Ich bin der Meinung aufgrund der generellen Erreichbarkeit des homee über das Internet sowie der neuen Verknüpfung mit WebHooks ist es ratsam eine 2-Faktor Authentifizierung anzubieten, zumindest bei Login über die Website und ggf. Sperrung des Zugangs, wenn sich mit einem nicht authentifizierten Device eingeloggt wird.
Ich kann mir vorstellen, dass dieses Thema nicht allzu viele Likes erhalten wird, bitte aber um Berücksichtigung.
Ich denke auch, dass dies ein Feature ist, welches zum guten “Standard” gehören sollte.
Absolut der gleichen Meinung - es gibt inzwischen gute Lösungen welche einfach eingebunden und als App bereitgestellt werden könnten. Ich nutze bereits für viele Dienste “Transakt” und “Azure Multi-Factor Authentication” (mein Favorit).
Btw. schon 12 Likes - scheint doch eher ein prominentes Thema zu sein 
Hallo @camisy
ich denke Deine Idee kann man sehr gut in Verbindung mit dieser Idee von @Mabuty bringen:
ich finde eigentlich diese Anti Bruteforce bzw. Password Guessing Idee sowie ggf. einer Notification (ist der nächste Post unter dem von dir besagten Feature request) interessanter als Logfiles.
Nach 3 fehlgeschlagenen Login versuchen wird der Account für 15 min gesperrt.
Anbei noch ein Artikel zum Thema Security und wieso dies (allgemein bzw. eine vernünftige Absicherung gegen Account Hacking) so wichtig ist: https://www.heise.de/security/meldung/Experte-Wir-muessen-uns-jetzt-um-IoT-Sicherheit-kuemmern-3358251.html
ich möchte das Thema einmal präzisieren. Auch wenn dieser feature request es nicht in die top Liste schaffen wird: Wie wir am aktuellen Router “Hack” bei der Telekom sehen ist eine entsprechende Absicherung aller IoT Geräte unumgänglich. Viele User, davon nehme ich das Forum aus, interessieren sicherlich eher neue Features statt Security. Trotzdem möchte ich nicht mit meinem Kühlschrank Teil eines Botnetzes werden. Aktuell kann ich nicht feststellen, ob jemand meinen homee mitnutzt oder doch? Ein Einbruch würde sicherlich auch die Reputation von homee schädigen, daher ist so etwas auch in eigenem Interesse. Security muss Aufgabe des Herstellers sein, und dies von Beginn an da ansonsten die Infrastruktur ggf. nicht mehr geändert werden kann.
Bsp.: Schließe ich eine Kamera an, kann ich sicher sein, dass diese nicht über homee fremdgesteuert wird? Kann jemand meinen Motionsensor auslesen und somit feststellen, dass ich im Urlaub bin? Kann mein Danalock Türschloss geöffnet werden?
Neben der 2 Faktor Authentifizierung hätte ich gerne:
Account lock für x Sekunden (ähnlich Fritzbox)
Benachrichtigung per Mail wenn versucht wird in meinen Account einzubrechen (ähnlich Google)
Logging der Anmelde IPs
neue Geräte und Benutzer nur per 2 Faktor anmelden (Deny all)
ggf. später: Ext. Pentesting, Bug Bounty Programm
Marketingtechnisch kann man dies auch entsprechend verwenden. Schaut mal auf Kickstarter oder Indiegogo nach Geräten, die IoT Geräte absichern, die Branche boomt und die Prognosen in Bezug auf Angriffe auf alles was am Internet hängt, sind nicht gerade rosig.
schöner Denkanreiz, App-Password bei 2 Faktor Authentifizierung: https://youtu.be/4J_dAAvzXPA (Nextcloud)
Push? Ich mag Sicherheit…
Vor allem lässt sich mit Sicherheit (im Gegensatz zu Basics wie dem Inkrementieren von Werten und Anlegen von Variablen…) ja durchaus werben, gerade da das Thema spätestens seit den letzten Jahren stets Präsent ist - auch im Bereich SmartHome.
„Die Regierung plant seit einiger Zeit, für das kommende Jahr ein IT-Sicherheits-Gütesigel zu entwickeln. Es soll Nutzern und Verbrauchern helfen, schnell zu erkennen, ob ein Produkt sicher ist.“
Das zum Thema Marketing.
Quelle https://www.swr.de/swraktuell/it-sicherheit-1/-/id=396/did=20594540/nid=396/1he12fl/index.html
Hallo, ich hab zwar den homee erst seit ein paar Tagen, bin aber auch entsetzt, dass ich mich so einfach per www einloggen kann.
Wenn es hier tatsächlich keine zwei Stufen gibt (analog z.B. Synology mit dem Authenificator) müsste ich mir glatt überlegen, ob es sich lohnt hier weiter Zeit zu investieren und das Gerät zurück senden.
Ihr kennt ja die Nachrichten über die Sicherheitslücken, gerade gestern kam die Nachricht dass auch das Landesamt für Besoldung und Versorgung Baden-Württemberg zum Opfer wurde. Der Hersteller der sich diesem Thema so lange verschließt, dürfte bald in Schwierigkeiten kommen.
Naja dann schalte deinen homee auf stand alone und schon ist das Problem gelöst.
Und wenn es wirklich ein so grosse Problem für dich ist, dann hast du ja noch das Recht den Würfel zurück zu schicken.
Na ja Micha, das hab ich auch gerade gemacht. Aber ich glaube Du machst Dir das damit zu einfach. Gerade das Thema Sicherheit nimmt zunehmend Bedeutung ein. Dazu zählt auch die Gebäudesicherheit und genau die ist im Moment nicht so doll in dem System.
Der Zugriff von Extern ist schon sinnvoll, er muss allerdings sicher sein. Und genau das ist er nicht, da weder ein Zertifikat noch eine 2 Stufenlösung vorhanden ist.
Da magst du Recht haben.
Und sicher ist es schöner wenn da noch mehr Sicherheit dazu kommt.
Du brauchst grundsätzlich drei Sachen.
Deine Geräte ID
Dein User Namen
Und Dein Passwort
Klar kann man alles hacken aber ob sich da jeder soviel Mühe gibt das bei einen Smarthome zu machen?
Wenn du nicht gerade Schlösser und elektrische Fenster im System hast, spielt das auch keine so extreme Rolle.
Es geht da auch um den PC und die Tatsache, dass die Kenntnis der dauerhaft nicht veränderlichen Daten ausreicht, wobei ein Keygenerator wie auch der Authentifikator einen Code als zweite Stufe generiert, der gerade bei der auch aktuell aufbrechenden Thematik etwas mehr Sicherheit bietet.
100% wird es nie geben, aber ich kenne auch genug die sich gerade aus den Gründen für Synology bereits vor Jahren entschieden haben. Warum setzen Banken und die Finanzverwaltung auf mehr als nur ein Kennwort und ein Benutzername Micha.
Ich möchte Dir jetzt nicht mit dem BSI kommen, aber schau Dir mal den Threet zu Beginn an. Das Thema war bereits 2016 und damit vor den derzeitigen Diskussionen hier aktuell. Und das sicher nicht umsonst…
Sorry, Wildsparrow
aber ich hatte im Dezember hier ganz persönliche Erfahrungen sammeln dürfen. Es geht mir sicher nicht um das Licht ein und Ausschalten.
Es geht mir um die Sicherheit als solches in Wohngebäuden und da entsteht derzeit auch ein dicker Markt. Ich kann Dir gerne mal Posten was hier in der Region da so abgeht.
zurück geben würde ich homee deshalb nicht. Aber auch ich denke Security wird häufig unterschätzt, leider auch von vielen Herstellern.
Ich persönlich möchte nicht dass jemand Zugriff auf mein Gerät hat. Oder Micha wäre es dir auch egal wenn jemand durch deinen Garten rennt und das Licht ausschaltet? Wohl auch nicht.
Ein weiteres Problem stellt das Kapern der Geräts dar. Ein bekanntes Beispiel ist das Mirai Botnet. Auch hier möchte ich nicht mitmachen.
Und wer sagt uns dass nicht einer eines Tages (morgen?) eine Sicherheitslücke (aktuelles Intel, AMD Beispiel Meltdown, Spectre) im Gerät, im homee Proxy oder einer Datenbank ausnutzt? Dann brauchste ggf. keine ID oder Passwort.
Sobald es um Türschlösser geht, bin ich bei dir. Bedingt auch, wenn es ums Deaktivieren von Alarmanlagen über das Smart Home geht.
Dieser Markt ist aber noch sehr klein. Der aktuelle Trend ist momentan, dass die Lampen intelligent werden und vielleicht die Türklingel.
Daher ist das Risiko einen Hackerangriffes mit echtem Schaden am Smart Home zu erleiden, noch sehr gering; auch die Auswirkungen sind in der Regel sehr überschaubar.
Demzufolge sehe ich es legitim an, zusätzliche Sicherheitsfeatures nicht mit höchster Priorität zu behandeln.
Prinzipiell begrüße ich so Dinge wie 2 Wege Authentfizierungen; jedoch kann sowas auch ganz schnell vom Benutzen abhalten. Allein der Log In einer meiner Banken ist schon ein Graus: zusätzliche Geräte (Kartenlesemodul) und extra Software (zum Installieren, kein Web Log In) verhindern, mal unterwegs was zu überweisen.
Eine andere Bank löst das angenehmer: Log In per Benutzername/Passwort/anklickbares Bild und bei Überweisungen dann mTANs aufs Handy (eh immer dabei).
Man muss nicht immer alles machen, was geht. Zusätzlich darf die Usability nicht komplett auf der Strecke bleiben. Und eine ordentliche Risikobetrachtung kann da einem den richtigen Weg zeigen.
Am Ende muss alleine homee entscheiden, wie sie was umsetzen wollen. Wir als User können nur Wege aufzeigen, sonst nichts.