Password​ ​based authentication​ ​​no​ ​longer​ ​​supported​ ​by​ ​March​ ​2018​

[Prof.Mobilux]

Wenn Loxone tatsächlich auch die REST-Schnittstelle auf Token-Based Authentifizierung umstellt, ist der Miniserver für andere Systeme quasi unerreichbar. Keine Anbindung an Homematic mehr, keine Anbindung an Alexa und Co, keine Anbindung an... Dann geht alles nur über irgendwelche Gateways.

Wenn sie das tun, bin ich mir sehr sicher, wird irgendwann die Schnittstelle ganz abgeschaltet. Natürlich nur aus Sicherheitsgründen und um dem Kunden was Gutes zu tun.

Bis zum endgültigen Abstellen werden wir definitiv ein LoxBerry-Gateway bauen - so schnell wie es geht! Wörsty hat schon erste Erfolge erzielen können, siehe hier: https://github.com/mschlenstedt/Loxberry/issues/201

[preslmayer]

Ich hänge gerade beim Kapitel "Aquiring Token".
Hier steht in der Beschreibung, dass der Token mit dem Request "jdev/sys/gettoken/{hash}/{user}/{permission}/{uuid}/{info}" geholt werden kann.
Für mich stellt sich nun die Frage muss dieser Request noch mittels einem mit dem PublicKey verschlüsselten Request gemacht werden?
Habe dabei noch die Info im Text gefunden: "A token can be either acquired via encrypted requests using HTTP requests or via a websocket."

Wenn ich aber den gettoken request mit dem PublicKey laut Beschreibung verschlüssle und dann abschicke bekommme ich die Fehlermeldung: "<errorcode>401</errorcode> <errordetail>Unauthorized</errordetail>"

[preslmayer]

Ein kurzer Zwischenstand:
Ich bin auf einem guten Weg mittels C und reinen HTTP Requests einen token abzuholen.
Ich dürfte irgendwo bei dem ganzen Hashing und Verschlüsseln einen Zahlendreher drinnen gehabt zu haben.
Hier muss teuflisch aufgepasst werden keine Fehler bei der Rumkonvertiererei von HEX <-> String <-> base64 etc. zu machen.

[preslmayer]

Hallo!
Hier im Anhang ein Node Programm, welches mittels HTTP Requests einen Token vom Miniserver holt.
Leider habe ich es bis dato nicht geschafft mit diesem Token einen vituellen Input zu schalten oder andere Commands, die eine Authentfizerung benötigen, erfolgreich durchzuführen.
Vielleicht schafft jemand von Euch mit einem Token ein {authCommand} erfolgreich durchzuführen.

In Zeile 332 könnt ihr die Daten für euren Miniserver eintragen.

...
token = new TokenEnc('192.168.0.1','80','username','password');
...

In Zeile 173 kann das {authCommand} eingetragen werden.

...
var command = 'VI99/Off';
...

[Christian Fenzl]

preslmayer Nur zur Info: Das Thema ist bei uns (LoxBerry Team) nicht "eingeschlafen", wir sind nur gerade voll in der LoxBerry-Core-Entwicklung und werden uns dem Thema Websocket erst verstärkt widmen, wenn wir für LB die Public-Beta starten. Jeder Input ist willkommen, oder auch von anderen, die das probieren.

[baldaum]

Hallo,

ich habe eine Frage dazu.

Ich habe Homematic und Alexa im Einsatz, welche über http eine Schnittstelle zu Loxone haben. Ich melde zb den Status des Homematic Türschlosses via http an den Miniserver retour, damit ich den richtigen Status in der App sehe. Weiters schalte ich via HA Bridge und Alexa verschieden Zustände im Miniserver.

Bis jetzt funktioniert alles einwandfrei.

Ich habe eure Kommentare gelesen und kann das kaum glauben. Heißt das wirklich, dass ab März nichts mehr geht ohne den Token?

Das kann doch nicht sein oder?

[svethi]

Woher sollen wir das wissen, wenn es noch nicht einmal der Support von Loxone weiß?!
Aber ja, wenn das strikt so umgesetzt wird, geht nichts mehr

[baldaum]

Danke für die Antwort.

Ich habe soeben ein Ticket bei Loxone aufgegeben

[tholle]

Dann halt uns darueber mal bitte auf dem Laufenden.

Vielen Dank und Gruss,
tholle

[svethi]

Genau, denn bisher konnten die dazu halt auch gar nichts oder nur widersprüchlich antworten ;-)

[dizzy85]

Da bin ich echt auch mal gespannt drauf....
Aber ich vermute mal Modbus 2.0....

[baldaum]

Hier die Antwort von Loxone:

Vielen Dank für Ihre Anfrage.

Diese Änderung betrifft den Verbindungsaufbau zum Miniserver. Die Webservice Befehle (https://www.loxone.com/dede/kb/webservices/) sind davon nicht betroffen.

Die Umstellung auf eine token based authentication ist erforderlich, um den Sicherheitsstandard des Loxone Smart Homes zu steigern.

[baldaum]

Was Sie genau damit meinen ist mir unklar. Mir war aber wichtig, dass meine CCU und HABridge weiter funktionieren und dass haben Sie mir mit den WebServices bestätigt

[baldaum]

Habe nochmals bei Loxone nachgehakt um mehr Details zu bekommen

[hismastersvoice]

Wenn man die PDF zur MiniServer Kommunikation liest wird man nicht so schlau daraus. Das könnte beides bedeuten, RestAPI und Websockets.

Wenn sie das aber mit der RestAPI machen würden, würden wahrscheinlich ein extrem großer Teil der Installationen nicht mehr zu 100% laufen. Das traut sich nicht mal Loxone.

Darüber hinaus hätten sie einen der größten Vorteile dann verspielt. Somit wäre Loxone für viele uninteressant geworden. Das kann ich mir beim besten Willen nicht vorstellen das die Überheblichkeit dann soweit reicht.

Also machen wir uns mal vorerst keine größeren Sorgen.

Sollte Loxone das allerdings auch bei den Websrrvicrs durchziehen wäre das der sichere Rauswurf aus meiner Installationen. Aber das hoffen wir mal nicht.

[svethi]

Nun mal keine Panik. Ich kann mit das RESTAPI auch einfach nicht vorstellen, da der Trafic so ja noch viel größer werden würde, aber selbst wenn, wir wollen die Kommunikation zum MS ja in Zukunft eh über den LB kapseln.

[hismastersvoice]

Warum sollte ich wenn nicht nötig den Traffic über den LB laufen?

[svethi]

Nun, ganz einfach, wenn die Kommunikation nur noch per Token funktioniert die auch noch immer getauscht werden müssen, brauchst Du Dich über diesen Weg nicht mehr drum kümmern. Eventuell wird die Kommunikation später auch direkt über Websocket abgebildet, dann bräuchten nicht alle Plugin etc. Eigene Verbindungen aufbauen

[hismastersvoice]

Ja ok, das wäre nur wenn....
...dann ist mir das schon klar.

Das mit einem gemeinsamen Soket halte ich für eine gute Idee.

[Christian Fenzl]

Das WebSockets-Thema werden wir mal aufschieben und abwarten.

Was ich aber auf der LoxBerry-Roadmap sehe, ist die Token Based Authentication per REST.
Das ist weitaus weniger komplex zu implementieren als WebSockets, bietet aber doch endlich eine sicherere Kommunikation zwischen LoxBerry und Miniserver (wenn schon SSL am Miniserver nicht geht).

Das Konzept dazu gibt es auch schon:

https://github.com/mschlenstedt/Loxberry/issues/372

Wenn die Modul-Funktion get_miniservers (für Perl und PHP) genutzt wird, lässt sich das mit einer System-Einstellung sogar vollständig transparent für die Plugins anbieten (Bridging aus -> Modul liefert Miniserver-Daten, Bridging ein -> Modul liefert die lokalen Bridge-Daten).

Später lässt sich das dann auch immer - wiederum transparent - auf Websockets umstellen, wovon die Plugins dann noch nicht mal etwas merken.

[baldaum]

Hier die nächste Antwort vom Loxone Support:

Danke für die Rückmeldung.

Es geht hier lediglich um den Verbindungsaufbau zwischen App/Webinterface zum Miniserver.

[hismastersvoice]

Das hatte ich mir schon gedacht. Sehr gut...

[OmerBeg]

3. Wenn für REST die Token-based Auth kommt, werden wir das sofort in LoxBerry einbauen, und wenn es Nächte dauert, und dann auch ein entsprechendes Gateway machen.

Danke dafür, ehrlich.