ESP8266 Email Sicherheit?

[Sprudel (Gast)]

Hey zusammen,

ich möchte gerne mit einem ESP8266 Board Emails auf meinen Emailaccount 
versenden. Szenario: ESP8266 schläft, wacht nach einer bestimmten Zeit 
auf, misst einen Wert und sendet ihn per Email weiter und schläft dann 
wieder.
Dafür muss sich der ESP8266 in mein WLAN Netz einwählen.
Ich habe das bereits versucht und das klappt auch.


Jetzt aber zu meiner Frage (da ich mich in Sachen Internetsicherheit 
überhaupt nicht auskenne): kann man sich über ein ESP8266 in das 
zugehörige WLAN einhacken und dort Schaden usw. anrichten (Passwörter 
auslesen, Daten einsehen) bzw. kennt jemand so einen Fall, bei dem das 
schon mal vorkam?

Ich verwende diesen Code hier (da muss eben das WLAN Passwort angegeben 
werden, IP Adresse usw...). Vielleicht kennt ihr euch in diesem Thema 
ein bisschen aus und könnt mir weiterhelfen.

http://forum.arduino.cc/index.php?topic=328663.0

[Stephan (Gast)]

Ich würde das prinzipiell nur mit einem GastWLAN machen, dann muss ich 
darüber nicht grübeln. Wobei die Frage sicher berechtigt ist. Aber es 
gibt eben keine 100%. Ein WLAN ist von Natur aus nicht geschlossen und 
daher angreifbar. Ist nur die Frage nach Aufwand und Nutzen. Du 
hantierts mit einem "IOT" Gerät, also geh davon aus das es unsicher ist. 
FEDDICH. Selbst wenn er Heute sicher ist, was ist Morgen ?

[Nils P. (ert)]

Theoretisch könnte man die PWs auslesen, wenn man an den ESP kommt. Dies 
ist aber mehr oder weniger aufwendig... Der ESP wird aber wohl nicht 
frei zugänglich hängen.

Der Email-Zugang über HTTP ist auch nicht verschlüsselt... evtl. gibt es 
schon eine Umsetzung mit HTTPS?

Die Software von Arduino hat eine große Community und eine Backdoor in 
der Lib halte ich für sehr unwahrscheinlich. Die Sourcen liegen meines 
Wissen nach offen und kann man sich ja anschauen.

Eine Backdoor in den ESP ist mir auch nicht bekannt.

Die WPA Verschlüsselung des WLANs ist zZ sicher,

Bei allen Punkten lasse mich aber gerne eines Besseren belehren.

VG Ert

[Stefan F. (Gast)]

Da die Software auf einer Firmware basiert, die der Chinesische 
Chiphersteller ausschließlich in binär-form zur Verfügung stellt und 
auch nicht alle Detail zur Programmierung des Chips veröffentlicht hat, 
halte ich das Risiko für eine Backdoor und Sicherheitslücken für hoch.

Man kann es nicht einmal überprüfen.

Deswegen schließe ich mich dem Ratschlag von einem Namensvetter an:

Stephan schrieb:
> Ich würde das prinzipiell nur mit einem GastWLAN machen

Was den Email-Versand angeht: Für ernsthafte Verschlüsselung mit SSL/TLS 
und validierten Zertifikaten hat der ESP zu wenig Leistung. Die Mails, 
die das Ding sendet, sind daher in der Regel unverschlüsselt und nicht 
gegen Spionage und Manipulation gesichert.

Für wichtige Emails könntest du einen lokalen Mailserver aufstellen und 
die Mails dorthin schicken. Der kann sie dann ggf. verschlüsselt weiter 
leiten.

[Garagentor (Gast)]

Danke für die Antworten. Ja das mit dem Gast Wlan ist denk ich eine gute 
und sichere Wahl. Habe gerade diesen Artikel von Kaspersky gelesen.

https://www.kaspersky.de/blog/guest-wifi/17693/

[Michael U. (amiga)]

Hallo,

Stefanus F. schrieb:
> Da die Software auf einer Firmware basiert, die der Chinesische
> Chiphersteller ausschließlich in binär-form zur Verfügung stellt und
> auch nicht alle Detail zur Programmierung des Chips veröffentlicht hat,
> halte ich das Risiko für eine Backdoor und Sicherheitslücken für hoch.

von welchem Teil der Firmware sprichst Du konkret?

> Man kann es nicht einmal überprüfen.
Stimmt. Die Meldungen über Traffic zu chinesischen Servern, den die ESPs 
heimlich erzeugen, reißen ja nicht ab. Leider sind die Nutzer ja auch 
noch alles Leute, die garnicht in der Lage wären, den Traffic ihres 
Routers ins Internet irgenwie zu überprüfen.
Auch die heimlich auf den ESPs installierte Zusatzsoftwar fällt garnicht 
auf, es gibt ja nichtmal einen Virenscanner für die ESPs...

Falls Du da Sarkasmus entdecken solltest:
Ich bin für Sicherheit im eigenen Netz und von- und nach außen.
Ich bin gegen primitive Panikmache, die hilft niemanden wirklich.

Gruß aus Berlin
Michael

[Stefan F. (Gast)]

Michael U. schrieb:
> von welchem Teil der Firmware sprichst Du konkret?

Von dem binären Teil, der ohne Quelltext veröffentlicht wird.

Im ESP8266 NONOS SDK 3.0 
(https://github.com/espressif/ESP8266_NONOS_SDK/releases/tag/v3.0) sind 
es die Dateien im Verzeichnis lib. Das sind insgesamt 10MB Binärcode 
ohne Quelltext, darin kann einiges versteckt sein.

Wenn du Dir mal den sonstigen Inhalt des Paketes anschaust wirst du 
sehen, dass darin fast kein Source Code enthalten ist. Nur 
Anwendungsbeispiele für die Binären Libraries und Bild Scripte.

[Michael U. (amiga)]

Hallo,

Stefanus F. schrieb:
> Von dem binären Teil, der ohne Quelltext veröffentlicht wird.

ein Teil davon sind die Objectdateien von Komponenten, deren Source 
verfügbar ist, LWIP-Stack usw.
Ist aber für mich hier auch garkein Problem.
Für mich ist die Entscheidungsgrundlage: was kann das Teil tun, was ich 
nicht will und was tut es davon wirklich. Die ESPs sind soweit 
verbreitet, daß die Community schon aufgeheult hätte, wenn da auch nur 
ein Byte ungefragt in die Welt geschickt werden würde. Im Gegensatz zu 
Handy, TV, Mediabox usw. usw. bin letztlich ich derjeneige, der diese 
Komponenten vom Grundatz her mit meiner Software überhaupt erst 
aktiviert.
Selbst die Wahrscheinlichkeit, das jemand mit meinem ESP von außen Unfug 
anstellen könnte (Software einschleusen,Botnetz usw.) schätze ich mit 0 
ein.
Einerseits müßte ich dazu den Port erst vorwarden oder es müßte einer 
der üblichen Angriffe beim holen einer Webseite (JS, PlugIns, versteckte 
Links usw. usw.) sein. Da läuft dann aber keine Software, die darauf 
reagieren könnte.
Natürlich könnte man jetzt sagen: das hat Espressif alles in den Closed 
Sources versteckt. Dann müßten sie aber auch noch einen 200MHz Core mit 
Ram usw. versteckt haben, damit es keiner merkt...

Wenn ich auf einem RasPi ein fertiges Image aus dem Netz raufwerfe, das 
beabschtigt für die Funktion Internetzugriff haben soll, ist die Chance 
sehr viel größer, das da jemand böses einbaut und es mir unterjubelt.
Genauso bei jeder Handy-App, die ich wirklich nutzen will und die um 
alle möglichen Rechte bettelt.
Da muß ich dann auch vertrauen oder nicht nutzen. Die Prüfmöglichekit 
für mich ist da weit geringer als bei der ESP-Nutzung.

Gruß aus Berlin
Michael

[Stefan F. (Gast)]

Michael U. schrieb:
> Da muß ich dann auch vertrauen oder nicht nutzen.

Richtig. Ich nutze die Teile zu Hause ja auch gerne. Nur auf der Arbeit 
sind sie halt strikt verboten, wo es um Datenschutz und Bezahlvorgänge 
geht. Dort darf ich nicht einmal meine (ESP8266 basierte) Uhr ans 
Gäste-Netz hängen.

[GEKU (Gast)]

Stefanus F. schrieb:
> Da die Software auf einer Firmware basiert, die der Chinesische
> Chiphersteller ausschließlich in binär-form zur Verfügung stellt und
> auch nicht alle Detail zur Programmierung des Chips veröffentlicht hat,
> halte ich das Risiko für eine Backdoor und Sicherheitslücken für hoch.

Ich halte es für den Hersteller für sehr riskant einen 
Backdoormechanismus in seine Produkte einzubauen. Je größer der 
Anwenderkreis ist,  um so größer ist die Gefahr, dass der Mechanismus 
irgend jemand auffällt.  Dies würde sich in Windeseile  in der 
Internetkommunity  verbreiten und den Ruf des Produzenten nachhaltig 
schädigen.

schönen Abend GEKU

[Harry L. (mysth)]

Nils P. schrieb:
> Der Email-Zugang über HTTP ist auch nicht verschlüsselt... evtl. gibt es
> schon eine Umsetzung mit HTTPS?

Mails werden per SMTP verschickt!
Manche Leute glauben scheinbar, HTTP(S) wäre das einzige Protokoll im 
Netz.

Daß die ESP8266-Blobs kontaminiert sind glaub ich auch nicht, daß die 
gehärtet sind, und da nicht ganz schnell Buffer-Overflows provoziert 
werden können aber genauso wenig.

Also entweder ins Gastnetz damit, oder gleich ein eigenes IoT-WLAN 
aufmachen.
Dafür reicht ein 18€-Rouer mit OpenWRT.

Und natürlich auf keinen Fall einen Port von Außen auf die Dinger 
aufmachen.

Wenn man das alles beachtet, halte ich die Dinger für unbedenklich.

[Raph (Gast)]

GEKU schrieb:
> Dies würde sich in Windeseile  in der
> Internetkommunity  verbreiten und den Ruf des Produzenten nachhaltig
> schädigen.

Vor allem gibt es User die das Backdoor einfach rauspatchen würden.

Sprudel schrieb:
> Ich verwende diesen Code hier (da muss eben das WLAN Passwort angegeben
> werden, IP Adresse usw...). Vielleicht kennt ihr euch in diesem Thema
> ein bisschen aus und könnt mir weiterhelfen.

Wenn man physischen Zugriff auf den ESP hat, ja! Wenn du anstatt den 
ESP8266 den ESP32 nimmst, kannst du das Passwort hardwareentcrypted 
speichern.

Zudem brauchst du kein externen eMail-Server auf dem du dich einglogst. 
Du bist einfach selbst der Server (das machen Spam-Bots so). Dieser 
verbindet sich dann zum eMail-Server im Internet. Dazu musst du aber in 
deinem eMail-Server diesen freigeben, sonst landest du sofort als SPAM.

[Harry L. (mysth)]

Raph schrieb:
> Zudem brauchst du kein externen eMail-Server auf dem du dich einglogst.
> Du bist einfach selbst der Server (das machen Spam-Bots so). Dieser
> verbindet sich dann zum eMail-Server im Internet. Dazu musst du aber in
> deinem eMail-Server diesen freigeben, sonst landest du sofort als SPAM.

Nicht erforderlich!
Praktisch alle FreeMailer lassen auch den Zudriff via SMTP/POP3/IMAP zu 
(sonst würden Outlook/Thunderbird etc. nicht funktionieren)

Mit den selben Zugangsdaten kann auch der ESP Mails versenden. (per 
SMTP)
Idealerweise richtet man sich für den ESP einen eigenen (weiteren) 
Account ein.

[Raph (Gast)]

Harry L. schrieb:
> Raph schrieb:
>> Zudem brauchst du kein externen eMail-Server auf dem du dich einglogst.
>> Du bist einfach selbst der Server (das machen Spam-Bots so). Dieser
>> verbindet sich dann zum eMail-Server im Internet. Dazu musst du aber in
>> deinem eMail-Server diesen freigeben, sonst landest du sofort als SPAM.
>
> Nicht erforderlich!
> Praktisch alle FreeMailer lassen auch den Zudriff via SMTP/POP3/IMAP zu
> (sonst würden Outlook/Thunderbird etc. nicht funktionieren)
>
> Mit den selben Zugangsdaten kann auch der ESP Mails versenden. (per
> SMTP)
> Idealerweise richtet man sich für den ESP einen eigenen (weiteren)
> Account ein.

Aber dann kann man ohne TLS etc in einem freien WLAN das Passwort 
gestolen bekommen. Deshalb soll er sich als Server ausgeben.

[Harry L. (mysth)]

Raph schrieb:
> Aber dann kann man ohne TLS etc in einem freien WLAN das Passwort
> gestolen bekommen. Deshalb soll er sich als Server ausgeben.

Dazu der separate Account, und, wenn dein WLAN so unsicher ist, daß dein 
70-jähriger Nachbar dich "hacken" kann, hast du sowieso ganz andere 
Probleme.
Die ESP sind dann ohnehin ein offenes Buch.

[Raph (Gast)]

Harry L. schrieb:
> Dazu der separate Account, und, wenn dein WLAN so unsicher ist, daß dein
> 70-jähriger Nachbar dich "hacken" kann, hast du sowieso ganz andere
> Probleme.

Ganz schön dämlich! Hoffen und beten bringen in der IT nix! Siehe {hier 
belibigen Hersteller eintragen}...

[Harry L. (mysth)]

Raph schrieb:
> Harry L. schrieb:
>> Dazu der separate Account, und, wenn dein WLAN so unsicher ist, daß dein
>> 70-jähriger Nachbar dich "hacken" kann, hast du sowieso ganz andere
>> Probleme.
>
> Ganz schön dämlich! Hoffen und beten bringen in der IT nix! Siehe {hier
> belibigen Hersteller eintragen}...

Du hast echt nix verstanden oder ne Leseschwäche!

[Raph (Gast)]

Harry L. schrieb:
> Raph schrieb:
>> Harry L. schrieb:
>>> Dazu der separate Account, und, wenn dein WLAN so unsicher ist, daß dein
>>> 70-jähriger Nachbar dich "hacken" kann, hast du sowieso ganz andere
>>> Probleme.
>>
>> Ganz schön dämlich! Hoffen und beten bringen in der IT nix! Siehe {hier
>> belibigen Hersteller eintragen}...
>
> Du hast echt nix verstanden oder ne Leseschwäche!

Bei deiner Einstellung ändert auch eine Leseschwäche nichts an der 
Dämlichkeit...

[Sprudel (Gast)]

Summa summarum ist also ein GastWlan eine einfache und sichere Lösung in 
Bezug auf die Sicherheit. Richtig?

[Stefan F. (Gast)]

Sprudel schrieb:
> Summa summarum ist also ein GastWlan eine einfache und sichere
> Lösung in Bezug auf die Sicherheit. Richtig?

Es könnte sich immer noch jemand ins Gastnetz einhacken (oder ohne 
Passwort nutzen, falls du das erlaubst) und sich dann in den ESP 
einhacken. Von da aus kommt er aber nicht weiter, weil das Gastnetz ja 
weitgehend vom Hauptnetz isoliert ist.

Also ja, für gewöhnliche Anwendungen sollte das reichen.

Wenn du allerdings mit deinem ESP unverschlüsselte Kommunikation zu 
irgendeinem Server im Internet aufbaust, dann ist das wieder unsicher.

Es kommt also sehr darauf an, wie sensibel die Informationen sind, die 
du da überträgst und wie weit du deinem Internet Provider vertraust, 
Bösewichte von deiner Leitung fern zu halten.

Zur Übertragung von Geheimnissen würde ich unverschlüsselte Verbindungen 
nicht nutzen. Bei Dir geht es nicht um Geheimnisse, richtig?

[Michael U. (amiga)]

Hallo,

Stefanus F. schrieb:
> Es könnte sich immer noch jemand ins Gastnetz einhacken (oder ohne
> Passwort nutzen, falls du das erlaubst) und sich dann in den ESP
> einhacken. Von da aus kommt er aber nicht weiter, weil das Gastnetz ja
> weitgehend vom Hauptnetz isoliert ist.

gib mir doch mal bitte irgendeinen theoretischen ansatz, wie Du Dir das 
Einhacken auf einem ESP vorstellst.
Wenn ich z.B. einen Webserver auf dem ESP laufen habe, wird dieser doch 
nur genau auf das reagieren, was ich da als Auswertung der Daten 
reinprogrammiert habe. Das gilt doch auch für UDP-Pakete usw. usw. Was 
könnte ich denn theoretisch dem ESP unterjubeln, damit der irgendwas 
macht, was ich nicht will?
Die Frage ist durchaus ernst gemeint.
Annahme: ich sende mit dem ESP eine Email an eine fest hinterlegte 
Adresse, unverschlüsselt. Wie durch einen Hack z.B. den Inhalt der Mail 
fälschen?
Wie die Zieladresse ändern? Den Inhalt mitlesen, weil unverschlüsselt, 
lasse ich mal außen vor, weil das ein generelles Problem außerhalb des 
ESP wäre.
Soweit ich weiß, ist Emailversand mit SSL/TSL Verbindung zum 
Mailprovider möglich, das werde ich aus Interesse auf jeden Fall mal 
testen.
Da wäre der Status "von außen" also gelich dem, wenn ich die Mail von PC 
o.ä. versende.
Wie ist das bei ThingSpeak u.ä.? Nutze ich selbst nicht.

Gruß aus Berlin
Michael

[Stephan (Gast)]

Ich denke mit dem Gast WLAN wie ich oben schrieb ist das die einfachste 
Möglichkleit. Sofern es der Router zuläßt würde es sich ja sogar noch 
MAC basierend auf die Spitze treiben lassen. Sofern der ESP keine 
Möglichkeit für SSL/TLS hat muss er ja dort zusätzlich noch eine Mail 
Instanz betreiben, da die Provider auf TCP Port 25 eh nix mehr annehmen. 
Wobei ein/mehrere VLAN noch deutlich mehr Möglichkeiten bietet. Sofern 
sich in dem Netz noch andere IOTs tummeln wie Kameres,Robbys etc. wird 
das Angrifszenatio natürlich noch deutlich komplexer. Man könnte ja von 
einem IOT zum anderen springen bis man eines mit Gateway gefunden hat 
..... das Thema kann durchaus komplex werden.

[Sprudel (Gast)]

Stefanus F. schrieb:
> Wenn du allerdings mit deinem ESP unverschlüsselte Kommunikation zu
> irgendeinem Server im Internet aufbaust, dann ist das wieder unsicher.

Naja also meine Anwendung ist es, dass der Esp einmal am Tag aufwacht 
und eine Email an smtp2go sendet und von dort aus sendet smtp2go sie 
weiter an meine private Emailadresse. Der Inhalt der Nachricht ist nur 
ein Temperaturwert. Im Code muss ich den Accountnahmen und das Passwort 
meines smtp2go Accounts sowie meines Wlan Netzwerkes (SSID, IP Adresse, 
Subnetz, Gateway und Passwort <-- diese Infos dann eben vom Gastwlan) 
und meine private E-Mailadresse (nicht das Passwort) eingeben. Also 
alles so wie in diesem Beispielcode, den ich oben verlinkt habe. Wenn 
jemand den Code sieht, kann er alle oben genannten Informationen lesen.

Ist das in dem Fall eine unverschlüsselte Verbindung? Also ich baue ja 
tatsächlich eine Verbindung zu smtp2go auf. Aber was kann passieren, 
wenn jemand an die Account Daten rankommt?
Sorry für meine laienhafte Erklärung, hatte eben noch nie den großen 
Durchblick in Netzwerkgeschichten

[Harry L. (mysth)]

Sprudel schrieb:
> aja also meine Anwendung ist es, dass der Esp einmal am Tag aufwacht
> und eine Email an smtp2go sendet und von dort aus sendet smtp2go sie
> weiter an meine private Emailadresse. Der Inhalt der Nachricht ist nur
> ein Temperaturwert.

Was ein Umstand!

Sowas macht man mit MQTT!

[Sprudel (Gast)]

Harry L. schrieb:
> Was ein Umstand!
>
> Sowas macht man mit MQTT!

naja ich möchts halt gerne mit Email machen, da ich hier jetzt auch 
schon viel Arbeit reingesteckt habe.
Achja, wenn jemand irgendwie an den Temperaturwert rankommen sollte, 
kann er sich freuen und sonst was mit ihm anstellen.
Mir gehts nur drum, dass sich keiner in mein Netzwerk/Emailaccount und 
sonst wo reinhackt (ich verweise nochmal auf meinen Beitrag von 11:16)

[Stefan F. (Gast)]

Michael U. schrieb:
> gib mir doch mal bitte irgendeinen theoretischen Ansatz, wie Du Dir das
> Einhacken auf einem ESP vorstellst.

Dazu müsste man eine Lücke finden, die man ausnutzen kann. Ist sicher 
nicht einfach, solange keine solche öffentlich bekannt ist.

> wird dieser doch nur genau auf das reagieren, was ich da als
> Auswertung der Daten reinprogrammiert habe

Er reagiert auf deutlich mehr. Zum Beispiel ist die binäre Firmware 
dafür zuständig, das Modul im WLAN Netz anzumelden. Auch ARP Pakete 
beantwortet es vollautomatisch. Da könnte irgendein Bug drin sein, der 
zutage tritt, wenn man absichtlich ein kaputtes Ethernet Paket an das 
Modul schickt.

Man hat ja auch PC's gehackt, indem man kaputte Bilder auf Webseiten 
platziert oder kaputte Office Dokumente per Email verschickt.

>  Wie durch einen Hack z.B. den Inhalt der Mail fälschen?

Jemand, der Zugang zu deiner Internet-Verbindung hat (also wohl am 
ehesten irgendein böser Mitarbeiter beim Internet Provider oder jemand 
der sich dor eingehackt hat) kann die Kommunikation abfangen, mitlesen 
und modifizieren.

> Soweit ich weiß, ist Emailversand mit SSL/TSL Verbindung zum
> Mailprovider möglich

Ich habe ausdrücklich von einer unverschlüsselten Verbindung 
geschrieben. Die Sicherheit von SSL/TLS hängt ganz stark von der 
Validierung der Zertifikate ab, und genau das kann der ESP8266 nicht in 
dem Umfang leisten, wie wir es von PC Software gewohnt sind. Ein Hacker 
könnte seinen Rechner in die Verbindung einschleifen und Dir sein 
Zertifikat schicken. Der ESP würde das Zertifikat eventuell nicht als 
Fälschung erkennen.

Certificate Pinning ist hier eine gängige Gegenmaßnahme.

Sprudel schrieb:
> Aber was kann passieren, wenn jemand an die Account Daten rankommt?

Nun, ich kenne smtp2go nicht und ob man sich damit sicher verbindet.

Wenn jemand an deine Account Daten kommt, kann er in deinem Namen den 
Bürgermeister der Stadt mit einer Morddrohung belästigen. Dann hast Du 
ein Problem.

[Εrnst B. (ernst)]

Sprudel schrieb:
> Ist das in dem Fall eine unverschlüsselte Verbindung?

Ja

> Also ich baue ja
> tatsächlich eine Verbindung zu smtp2go auf. Aber was kann passieren,
> wenn jemand an die Account Daten rankommt?

Dann kann er z.B. mit deinem Account (und damit in deinem Namen) über 
SMTP2Go  SPAM und schlimmeres verschicken.

Ich würd ja versuchen, meine Hausautomatisierung auch im Haus zu lassen, 
und da möglichst ohne externe Cloud-Dienste auszukommen.

Das genannte MQTT wär da eine Option. Kriegst du problemlos auf vielen 
Routern, NAS, altem Händie u.Ä. installiert, braucht nur minimal 
Resourcen, Messwerte vom ESP darin zu speichern ist fast schon trivial, 
trotzdem kannst du später ohne große Anpassungen ein "großes" System wie 
OpenHAB oder FHEM dran koppeln. Aber auch ohne sowas gibt's Android 
Apps/Widgets, die dir Messwerte aus dem MQTT visualisieren können.

Zugriff von unterwegs dann über VPN.

[Sprudel (Gast)]

Stefanus F. schrieb:
> Wenn jemand an deine Account Daten kommt, kann er in deinem Namen den
> Bürgermeister der Stadt mit einer Morddrohung belästigen. Dann hast Du
> ein Problem.

kann man das nicht einfach auch so? Einen Emailaccount auf meinen Namen 
erstellen oder nen Brief mit meinem Absender verschicken? :D

Könnte ja zur Not eine eigene Emailadresse nur für diesen ESP Zweck 
anlegen

[Harry L. (mysth)]

Sprudel schrieb:
> naja ich möchts halt gerne mit Email machen, da ich hier jetzt auch
> schon viel Arbeit reingesteckt habe.

Ach ja?
Und deshalb willst du jetzt noch mehr Arbeit in diesen grundlegend 
falschen und zudem unsicheren Ansatz investieren?

Sehr merkwürdige Logik!

Warum fragst du hier eigentlich, wenn dich die richtige Vorgehensweise 
gar nicht interessiert?

[Sprudel (Gast)]

Wie funktioniert denn das mit MQTT? Habe im Internet nicht so viel 
gefunden.

[Harry L. (mysth)]

Sprudel schrieb:
> Wie funktioniert denn das mit MQTT? Habe im Internet nicht so viel
> gefunden.

Wenn es bereits mit der Web-Suche hapert...

Das Netz ist voll von Infos.
MQTT ist DER Standard für SmartHome.

[Εrnst B. (ernst)]

Sprudel schrieb:
> Wie funktioniert denn das mit MQTT? Habe im Internet nicht so viel
> gefunden.

https://www.heise.de/developer/artikel/Kommunikation-ueber-MQTT-3238975.html

https://pubsubclient.knolleary.net/index.html

WiFiClient wlan;
PubSubClient mqtt(wlan);
AM2320 AMsensor;

void setup() {
// wlan connect...
...
mqtt.setServer(mqtt_server, 1883);
...
}

void loop() {
...
      AMsensor.read();

      String vat(AMsensor.t,4);
      String vah(AMsensor.h,4);
      mqtt.publish("sensors/" sensor "/temperature", vat.c_str(),false);
      mqtt.publish("sensors/" sensor "/humidity", vah.c_str(),false);
...
}

[Harry L. (mysth)]

http://www.lmdfdg.com/?q=wie+funktioniert+mqtt%3F

[Stefan F. (Gast)]

Sprudel schrieb:
> kann man das nicht einfach auch so? Einen Emailaccount auf meinen Namen
> erstellen oder nen Brief mit meinem Absender verschicken?

Ja schon, nur kannst du dann einfach ehrlich behaupten, das sei nicht 
dein Account.

Aber wenn die Polizei herausfindet, dass der verwendete Account wirklich 
deiner ist, bist du am Arsch.

Die Absender-Email-Adresse ist unabhängig davon sehr leicht fälschbar, 
wie bei einer Postkarte. Das wissen die Behörden aber.

[Sprudel (Gast)]

ganz so ernst meinte ich das nicht, dass ich nichts finde im Internet.
Aber trotzdem habe ich noch die ein oder andere Frage:

kann man MQTT auch nutzen, wenn man sich in einem anderen Netzwerk (also 
nicht im selben WLAN wie der ESP) befindet? Ich möchte eben auch die 
Nachricht empfangen, wenn ich außer Haus bin.

Habe gesehen, dass man zum Senden einer Nachricht vom ESP (z.B. eben den 
Temperaturwert) einen Publisher bzw. Broker braucht, der die Nachrichten 
dann z.B. auf mein Handy sendet. Stimmt das oder geht das auch ohne 
diesen zusätzlichen Publisher wie z.B. ein Raspberry Pi?

[Stefan F. (Gast)]

Der Broker sendet nicht aktiv an dein Smartphone sondern er sammelt die 
Daten ein. Über ein Web-Interface oder eine App kannst du die 
gespeicherten Daten mit dem Smartphone abrufen.

[Michael U. (amiga)]

Hallo,

Stefanus F. schrieb:
> Michael U. schrieb:
>> gib mir doch mal bitte irgendeinen theoretischen Ansatz, wie Du Dir das
>> Einhacken auf einem ESP vorstellst.
>
> Dazu müsste man eine Lücke finden, die man ausnutzen kann. Ist sicher
> nicht einfach, solange keine solche öffentlich bekannt ist.
>
>> wird dieser doch nur genau auf das reagieren, was ich da als
>> Auswertung der Daten reinprogrammiert habe
>
> Er reagiert auf deutlich mehr. Zum Beispiel ist die binäre Firmware
> dafür zuständig, das Modul im WLAN Netz anzumelden. Auch ARP Pakete
> beantwortet es vollautomatisch. Da könnte irgendein Bug drin sein, der
> zutage tritt, wenn man absichtlich ein kaputtes Ethernet Paket an das
> Modul schickt.
ok. Möglich wäre alles, ich bin jetzt mal großzügig. zumindest einen 
Abstuzr und Neustart kann ich mir da vorstellen. Ärgerlich, aber für 
mich im Moment kein Sicherheitsrisiko. DHCP, DNS, alls möglich.
Nur: das alles bedingt, daß ich erstmal im internen Netzwerk sein muß, 
um einen derartigen Angriff starten zu können.

> Man hat ja auch PC's gehackt, indem man kaputte Bilder auf Webseiten
> platziert oder kaputte Office Dokumente per Email verschickt.
Auf meinem ESP ist weder ein anfälliger JPEG/GIG/xxx-Decoder/Anzeiger 
noch irgendein Office oder Adobe-Tool o.ä. zu finden, der irgendeinen 
bekannten Angriffspunkt haben könnte.
Alles übliche beruht auf Fehlern in Software (sehr selten auch Hardware, 
Meltdown), die müssen zumindest dem Hacker bekannt sein und die 
angegriffene Komponente auf dem Zielsystem laufen.
Das gilt auch für Router, IP-Cams usw. genauso. Die Lücke muß bekannt 
sein und auf dem System existieren und es muß einen Weg aus dem Internet 
in dieses System existieren. Der Zugang von Außen ist per default 
überall da vorhanden, wo ich den Kram aus dem Internet erreichen will...
>
>>  Wie durch einen Hack z.B. den Inhalt der Mail fälschen?
>
> Jemand, der Zugang zu deiner Internet-Verbindung hat (also wohl am
> ehesten irgendein böser Mitarbeiter beim Internet Provider oder jemand
> der sich dor eingehackt hat) kann die Kommunikation abfangen, mitlesen
> und modifizieren.
Das ist ein Punkt, der mit ESPs im Speziellen genau garnichts zu tun 
hat, sondern ein ganz allgemeines Problem.

>> Soweit ich weiß, ist Emailversand mit SSL/TSL Verbindung zum
>> Mailprovider möglich
>
> Ich habe ausdrücklich von einer unverschlüsselten Verbindung
> geschrieben. Die Sicherheit von SSL/TLS hängt ganz stark von der
> Validierung der Zertifikate ab, und genau das kann der ESP8266 nicht in
> dem Umfang leisten, wie wir es von PC Software gewohnt sind. Ein Hacker
> könnte seinen Rechner in die Verbindung einschleifen und Dir sein
> Zertifikat schicken. Der ESP würde das Zertifikat eventuell nicht als
> Fälschung erkennen.
>
> Certificate Pinning ist hier eine gängige Gegenmaßnahme.
Ah ja. Wovon reden wir hier eigentlich? Von jemandem, der von ESP eine 
Mail versenden will oder von gesicherten Mails z.B. mit brisanten 
Geschaäftsgeheimnissen?
Alle gängenen Provider nutzen TLS/SLL für den Kontakt zwischen Client 
und Mailserver. Da ist erstmal auch nur der Übertragungsweg bis zum 
Provier gesichert, nichichs weiter.
Ich versende damit auch meine Mails vom PS usw...

> Sprudel schrieb:
>> Aber was kann passieren, wenn jemand an die Account Daten rankommt?
>
> Nun, ich kenne smtp2go nicht und ob man sich damit sicher verbindet.
Kann man, muß man aber aber nicht, deshalb ja der "VorteiL" im 
Zusammenhang mit den ESPs.

> Wenn jemand an deine Account Daten kommt, kann er in deinem Namen den
> Bürgermeister der Stadt mit einer Morddrohung belästigen. Dann hast Du
> ein Problem.
Naja, es gab und gibt vermutlich viel mehr Leute, die von ihrem PC 
unbemerkt Spam versenden weil sie sich was eingefangen haben. Da ist 
dann der Vorteil, daß die SMTP-Zugangsdaten schon griffbereit für den 
Angreifer rumliegen.

Gruß aus Berlin
Michael

[Sprudel (Gast)]

Michael U. schrieb:
> Gruß aus Berlin
> Michael

Danke für die Antwort.

Allgemeine Frage: habe mich jetzt schlauer gemacht bezüglich MQTT.
Wo genau ist jetzt der Unterschied in Sachen Sicherheit zwischen "ESP 
sendet eine Email über meinen SMTP Account" und "ESP sendet eine 
Nachricht an MQTT Broker (z.B. Adafruit)"? Wenn man sich beispielsweise 
über das GastWlan auf den ESP hackt und das Passwort meines MQTT Broker 
Accounts ausliest, kann man damit doch bestimmt auch "dumme Sachen" 
anstellen oder nicht?

[Stefan F. (Gast)]

Sprudel schrieb:
> Wenn man sich beispielsweise
> über das GastWlan auf den ESP hackt und das Passwort meines MQTT Broker
> Accounts ausliest, kann man damit doch bestimmt auch "dumme Sachen"
> anstellen oder nicht?

Du hast es korrekt erkannt. Also denke Dir ein gutes Passwort für das 
Gastnetz aus, damit da nur vertrauenswürdige Leute rein kommen.

100% Schutz gibt es sowieso nie.

[c-hater (Gast)]

Stefanus F. schrieb:

> Dazu müsste man eine Lücke finden, die man ausnutzen kann. Ist sicher
> nicht einfach, solange keine solche öffentlich bekannt ist.

Mit fuzzing findet man sehr schnell sehr viel  mehr als gut sein kann. 
Sicherlich ist nicht jede der sich durch einen grandiosen Absturz 
offenbarenden Schwachstellen auch jenseits eines DoS gezielt ausnutzbar, 
aber allein die Vielzahl der DoS-Schwachstellen ist schon ein 
überdeutlicher Warnhinweis, dass da irgendwas in der Software doch 
ziemlich im Argen liegt.

Da angeblich der Netzwerkstack wohlbekannt und gut getestet sein soll, 
bleibt da nur noch der Layer1, also Phy. (Wenig überraschend) genau das, 
was eben NICHT als Quelltext verfügbar ist...

[Harry L. (mysth)]

Ihr könnt mit euren Frit!Boxen und Netzwerk-Halbwissen anstellen, was 
ishr wollt, "sicher" wird das sowieso nie.

Das ist aber auch ziemlich egal, da ihr kein "Ziel" seit, was den 
Aufwabnd wirklich lohnen würde.

Die Gefahr, daß ihr euch mit eurem Windows irgend einen Schädling 
einfangt, der euch zur Spam-Schleuder macht, ist erheblich größer, als 
daß jemand eure ESPs kapert.

Das Einzige, was hilft, ist wirkliches Wissen um das Netzwerk.

Was geht raus? - was geht rein?

Mit einer Fritz!Box ist dieses Ideal nicht erreichbar, aber die 
Sicherheit der Geräte im Gastnetz steht und fällt mit dem Zugang zu 
diesem Netz.

Wer mehr Kontrolle will muß einen anderen Router nutzen, der diese 
Kontrolle erlaubt, und sich das KnowHow aneignen um den auch sinnvoll 
einzurichten.


Kann man machen - muß man eber nicht.


Für paar popelige Temp-Sensoren muß man das sicher nicht.

Da reichen paar einfache Regeln:

* IoT-Geräte ins Gastnetz
* so wenige offene Ports wie möglich
* keine eingehenden Verbindungen (Port-Forwarding)
falls sowas erforderlich ist -> VPN nutzen!
* Getrennte Accounts für private und IoT-Services (MQTT, SMTP, FTP etc.)

[Michael U. (amiga)]

Hallo,

c-hater schrieb:
> Da angeblich der Netzwerkstack wohlbekannt und gut getestet sein soll,
> bleibt da nur noch der Layer1, also Phy. (Wenig überraschend) genau das,
> was eben NICHT als Quelltext verfügbar ist...

Naja, von welchem WLAN-IC/Modul ist denn da etwas offen?

Gruß aus Berlin
Michael

[Frage (Gast)]

Wie will man denn ohne offene Ports durch eine Fritz Box hindurch oder 
andere Router?

[Frage (Gast)]

Ansonsten solltet ihr euch das einmal anschauen.

https://www.heise.de/thema/c%27t-uplink

[Frage (Gast)]

https://www.heise.de/ct/artikel/c-t-uplink-26-9-Live-Hacking-mit-Hacker-Gadgets-4365108.html

das meine ich, ist recht interessant

[Harry L. (mysth)]

Frage schrieb:
> Wie will man denn ohne offene Ports durch eine Fritz Box hindurch oder
> andere Router?

Harry L. schrieb:
> falls sowas erforderlich ist -> VPN nutzen!

[Frage (Gast)]

Ich meinte wie möchtest du zum Bsp meine Fritz Box angreifen?

[Εrnst B. (ernst)]

Sprudel schrieb:
> "ESP sendet eine
> Nachricht an MQTT Broker (z.B. Adafruit)"? Wenn man sich beispielsweise
> über das GastWlan auf den ESP hackt und das Passwort meines MQTT Broker
> Accounts ausliest, kann man damit doch bestimmt auch "dumme Sachen"
> anstellen oder nicht?

Der Witz an MQTT ist, dass es trivial simpel aufzusetzen ist, extrem 
wenig Resourcen braucht, und nach dem Installieren mit zero Maintenance 
einfach läuft.

Im Vergleich zu einem Mailserver ist das absolut Deppensicher.

Sicher gibt es (große, weitverteilte) Setups, wo so ein Cloud-MQTT Sinn 
macht. Hausautomatisierung, einzelne Temperatursensoren usw. eher nicht.

Bei mir läuft ein mosquitto MQTT-Server am Wlan Router mit. Gibt's auch 
als fix-und-fertig one-click-install Pakete für diverse NAS. Für Windows 
und Linux sowieso.

ESPs hängen in einem getrennten IoT-"Gast"-Netz.
Dieses Netz hat keinen Weg ins Internet, auch nicht unbeschränkt in mein 
"Haupt-Netz", umgekehrt schon (connection-tracking, NAT). So komm ich 
von Notebook und Tablet auf Weboberflächen von IOT-Geräten, diese aber 
von sich aus nirgendwo hin.

Wenn mir jemand einen ESP klaut (Hardware-Zugang vor Ort hat), und die 
Zugangsdaten aus dem Flash ausliest: Er kann in's IoT Netz, und kann mir 
falsche Temperaturwerte ins Log schreiben. Oder z.B. die Waschmaschine 
abschalten. Aber er kann nicht über meinen Zugang ins Internet und da 
Schaden anrichten.

Ähnlich, wenn jemand in Funk-Reichweite ist, und irgendwelche 
hypothetischen Backdoors im ESP8266-Phy-Blob-Code ausnutzt.

Geheime Phone-Home Funktionen von ESPs und anderen IoT-Geräten laufen 
ins Leere und werden im Firewall-Log erfasst.




So, Zurück zum Thema:


Mach dir da nicht soviele Gedanken, Benutz ein Gast-Wlan, Benutz deinen 
SMTP2Go-Dienst.

Wenn jemand in deinem Gast-Wlan ist, kann er so oder so "in deinem 
Namen" im Netz agieren. Da fällt ein eventuelles Mitsniffen des 
SMTP2Go-Passwortes nicht mehr ins Gewicht.

Wenn jemand dein SMTP2Go-Passwort von ausserhalb mitliest (MITM), dann 
ist das wohl eher ein gelangweilter Telekom-Mitarbeiter, 
Backbone/Peering-Admin oder ein Geheimdienstler. Die hätten noch ganz 
andere Wege um dir zu schaden.

Wenn (Wie auch immer) ein SPAMer dein SMTP2Go-Passwort in die Finger 
kriegt und darüber versendet, dann (du hast vmtl. den Kostenlos-Account) 
macht SMTP2Go ganz schnell dicht und sperrt deinen Account.

[Stephan (Gast)]

Alternativ einen einfachen DSL Router direkt am DSL Anschluss und die 
Fritte am LAN Port dessen. Dazwischen entsteht ein Perimeternetz. Darin 
alles was IOT ist. Alles lokale dann an die Fritte. So kannst Du von 
innen auch an die IOT und die IOT von alleine nicht zu Dir. Im DSL 
Router kannst Du dann mit Whitelists oder Blacklists arbeiten um den 
Verkehr zu beschränken oder zu erlauben. Es führen viele Wege nach ROM. 
NUR einen Masterplan muss es geben.

[Michael U. (amiga)]

Hallo,

zu MQTT erstmal komplett Zustimming, das möchte ich nicht mehr missen.

Εrnst B. schrieb:
> Sicher gibt es (große, weitverteilte) Setups, wo so ein Cloud-MQTT Sinn
> macht. Hausautomatisierung, einzelne Temperatursensoren usw. eher nicht
> Bei mir läuft ein mosquitto MQTT-Server am Wlan Router mit. Gibt's auch
> als fix-und-fertig one-click-install Pakete für diverse NAS. Für Windows
> und Linux sowieso.

Bei mir auf einem RasPi zusammen mit FHEM. Vom Internet ist das nicht 
erreichbar, dafür fehlt mir persöhnlich die Notwendigkeit. Sollte sich 
diese ergeben, würde ich mir darüber konkrete Gedanken machen. 
Vermutlich dann VPN-Tunnel, wie es mein Bekannter macht.
Ein paar Infodaten stelle ich im Moment (vöilg nutzlos) auf meiner 
Webseite völlig ungeschützt zu Verfügung. Der RasPi lädt einfach alle 2 
Minuten ein Bild, das FHME generiert per ftp dort hoch.

> ESPs hängen in einem getrennten IoT-"Gast"-Netz.
> Dieses Netz hat keinen Weg ins Internet, auch nicht unbeschränkt in mein
> "Haupt-Netz", umgekehrt schon (connection-tracking, NAT). So komm ich
> von Notebook und Tablet auf Weboberflächen von IOT-Geräten, diese aber
> von sich aus nirgendwo hin.
Die ESPs hängen hier in meinem normalen WLAN, wenn jemand in dieses 
einbricht, kann er mir Porbleme bereiten, nur das kann er dann eben auch 
ohne ESPs...

> Wenn mir jemand einen ESP klaut (Hardware-Zugang vor Ort hat), und die
> Zugangsdaten aus dem Flash ausliest: Er kann in's IoT Netz, und kann mir
> falsche Temperaturwerte ins Log schreiben. Oder z.B. die Waschmaschine
> abschalten. Aber er kann nicht über meinen Zugang ins Internet und da
> Schaden anrichten.
Unbemerkt verschwinden kann ein ESP hier eigentlich nicht, prinzipiell 
könnte mich dann FHEM waren, weil der sich nicht mehr meldet.
Dann könnte ich z.B. auch mein WLAN Passwort ändern.
Wenn er z.B. die Wetteranzeige klat, hätte er auch die Zugangsdaten zu 
OpenWeatherMap, schadet aber dann auch nicht wirklich.

> Ähnlich, wenn jemand in Funk-Reichweite ist, und irgendwelche
> hypothetischen Backdoors im ESP8266-Phy-Blob-Code ausnutzt.
Ich bin da im Moment noch unsicher, was da eigentlich möglich wäre.
DoS oder irgendwelche Abstürze lasse ich da mal raus, die würden konkret 
nur nerven, hier aber nicht wirklichen Schaden anrichten und auch 
schnell auffallen.

> Geheime Phone-Home Funktionen von ESPs und anderen IoT-Geräten laufen
> ins Leere und werden im Firewall-Log erfasst.

Zu SMTP2GO auch volle Zustimmung.

Gruß aus Berlin
Michael

[Sprudel (Gast)]

Richtig interessant, was ihr da schreibt. Da lernt man gleich viel dazu.
Zu meinem Thema: ich mach mir da jetzt auch keine großen Gedanken, dass 
da irgendjemand was blödes anstellen könnte. Meine ländliche Gegend ist 
jetzt eher nicht dafür bekannt, dass da täglich jemand Passwörter klaut 
und dem Bürgermeister nette anonyme Briefe schreibt. Also kann man hier 
die Kirche im Dorf lassen (im wahrsten Sinne des Wortes) :D
Nichtsdestotrotz interessiert mich das ganze Thema, vor allem, weil man 
hier im Forum sehr viel dazu lernen kann. Ich hab mir hier mal das Video 
rausgepickt. Wie findet ihr diese MQTT Lösung (also ich möchte ja die 
Temperatur auf meinem Handy sehen, auch wenn ich nicht in meinem 
Heimnetz bin sondern z.B. im Urlaub oder so)? Er macht das mit Adafruit. 
Und wieso ist hier MQTT jetzt sicherer als ein Email Versand (ich möchte 
es nur gerne wissen).
Danke schon mal.
Hier der Link:

https://youtu.be/FA8KThapt3U

[Oliver S. (phetty)]

Es gibt öffentliche MQTT-Broker, da brauchst du nichtmal selber einen 
aufzusetzen.
Dein ESP sendet die Daten da hin.  Mit einer MQTT-App auf dem Handy 
subscribst du dein Topic und siehst die aktuelle Temperatur.

Jegliches Gemurke mit Emails und anderem riesigen Overhead sparst du 
dir.

Nimm EspEasy oder Tasmota, klemm da die Temperatursensoren dran.

[Sprudel (Gast)]

Oliver S. schrieb:
> Nimm EspEasy oder Tasmota

Gut im Video machts er ja auch mit einem öffentlichen Broker (Adafruit) 
und mit der App MQTT Dashboard. Das ist doch, was du meinst, oder?

[Jonas B. (jibi)]

>Ich meinte wie möchtest du zum Bsp meine Fritz Box angreifen?

Von außen schwierig. Deswegen bringt man das Ziel dazu, von innen 
erstmal die Tür aufzumachen. Natürlich gibt es auch immer mal wieder von 
außen offene Ports und Protokolle auf irgendwelchen IOT-Buden.

[Red A. (latchhammer)]

Hi, Du frägst nach email Sicherheit im Betreff, frägst dann aber nach 
WLAN- und Systemsicherheit.
Bzgl. Sicherheit für Daten im Transit für email wäre SMTPS mal ein 
Ansatz (Libraries dazu gibt es). WLAN mindestens WPA2 und starke 
Schlüssel.

Ein weiterer Ansatz wären die Libraries von AWS mit FreeRtos. Du 
kannst(Musst) dort Clientzertifikate nutzen. Oder Mongoose OS.
Sind beide sehr gut dokumentiert.