Vylepšenie zabezpečenia v Loxone Cloud DNS
Systém Loxone funguje perfektne bez pripojenia k internetu. Samozrejme je tiež možné ovládať budovu vzdialene a využívať naše on-line služby. Pri vývoji týchto a aj ďalších funkcií dbajú naši interní externí špecialisti na dodržiavanie priemyselných štandardov, aby sme zabezpečili čo najbezpečnejší systém na trhu.
Systém Loxone je navrhnutý nielen k ochrane obytných a komerčných budov, ale aj na ochranu dát a súkromia ich užívateľov. Narozdiel od IoT riešení neposiela Loxone Miniserver žiadne dáta o správaní užívateľov na on-line server. Mnoho užívateľov však chce mať možnosť ovládať svoju budovu na diaľku a využívať meteorologické služby na zlepšenie automatizácie. V takýchto situáciách je pripojenie k internetu nevyhnutné. Bezpečnostné opatrenia súvisiace s využívaním týchto funkcií sú pravidelne hodnotené v spolupráci s odborníkmi.
Ani nepravdepodobné hrozby nepodceňujeme
Pred niekoľkými týždňami nás kontaktoval kampus Hagenberg z Univerzity aplikovaných vied v Hornom Rakúsku, s ktorým sme už spolupracovali na niekoľkých projektoch. Poradný výbor pre bezpečnosť nás upozornil na teoretickú možnosť, že Loxone Cloud DNS môže zaregistrovať neplatnú IP adresu v dôsledku falošných dátových paketov. To by útočníkovi umožnilo dočasne uložiť IP adresu webu, ktorý je podobný webovému rozhraniu Loxone, a získať tak prístup k prihlasovacím údajom inštalácie Loxone.
Aby bolo možné túto chybu zabezpečenia zneužiť, bolo by potrebné splniť niekoľko podmienok. Útočník by musel poznať MAC adresu Loxone Miniservera; Miniserver by musel byť registrovaný a aktivovaný u Loxone Cloud DNS a užívateľ by sa musel pokúsiť prihlásiť v čase útoku, pretože Miniserver každú minútu aktualizuje IP adresu. Ak by chcel útočník miesto poškodiť, potreboval by navyše poznať fyzickú adresu, kde je Miniserver nainštalovaný.
Doteraz sme žiadny prípad zneužitia tejto chyby zabezpečenia nezaznamenali.
Bezpečnosť užívateľov Loxone a spotrebiteľských inštalácií je pre nás samozrejme prioritou, pretože je jadrom toho, čo robíme. Z tohto dôvodu sme podnikli okamžité kroky, aby sme tomuto scenáru útoku zabránili.
Loxone Cloud DNS: vylepšená detekcia falošných dátových paketov
S požiadavkou HTTP môžete čítať IP adresu a port Miniservera, ktorý je nakonfigurovaný na vašom domácom routeri (používa ho napríklad aplikácia pre externý / vzdialený prístup). V odpovedi HTTP bolo odstránené pole „Časová značka poslednej aktualizácie“, aby sa zabránilo odhaleniu cyklu aktualizácie Miniservera. Toto opatrenie bolo vykonané 6. júla 2020.
Pokročilé ovládanie detekuje potenciálnych útočníkov akonáhle sa IP adresa zmení niekoľkokrát za minútu. Potenciálny útok možno teda identifikovať hneď po prvom pokuse, v dôsledku čoho bude IP adresa údajného útočníka na 24 hodín uvedená na čiernu listinu. Toto opatrenie bolo vykonané 16. júla 2020.
Bez ohľadu na vyššie uvedené môže jedna IP adresa odoslať maximálne 50 aktualizácií do Loxone Cloud DNS za minútu. Ak je toto číslo prekročené, IP adresa bude na 7 hodín na čiernej listine a počas tejto doby budú všetky aktualizácie ignorované. Toto opatrenie bolo vykonané 16. júla 2020.
Z jednej IP adresy je možné do Loxone Cloud DNS odoslať maximálne 5 aktualizácií Miniservera za minútu. Týmto spôsobom môžete zabrániť spamu pri aktualizácii Miniservera. Ak je toto číslo prekročené, IP adresa bude na 7 hodín na čiernej listine. Toto opatrenie bolo vykonané 16. júla 2020.
Aktualizačný paket bol zavedený pre všetky verzie softvéru 11.1 (2020.09.03) alebo novšie pomocou Loxone Cloud DNS. Pri overovaní si môžete byť istí, že príslušný paket pochádza z daného Miniservera. Po úspešnej aktualizácii pomocou tejto metódy overovania Miniserver nepovolí žiadne budúce pakety, ktoré nie sú týmto spôsobom podpísané. Táto aktualizácia bola zákazníkom a partnerom Loxone sprístupnená 3. septembra 2020.
Vyššie uvedené zmeny poskytujú vysokú úroveň ochrany inštaláciám Loxone, ktoré používajú službu Loxone DNS. Odporúčame vám pravidelne aktualizovať inštaláciu, aby ste mohli pravidelné aktualizácie využívať. Aktualizácie verzie 11.1 zabraňujú útokom na základe vyššie popísaných scenárov, a preto poskytujú v tomto ohľade najvyššiu možnú ochranu.
Poznámka: Vyššie popísané scenáre útoku sa vzťahujú iba na službu Loxone DNS. Vyššie uvedené sa nevzťahuje na službu „Remote connect“.