Hey zusammen, ich möchte gerne mit einem ESP8266 Board Emails auf meinen Emailaccount versenden. Szenario: ESP8266 schläft, wacht nach einer bestimmten Zeit auf, misst einen Wert und sendet ihn per Email weiter und schläft dann wieder. Dafür muss sich der ESP8266 in mein WLAN Netz einwählen. Ich habe das bereits versucht und das klappt auch. Jetzt aber zu meiner Frage (da ich mich in Sachen Internetsicherheit überhaupt nicht auskenne): kann man sich über ein ESP8266 in das zugehörige WLAN einhacken und dort Schaden usw. anrichten (Passwörter auslesen, Daten einsehen) bzw. kennt jemand so einen Fall, bei dem das schon mal vorkam? Ich verwende diesen Code hier (da muss eben das WLAN Passwort angegeben werden, IP Adresse usw...). Vielleicht kennt ihr euch in diesem Thema ein bisschen aus und könnt mir weiterhelfen. http://forum.arduino.cc/index.php?topic=328663.0
Ich würde das prinzipiell nur mit einem GastWLAN machen, dann muss ich darüber nicht grübeln. Wobei die Frage sicher berechtigt ist. Aber es gibt eben keine 100%. Ein WLAN ist von Natur aus nicht geschlossen und daher angreifbar. Ist nur die Frage nach Aufwand und Nutzen. Du hantierts mit einem "IOT" Gerät, also geh davon aus das es unsicher ist. FEDDICH. Selbst wenn er Heute sicher ist, was ist Morgen ?
Theoretisch könnte man die PWs auslesen, wenn man an den ESP kommt. Dies ist aber mehr oder weniger aufwendig... Der ESP wird aber wohl nicht frei zugänglich hängen. Der Email-Zugang über HTTP ist auch nicht verschlüsselt... evtl. gibt es schon eine Umsetzung mit HTTPS? Die Software von Arduino hat eine große Community und eine Backdoor in der Lib halte ich für sehr unwahrscheinlich. Die Sourcen liegen meines Wissen nach offen und kann man sich ja anschauen. Eine Backdoor in den ESP ist mir auch nicht bekannt. Die WPA Verschlüsselung des WLANs ist zZ sicher, Bei allen Punkten lasse mich aber gerne eines Besseren belehren. VG Ert
Da die Software auf einer Firmware basiert, die der Chinesische Chiphersteller ausschließlich in binär-form zur Verfügung stellt und auch nicht alle Detail zur Programmierung des Chips veröffentlicht hat, halte ich das Risiko für eine Backdoor und Sicherheitslücken für hoch. Man kann es nicht einmal überprüfen. Deswegen schließe ich mich dem Ratschlag von einem Namensvetter an: Stephan schrieb: > Ich würde das prinzipiell nur mit einem GastWLAN machen Was den Email-Versand angeht: Für ernsthafte Verschlüsselung mit SSL/TLS und validierten Zertifikaten hat der ESP zu wenig Leistung. Die Mails, die das Ding sendet, sind daher in der Regel unverschlüsselt und nicht gegen Spionage und Manipulation gesichert. Für wichtige Emails könntest du einen lokalen Mailserver aufstellen und die Mails dorthin schicken. Der kann sie dann ggf. verschlüsselt weiter leiten.
Danke für die Antworten. Ja das mit dem Gast Wlan ist denk ich eine gute und sichere Wahl. Habe gerade diesen Artikel von Kaspersky gelesen. https://www.kaspersky.de/blog/guest-wifi/17693/
Hallo, Stefanus F. schrieb: > Da die Software auf einer Firmware basiert, die der Chinesische > Chiphersteller ausschließlich in binär-form zur Verfügung stellt und > auch nicht alle Detail zur Programmierung des Chips veröffentlicht hat, > halte ich das Risiko für eine Backdoor und Sicherheitslücken für hoch. von welchem Teil der Firmware sprichst Du konkret? > Man kann es nicht einmal überprüfen. Stimmt. Die Meldungen über Traffic zu chinesischen Servern, den die ESPs heimlich erzeugen, reißen ja nicht ab. Leider sind die Nutzer ja auch noch alles Leute, die garnicht in der Lage wären, den Traffic ihres Routers ins Internet irgenwie zu überprüfen. Auch die heimlich auf den ESPs installierte Zusatzsoftwar fällt garnicht auf, es gibt ja nichtmal einen Virenscanner für die ESPs... Falls Du da Sarkasmus entdecken solltest: Ich bin für Sicherheit im eigenen Netz und von- und nach außen. Ich bin gegen primitive Panikmache, die hilft niemanden wirklich. Gruß aus Berlin Michael
Michael U. schrieb: > von welchem Teil der Firmware sprichst Du konkret? Von dem binären Teil, der ohne Quelltext veröffentlicht wird. Im ESP8266 NONOS SDK 3.0 (https://github.com/espressif/ESP8266_NONOS_SDK/releases/tag/v3.0) sind es die Dateien im Verzeichnis lib. Das sind insgesamt 10MB Binärcode ohne Quelltext, darin kann einiges versteckt sein. Wenn du Dir mal den sonstigen Inhalt des Paketes anschaust wirst du sehen, dass darin fast kein Source Code enthalten ist. Nur Anwendungsbeispiele für die Binären Libraries und Bild Scripte.
Hallo, Stefanus F. schrieb: > Von dem binären Teil, der ohne Quelltext veröffentlicht wird. ein Teil davon sind die Objectdateien von Komponenten, deren Source verfügbar ist, LWIP-Stack usw. Ist aber für mich hier auch garkein Problem. Für mich ist die Entscheidungsgrundlage: was kann das Teil tun, was ich nicht will und was tut es davon wirklich. Die ESPs sind soweit verbreitet, daß die Community schon aufgeheult hätte, wenn da auch nur ein Byte ungefragt in die Welt geschickt werden würde. Im Gegensatz zu Handy, TV, Mediabox usw. usw. bin letztlich ich derjeneige, der diese Komponenten vom Grundatz her mit meiner Software überhaupt erst aktiviert. Selbst die Wahrscheinlichkeit, das jemand mit meinem ESP von außen Unfug anstellen könnte (Software einschleusen,Botnetz usw.) schätze ich mit 0 ein. Einerseits müßte ich dazu den Port erst vorwarden oder es müßte einer der üblichen Angriffe beim holen einer Webseite (JS, PlugIns, versteckte Links usw. usw.) sein. Da läuft dann aber keine Software, die darauf reagieren könnte. Natürlich könnte man jetzt sagen: das hat Espressif alles in den Closed Sources versteckt. Dann müßten sie aber auch noch einen 200MHz Core mit Ram usw. versteckt haben, damit es keiner merkt... Wenn ich auf einem RasPi ein fertiges Image aus dem Netz raufwerfe, das beabschtigt für die Funktion Internetzugriff haben soll, ist die Chance sehr viel größer, das da jemand böses einbaut und es mir unterjubelt. Genauso bei jeder Handy-App, die ich wirklich nutzen will und die um alle möglichen Rechte bettelt. Da muß ich dann auch vertrauen oder nicht nutzen. Die Prüfmöglichekit für mich ist da weit geringer als bei der ESP-Nutzung. Gruß aus Berlin Michael
Michael U. schrieb: > Da muß ich dann auch vertrauen oder nicht nutzen. Richtig. Ich nutze die Teile zu Hause ja auch gerne. Nur auf der Arbeit sind sie halt strikt verboten, wo es um Datenschutz und Bezahlvorgänge geht. Dort darf ich nicht einmal meine (ESP8266 basierte) Uhr ans Gäste-Netz hängen.
Stefanus F. schrieb: > Da die Software auf einer Firmware basiert, die der Chinesische > Chiphersteller ausschließlich in binär-form zur Verfügung stellt und > auch nicht alle Detail zur Programmierung des Chips veröffentlicht hat, > halte ich das Risiko für eine Backdoor und Sicherheitslücken für hoch. Ich halte es für den Hersteller für sehr riskant einen Backdoormechanismus in seine Produkte einzubauen. Je größer der Anwenderkreis ist, um so größer ist die Gefahr, dass der Mechanismus irgend jemand auffällt. Dies würde sich in Windeseile in der Internetkommunity verbreiten und den Ruf des Produzenten nachhaltig schädigen. schönen Abend GEKU
Nils P. schrieb: > Der Email-Zugang über HTTP ist auch nicht verschlüsselt... evtl. gibt es > schon eine Umsetzung mit HTTPS? Mails werden per SMTP verschickt! Manche Leute glauben scheinbar, HTTP(S) wäre das einzige Protokoll im Netz. Daß die ESP8266-Blobs kontaminiert sind glaub ich auch nicht, daß die gehärtet sind, und da nicht ganz schnell Buffer-Overflows provoziert werden können aber genauso wenig. Also entweder ins Gastnetz damit, oder gleich ein eigenes IoT-WLAN aufmachen. Dafür reicht ein 18€-Rouer mit OpenWRT. Und natürlich auf keinen Fall einen Port von Außen auf die Dinger aufmachen. Wenn man das alles beachtet, halte ich die Dinger für unbedenklich.
GEKU schrieb: > Dies würde sich in Windeseile in der > Internetkommunity verbreiten und den Ruf des Produzenten nachhaltig > schädigen. Vor allem gibt es User die das Backdoor einfach rauspatchen würden. Sprudel schrieb: > Ich verwende diesen Code hier (da muss eben das WLAN Passwort angegeben > werden, IP Adresse usw...). Vielleicht kennt ihr euch in diesem Thema > ein bisschen aus und könnt mir weiterhelfen. Wenn man physischen Zugriff auf den ESP hat, ja! Wenn du anstatt den ESP8266 den ESP32 nimmst, kannst du das Passwort hardwareentcrypted speichern. Zudem brauchst du kein externen eMail-Server auf dem du dich einglogst. Du bist einfach selbst der Server (das machen Spam-Bots so). Dieser verbindet sich dann zum eMail-Server im Internet. Dazu musst du aber in deinem eMail-Server diesen freigeben, sonst landest du sofort als SPAM.
Raph schrieb: > Zudem brauchst du kein externen eMail-Server auf dem du dich einglogst. > Du bist einfach selbst der Server (das machen Spam-Bots so). Dieser > verbindet sich dann zum eMail-Server im Internet. Dazu musst du aber in > deinem eMail-Server diesen freigeben, sonst landest du sofort als SPAM. Nicht erforderlich! Praktisch alle FreeMailer lassen auch den Zudriff via SMTP/POP3/IMAP zu (sonst würden Outlook/Thunderbird etc. nicht funktionieren) Mit den selben Zugangsdaten kann auch der ESP Mails versenden. (per SMTP) Idealerweise richtet man sich für den ESP einen eigenen (weiteren) Account ein.
Harry L. schrieb: > Raph schrieb: >> Zudem brauchst du kein externen eMail-Server auf dem du dich einglogst. >> Du bist einfach selbst der Server (das machen Spam-Bots so). Dieser >> verbindet sich dann zum eMail-Server im Internet. Dazu musst du aber in >> deinem eMail-Server diesen freigeben, sonst landest du sofort als SPAM. > > Nicht erforderlich! > Praktisch alle FreeMailer lassen auch den Zudriff via SMTP/POP3/IMAP zu > (sonst würden Outlook/Thunderbird etc. nicht funktionieren) > > Mit den selben Zugangsdaten kann auch der ESP Mails versenden. (per > SMTP) > Idealerweise richtet man sich für den ESP einen eigenen (weiteren) > Account ein. Aber dann kann man ohne TLS etc in einem freien WLAN das Passwort gestolen bekommen. Deshalb soll er sich als Server ausgeben.
Raph schrieb: > Aber dann kann man ohne TLS etc in einem freien WLAN das Passwort > gestolen bekommen. Deshalb soll er sich als Server ausgeben. Dazu der separate Account, und, wenn dein WLAN so unsicher ist, daß dein 70-jähriger Nachbar dich "hacken" kann, hast du sowieso ganz andere Probleme. Die ESP sind dann ohnehin ein offenes Buch.
Harry L. schrieb: > Dazu der separate Account, und, wenn dein WLAN so unsicher ist, daß dein > 70-jähriger Nachbar dich "hacken" kann, hast du sowieso ganz andere > Probleme. Ganz schön dämlich! Hoffen und beten bringen in der IT nix! Siehe {hier belibigen Hersteller eintragen}...
Raph schrieb: > Harry L. schrieb: >> Dazu der separate Account, und, wenn dein WLAN so unsicher ist, daß dein >> 70-jähriger Nachbar dich "hacken" kann, hast du sowieso ganz andere >> Probleme. > > Ganz schön dämlich! Hoffen und beten bringen in der IT nix! Siehe {hier > belibigen Hersteller eintragen}... Du hast echt nix verstanden oder ne Leseschwäche!
Harry L. schrieb: > Raph schrieb: >> Harry L. schrieb: >>> Dazu der separate Account, und, wenn dein WLAN so unsicher ist, daß dein >>> 70-jähriger Nachbar dich "hacken" kann, hast du sowieso ganz andere >>> Probleme. >> >> Ganz schön dämlich! Hoffen und beten bringen in der IT nix! Siehe {hier >> belibigen Hersteller eintragen}... > > Du hast echt nix verstanden oder ne Leseschwäche! Bei deiner Einstellung ändert auch eine Leseschwäche nichts an der Dämlichkeit...
Summa summarum ist also ein GastWlan eine einfache und sichere Lösung in Bezug auf die Sicherheit. Richtig?
Sprudel schrieb: > Summa summarum ist also ein GastWlan eine einfache und sichere > Lösung in Bezug auf die Sicherheit. Richtig? Es könnte sich immer noch jemand ins Gastnetz einhacken (oder ohne Passwort nutzen, falls du das erlaubst) und sich dann in den ESP einhacken. Von da aus kommt er aber nicht weiter, weil das Gastnetz ja weitgehend vom Hauptnetz isoliert ist. Also ja, für gewöhnliche Anwendungen sollte das reichen. Wenn du allerdings mit deinem ESP unverschlüsselte Kommunikation zu irgendeinem Server im Internet aufbaust, dann ist das wieder unsicher. Es kommt also sehr darauf an, wie sensibel die Informationen sind, die du da überträgst und wie weit du deinem Internet Provider vertraust, Bösewichte von deiner Leitung fern zu halten. Zur Übertragung von Geheimnissen würde ich unverschlüsselte Verbindungen nicht nutzen. Bei Dir geht es nicht um Geheimnisse, richtig?
Hallo, Stefanus F. schrieb: > Es könnte sich immer noch jemand ins Gastnetz einhacken (oder ohne > Passwort nutzen, falls du das erlaubst) und sich dann in den ESP > einhacken. Von da aus kommt er aber nicht weiter, weil das Gastnetz ja > weitgehend vom Hauptnetz isoliert ist. gib mir doch mal bitte irgendeinen theoretischen ansatz, wie Du Dir das Einhacken auf einem ESP vorstellst. Wenn ich z.B. einen Webserver auf dem ESP laufen habe, wird dieser doch nur genau auf das reagieren, was ich da als Auswertung der Daten reinprogrammiert habe. Das gilt doch auch für UDP-Pakete usw. usw. Was könnte ich denn theoretisch dem ESP unterjubeln, damit der irgendwas macht, was ich nicht will? Die Frage ist durchaus ernst gemeint. Annahme: ich sende mit dem ESP eine Email an eine fest hinterlegte Adresse, unverschlüsselt. Wie durch einen Hack z.B. den Inhalt der Mail fälschen? Wie die Zieladresse ändern? Den Inhalt mitlesen, weil unverschlüsselt, lasse ich mal außen vor, weil das ein generelles Problem außerhalb des ESP wäre. Soweit ich weiß, ist Emailversand mit SSL/TSL Verbindung zum Mailprovider möglich, das werde ich aus Interesse auf jeden Fall mal testen. Da wäre der Status "von außen" also gelich dem, wenn ich die Mail von PC o.ä. versende. Wie ist das bei ThingSpeak u.ä.? Nutze ich selbst nicht. Gruß aus Berlin Michael
Ich denke mit dem Gast WLAN wie ich oben schrieb ist das die einfachste Möglichkleit. Sofern es der Router zuläßt würde es sich ja sogar noch MAC basierend auf die Spitze treiben lassen. Sofern der ESP keine Möglichkeit für SSL/TLS hat muss er ja dort zusätzlich noch eine Mail Instanz betreiben, da die Provider auf TCP Port 25 eh nix mehr annehmen. Wobei ein/mehrere VLAN noch deutlich mehr Möglichkeiten bietet. Sofern sich in dem Netz noch andere IOTs tummeln wie Kameres,Robbys etc. wird das Angrifszenatio natürlich noch deutlich komplexer. Man könnte ja von einem IOT zum anderen springen bis man eines mit Gateway gefunden hat ..... das Thema kann durchaus komplex werden.
Stefanus F. schrieb: > Wenn du allerdings mit deinem ESP unverschlüsselte Kommunikation zu > irgendeinem Server im Internet aufbaust, dann ist das wieder unsicher. Naja also meine Anwendung ist es, dass der Esp einmal am Tag aufwacht und eine Email an smtp2go sendet und von dort aus sendet smtp2go sie weiter an meine private Emailadresse. Der Inhalt der Nachricht ist nur ein Temperaturwert. Im Code muss ich den Accountnahmen und das Passwort meines smtp2go Accounts sowie meines Wlan Netzwerkes (SSID, IP Adresse, Subnetz, Gateway und Passwort <-- diese Infos dann eben vom Gastwlan) und meine private E-Mailadresse (nicht das Passwort) eingeben. Also alles so wie in diesem Beispielcode, den ich oben verlinkt habe. Wenn jemand den Code sieht, kann er alle oben genannten Informationen lesen. Ist das in dem Fall eine unverschlüsselte Verbindung? Also ich baue ja tatsächlich eine Verbindung zu smtp2go auf. Aber was kann passieren, wenn jemand an die Account Daten rankommt? Sorry für meine laienhafte Erklärung, hatte eben noch nie den großen Durchblick in Netzwerkgeschichten
Sprudel schrieb: > aja also meine Anwendung ist es, dass der Esp einmal am Tag aufwacht > und eine Email an smtp2go sendet und von dort aus sendet smtp2go sie > weiter an meine private Emailadresse. Der Inhalt der Nachricht ist nur > ein Temperaturwert. Was ein Umstand! Sowas macht man mit MQTT!
Harry L. schrieb: > Was ein Umstand! > > Sowas macht man mit MQTT! naja ich möchts halt gerne mit Email machen, da ich hier jetzt auch schon viel Arbeit reingesteckt habe. Achja, wenn jemand irgendwie an den Temperaturwert rankommen sollte, kann er sich freuen und sonst was mit ihm anstellen. Mir gehts nur drum, dass sich keiner in mein Netzwerk/Emailaccount und sonst wo reinhackt (ich verweise nochmal auf meinen Beitrag von 11:16)
Michael U. schrieb: > gib mir doch mal bitte irgendeinen theoretischen Ansatz, wie Du Dir das > Einhacken auf einem ESP vorstellst. Dazu müsste man eine Lücke finden, die man ausnutzen kann. Ist sicher nicht einfach, solange keine solche öffentlich bekannt ist. > wird dieser doch nur genau auf das reagieren, was ich da als > Auswertung der Daten reinprogrammiert habe Er reagiert auf deutlich mehr. Zum Beispiel ist die binäre Firmware dafür zuständig, das Modul im WLAN Netz anzumelden. Auch ARP Pakete beantwortet es vollautomatisch. Da könnte irgendein Bug drin sein, der zutage tritt, wenn man absichtlich ein kaputtes Ethernet Paket an das Modul schickt. Man hat ja auch PC's gehackt, indem man kaputte Bilder auf Webseiten platziert oder kaputte Office Dokumente per Email verschickt. > Wie durch einen Hack z.B. den Inhalt der Mail fälschen? Jemand, der Zugang zu deiner Internet-Verbindung hat (also wohl am ehesten irgendein böser Mitarbeiter beim Internet Provider oder jemand der sich dor eingehackt hat) kann die Kommunikation abfangen, mitlesen und modifizieren. > Soweit ich weiß, ist Emailversand mit SSL/TSL Verbindung zum > Mailprovider möglich Ich habe ausdrücklich von einer unverschlüsselten Verbindung geschrieben. Die Sicherheit von SSL/TLS hängt ganz stark von der Validierung der Zertifikate ab, und genau das kann der ESP8266 nicht in dem Umfang leisten, wie wir es von PC Software gewohnt sind. Ein Hacker könnte seinen Rechner in die Verbindung einschleifen und Dir sein Zertifikat schicken. Der ESP würde das Zertifikat eventuell nicht als Fälschung erkennen. Certificate Pinning ist hier eine gängige Gegenmaßnahme. Sprudel schrieb: > Aber was kann passieren, wenn jemand an die Account Daten rankommt? Nun, ich kenne smtp2go nicht und ob man sich damit sicher verbindet. Wenn jemand an deine Account Daten kommt, kann er in deinem Namen den Bürgermeister der Stadt mit einer Morddrohung belästigen. Dann hast Du ein Problem.
Sprudel schrieb: > Ist das in dem Fall eine unverschlüsselte Verbindung? Ja > Also ich baue ja > tatsächlich eine Verbindung zu smtp2go auf. Aber was kann passieren, > wenn jemand an die Account Daten rankommt? Dann kann er z.B. mit deinem Account (und damit in deinem Namen) über SMTP2Go SPAM und schlimmeres verschicken. Ich würd ja versuchen, meine Hausautomatisierung auch im Haus zu lassen, und da möglichst ohne externe Cloud-Dienste auszukommen. Das genannte MQTT wär da eine Option. Kriegst du problemlos auf vielen Routern, NAS, altem Händie u.Ä. installiert, braucht nur minimal Resourcen, Messwerte vom ESP darin zu speichern ist fast schon trivial, trotzdem kannst du später ohne große Anpassungen ein "großes" System wie OpenHAB oder FHEM dran koppeln. Aber auch ohne sowas gibt's Android Apps/Widgets, die dir Messwerte aus dem MQTT visualisieren können. Zugriff von unterwegs dann über VPN.
Stefanus F. schrieb: > Wenn jemand an deine Account Daten kommt, kann er in deinem Namen den > Bürgermeister der Stadt mit einer Morddrohung belästigen. Dann hast Du > ein Problem. kann man das nicht einfach auch so? Einen Emailaccount auf meinen Namen erstellen oder nen Brief mit meinem Absender verschicken? :D Könnte ja zur Not eine eigene Emailadresse nur für diesen ESP Zweck anlegen
Sprudel schrieb: > naja ich möchts halt gerne mit Email machen, da ich hier jetzt auch > schon viel Arbeit reingesteckt habe. Ach ja? Und deshalb willst du jetzt noch mehr Arbeit in diesen grundlegend falschen und zudem unsicheren Ansatz investieren? Sehr merkwürdige Logik! Warum fragst du hier eigentlich, wenn dich die richtige Vorgehensweise gar nicht interessiert?
:
Bearbeitet durch User
Wie funktioniert denn das mit MQTT? Habe im Internet nicht so viel gefunden.
Sprudel schrieb: > Wie funktioniert denn das mit MQTT? Habe im Internet nicht so viel > gefunden. Wenn es bereits mit der Web-Suche hapert... Das Netz ist voll von Infos. MQTT ist DER Standard für SmartHome.
Sprudel schrieb: > Wie funktioniert denn das mit MQTT? Habe im Internet nicht so viel > gefunden. https://www.heise.de/developer/artikel/Kommunikation-ueber-MQTT-3238975.html https://pubsubclient.knolleary.net/index.html
1 | WiFiClient wlan; |
2 | PubSubClient mqtt(wlan); |
3 | AM2320 AMsensor; |
4 | |
5 | void setup() { |
6 | // wlan connect...
|
7 | ...
|
8 | mqtt.setServer(mqtt_server, 1883); |
9 | ...
|
10 | }
|
11 | |
12 | void loop() { |
13 | ...
|
14 | AMsensor.read(); |
15 | |
16 | String vat(AMsensor.t,4); |
17 | String vah(AMsensor.h,4); |
18 | mqtt.publish("sensors/" sensor "/temperature", vat.c_str(),false); |
19 | mqtt.publish("sensors/" sensor "/humidity", vah.c_str(),false); |
20 | ...
|
21 | }
|
Sprudel schrieb: > kann man das nicht einfach auch so? Einen Emailaccount auf meinen Namen > erstellen oder nen Brief mit meinem Absender verschicken? Ja schon, nur kannst du dann einfach ehrlich behaupten, das sei nicht dein Account. Aber wenn die Polizei herausfindet, dass der verwendete Account wirklich deiner ist, bist du am Arsch. Die Absender-Email-Adresse ist unabhängig davon sehr leicht fälschbar, wie bei einer Postkarte. Das wissen die Behörden aber.
ganz so ernst meinte ich das nicht, dass ich nichts finde im Internet. Aber trotzdem habe ich noch die ein oder andere Frage: kann man MQTT auch nutzen, wenn man sich in einem anderen Netzwerk (also nicht im selben WLAN wie der ESP) befindet? Ich möchte eben auch die Nachricht empfangen, wenn ich außer Haus bin. Habe gesehen, dass man zum Senden einer Nachricht vom ESP (z.B. eben den Temperaturwert) einen Publisher bzw. Broker braucht, der die Nachrichten dann z.B. auf mein Handy sendet. Stimmt das oder geht das auch ohne diesen zusätzlichen Publisher wie z.B. ein Raspberry Pi?
Der Broker sendet nicht aktiv an dein Smartphone sondern er sammelt die Daten ein. Über ein Web-Interface oder eine App kannst du die gespeicherten Daten mit dem Smartphone abrufen.
Hallo, Stefanus F. schrieb: > Michael U. schrieb: >> gib mir doch mal bitte irgendeinen theoretischen Ansatz, wie Du Dir das >> Einhacken auf einem ESP vorstellst. > > Dazu müsste man eine Lücke finden, die man ausnutzen kann. Ist sicher > nicht einfach, solange keine solche öffentlich bekannt ist. > >> wird dieser doch nur genau auf das reagieren, was ich da als >> Auswertung der Daten reinprogrammiert habe > > Er reagiert auf deutlich mehr. Zum Beispiel ist die binäre Firmware > dafür zuständig, das Modul im WLAN Netz anzumelden. Auch ARP Pakete > beantwortet es vollautomatisch. Da könnte irgendein Bug drin sein, der > zutage tritt, wenn man absichtlich ein kaputtes Ethernet Paket an das > Modul schickt. ok. Möglich wäre alles, ich bin jetzt mal großzügig. zumindest einen Abstuzr und Neustart kann ich mir da vorstellen. Ärgerlich, aber für mich im Moment kein Sicherheitsrisiko. DHCP, DNS, alls möglich. Nur: das alles bedingt, daß ich erstmal im internen Netzwerk sein muß, um einen derartigen Angriff starten zu können. > Man hat ja auch PC's gehackt, indem man kaputte Bilder auf Webseiten > platziert oder kaputte Office Dokumente per Email verschickt. Auf meinem ESP ist weder ein anfälliger JPEG/GIG/xxx-Decoder/Anzeiger noch irgendein Office oder Adobe-Tool o.ä. zu finden, der irgendeinen bekannten Angriffspunkt haben könnte. Alles übliche beruht auf Fehlern in Software (sehr selten auch Hardware, Meltdown), die müssen zumindest dem Hacker bekannt sein und die angegriffene Komponente auf dem Zielsystem laufen. Das gilt auch für Router, IP-Cams usw. genauso. Die Lücke muß bekannt sein und auf dem System existieren und es muß einen Weg aus dem Internet in dieses System existieren. Der Zugang von Außen ist per default überall da vorhanden, wo ich den Kram aus dem Internet erreichen will... > >> Wie durch einen Hack z.B. den Inhalt der Mail fälschen? > > Jemand, der Zugang zu deiner Internet-Verbindung hat (also wohl am > ehesten irgendein böser Mitarbeiter beim Internet Provider oder jemand > der sich dor eingehackt hat) kann die Kommunikation abfangen, mitlesen > und modifizieren. Das ist ein Punkt, der mit ESPs im Speziellen genau garnichts zu tun hat, sondern ein ganz allgemeines Problem. >> Soweit ich weiß, ist Emailversand mit SSL/TSL Verbindung zum >> Mailprovider möglich > > Ich habe ausdrücklich von einer unverschlüsselten Verbindung > geschrieben. Die Sicherheit von SSL/TLS hängt ganz stark von der > Validierung der Zertifikate ab, und genau das kann der ESP8266 nicht in > dem Umfang leisten, wie wir es von PC Software gewohnt sind. Ein Hacker > könnte seinen Rechner in die Verbindung einschleifen und Dir sein > Zertifikat schicken. Der ESP würde das Zertifikat eventuell nicht als > Fälschung erkennen. > > Certificate Pinning ist hier eine gängige Gegenmaßnahme. Ah ja. Wovon reden wir hier eigentlich? Von jemandem, der von ESP eine Mail versenden will oder von gesicherten Mails z.B. mit brisanten Geschaäftsgeheimnissen? Alle gängenen Provider nutzen TLS/SLL für den Kontakt zwischen Client und Mailserver. Da ist erstmal auch nur der Übertragungsweg bis zum Provier gesichert, nichichs weiter. Ich versende damit auch meine Mails vom PS usw... > Sprudel schrieb: >> Aber was kann passieren, wenn jemand an die Account Daten rankommt? > > Nun, ich kenne smtp2go nicht und ob man sich damit sicher verbindet. Kann man, muß man aber aber nicht, deshalb ja der "VorteiL" im Zusammenhang mit den ESPs. > Wenn jemand an deine Account Daten kommt, kann er in deinem Namen den > Bürgermeister der Stadt mit einer Morddrohung belästigen. Dann hast Du > ein Problem. Naja, es gab und gibt vermutlich viel mehr Leute, die von ihrem PC unbemerkt Spam versenden weil sie sich was eingefangen haben. Da ist dann der Vorteil, daß die SMTP-Zugangsdaten schon griffbereit für den Angreifer rumliegen. Gruß aus Berlin Michael
Michael U. schrieb: > Gruß aus Berlin > Michael Danke für die Antwort. Allgemeine Frage: habe mich jetzt schlauer gemacht bezüglich MQTT. Wo genau ist jetzt der Unterschied in Sachen Sicherheit zwischen "ESP sendet eine Email über meinen SMTP Account" und "ESP sendet eine Nachricht an MQTT Broker (z.B. Adafruit)"? Wenn man sich beispielsweise über das GastWlan auf den ESP hackt und das Passwort meines MQTT Broker Accounts ausliest, kann man damit doch bestimmt auch "dumme Sachen" anstellen oder nicht?
Sprudel schrieb: > Wenn man sich beispielsweise > über das GastWlan auf den ESP hackt und das Passwort meines MQTT Broker > Accounts ausliest, kann man damit doch bestimmt auch "dumme Sachen" > anstellen oder nicht? Du hast es korrekt erkannt. Also denke Dir ein gutes Passwort für das Gastnetz aus, damit da nur vertrauenswürdige Leute rein kommen. 100% Schutz gibt es sowieso nie.
Stefanus F. schrieb: > Dazu müsste man eine Lücke finden, die man ausnutzen kann. Ist sicher > nicht einfach, solange keine solche öffentlich bekannt ist. Mit fuzzing findet man sehr schnell sehr viel mehr als gut sein kann. Sicherlich ist nicht jede der sich durch einen grandiosen Absturz offenbarenden Schwachstellen auch jenseits eines DoS gezielt ausnutzbar, aber allein die Vielzahl der DoS-Schwachstellen ist schon ein überdeutlicher Warnhinweis, dass da irgendwas in der Software doch ziemlich im Argen liegt. Da angeblich der Netzwerkstack wohlbekannt und gut getestet sein soll, bleibt da nur noch der Layer1, also Phy. (Wenig überraschend) genau das, was eben NICHT als Quelltext verfügbar ist...
Ihr könnt mit euren Frit!Boxen und Netzwerk-Halbwissen anstellen, was ishr wollt, "sicher" wird das sowieso nie. Das ist aber auch ziemlich egal, da ihr kein "Ziel" seit, was den Aufwabnd wirklich lohnen würde. Die Gefahr, daß ihr euch mit eurem Windows irgend einen Schädling einfangt, der euch zur Spam-Schleuder macht, ist erheblich größer, als daß jemand eure ESPs kapert. Das Einzige, was hilft, ist wirkliches Wissen um das Netzwerk. Was geht raus? - was geht rein? Mit einer Fritz!Box ist dieses Ideal nicht erreichbar, aber die Sicherheit der Geräte im Gastnetz steht und fällt mit dem Zugang zu diesem Netz. Wer mehr Kontrolle will muß einen anderen Router nutzen, der diese Kontrolle erlaubt, und sich das KnowHow aneignen um den auch sinnvoll einzurichten. Kann man machen - muß man eber nicht. Für paar popelige Temp-Sensoren muß man das sicher nicht. Da reichen paar einfache Regeln: * IoT-Geräte ins Gastnetz * so wenige offene Ports wie möglich * keine eingehenden Verbindungen (Port-Forwarding) falls sowas erforderlich ist -> VPN nutzen! * Getrennte Accounts für private und IoT-Services (MQTT, SMTP, FTP etc.)
:
Bearbeitet durch User
Hallo, c-hater schrieb: > Da angeblich der Netzwerkstack wohlbekannt und gut getestet sein soll, > bleibt da nur noch der Layer1, also Phy. (Wenig überraschend) genau das, > was eben NICHT als Quelltext verfügbar ist... Naja, von welchem WLAN-IC/Modul ist denn da etwas offen? Gruß aus Berlin Michael
Wie will man denn ohne offene Ports durch eine Fritz Box hindurch oder andere Router?
https://www.heise.de/ct/artikel/c-t-uplink-26-9-Live-Hacking-mit-Hacker-Gadgets-4365108.html das meine ich, ist recht interessant
Frage schrieb: > Wie will man denn ohne offene Ports durch eine Fritz Box hindurch oder > andere Router? Harry L. schrieb: > falls sowas erforderlich ist -> VPN nutzen!
Sprudel schrieb: > "ESP sendet eine > Nachricht an MQTT Broker (z.B. Adafruit)"? Wenn man sich beispielsweise > über das GastWlan auf den ESP hackt und das Passwort meines MQTT Broker > Accounts ausliest, kann man damit doch bestimmt auch "dumme Sachen" > anstellen oder nicht? Der Witz an MQTT ist, dass es trivial simpel aufzusetzen ist, extrem wenig Resourcen braucht, und nach dem Installieren mit zero Maintenance einfach läuft. Im Vergleich zu einem Mailserver ist das absolut Deppensicher. Sicher gibt es (große, weitverteilte) Setups, wo so ein Cloud-MQTT Sinn macht. Hausautomatisierung, einzelne Temperatursensoren usw. eher nicht. Bei mir läuft ein mosquitto MQTT-Server am Wlan Router mit. Gibt's auch als fix-und-fertig one-click-install Pakete für diverse NAS. Für Windows und Linux sowieso. ESPs hängen in einem getrennten IoT-"Gast"-Netz. Dieses Netz hat keinen Weg ins Internet, auch nicht unbeschränkt in mein "Haupt-Netz", umgekehrt schon (connection-tracking, NAT). So komm ich von Notebook und Tablet auf Weboberflächen von IOT-Geräten, diese aber von sich aus nirgendwo hin. Wenn mir jemand einen ESP klaut (Hardware-Zugang vor Ort hat), und die Zugangsdaten aus dem Flash ausliest: Er kann in's IoT Netz, und kann mir falsche Temperaturwerte ins Log schreiben. Oder z.B. die Waschmaschine abschalten. Aber er kann nicht über meinen Zugang ins Internet und da Schaden anrichten. Ähnlich, wenn jemand in Funk-Reichweite ist, und irgendwelche hypothetischen Backdoors im ESP8266-Phy-Blob-Code ausnutzt. Geheime Phone-Home Funktionen von ESPs und anderen IoT-Geräten laufen ins Leere und werden im Firewall-Log erfasst. So, Zurück zum Thema: Mach dir da nicht soviele Gedanken, Benutz ein Gast-Wlan, Benutz deinen SMTP2Go-Dienst. Wenn jemand in deinem Gast-Wlan ist, kann er so oder so "in deinem Namen" im Netz agieren. Da fällt ein eventuelles Mitsniffen des SMTP2Go-Passwortes nicht mehr ins Gewicht. Wenn jemand dein SMTP2Go-Passwort von ausserhalb mitliest (MITM), dann ist das wohl eher ein gelangweilter Telekom-Mitarbeiter, Backbone/Peering-Admin oder ein Geheimdienstler. Die hätten noch ganz andere Wege um dir zu schaden. Wenn (Wie auch immer) ein SPAMer dein SMTP2Go-Passwort in die Finger kriegt und darüber versendet, dann (du hast vmtl. den Kostenlos-Account) macht SMTP2Go ganz schnell dicht und sperrt deinen Account.
Alternativ einen einfachen DSL Router direkt am DSL Anschluss und die Fritte am LAN Port dessen. Dazwischen entsteht ein Perimeternetz. Darin alles was IOT ist. Alles lokale dann an die Fritte. So kannst Du von innen auch an die IOT und die IOT von alleine nicht zu Dir. Im DSL Router kannst Du dann mit Whitelists oder Blacklists arbeiten um den Verkehr zu beschränken oder zu erlauben. Es führen viele Wege nach ROM. NUR einen Masterplan muss es geben.
Hallo, zu MQTT erstmal komplett Zustimming, das möchte ich nicht mehr missen. Εrnst B. schrieb: > Sicher gibt es (große, weitverteilte) Setups, wo so ein Cloud-MQTT Sinn > macht. Hausautomatisierung, einzelne Temperatursensoren usw. eher nicht > Bei mir läuft ein mosquitto MQTT-Server am Wlan Router mit. Gibt's auch > als fix-und-fertig one-click-install Pakete für diverse NAS. Für Windows > und Linux sowieso. Bei mir auf einem RasPi zusammen mit FHEM. Vom Internet ist das nicht erreichbar, dafür fehlt mir persöhnlich die Notwendigkeit. Sollte sich diese ergeben, würde ich mir darüber konkrete Gedanken machen. Vermutlich dann VPN-Tunnel, wie es mein Bekannter macht. Ein paar Infodaten stelle ich im Moment (vöilg nutzlos) auf meiner Webseite völlig ungeschützt zu Verfügung. Der RasPi lädt einfach alle 2 Minuten ein Bild, das FHME generiert per ftp dort hoch. > ESPs hängen in einem getrennten IoT-"Gast"-Netz. > Dieses Netz hat keinen Weg ins Internet, auch nicht unbeschränkt in mein > "Haupt-Netz", umgekehrt schon (connection-tracking, NAT). So komm ich > von Notebook und Tablet auf Weboberflächen von IOT-Geräten, diese aber > von sich aus nirgendwo hin. Die ESPs hängen hier in meinem normalen WLAN, wenn jemand in dieses einbricht, kann er mir Porbleme bereiten, nur das kann er dann eben auch ohne ESPs... > Wenn mir jemand einen ESP klaut (Hardware-Zugang vor Ort hat), und die > Zugangsdaten aus dem Flash ausliest: Er kann in's IoT Netz, und kann mir > falsche Temperaturwerte ins Log schreiben. Oder z.B. die Waschmaschine > abschalten. Aber er kann nicht über meinen Zugang ins Internet und da > Schaden anrichten. Unbemerkt verschwinden kann ein ESP hier eigentlich nicht, prinzipiell könnte mich dann FHEM waren, weil der sich nicht mehr meldet. Dann könnte ich z.B. auch mein WLAN Passwort ändern. Wenn er z.B. die Wetteranzeige klat, hätte er auch die Zugangsdaten zu OpenWeatherMap, schadet aber dann auch nicht wirklich. > Ähnlich, wenn jemand in Funk-Reichweite ist, und irgendwelche > hypothetischen Backdoors im ESP8266-Phy-Blob-Code ausnutzt. Ich bin da im Moment noch unsicher, was da eigentlich möglich wäre. DoS oder irgendwelche Abstürze lasse ich da mal raus, die würden konkret nur nerven, hier aber nicht wirklichen Schaden anrichten und auch schnell auffallen. > Geheime Phone-Home Funktionen von ESPs und anderen IoT-Geräten laufen > ins Leere und werden im Firewall-Log erfasst. Zu SMTP2GO auch volle Zustimmung. Gruß aus Berlin Michael
Richtig interessant, was ihr da schreibt. Da lernt man gleich viel dazu. Zu meinem Thema: ich mach mir da jetzt auch keine großen Gedanken, dass da irgendjemand was blödes anstellen könnte. Meine ländliche Gegend ist jetzt eher nicht dafür bekannt, dass da täglich jemand Passwörter klaut und dem Bürgermeister nette anonyme Briefe schreibt. Also kann man hier die Kirche im Dorf lassen (im wahrsten Sinne des Wortes) :D Nichtsdestotrotz interessiert mich das ganze Thema, vor allem, weil man hier im Forum sehr viel dazu lernen kann. Ich hab mir hier mal das Video rausgepickt. Wie findet ihr diese MQTT Lösung (also ich möchte ja die Temperatur auf meinem Handy sehen, auch wenn ich nicht in meinem Heimnetz bin sondern z.B. im Urlaub oder so)? Er macht das mit Adafruit. Und wieso ist hier MQTT jetzt sicherer als ein Email Versand (ich möchte es nur gerne wissen). Danke schon mal. Hier der Link: https://youtu.be/FA8KThapt3U
Es gibt öffentliche MQTT-Broker, da brauchst du nichtmal selber einen aufzusetzen. Dein ESP sendet die Daten da hin. Mit einer MQTT-App auf dem Handy subscribst du dein Topic und siehst die aktuelle Temperatur. Jegliches Gemurke mit Emails und anderem riesigen Overhead sparst du dir. Nimm EspEasy oder Tasmota, klemm da die Temperatursensoren dran.
Oliver S. schrieb: > Nimm EspEasy oder Tasmota Gut im Video machts er ja auch mit einem öffentlichen Broker (Adafruit) und mit der App MQTT Dashboard. Das ist doch, was du meinst, oder?
>Ich meinte wie möchtest du zum Bsp meine Fritz Box angreifen?
Von außen schwierig. Deswegen bringt man das Ziel dazu, von innen
erstmal die Tür aufzumachen. Natürlich gibt es auch immer mal wieder von
außen offene Ports und Protokolle auf irgendwelchen IOT-Buden.
Hi, Du frägst nach email Sicherheit im Betreff, frägst dann aber nach WLAN- und Systemsicherheit. Bzgl. Sicherheit für Daten im Transit für email wäre SMTPS mal ein Ansatz (Libraries dazu gibt es). WLAN mindestens WPA2 und starke Schlüssel. Ein weiterer Ansatz wären die Libraries von AWS mit FreeRtos. Du kannst(Musst) dort Clientzertifikate nutzen. Oder Mongoose OS. Sind beide sehr gut dokumentiert.
Bitte melde dich an um einen Beitrag zu schreiben. Anmeldung ist kostenlos und dauert nur eine Minute.
Bestehender Account
Schon ein Account bei Google/GoogleMail? Keine Anmeldung erforderlich!
Mit Google-Account einloggen
Mit Google-Account einloggen
Noch kein Account? Hier anmelden.