PROSTY pomiar temperatury ->wifi-> przeglądarka

Więc użyj VPNa.

Działa to tak:

Czujnik, bez warstwy szyfrującej, masz we własnej, zaufanej sieci. W tej sieci stoi też serwer MQTT.

Do tej sieci zrób sobie VPNa (np. pivpn, kompletnie bezobsługowy).

Od tej pory masz szyfrowaną wartwę komunikacyjną bez męczenia czujników kryptografią.

Jeśli do tej sieci zamiast samego MQTT wstawisz HomeAssistanta, to będziesz miał dostęp z telefonu, komputera czy co tam masz, przez własny VPN.

Innymi słowy warstwa paranoi nie musi być w czujnikach, tylko wyżej, w dostepie do interfejsu home automation. Sam inerfejs jest w środku intranetu, np. na wydzielonej sieci bez dostępu do internetu, jedyne co z internetu widać to jakas stroną www na Pi, przez VPNa, nad którym tylko Ty masz władzę.

Paranoja zadowolna, Tasmota nie wymaga rekompilacji.

Użytkownik "LordBluzg®" napisał w wiadomości grup dyskusyjnych:5f7b7a06$0$508$ snipped-for-privacy@news.neostrada.pl... W dniu 05.10.2020 o 20:59, M M pisze:

Tu sie nie ma co obawiac - oni zbieraja, nic na to nie poradzisz :-)

Pomysl raczej, co zbiera Intel i AMD, nawet z linuxow.

Bo na razie nie wylaczyli zdalnie :-)

W jakim sensie ? Na pewno jest jakos programowo sterowany, i nawet nie wiesz, kiedy go mozna wylaczyc :-)

J.

W dniu 06.10.2020 o 12:29, J.F. pisze:

Znacznie mniej niż operatorzy Internetuw :D

Spróbuj woltomierzem wyłączyć prąd gdziekolwiek :D

OK, rozumiem zaawansowane "kurestwo" w sensie sterowania mikroprocesorem dla całego procesu ale "twoja broszka" czy to podłączasz do netu, żeby będąc na Bahama czy w Dziwnowie na plaży obserwować co odpierdala Twój falownik i czy zarobiłeś dzisiaj pisiąt groszy czy jednak musisz dopłacić do rachunku, bo padało przez miesiąc albo przyjebało śniegiem i nie ma kto zgarnąć z dachu :)

Falwonik to nic. Kilka przykładów HA które się sprawdziły w praktyce:

a) monitoring. Mogę podejrzeć kamery. Nie było mnie w domu, był telefon z ochrony że alarm. Sprawdziłem na kamerach, fake, niedomknięta brama garażowa.

b) ktoś zapomniał światła zgasić na tarasie, nie widać w dzień. Zgasiłem zdalnie kilka km dalej. Gdy bym nie miał możliwości, świeciło by się przez tydzień bo wyłaczniek jest w środku.

c) w domu goście, nas nie ma. Trzeba wodę podgrzać. Zdalnie załączyłem piec gazowy na 2h, podgrzał wodę, wyłączyłem kotłownie.

d) niepotrzebnie pracująca podłogówna (goręcej niż prognozowali) została zdalalnie wyłaczona z pracy, kilka cebulionów w kieszeni.

Innymi słowy jak możesz, to masz możliwość. To nie są przykłady które spowodowały by katastrofy, ale jeśli się da to dlaczego nie?

Dodatkowo to HA cały czas gapi się w falownik i latem, jak ma >3kW, załaczy mi pompę ciepła i base nagrzeje. Czyli tak, ktoś gapi się w falownik. AI. Bo może.

OK, nie bedę się roztrząsał nad żarówką na tarasie (miligrosiki) ale całość spokojnie możesz zamknąć w LAN na swoim serwerze i nie dawać dostępu do netu. Dostęp masz tylko Ty do serwera, który sam postawiłeś i wiesz że posiada pełną separację:) Inna sprawa, to jakiż to alarm, skoro ochrona dostała info a Ty nie? :)

ToMasz, też może sobie zanabyć analogowy termometr i przez kamerkę (bez P2P)obserwować temperaturę :D

Też mam smarty w domu i nie narzekam. Jak pisałem, w dupie mam z czym to się łączy i po co ale używam rozwiązań zapewniających łączność, przynajmniej do mojej śmierci :D Jak jednak jebnie to zmienię na coś innego. Ponieważ mam pracę związaną z w/w to różne dziwne projekty się u mnie pojawiają i mam możliwość testowania wszelakich gówien przez jakiś czas, czy w celach poglądowych dla klienta. Są fajne rozwiązania i chujowe. Najgorsze są jakieś wynalazki bazujące na zasadzie wyniesionego serwera, który nagle zdycha i po zawodach. Niestety, takie badziewiarstwo pojawia się co jakiś czas i można wyrzucić sprzęt do śmieci.

Tydzień świecenia 3 światełek to kilka cebulionów jest.

Dokładnie tak mam. Plus VPN do lokalnej sieci. Co też pozwala na inne rzeczy, na ten przykład będąc na wakacjach mogę wtłoczyć zdjęcia wprost w domowy NAS lub, co sie trafiło, połaczyć się w celu połaczenia się dalej, do pracy ...

Taki jaki uznaje ubezpieczyciel. A że ubezpieczyciel uznaje akurat takie a nie "moje" to niestety nic nie poradzę.

Mam dodatkowy zestaw czujników, moich, nie połaczonych z oficjalnym alarmem. m.in. z nich wynika że brama garażowa jest podniesiona, furtka otwarta itd itp. Alarm oficjalny potrafi tylko wyświetlić że "naruszono jakąs strefę" na loklanym pudełku a do ochrony wysyła jeszcze mniej informacji, pewnie tylko "łaaaa!!!! ratunku!!!!!".

Zależy. Kiedyś liczyłem że w typowym mieszkaniu, gdzie 150zł/mies za prąd, to wszystkie żarówki osiągają max 20% (30zł) na miesiąc. Licząc 3 światełka po 10W (LED) to wychodzi chyba 2zł/tydzień...a sprzęt do zdalnej kontroli jest znacznie droższy :) Chyba że piszesz o halogenie 400W :D

Mnie VPN męczy, bo muszę mieć blokadę na telefonie. OK, mogę użyć apki do VPN ale jak pisałem, wolę autonomię w systemach i raczej mnie nie obchodzi co wysyłają i gdzie bo to dane niewrażliwe. Dodatkowo mam kilka lokalizacji i musiałbym stawiać wszędzie jakiś serwer a wiele z tych lokalizacji nie ma odpowiedniej wydolności prądowej (solary) i przede wszystkim publicznego IP (GSM) dlatego preferuję "low consumption energy"...bo przynajmniej dłużej "żyje" jak jest niepogoda. Tutaj P2P odgrywa kluczową rolę a nie chce mi się teraz stawiać swojej chmury co oczywiście można zrobić.

Ja raczej skupiłem się w alarmie na zestawach kamer z powiadomieniem o ruchu/przekroczenie linii i inne pierdoły. 100% skuteczności i zawsze mogę sprawdzić czy to prawda czy fałszywka no i jest zapis zdarzeń na filmie/fotkach. Co do sterowania domem, to jak pisałem, różne zabawki w różnych miejscach. Na dzień dzisiejszy główną użytecznością dla mnie jest Supla, bo mam wszystko w jednej apce a miejsca (lokalizacje) różne i różne sprzęty. Trochę mnie jednak oficjalna Supla drażni, bo nie ma obsługi eventów (rozwijają) i muszę wspomagać się skryptami na serwerze crona, żeby co minutę sprawdzały stan i ustalać zależności (sceny) żeby było to namiastką eventu i nie alarmowało co minutę w momencie zdarzenia (czasem jednak jest potrzebne). Może jednak w porze zimowej, dosiądę do zrobienia swojego clouda i tam można sobie eventy wyskubać.

To akurat była mieszanka świetlówek i żarówek.

A sprzęti tak działa - z innych powodów mam w domu kilka sprzętów pracujących non-stop.

pivpn + aplikacja do openVPN. Całkiem to zgrabnie działa. W zasadzie vpn mam właczony non-stop na telefonie. Nie przeszkadza, a pozwala na dostęp do sieci w domu. Nie jeden raz łaczyłem się przez RDP z telefonu - głupie, ale uratowało dupsko.

Sprawdź HomeAssistanta. Maja zaskakującą ilośc gotowców (roomba, telewizor, monitoring, itd itp, większości nawet nie kojarzyłem że są takie) i jakiś rodzaj eventów/akcji (na razie za mało w tym zrobiłem aby się wypowiadać). No i co chwile coś dodają.

Ja? Pisałem w sensie, że ignorancja staje się modna, a używanie TLS do szyfrowania swoich wrażliwych danych nie uważam za paranoję.

Ameryki nie odkryłeś.

Nie mam czegoś takiego jak własna zaufana sieć. Przesyłam w tym co mam, a jest różnie. Nie na każdym Tp-linku da się zrobić dwa wlan-y.

1. kamera ma tylko wifi, unikalny numer, zarejestrowana na obcego. niema szans abym bez chińskiego serwera zobaczył jej obraz. żadne resety i inne cuda nie wchodzą w grę, musiałbym jej zmienić numer, na taki ktory jest w bazie, ale jeszcze nie zarejestrowany
2. wszelkie kamery które mam z chin, są łatwe do zahakowania. znaczy każdy program na androida ostrzega przed tym. ja nie mam nic do ukrycia, ale większości osób to nie odpowiada. Aktualizacji niema i nie będzie. Czy jakaś zachodnia firma tak robi? Polski overmax, mimo że produkuje kamery w chinach - dba o zabezpieczenia lepiej
3. jeśli "amerykanie" zarządają od amerykańskiego producenta dostępu do ich bazy danych, ich klientów, dostaną? na serio? Apple jakoś nie dało. A jeśli chinski rząd zapragnie aby huawei "dawał" szpiega do swoich urządzeń... Stąd ja (czy słusznie to inna sprawa) pakuję do jednego wora wszystkie firmy pochodzące z krajów gdzie wielbi się przywódce i nie wolno go krytykować. Tak ze nie tylko chiny
4. pomysł z termometrem analogowym i kamerą wifi - byłby dobry, gdyby kamerę można było szybko zobaczyć na 192.168.1.150 Ale tak się nie da, w każdym razie nie szybko i bez problemów. po za tym pomiędzy obiektywem a termometrem może być para wodna, brak oświetlenia no i cena trochę nie teges.
5. kupiłem wemosa i tremometr, dam znać czy zadziałało i ile pracy/nauki mnie to kosztowało

ToMasz

To niedobrze. Ogólnie sieć LAN powinna być zaufana. jeśli takiej nie masz, to troche biednie.

Nie są one potrzebne.

Jesli obawiasz się "ataku automatycznego" to sugeruje na bazie tej samej sieci wifi/ethernet połaczyć urządzenia home automation na innej adresacji. Nie będą sobie przeszkadzać ani się widziec, adresy możesz przydzielić na stałe.

No właśnie, czy szyfrowanie wartości czujnika temperatury jest daną wrażliwą?

Zaufana sieć LAN to taka, w której jesteś sam. Każda inna zaufana być nie może.

Mateusz

W dniu 06.10.2020 o 20:38, ToMasz pisze:

Jakiś badziew zatem ale nie podałeś nawet modelu, więc trudno się odnieść. Był kiedyś taki trend, nawet w Polsce, Tesco sprzedawało smartwacze z Węgier ale serwer zdechł i brak możliwości logowania ześmiecił cały sprzęt :)

Każda kamera jest łatwa do shakowania :)

Gówno prawda.

W Rosji, też odmówiono dostępu rządowi do Telegrama :)

Zapragnął ale nie dostał.

Ale nasz rząd pomijasz jakoś i im ufasz a są w pierwszym rzędzie do korzystania z danych od operatorów. Sami się przyznali do podsłuchów telefonów (Pegasus).

Skoro to ma być siec lokalna, to kup sobie termometr samochodowy/stację pogodową/WiFi z wyświetlaczem LCD i będziesz miał IN-OUT :D na biurku. Tutaj też możesz zainstalować kamerę, która będzie się gapiła na wyświetlacz albo na 2 wyświetlacze naraz :D

j/w

No to sobie skub kabelki.

Niestety takie podejście kompletnie nic nie wnosi, za to powoduje zwiększanie paranoi.

Zaufaną sieć to ja mam domowy LAN, w którym na NASie znajdują się zdjęcia prywatne. Mogę to tak zostawić albo zaszyfrować komunikację i stworzyć silne hasła. Sugerujesz że jednak szyfrowanie i hasła? A po h...?

Ci ci szkodzi w sieci mieć dodatkowo kilka czujników pracujacych na innym zakresie IP, komunikujących się z MQTT i niczym innym?

Wnosi jakąś świadomość - jeśli kto na nią otwarty.

W tej sieci znajduje się też zapewne drukarka, odkurzacz autonomiczny czy tam inne sprzęty komunikujące się na co dzień z ChRL. Masz też modem internetowy, kontrolowany przez ISP i pewnie z interfejsem w tej właśnie sieci.

Miewasz gości? Podpinają się do domowego wifi? Może sami nie są domorosłymi hackerami, ale mogą nieświadomie nosić ze sobą trojana, albo należeć do jakiegoś ukraińskiego botnetu.

Być może to wszystko jest ci to obojętne, albo uważasz, że prawdopodobieństwo aby ktoś się tobą zainteresował jest znikome - ale nazywanie takiej sieci "zaufanej" to jednak duże uproszczenie.

Security by obscurity? Rozumiem. Faktycznie, był kiedyś taki trend.

Mateusz

To nie świadomośc, tylko paranoja.

Hamerykańska.

W osobnej sieci, choć tym samym ethernecie. Mogę go, pstrykajac palcami, przenieść do sieci odseparowanej, ba, dedykowanej. Ale znacznie prościej było zabronić mu dostępu do netu bo aplikacji i tak nie używam, ale już home assistanta a i owszem.

Nie, one są w osobnej sieci IP. Wcale w tym celu nie muszę mieć jakiś VPNów na routerach. Wystarczy kilka sztuczek.

Separowany przez mój router openwrt.

Nie do tego samego, co reszta urządzeń. Mogą pooglądać inet i tyle. Kosztowało mnie to całe 5 minut roboty i nie wymagało nic poza access pointem z openwrt.

No ale mój komputer też może. Mam nie ufać własnemu komputerowi? Szyfrowane łacze klawiatura<->pornhub? Idąc tym tropem niedaleka droga aby uważać na żyrandole, jak to u jednego Antoniego przebiega choroba.

Wręcz przecienie, ale ani troche nie popadam w paranoje. Odciąłem chiński falownik od internetu i komunikuje się z nim po RS485. Nie z powodu paranoi, tylko z powodów praktycznych.

, albo uważasz, że

Idąc tym tropem nie ma sieci zaufanych, nawet loopback należy traktować podejrzliwie i nie zapominać brać tabletek.

Nie, to równoważenie paranoi i użyteczności. Idąc tropem paranoików: nic się nie da zrobić bo małego chińczyka, pilnującego jakie pornole ogądasz, znajdziesz w każdym scalaku.

I już wyciekło.

To czy moje prywatne zdjęcia wyciekną nie jest mi obojętne, ale z tego powodu nie zamierzam nie używać sieci LAN.

Natomaist te materiały, które nie mają prawa wyciekać, są prawidłowo odseparowane i zaszyfrowane i nie jest to zip na hasło z tajnym, ukrytym katalogu, tylko coś troche bardziej skomplikowanego.

Nie oceniaj ludzi tylko dlatago że nie są równie paranoiczni jak Ty, widząc wszędzie zagrożenia, mimo że one są częścią ryzyka z jakim się zgadzają i jakim gotowi są płacić jak-by-co.

A gdzie ja pisałem, że potrzebuję szyfrowanej transmisji do czujnika temperatury? OK, może byłoby jaśniej, gdybym oznaczył post jako OT, ale znów nie popadajmy w paranoję ;)