Vylepšení zabezpečení v Loxone Cloud DNS
Systém Loxone funguje perfektně bez připojení k internetu. Samozřejmě je také možné ovládat budovu vzdáleně a využívat naše on-line služby. Při vývoji těchto a i dalších funkcí dbají naši interní i externí specialisté na dodržování průmyslových standardů, abychom zajistili co nejbezpečnější systém na trhu.
Systém Loxone je navržen nejen k ochraně obytných a komerčních budov, ale také k ochraně dat a soukromí jejich uživatelů. Narozdíl od IoT řešení neposílá Loxone Miniserver žádná data o chování uživatelů na on-line server. Mnoho uživatelů však chce mít možnost ovládat svou budovu na dálku a využívat meteorologické služby ke zlepšení automatizace. V takových situacích je připojení k internetu nezbytné. Bezpečnostní opatření související s využíváním těchto funkcí jsou pravidelně hodnocena ve spolupráci s odborníky.
Ani nepravděpodobné hrozby nepodceňujeme
Před několika týdny nás kontaktoval kampus Hagenberg z Univerzity aplikovaných věd v Horním Rakousku, se kterým jsme již spolupracovali na několika projektech. Poradní výbor pro bezpečnost nás upozornil na teoretickou možnost, že Loxone Cloud DNS může zaregistrovat neplatnou IP adresu v důsledku falešných datových paketů. To by útočníkovi umožnilo dočasně uložit IP adresu webu, který je podobný webovému rozhraní Loxone, a získat tak přístup k přihlašovacím údajům instalace Loxone.
Aby bylo možné tuto chybu zabezpečení zneužít, bylo by třeba splnit několik podmínek. Útočník by musel znát MAC adresu Loxone Miniserveru; Miniserver by musel být registrován a aktivován u Loxone Cloud DNS a uživatel by se musel pokusit přihlásit v době útoku, protože Miniserver každou minutu aktualizuje IP adresu. Pokud by chtěl útočník místo poškodit, potřeboval by navíc znát fyzickou adresu, kde je Miniserver nainstalován.
Dosud jsme žádný případ zneužití této chyby zabezpečení nezaznamenali.
Bezpečnost uživatelů Loxone a spotřebitelských instalací je pro nás samozřejmě prioritou, protože je jádrem toho, co děláme. Z tohoto důvodu jsme podnikli okamžité kroky, abychom tomuto scénáři útoku zabránili.
Loxone Cloud DNS: vylepšená detekce falešných datových paketů
S požadavkem HTTP můžete číst IP adresu a port Miniserveru, který je nakonfigurován na vašem domácím routeru (používá ho například aplikace pro externí / vzdálený přístup). V odpovědi HTTP bylo odstraněno pole „Časová značka poslední aktualizace“, aby se zabránilo odhalení cyklu aktualizace Miniserveru. Toto opatření bylo provedeno 6. července 2020.
Pokročilé ovládání detekuje potenciální útočníky jakmile se IP adresa změní několikrát za minutu. Potenciální útok lze tedy identifikovat hned po prvním pokusu, v důsledku čehož bude IP adresa údajného útočníka na 24 hodin uvedena na černou listinu. Toto opatření bylo provedeno 16. července 2020.
Bez ohledu na výše uvedené může jedna IP adresa odeslat maximálně 50 aktualizací do Loxone Cloud DNS za minutu. Pokud je toto číslo překročeno, IP adresa bude na 7 hodin na černé listině a během této doby budou všechny aktualizace ignorovány. Toto opatření bylo provedeno 16. července 2020.
Z jedné IP adresy lze do Loxone Cloud DNS odeslat maximálně 5 aktualizací Miniserveru za minutu. Tímto způsobem můžete zabránit spamu při aktualizaci Miniserveru. Pokud je toto číslo překročeno, IP adresa bude na 7 hodin na černé listině. Toto opatření bylo provedeno 16. července 2020.
Aktualizační paket byl zaveden pro všechny verze softwaru 11.1 (2020.09.03) nebo novější pomocí Loxone Cloud DNS. Při ověřování si můžete být jisti, že příslušný paket pochází z daného Miniserveru. Po úspěšné aktualizaci pomocí této metody ověřování Miniserver nepovolí žádné budoucí pakety, které nejsou tímto způsobem podepsány. Tato aktualizace byla zákazníkům a partnerům Loxone zpřístupněna 3. září 2020.
Poznámka: Výše popsané scénáře útoku se vztahují pouze na službu Loxone DNS. Výše uvedené se nevztahuje na službu „Remote connect“.
