Sicherheit von Webhooks

Hallo,
um bestimmte, wichtige Webhooks zu schützen, wäre es schön,
wenn man angeben kann, ob diese nur aus dem Intranet erreichbar sind.

Dadurch kann man den Aufruf eines Webhooks über das Internet verhindern.

Der Webhook des homeegram “Alarmanlage deaktivieren” sollte besser nur aus dem Intranet oder auch nur über eine bestimmte IP aufgerufen werden können.

Und hier als besser verständliche Ergänzung von @hblaschka:

Die genaue Anforderung für das Feature wäre also so was wie:
Als Ersteller eine beim homee eingehenden Webhooks will auswählen können ob ein Webhook ausschliesslich LOKAL, ausschliesslich GLOBAL (aus dem Internet) oder auf beide Arten erreichbar sein soll. Standardeinstellung soll (wie bisher) beide Wege sein.

15 „Gefällt mir“

Du kannst doch als webhook Adresse die locale IP des homees verwenden. Somit ist der webhook nur local ausführbar.
Oder, wie ist der Vorschlag richtig zu verstehen?

wenn ich IFTTT benutze, verwende ich
https://“homeeID”.hom.ee/api/v2/webhook_trigger?webhooks_key=XXXXXXXXXhomeegramName

Jedes homeegram, dass einen webhook als Auslöser hat, lässt sich über das Internet starten!

Naja dazu bräuchte man die homeeID und den SecretKey…

Oder ?

In der Diskussion bin ich bei @anon11314990: wenn der Webhook nicht über das Internet ausgeführt werden soll, (dann funktioniert IFTTT ja eh nicht) dann den lokalen Link nutzen. Wovor genau willst du den Webhook denn schützen bzw. wofür setzt du ihn ein?

:coffee:

Wo kann ich denn in homee einstellen, das ein homee webhook nur lokal ausgeführt werden kann?
Es gibt keine Stelle dafür!
Als Sicherheit gibt es nur die homeeID, die bleibt aber immer gleich und den webhook Key. Den könnte ich löschen, falls ich das Gefühl habe, das er bekannt geworden ist.
Lege ich in ifttt einen webhook mit homees webhook an, muss ich darauf vertrauen, dass keiner diese Daten in die Hände bekommt!

1 „Gefällt mir“
1 „Gefällt mir“

Aber wenn du die Daten bei ifttt einträgst, musst du doch so oder so mit dem “Risiko” leben. Und wenn du IFTTT nutzt, hilft ein lokaler Zugriff auch nicht - wie soll IFTTT sonst den Webhook schicken?

:coffee:

Er möchte andere, nicht bei ifttt verwendete Webhooks nur lokal erreichbar machen.

Das geht aktuell nicht, ich find die Idee nicht nützlich aber aktuell redet ihr glaube ich etwas aneinander vorbei :wink:

Danke!
Mir geht’s nur darum, dass homee bislang in vielen Bereichen kein besonders differenziertes Sicherheitskonzept hat.
Wie kann man also wichtige, sensible Geräte und homeegrame vor externen Zugriff schützen,
wenn Zugriff von außen erlaubt ist?
Der Zugriff von außen ist schon durch den homee Proxy möglich: App und Web Zugriff!
Dann kommen Alexa und Co dazu…

1 „Gefällt mir“

Es bleibt doch Dir überlassen, welche Services du für homee freischaltest. Und ob Du IFTTT mit webhooks fütterst oder nicht! Oder nicht!?

Leute, er hat ein Anliegen welches er begründet hat. Setzt einen Like oder nicht aber bitte redet seinen Wunsch nicht immer wieder mit „setz doch bei ifttt ein was du willst“ kaputt :wink:

Ich glaube ihr habt euch etwas verfahren :innocent:

1 „Gefällt mir“

Würde ich auch gerne. Verstehe aber nach wie vor den Vorschlag nicht richtig!?

Geht es die Richtung??

Oder ist es etwas völlig anderes??

@anon11314990:

Ich verstehe das Anliegen so, dass man beim Auslöser eines HGs, sofern man “WebHook” wählt, einstellen kann, dass der eben NICHT aus dem Internet aufgerufen werden kann.

Aktuell gibt man ja einfach nur den Namen ein, wenn es sich um einen Auslöser handelt. Diesen WebHook kann man dann entweder über die globale oder die lokale Adresse aufrufen.

1 „Gefällt mir“

Genauso meine ich es!
Danke!

1 „Gefällt mir“

Ah, OK - verstanden…

Die genaue Anforderung für das Feature (oben ggf. über Edit zu ergänzen) wäre also so was wie:
Als Ersteller eine beim homee eingehenden Webhooks will auswählen können ob ein Webhook ausschliesslich LOKAL, ausschliesslich GLOBAL (aus dem Internet) oder auf beide Arten erreichbar sein soll. Standardeinstellung soll (wie bisher) beide Wege sein.

Damit hast Du mein Like.

4 „Gefällt mir“