupt nicht ob das tatsächlich sicher ist oder nicht. Arbeitet die App mit Verschlüsselung? Keine Ahnung, man gibt die DDNS-Adresse und den Port an und los geht's.

Wie der Traffic einer App tatsächlich aussieht, weiß man nicht. Es gab auch schon Fälle, bei denen die vermeintlich sichere Kommunikation zwar verschlüsselt war, aber mit einem Standardschlüssel 123456. Das ist wie ein Türschloß mit Standard-Schlüssel in millionenfacher Ausführung.

Mit jeder weiteren App, steigt entsprechend das Risiko, dass diese App eine Sicherheitslücke hat. Deine Skepsis diesbezüglich teile ich. Selbst namhafte Hersteller tauchten in den letzten Jahren ebenfalls mit Sicherheitslücken in der Presse auf, das ist also nicht einzig und allein ein Problem von Billigherstellern - auch wenn das Risiko bei denen vermutlich deutlich höher ist.


VPN. Bei VPN hast du nur genau einen Zugang ins Heimnetz. Alles weitere wird quasi wie lokal im (W)LAN bedient. D.h. in der jeweiligen App gibst du dann die LAN-IP des Geräts ein (zB Heizungssteuerung oder Kamera). Wie du aber schon richtig festgestellt hast, muss eine VPN-Verbindung zuvor aufgebaut werden. Im Klartext heißt das: VPN am Smartphone starten, verbinden, App starten, verbinden, bedienen.


Sicherheit und Komfort sind per Definition gegenläufig. Je einfacher und komfortabler die Bedienung ist, umso unsicherer ist es. Je sicherer, desto komplexer. Logins bzw. Authentifizierung, Verschlüsselung, etc. "Simpel" und "Sicher" passt nun mal nicht zusammen.


Simples Beispiel: Passwort speichern. Jedes Mal das Passwort eingeben zu müssen, kann schon nervig sein. Man kann das Passwort ja speichern! Cool, dann reicht ein Klick auf Login und los geht's, super komfortabel. Und wenn im Café etwas trinkst oder ein Stück Kuchen isst und deine Jacke nebst Smartphone unbedarft liegen lässt, während du pinkeln gehst, kann jeder dein Smartphone nehmen und sich ebenso mit "Login" einloggen, Passwort ist ja komfortabel gespeichert - auch für Unbefugte............

Ganz aktuell: Keyless entry bei Autos. Super komfortabel, Schlüssel kann in der Tasche bleiben, geil. Ok, ein findiger Dieb kann mit Baumarkthardware das Signal vom Schlüssel empfangen und dein Auto "knacken", während du einkaufen bist - keyless versteht sich. Komfortables Autoknacken, sehr cool..

 

[Masamune2]

Wenn du schon eine Fritzbox hast dann nutz doch einfach deren VPN Funktion. Das ist nicht die aller schnellste aber meistens reichts aus.