Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss

sicurezza della domotica

9 views
Skip to first unread message

ArchiPit

unread,
Jul 19, 2021, 2:48:10 PM7/19/21
to
Sto mettendo su un po' di domotica utilizzando un Raspberry con varie
tipologie di aggeggi (tplink, sonoff con tasmota o esphome, zigbee di
xiaomi e ikea tramite un gateway connesso al raspi)

So che la domotica è molto vulnerabile ad attacchi da remoto e vorrei
avere una sicurezza maggiore di quella attuale, e sono arrivato alla
conclusione di avere 2 wlan totalmente isolate tra loro, e con IP del
tutto diversi (p.es. 192.168.22.x e 192.168.91.y)

In pratica continuerei a usare la rete attuale sul 7590 solo per il pc
e la stampante, mentre su un secondo router (un 7490) attaccherei il
raspberry con tutta la domotica.
Questo router non sarebbe mai connesso a internet, realizzando il
totale isolamento; così come ho detto la domotica funzionerebbe solo da
dentro casa.

In quei casi in cui mi servisse il suo uso da remoto darei l'internet
del 7590 al 7490 con un cavo ethernet, e spengo il pc.

Mi sembra che sia una buona soluzione, ma magari cè qualcosa di meglio.

Che ne pensate?

Suggerimenti?

ArchiPit

unread,
Jul 19, 2021, 2:53:57 PM7/19/21
to
Rispondo qui sotto a ArchiPit
Forse un routerino LTE da accendere alla bisogna per dare internet al
7490 è anche meglio e l'isolamento tra le 2 reti rimane totale.

angelo

unread,
Jul 19, 2021, 3:15:58 PM7/19/21
to
Il 19/07/21 20:48, ArchiPit ha scritto:
Se intendi usare due router in cascata e' piu' sicuro connettere la
domotica su quello esterno e la rete protetta su quello interno.
Una specie di DMZ artigianale insomma:

<https://www.ionos.it/digitalguide/server/sicurezza/che-cose-una-dmz/>

la rete interna non puo' essere raggiunta da quella esterna (domotica),
ha la stessa sicurezza come quando si affaccia direttamente su Internet.
Mentre dalla rete interna si possono raggiungere tutti i dispositivi di
quella esterna ma non e' consentito il contrario.

angelo

rootkit

unread,
Jul 20, 2021, 2:53:58 AM7/20/21
to
On Mon, 19 Jul 2021 20:48:08 +0200, ArchiPit wrote:


> So che la domotica è molto vulnerabile ad attacchi da remoto e vorrei
> avere una sicurezza maggiore di quella attuale, e sono arrivato alla
> conclusione di avere 2 wlan totalmente isolate tra loro, e con IP del
> tutto diversi (p.es. 192.168.22.x e 192.168.91.y)
>
> In pratica continuerei a usare la rete attuale sul 7590 solo per il pc e
> la stampante, mentre su un secondo router (un 7490) attaccherei il
> raspberry con tutta la domotica.
> Questo router non sarebbe mai connesso a internet, realizzando il totale
> isolamento; così come ho detto la domotica funzionerebbe solo da dentro
> casa.
>
> In quei casi in cui mi servisse il suo uso da remoto darei l'internet
> del 7590 al 7490 con un cavo ethernet, e spengo il pc.
>
> Mi sembra che sia una buona soluzione, ma magari cè qualcosa di meglio.
>
> Che ne pensate?
>
> Suggerimenti?

trovo la soluzione inutilmente dispendiosa.
se vuoi isolare i dispositivi da internet puoi farlo anche senza il
doppio router: sia il 7490 che il 7590 hanno la possibilità di bloccare
l'accesso a internet dei singoli dispositivi, mentre in ingresso sono già
protetti salvo che tu non faccia delle aperture sul firewall.
separare le reti potrebbe avere senso, se tu avessi un switch e un
firewall che gestiscono le vlan. così per carità le reti sono isolate, ma
è comodo come un paio di mutande di carta vetrata. e poi separare le reti
serve a proteggere una rete dall'altra nel caso una delle due venga
compromessa, quindi devi chiederti cosa vuoi proteggere e da cosa. nel
caso in cui qualcuno riesca ad violare la wi-fi della domotica è vero che
non può attaccare pc e stampante, ma è anche vero che con i dispositivi
domotici fa quello che gli pare. meglio quindi che ti concentri sulla
sicurezza della rete wi-fi accertandoti che nessun dispositivo ti
obblighi ad usare ad abbassare la guardia con protocolli non adeguati.


ArchiPit

unread,
Jul 20, 2021, 7:21:06 AM7/20/21
to
Rispondo qui sotto a rootkit

>> Suggerimenti?
>
> trovo la soluzione inutilmente dispendiosa.
> se vuoi isolare i dispositivi da internet puoi farlo anche senza il
> doppio router: sia il 7490 che il 7590 hanno la possibilità di bloccare
> l'accesso a internet dei singoli dispositivi,

Dove?
Forse lo ho già fatto, ma non ho capito bene cosa intendi

> mentre in ingresso sono già
> protetti salvo che tu non faccia delle aperture sul firewall.

-ho delle porte aperte, dato che al momento devo poter attivare delle
netcam tramite la domotica (sonoff con esphome che attivati danno
alimentazione alle netcam) e il suo ddns, ma che vedo con una app
specifica non proprietaria e tramite altro ddns di altro fornitore.

Il router comunque non risponde al ping.


> separare le reti potrebbe avere senso, se tu avessi un switch e un
> firewall che gestiscono le vlan.

uno switch potrei anche prenderlo, ma a me servono le wifi, in ogni
caso devo avere 2 access point.


> così per carità le reti sono isolate, ma
> è comodo come un paio di mutande di carta vetrata.

lol

> e poi separare le reti
> serve a proteggere una rete dall'altra nel caso una delle due venga
> compromessa, quindi devi chiederti cosa vuoi proteggere e da cosa.

Tutte e due; ma se mi hackerano la domotica mi interessa meno: il mio
senso è che se mi hackerano la domotica, che è di sicuro la più
vulnerabile, non possano vedere o hackerare quella di uso normale.

In ogni caso sia il 7590 che il 7490 hanno le loro Access Control List,
che per quello che vedo funzionano abbastanza bene.

> nel
> caso in cui qualcuno riesca ad violare la wi-fi della domotica è vero che
> non può attaccare pc e stampante, ma è anche vero che con i dispositivi
> domotici fa quello che gli pare.

verissimo, ma al massimo mi accendono una luce. Niente forni, frigo o
climatizzatori. E se anche arrivano al raspberry, ma con le reti
isolate tra loro, lì si fermano.

> meglio quindi che ti concentri sulla
> sicurezza della rete wi-fi accertandoti che nessun dispositivo ti
> obblighi ad usare ad abbassare la guardia con protocolli non adeguati.

..wifi della domotica, zigbee, Esp32...
Io i protocolli di sicurezza di questi non li conosco e non sono in
grado di darne loro una maggiore di quella intrinseca.

Per questo pensavo a isolare tra loro le reti di funzionamento.

Forse potrei usare un secondo raspberry come firewall con iptables a
valle del router e prima del pc e del raspberry della domotica, ma sono
troppo ignorante di linux e iptables.

ArchiPit

unread,
Jul 20, 2021, 7:24:09 AM7/20/21
to
Rispondo qui sotto a angelo


> Una specie di DMZ artigianale insomma:
>
> <https://www.ionos.it/digitalguide/server/sicurezza/che-cose-una-dmz/>
>
> la rete interna non puo' essere raggiunta da quella esterna (domotica), ha la
> stessa sicurezza come quando si affaccia direttamente su Internet.
> Mentre dalla rete interna si possono raggiungere tutti i dispositivi di
> quella esterna ma non e' consentito il contrario.
>
> angelo

Grazie, vado a vedere

Ammammata

unread,
Jul 20, 2021, 8:07:25 AM7/20/21
to
Il giorno Mon 19 Jul 2021 08:48:08p, *ArchiPit* ha inviato su
it.comp.sicurezza.varie il messaggio
news:mn.9ce07e57b6...@LeTreDiNotteVirgilio.it. Vediamo cosa ha
scritto:

> So che la domotica è molto vulnerabile ad attacchi da remoto

e cosa ti farebbero? ti spengono il freezer pieno di carne oppure ti
accendono il riscaldamento a 35°?
oppure sfruttano la TV per generare bitcoin?

--
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\
-=- -=- -=- -=- -=- -=- -=- -=- - -=-
........... [ al lavoro ] ...........

ArchiPit

unread,
Jul 20, 2021, 8:15:37 AM7/20/21
to
Rispondo qui sotto a Ammammata


> Il giorno Mon 19 Jul 2021 08:48:08p, *ArchiPit* ha inviato su
> it.comp.sicurezza.varie il messaggio
> news:mn.9ce07e57b6...@LeTreDiNotteVirgilio.it. Vediamo cosa ha
> scritto:
>
>> So che la domotica è molto vulnerabile ad attacchi da remoto
>
> e cosa ti farebbero? ti spengono il freezer pieno di carne oppure ti
> accendono il riscaldamento a 35°?

lol lol

Di quello mi interessa poco....tanto alla fine ho solo relè per
accendere lampadine o sensori di luminosità e temperature.

Un tempo si pensava "Accidenti mi hanno craccato il server!"
Oggi invece "Accidenti, mi hanno craccato il pc entrando dalla
lampadina!"

> oppure sfruttano la TV per generare bitcoin?

Ecco in quel caso mi piacerrebbe controllare tutto per bene e poter
craccare il craccatore fregandogli i bitcoin generati nei miei
dispositivi con la mia energia...

rootkit

unread,
Jul 20, 2021, 12:06:10 PM7/20/21
to
On Tue, 20 Jul 2021 13:21:01 +0200, ArchiPit wrote:


>> trovo la soluzione inutilmente dispendiosa.
>> se vuoi isolare i dispositivi da internet puoi farlo anche senza il
>> doppio router: sia il 7490 che il 7590 hanno la possibilità di bloccare
>> l'accesso a internet dei singoli dispositivi,
>
> Dove?
> Forse lo ho già fatto, ma non ho capito bene cosa intendi


si possono creare profili di accesso dove regolamentare l'accesso ad
internet dei dispositivi. io ho un 7530 ma il fritxos quello è.

>> mentre in ingresso sono già protetti salvo che tu non faccia delle
>> aperture sul firewall.
>
> -ho delle porte aperte, dato che al momento devo poter attivare delle
> netcam tramite la domotica (sonoff con esphome che attivati danno
> alimentazione alle netcam) e il suo ddns, ma che vedo con una app
> specifica non proprietaria e tramite altro ddns di altro fornitore.
>
> Il router comunque non risponde al ping.

ok, ma come sono fatte e a cosa puntano queste aperture? perché in genere
per l'iot questo è un antipattern, ci sono protocolli come mqtt che
"disaccoppiano" dispositivo e client in modo da non doversi collegare
direttamente per impartire comandi o interrogarne lo stato.
direi che in generale non è igienico esporli direttamente su internet,
non è che sono degli oggetti blindatissimi.

>> e poi separare le reti serve a proteggere una rete dall'altra nel caso
>> una delle due venga compromessa, quindi devi chiederti cosa vuoi
>> proteggere e da cosa.
>
> Tutte e due; ma se mi hackerano la domotica mi interessa meno: il mio
> senso è che se mi hackerano la domotica, che è di sicuro la più
> vulnerabile, non possano vedere o hackerare quella di uso normale.

bah non sono proprio d'accordissimo. la domotica tende ad essere invasiva
in casa, pensa solo alle telecamere.

> verissimo, ma al massimo mi accendono una luce. Niente forni, frigo o
> climatizzatori. E se anche arrivano al raspberry, ma con le reti isolate
> tra loro, lì si fermano.

eh però hai parlato di netcam. e anche arrivare a spegnere o accendere le
luci, beh, io non lo troverei simpatico.
ma sul raspberry cosa c'è?

ArchiPit

unread,
Jul 20, 2021, 3:05:30 PM7/20/21
to
Rispondo qui sotto a rootkit


> si possono creare profili di accesso dove regolamentare l'accesso ad
> internet dei dispositivi. io ho un 7530 ma il fritxos quello è.

Grazie, sapevo che c'erano i profili, ma me ne ero totalmente
dimenticato.
Ora vedo come posso usarli.

>>> mentre in ingresso sono già protetti salvo che tu non faccia delle
>>> aperture sul firewall.
>>
>> -ho delle porte aperte, dato che al momento devo poter attivare delle
>> netcam tramite la domotica (sonoff con esphome che attivati danno
>> alimentazione alle netcam) e il suo ddns, ma che vedo con una app
>> specifica non proprietaria e tramite altro ddns di altro fornitore.
>>
>> Il router comunque non risponde al ping.
>
> ok, ma come sono fatte e a cosa puntano queste aperture? perché in genere
> per l'iot questo è un antipattern, ci sono protocolli come mqtt che
> "disaccoppiano" dispositivo e client in modo da non doversi collegare
> direttamente per impartire comandi o interrogarne lo stato.
> direi che in generale non è igienico esporli direttamente su internet,
> non è che sono degli oggetti blindatissimi.

Come dicevo nessun video o netcam transita sul raspberry il quale può
solo dare o togliere l'alimentazione tramite un sonoff con esphome.
Avevo in precedenza usato solo tasmota e l'mqtt, ma forse lo rimetto su
tutti i sonoff.
In effetti avevo notato la presenza di un utente mqtt e relativa
password.
Comunque se ho capito bene, il sonoff con esphome ha un token
lunghissimo che dovrebbe (se ho capito bene) avere il senso di una
password forte.

Ritieni che mqtt sia più sicuro di esphome?

>>> e poi separare le reti serve a proteggere una rete dall'altra nel caso
>>> una delle due venga compromessa, quindi devi chiederti cosa vuoi
>>> proteggere e da cosa.
>>
>> Tutte e due; ma se mi hackerano la domotica mi interessa meno: il mio
>> senso è che se mi hackerano la domotica, che è di sicuro la più
>> vulnerabile, non possano vedere o hackerare quella di uso normale.
>
> bah non sono proprio d'accordissimo. la domotica tende ad essere invasiva
> in casa, pensa solo alle telecamere.

Come ti dicevo, nessuna delle netcam transita dalla domotica, hanno
password forti specifiche, le accendo da remoto solo per i pochi
momenti di interesse e poi le spengo. Di fatto non sono attive.
Uso un'app non proprietaria da anni e non transita nulla su cloud
altrui.

>> verissimo, ma al massimo mi accendono una luce. Niente forni, frigo o
>> climatizzatori. E se anche arrivano al raspberry, ma con le reti isolate
>> tra loro, lì si fermano.
>
> eh però hai parlato di netcam. e anche arrivare a spegnere o accendere le
> luci, beh, io non lo troverei simpatico.

Certo che no, nemmeno io, da qui il mio post iniziale e ti ringrazio
delle tue osservazioni e suggerimenti per dare massima attenzione alla
sicurezza.

> ma sul raspberry cosa c'è?

Hass.os
Cambiato la porta 8123.

Ho provato Domoticz e OpenHab, ma non mi ci sono trovato.

rootkit

unread,
Jul 20, 2021, 5:10:02 PM7/20/21
to
On Tue, 20 Jul 2021 12:07:23 +0000, Ammammata wrote:

> Il giorno Mon 19 Jul 2021 08:48:08p, *ArchiPit* ha inviato su
> it.comp.sicurezza.varie il messaggio
> news:mn.9ce07e57b6...@LeTreDiNotteVirgilio.it. Vediamo cosa ha
> scritto:
>
>> So che la domotica è molto vulnerabile ad attacchi da remoto
>
> e cosa ti farebbero? ti spengono il freezer pieno di carne oppure ti
> accendono il riscaldamento a 35°?
> oppure sfruttano la TV per generare bitcoin?

mah guarda: fino a qualche tempo fa seguivo un forum di domotica fai-da-
te, non hai idea di cosa fanno con questi microcontrollori a basso costo
persone che a malapena sanno collegare due fili. apertura cancelli,
garage, tapparelle, apriporta citofono (fra i più gettonati), persino la
serratura del portoncino blindato, qualsiasi cosa basta che sia
elettrica.
non sto a dirti poi quante persone si dedicano alla videosorveglianza per
diletto, c'era un sito che si divertiva a pubblicare link a videocamere
scovate in rete.
non è sicuramente il caso dell'op, ma ti garantisco c'è una vasta platea
di persone che affidano le normali apparecchiature di sicurezza della
casa a dei dispositivi di rete informatici, senza avere la benché minima
cognizione di sicurezza informatica. come lasciare le chiavi di casa a
disposizione di tutti e non rendersene conto.

rootkit

unread,
Jul 20, 2021, 5:50:59 PM7/20/21
to
On Tue, 20 Jul 2021 21:05:28 +0200, ArchiPit wrote:


>> ma sul raspberry cosa c'è?
>
> Hass.os Cambiato la porta 8123.
>
> Ho provato Domoticz e OpenHab, ma non mi ci sono trovato.

conosco openhab, certo non può essere esposto su internet. per essere
comandato da fuori ha una parte server che si installa sul cloud, oppure
utilizzando un account sul loro server condiviso.
leggo che invece home assistant prevede l'accesso da remoto. sicuramente
ok, ma bisogna essere consapevoli di avere un servizio esposto su
internet.
una volta mi ero dilettato installando un centralino voip freepbx su un
raspberry, andando a vedere i log mi accorsi che dopo pochi giorni mezzo
mondo stava cercando di sfondarmelo con centinaia di attacchi al secondo
24h no stop (ps: avevo fastweb e un ip statico). installai fail2ban per
mitigare la cosa, più misi su un intrusion detection prima di decidere di
buttare via tutto e lasciar perdere il giochino che si era fatto troppo
pesante per i miei gusti.

Ammammata

unread,
Jul 21, 2021, 6:47:19 AM7/21/21
to
Il giorno Tue 20 Jul 2021 11:10:00p, *rootkit* ha inviato su
it.comp.sicurezza.varie il messaggio news:sd7e38$6jp$1...@dont-email.me.
Vediamo cosa ha scritto:

> apriporta citofono (fra i piů gettonati),

aprire il cancelletto da remoto, per fare entrare il postino col pacco o il
giardiniere, mi sembra attuabile senza problemi

> persino la
> serratura del portoncino blindato

questo no, corca

Gabriele - onenet

unread,
Jul 22, 2021, 11:18:46 AM7/22/21
to
On 20 Jul 2021 at 14:07:23 CEST, "Ammammata" <amma...@tiscalinet.it> wrote:

> Il giorno Mon 19 Jul 2021 08:48:08p, *ArchiPit* ha inviato su
> it.comp.sicurezza.varie il messaggio
> news:mn.9ce07e57b6...@LeTreDiNotteVirgilio.it. Vediamo cosa ha
> scritto:
>
>> So che la domotica è molto vulnerabile ad attacchi da remoto
>
> e cosa ti farebbero? ti spengono il freezer pieno di carne oppure ti
> accendono il riscaldamento a 35°?
> oppure sfruttano la TV per generare bitcoin?


Fanno partire un DDoS mondiale, come successo non tanto tempo fa sfruttando
delle telecamere connesse, ad esempio.
Certo che anche spegnerti il congelatore non serebbe (per l'utilizzatore)
divertente!
0 new messages