Darauf wollte ich mit meinem Hinweis auch hinaus.
Ich selber habe da immer ein flaues Gefühl im Magen wenn ich ein Gerät - hier ein NAS auf dem sich ggf. wichtig Daten befinden - in ein Smarthome-System einbinde. Insbesondere wenn ich dem User dafür dann noch Admin-Rechte zuweisen muss damit es funktioniert. Ja so wie
@daschmidt94 es gemacht hat ist es vorgesehen und vorgegeben, aber trotzdem.
Ich habe meine DS auf der sich für mich wichtige Daten befinden und z.B. auch meine Fritzbox, nicht bei HA eingebunden. Das beste wäre eh wenn man aus seinem normalen LAN die IoT-Geräte herauslässt, aber so etwas auf- und umzusetzen macht natürlich entsprechend Arbeit und bedarf ggf. noch zusätzlicher Hardware (z.B. Geräte mit VLAN-Möglichkeiten).
Vielleicht bin ich in dieser Beziehung ja auch "übervorsichtig", oder vielleicht ja auch "paranoid",
aber lieber das als ggf. unerwünschten Besuch zu bekommen und dann ggf. ein verschlüsseltes NAS zu haben. Beim ioBroker ist genau das vor längerer Zeit ja mal passiert. Das war damals glaube ich eine Kombination von aus dem Docker "ausbrechen" und bei ioBroker gab es einen Admin-Zugang zu der DS. Oder so ähnlich - keine Ahnung.
HA hat was die Datensicherheit betrifft m.M.n. auch noch Nachholbedarf und das ist den Entwicklern auch schon länger durchaus bewusst. Allerdings mahlen die Mühlen in der Hinsicht bei HA leider ziemlich langsam. Sobald jemand Zugiff auf eine bestimmte Datei unter HA bekommt sieht er darin unverschlüsselt alle Zugangsdaten zu allen Geräten und allen externen Diensten die bei HA mal gefunden und eingerichtet waren oder wurden. Das betrifft auch Geräte und Dienste dessen Integration und/oder Addon man gelöscht und sie somit eigentlich gar nicht mehr vorhanden sind. Die Zugangsdaten dazu sind
auf Dauer in der Datei gespeichert und die Datei ist weder verschlüsselt, noch irgendwie anders extra geschützt.
Zu meiner DS720+, die nicht mehr per HA Synology Integration eingebunden ist, sieht der Eintrag in der Datei dann z.B. so aus:
Code:
"entry_id": "a10e36c4b13ea1d40589de45442sd3423hf",
"version": 1,
"domain": "synology_dsm",
"title": "DS720",
"data": {
"host": "192.168.1.20",
"port": "26753",
"ssl": true,
"verify_ssl": false,
"username": "hier steht der Username in Klarschrift",
"password": "hier steht das Passwort in Klarschrift",
"mac": [
"90-09-D0-xx-xx-xx",
"90-09-D0-xx-xx-xx"
Falls man irgendeine Cloud nutzen sollte sieht das dann z.B. so aus. Hier das Beispiel des Cloud-Zugangs zu meinem Growatt Wechselrichter
Code:
"entry_id": "56a0cfedb6323213kasds0230213a0f343bf90",
"version": 1,
"domain": "growatt_server",
"title": "GrowattOS",
"data": {
"username": "hier steht der Username in Klarschrfit",
"password": "hier steht das Passwort in Klarschrift",
"url": "https://server-api.growatt.com/",
"plant_id": "die ID mit einer Nummer",
"name": "der selber vergebene Name "
Oder auch falls man den Stream einer Kamera unter HA eingebunden hat. Auch dafür stehen dann alle Daten in der Datei.
Code:
"entry_id": "7332105ff34234kasdas050e060fcbaa47678a",
"version": 1,
"domain": "generic",
"title": "Dahua NVR",
"data": {},
"options": {
"authentication": "digest",
"stream_source": "rtsp://Name in Klarschrift:Passwort in Klarschrift@192.168.1.108:554/cam/realmonitor?channel=9&subtype=0",
"password": "Erneut Passwort in Klarschrift",
"still_image_url": null,
"content_type": "image/jpeg",
"username": "Erneut Username in Klarschrift",
"limit_refetch_to_url_change": false,
"framerate": 2.0,
"verify_ssl": false,
"use_wallclock_as_timestamps": false
Usw. usw. usw. Wie gesagt stehen dort die Zugangsdaten für alle jemals bei HA eingerichteten Geräte und Dienste.
OK ich bin weder ein Entwickler, noch ein Secuity-Spezialst. Somit kann ich a) nicht beurteilen wie aufwendig es wäre das zu ändern und b) wie groß überhaupt das Risiko ist das sich dadurch ergibt. Als eher Laie in den genannten Punkten würde ich aber sagen das es vermutlich nicht so gut ist das all diese Zugangsdaten unverschlüsselt und ohne jeglichen zusätzlichen Schutz, einfach so in einer Datei unter HA stehen. "Hacker" - die sich ja nun mal sehr gut in dem Thema Security auskennen - werden sicherlich sehr genau wissen das es diese Datei bei HA gibt und das sie, wenn sie darauf irgendwie Zugriff bekommen, die Zugangsdaten für alle möglichen Geräte und Dienste bekommen und das dann auch entsprechend ausnutzen könnten.
Wenn ich dann sehe wie unbedarft manche User an die Sache herangehen, weil es ja bequem(er) ist und/oder sie es nicht besser wissen und in dem konkreten Beispiel bei der HA Synology Integration ihren Standard-Admin Account von DSM hinterlegen, dann kann ich nur noch mit den Augen rollen und zumindest ab und an mal einen kleinen Hinweis geben.
VG Jim
