Version 9 - Security Issues (Automatic Update, Connection Parameter)

[Stefan244]

Hallo zusammen,

ich habe mir in meiner Masterarbeit ein paar Dinge in Bezug auf Security in Smart Homes angesehen.

Zwei Punkte möchte ich euch davon nicht vorenthalten:

- Automatische Updates bis Version 9 können gespooft werden werden. Es werden keine Signaturen verwendet. Daher können Updates auch modifiziert werden.
- Am PC gespeicherte Connection Parameter (nicht die in der Konfiguration) können mit einer kleinen Modifikation von Loxone Config im Klartext ausgegeben werden.

Ich habe den Hersteller diesbezüglich informiert. Dieser hat mir zugesichert, dass die Schwachstellen dank meines Hinweises in der Version 10 behoben werden.

Anbei zwei Screenshots von den Schwachstellen.



Es wurde nur das HTML Title Tag im Update angepasst:


Gruß

[Stefan244]

Screenshots wurden anscheinend nicht übernommen.

[Christian Fenzl]

Hast du Lust, LoxBerry zu hacken?
Ich gebe dir das loxberry-Passwort und Webzugriff, und du schaust, wie weit du damit kommst.

Bezüglich Miniserver: Das ist gut, wenn du „nicht weiter“ gekommen bist als das PW am PC auszulesen (was dann aber eh einer Komplettübernahme entspricht). Eine Lücke in der http-Kommunikation hast du dann zum Glück nicht gefunden.
Tolle Arbeit!

lg Christian

[maxw]

Super Sache die du da gemacht hast!

Welche Systeme hast du dir angesehen? Ist deine Masterarbeit öffentlich zugänglich? Würde mich interessieren!

Liebe Grüße, Max

[Stefan244]

Ich habe mich in meiner Arbeit mit dem Thema "Threat Modeling" für Smart Homes beschäftigt und dabei die Use Cases eines Loxone Smart Homes als Basis für das Threat Modeling angesehen und auch bezüglich Risiken analysiert.

Ich muss diesbezüglich sagen, dass bis auf das Automatic Update Procedure, das ja deaktiviert werden kann, viel in die richtige Richtung implementiert wurde.
Bestimmte Punkte sind nicht dokumentiert, wurden aber in der Zwischenzeit realisiert Bsp.: Mailer mit HTTPS Unterstützung.

Die Arbeit ist ansich nicht gesperrt, ich werde meinen Betreuer fragen, ob ich diese hier veröffentlichen darf.

LoxBerry hacken wäre an sich interessant, nur aktuell zeitlich nicht machbar. Persönlich setze ich LoxBerry noch nicht ein. Ich habe meine Scripte noch selber geschrieben, wofür Ihr in LoxBerry bereits Plugins entwickelt habt. Ich werde mir LoxBerry bei Zeiten generell einmal ansehen.

Gruß Stefan