Protokoll-Sicherheit Loxone Tree

[final]

Hallo zusammen

Ich wollte mal fragen, ob jemand das Authentifizierung-Verfahren von Paketen auf dem Loxone Tree Bus kennt und ob dies aktuellen IT-Sicherheits Standards entspricht, oder ob die Geräte auf dem Tree-Bus in "Klartext" bzw. unsigniert miteinander kommunizieren.

Konkret geht es um die Frage, ob ein Angreifer durch das Anhängen eines Fremdgerätes an den Tree-Bus die Geräte an diesem Bus bereits kontrollieren kann, oder ob er da noch mehr Wissen benötigen würde. Ansonsten wäre nämlich das Treekabel, gerade wenn man z.B. das Türschloss damit steuert, im Aussenbereich tunlichst zu vermeiden. Das wiederum würde die Verwendung eines NFC Touch oder der Tree Wetterstation verhindern.

Ich konnte auf der Website keine Info in die Richtung finden.

[hismastersvoice]

Willkommen im Forum.

https://shop.loxone.com/dede/tree-extension.html

Verschlüsselung
Die Kommunikation zwischen sicherheitsrelevanten Tree Produkten ist verschlüsselt.


Was das jetzt auch immer heißt
Da die Geräte und Codes im MiniServer bekannt sein müssen, muss zusätzlich auch ein User/Passwort vorhanden sein.
Das es möglich ist den Bus abzuhören kann ich mir schon vorstellen, aber nicht einfach mit Hausmittel.
Da gibt es sicher einfachere Möglichkeiten in ein SmartHome zu kommen

[Thomas M.]

z.B. mit dem Klassischen Schraubendreher am Fenster auf der finsteren Hausseite oder einfach mit einem Stein.

Also wenn jemand rein will, weil der "Besucher" genau weiß, dass unterm Bett 170kg Gold liegen, kommt der auch rein, egal wie.
Sonst wird kaum jemand eine raumschiff enterprise methode verwenden um sich Zugang zu verschaffen.

Tree Bus = normaler CAN Bus
Loxone hat hier nichts neues erfunden und patentiert, wieso sollten sie auch

Da sehe ich die Außenkamera kritischer, hier kommt der Angreifer ja gleich ins LAN.

[final]

Danke Euch beiden für die Antworten. Die Bemerkung bezüglich verschlüsselter Kommunikation habe ich wohl übersehen. Sie ist aber etwas gar wage. Was heisst sicherheitsrelevant? Wenn ich mein Türschloss mittels Nano 2 Tree bediene ist das auf einmal sehr sicherheitsrelevant. Genauso wie wenn ich einen Taster im Innenraum auf "Garagentor auf/zu" lege, dann wird auch das Nano di relevant. Wäre cool, wenn Loxone das etwas genauer spezifizieren könnte. Ich würde daher sagen: je nach Config ist jedes Tree-Gerät sicherheitsrelevant.

Einbrechen kann man natürlich deutlich einfacher als mittels Hacken des Smart-Homes. Nur ist ein Einbruch ohne Spuren versicherungstechnisch kein schönes Szenario für den Hausbesitzer. Je mach dem, was entwendet wird, würden bei einem Einbruch durch die "offene Türe" ggf sogar Tage bis Wochen vergehen, ehe man das merkt. Als kleiner Bonus kanne abgehörtes Smarthome sehr zuverlässig Auskunft geben, wann niemand daheim ist

Und mein LAN kann ich mit guten Passwörtern schützen, so dass ein Fremdgerät im LAN noch nicht das Ende der Welt sein sollte.

[hismastersvoice]

Das ist ein Problem dass die meisten Systeme haben.
KNX kann man standardmäßig auch abhören, man kann hier aber etwas dagegen tun.

Du machst die etwas zu viel Sorgen...
Ich denke das ich 80% der in den 80/90igern einsteigen kann ohne Problem. Sprechanlage raus Brücke auf Türöffner und auf geht es. Ich habe das inzwischen in so vielen Häusern gesehen das aus Bequemlichkeit der Öffner in der Sprechanlage liegt.

Wieder ist es aber so das die Einbrecher nicht zur Haustür rein kommen.
Ihr denkt irgendwie das Einbrecher in Zukunft Super ITler sind.
Wenn sie so viel drauf haben ein Bus abzuhören und ggf eine Verschlüsselung zu knacken wird das Ziel nicht ein Einfamilienhaus sein.

Hier sollte man schon realistisch sein.

[Thomas M.]

Um einen bus "abzuhören" muss ich mal wissen, was das überaupt für ein bus ist.

Wie erwähnt, keine leichtsinnigen Portfreigaben auf Port 80 mit einfachen Kennwörtern und weniger raumschiff enterprise sehen hilft.

[Christian Fenzl]

Hässliche Fassade und einen E-Kadett vor die Garage, und keiner wird deinen Tree-Bus hacken 😉
Wie die Polizei immer sagt: Abschreckung hilft!

[Benjamin Jobst]

hismastersvoice Thomas M. ihr habt mit euren Aussagen aus nüchterner Sicht wohl völlig Recht, gerade bei einem "normalen" EFH wird sich kaum ein Gelegenheitseinbrecher die Mühe machen, Tree oder KNX irgendwie abzuhören, um einen Haustüröffner zu erschnüffeln und anzusteuern.

Allerdings haben wir schon die Erfahrung gemacht, dass das ein extrem wichtiges Thema auf dem Markt ist. Viele Kunden (und Interessenten!) werden schon durch solche Gefahren durch das Smart Home beunruhigt - neben dem Risiko eines Totalausfalls. Deshalb muss man auf solche Bedenken schon eingehen, aus technischer Sicht ist so etwas nicht ganz von der Hand zu weisen.
Ich vermute allerdings auch, dass derjenige, der das Zeug dazu hat, den Tree abzuhören, sich im Dunkeln nicht vor die Haustür stellt, sondern den "einfacheren " Weg über Netzwerk und Internet sucht.

Technische Frage: Meint ihr, die Tree Extension kann als eine Art Linienkoppler zwischen den beiden Ästen des Tree betrachtet werden? Also "hört" und beeinflusst der böse Cyber-Einbrecher nur die Geräte auf der "Außenlinie", die er am NFC vorfindet? Dann könnte ein sicherheitsbewusster Planer ja wie beim KNX eine Außenlinie aufziehen, über die Wetterstation und NFCs o.ä. kommunizieren (und die ja dann laut Loxone verschlüsselt!), während die Geräte im Haus auf der anderen Linie liegen?

[Christian Fenzl]

Bezüglich „Linienkoppler“ würde ich sagen, Ja.
Die Geräte beim Tree kommunizieren ja nicht untereinander wie bei KNX, sondern alles geht zwischen Device und Master-Ast/Miniserver. Bei Tree besteht keine Notwendigkeit, die Pakete durchzurouten. Mithören kannst du nur, was über den Ast geht.

Interessant wäre dann, ob der Miniserver noch weiß, von welchem Ast ein Datenpaket stammt.
Wenn ich „Tür öffnen“ (als „Böses Paket“) in Ast 2 einschleuse, weiß der MS dann noch, dass „Tür öffnen“ eigentlich auf Ast 1 hängt? Das wäre dann noch eine gewisse Sicherheitslücke.

[Nobbi75]

Benjamin Jobst
Wenn du die Bedenken nicht zerstreuen kannst, dann greife doch für Dinge im Außenbereich auf Air Produkte mit ggfs. eigener Stromversorgung zurück.
Ich hatte seinerzeit die Bedenken eher in Richtung “Tazer/Überspannung“ auf die Datenleitung.

Ich glaube aber weiterhin auch, dass der 0815 Einbrecher anders ins Haus kommt. Wir hatten hier gerade einen Vortrag der Polizei über das Thema....


Gesendet von meinem SM-G960F mit Tapatalk

[Benjamin Jobst]

Ich weiß nicht, ob ich die Air-Produkte hinsichtlich man-in-the-middle nicht noch bedenklicher finde als Tree, immerhin muss man beim Tree noch eine physikalische Verbindung herstellen... und dass man das Air mit einem Jammer auch lahmlegen kann, gab es hier ja auch schon...

[Christian Fenzl]

Wenn ich an Smart Home Hacking denke, sehe ich als viel größeren Risikofaktor alle IoT-Geräte. Jede Kloschüssel muss App-gesteuert sein. Da besteht riesiges Potential fürs Einbrechen: Die Geräte verbinden im LAN von innen nach außen und haben damit Vollzugriff aufs Netzwerk. Mit eingehenden Datenpaketen werden die Geräte dann gesteuert.

Schlimm wird es, wenn es durch Übernahme dieser Verbindung Schadsoftware eingeschleust wird.
Oder aber, wenn dem Gerät ein vermeintliches Update vorgegaukelt wird, in dem tatsächlich Schadsoftware enthalten ist.
Oder die Betriebssoftware der Geräte niemals Updates erhält, womit sämtliche Lücken für immer offen bleiben.

Das sind die Bedenken, die ich tatsächlich habe, dass eines Tages die Staubsaugerroboter die Kontrolle übernehmen.

Den Script-Kiddy sehe ich jetzt auch nicht unbedingt hinterm Haus am Tree-Bus nuckeln. 🙂

[final]

Danke erstmal für die vielen Antworten.

@alle die meinen "ich mache mir zuviele Sorgen": Mir ist schon klar, dass der normale Einbrecher diese Fähigkeiten nicht hat. Allerdings können sich - in einem unverschlüsselten / unsignierten Bus - ein Informatik-Stundent und ein Elektronik-Stundent zusammen tun, die hätten so ein Abhör/Befehleinspeise-Gerät in 1-2 Wochen entwickelt. Ich selber (MSc Computer Science mit Mikro-Elektronik als Hobby) habe genug Erfahrung, dass ich sowas wohl auf die Beine stellen könnte, wenn die Sicherheits-Protokolle nicht sauber implementiert sind. Braucht zwar Zeit, aber möglich ist es. Dann kann man das Gerätchen für 200€ pro Stück an interessierte Kreise verkaufen, das bessert die Studenten-Kasse gut auf. Das Verhältnis zwischen "konventionellem Einbruch" und "hacker Einbruch" ist wahrscheinlich 100:1 oder gar 1000:1, aber man kann ja mal nachfragen. Für mich persönlich (bin am Evaluieren von Loxone Tree für mein Haus) wäre das auch kein Deal-Breaker, aber auf den NFC Touch würde ich dann ggf verzichten.

So ein Gerät wird immer interessanter, je mehr NFC Touch Tree im Umlauf sind. Wenn 5000 Stück davon verkauft würden, wäre dieses Gerätchen ein Passepartout für 5000 Häuser. Ich nehme an, ihr erkennt das Potenzial. Ob man so ein Gerät bauen könnte hängt davon ab, wie das Loxone Tree Protokoll implementiert ist.

Benjamin Jobst Koppeln sollten die Extensions nicht, auch nicht die Äste untereinander, das wäre eher kontraproduktiv und ist für die Funktionalität nicht benötigt. Allerdings wäre je nach Funktion ein "Replay-Attack" interessant, wodurch es egal wird, an welchem Bus welches Gerät hängt. Konkret braucht der Angreifer ein Abhörgerät am Bus des NFC Touch und wartet, bis ein echter Benutzer ins Haus geht. Die Nachricht, die der NFC Touch an den Miniserver schickt, speichert der Angreifer. Wenn er rein will, schickt er einfach genau die gleiche Nachricht nochmals. Wenn der NFC Touch seine Nachrichten nicht bei jedem Login verändert (z.B. Zeit mitschicken), und der Miniserver das nicht entsprechend prüft, nützt auch eine Verschlüsselung nichts. Der Angreifer kann dann die Nachricht zwar nicht im Klartext lesen, aber solange der Mini-Server die Nachricht "schluckt" muss er das auch gar nicht. Als Bonus wird der MS so programmiert sein, dass die Alarmanlage auch gleich noch mit aus geht.

[Benjamin Jobst]

final genau diese Gedankengänge versuchen wir eben auch nachzuvollziehen bzw. auch zu klären, welche Gefahren damit verbunden sind.
Im Loxone Blog gibt es z.B. auch einen Beitrag dazu:

https://www.loxone.com/dede/schutz-der-installation/

Die Tree Technologie wurde entwickelt um die Peripherie die in einem Smart Home nötig ist schnell, einfach und flexibel anzuschließen. Die Tree Technologie bietet eine IPvSec Verschlüsselung und schützt das Gebäude Ihrer Kunden zuverlässig vor Sabotage.


Achten Sie bitte darauf, dass Sie im Außenbereich die Tree Komponenten an einem eigenständigen Tree Ast anschließen. Dies schützt zusätzlich vor Sabotage und gewährleistet zu jeder Zeit einen zuverlässigen Betrieb der Tree Komponenten die sich auf dem anderen Ast befinden.

Somit scheint Loxone sich zumindest etwas bei der Sache gedacht zu haben...
Eine IPvSec-Verschlüsselung sagt mir zwar gar nichts, aber es klingt schon mal toll

Nur muss ich zugeben, dass wir uns das auch noch einmal zu Herzen nehmen sollten...

[hismastersvoice]

Das es machbar ist, ist schon klar.
Es gibt auch schon das Reverse-Engineering für den LoxBus etc.

Aber seien wir Mal realistisch ...
Einmal zum Haus und Abhöreinheit einbauen zweites Mal zu Haus um einzubrechen.
Doppeltes Risiko, da muss ich schon wissen daß es was zu holen gibt. Ansonsten wird kein Einbrecher das machen.

Ich bleibe der Meinung das ein SmartHome genau so unsicher oder auch sicher ist wie ein konventionelles Haus.

Das Potenzial ist geradezu nicht vorhanden gegen die einfachere Möglichkeit in Mio. von ungeschützten Häusern einzubrechen. Ganz im Gegenteil sind SmartHomes oft mit Alarmanlage wenn auch nur die Loxone Variante oder Kameras ausgestattet. Was jeden Einbrecher deutlich mehr abschrecken wird.

Ich formuliere es um... Ich mache mir keine Sorgen.

Was ich aber glaube...
Ein SmartHome gehört nicht ins Internet, da sehe ich eine viel größeres Potenzial um einfach in ein Haus zu kommen.