An dieser Stelle werden im Loxone System bekannt gewordene Sicherheitslücken gesammelt und Maßnahmen zu dessen Behenung vorgestellt. Die Sicherheitslücken werden wie folgt eingestuft:

KRITISCH

MITTEL

LEICHT

Loxone CloudDNS in Verbindung mit Standard-Benutzer und -Passwort

Einstufung: KRITISCH 

Beschreibung:

Die Sicherheitslücke besteht aus 2 Komponenten: Zum Einen muss am Miniserver der Standardbenutzer in Kombination mit dem Standardpasswort vergeben sein (admin/admin). Zum Anderen muss der Miniserver über das Internet (z. B. durch eine Portweiterleitung am Router) erreichbar sein. Besonders fatal ist es, wenn man den Loxone eigenen CloudDNS-Service verwendet (eine Alternative zu anderen DynDNS-Diensten), da sich bei diesem Service die externen Webadressen, unter denen die Miniserver aus dem Internet erreichbar sind, sehr leicht erraten lassen. So kann der Service gezielt nach erreichbaren Miniservern gescannt werden. Dazu sind nur weige Scriptzeilen notwendig, sodass ein derartiger Scan auch von Laien durchgeführt werden kann.

Da viele Installation in Ihrer Konfiguration auch den Standort des Miniservers enthalten (um z. B. die Automatikjalousie zu nutzen) kann ein Eindringling nicht nur die Alarmanlage deaktivieren, die Haustür oder das Garagentor öffnen, er hat auch detaillierte Informationen über den Standort des Objekts, sodass ein Einbruch sehr leicht geplant und durchgeführt werden kann.

Gegenmaßnahmen:

1. Sicheres Passwort

   Es muss ein sicheres Passwort für den Standardbenutzer vergeben werden. Leider warnt Loxone (bzw. die Software Loxone Config) zwar davor, wenn man den Standardbenutzer mit Standardpasswort verwendet (admin/admin), verhindert dieses aber nicht. Zudem sollte man auch den Standardbenutzer (admin) umbenennen, um das Erraten einer gültigen Benutzer- und Passwortkombination zu erschweren.

2. Externer Zugang zum Miniserver

   Die sicherste Variante seinen Miniserver von außen erreichbar zu machen ist die Einrichtung eines VPN (Virtual Private Network). Damit ist der Miniserver erst von außen erreichbar, wenn man vom Endgerät einen sicheren Tunnel in das eigene lokale Netzwerk aufgebaut hat. Anleitungen dazu finden sich hier im Wiki: http://www.loxwiki.eu/dosearchsite.action?queryString=VPN

   Wenn man seinen Miniserver ohne VPN von außen erreichbar machen möchte (nicht empfohlen), so sollte man aktuell einen alternativen DynDNS-Dienst im Router verwenden undnicht den Loxone eigenen CloudDNS-Dienst verwenden (auch wenn sich dieser sehr leicht einrichten lässt). Bei alternativen DynDNS-Diensten kann man die Adresse, unter der der Miniserver von außen erreichbar ist, frei wählen. Sie lässt sich somit schwerer erraten. Um den CloudDNS-Service von loxone zu deaktivieren müssen 2 Schritte durchgeführt werden:

   Deaktivieren in LoxoneConfig: Klicke im Peripherebaum auf Deinen Miniserver und lösche dann im Eigenschaftenfenster unter "Externe Mailadresse" den Eintrag zum CloudDNS-Dienst von Loxone.

   

   Löschen der Registrierung Deines Miniservers beim Loxone CloudDNS Dienst: Logge Dich unter http://www.loxone.com in Deinen Account ein und gehe auf "Mein Konto" und dann auf "MMeine Produkte". Lösche den Miniserver aus Deinem Account. Achtung! Wenn Du weitere Dienste von Loxone gebucht hast (z. B. Wetter, den kostenlosen CloudMailer oder den Push-Service) dann geht das so leider nicht und Du würdest auch die anderen Dienste löschen! Wende Dich in diesem Fall an den Loxone Support!

   

3. Erschwere die Lokalisation Deines Miniservers

   Konnte sich dennoch ein Angreifer mit Deinem Miniserver verbinden, so ist neben dem Zugriff auf Deine Steuerung das größte Problem, dass der Angreifer anhand Deiner Konfiguration ausfindig machen kann, wo sich der Miniserver genau befindet (also Deine Adresse). Die kann er zum Beispiel auslesen, wenn Du die Geopkoordinaten Deines Miniservers in der Konfig eingetragen hast.

   In diesme Artikel erfährst Du, wie Du Hinweise auf Deine Adresse und den Standort des Miniservers verhindern kannst: TODO: URL hier einfügen