Poprawa bezpieczeństwa w Loxone Cloud DNS
System Loxone doskonale działa bez połączenia z internetem. Opcjonalnie klient może skorzystać z funkcji zdalnego sterowania budynkiem i usług online. Przy rozwoju tego typu dodatkowych funkcji nieustannie korzystamy z pomocy zarówno wewnętrznych, jak i zewnętrznych specjalistów oraz przestrzegamy standardów branżowych, aby zapewnić najbezpieczniejszy system na rynku.
System Loxone jest przeznaczony nie tylko do ochrony konstrukcji budynków mieszkalnych i komercyjnych, ale także danych i prywatności osób z nich korzystających. W przeciwieństwie do wielu innych rozwiązań IoT, Miniserver Loxone nie wysyła żadnych danych o zachowaniu użytkowników do serwera online. Zasadniczo system Loxone działa perfekcyjnie bez połączenia z internetem. Wielu użytkowników chce jednak mieć możliwość sterowania swoim budynkiem zdalnie oraz korzystania z usług pogodowych w celu usprawnienia automatyzacji. W takich sytuacjach połączenie internetowe jest niezbędne. Środki bezpieczeństwa związane z korzystaniem z takich funkcji są regularnie oceniane we współpracy z wewnętrznymi i zewnętrznymi ekspertami.
Kilka tygodni temu o słabości usługi Loxone Cloud DNS poinformował nas kampus Hagenberg Uniwersytetu Nauk Stosowanych Górnej Austrii, z którym współpracowaliśmy już przy kilku projektach. Tamtejszy Komitet Doradczy ds. Bezpieczeństwa poruszył teoretyczną możliwość zarejestrowania przez Loxone Cloud DNS nieprawidłowego adresu IP w wyniku fałszywych pakietów danych. Umożliwiłoby to atakującemu tymczasowe przechowywanie adresu IP witryny podobnej do interfejsu sieciowego Loxone, a tym samym uzyskanie dostępu do danych logowania instalacji Loxone.
Aby można było wykorzystać tę lukę, należałoby spełnić kilka warunków. Zaatakowany musiałby znać adres MAC Miniservera Loxone; Miniserver musiałby być zarejestrowany i aktywny w Loxone Cloud DNS, a użytkownik musiałby podjąć próbę zalogowania się w momencie ataku, ponieważ Miniserver aktualizuje adres IP co minutę. Ponadto, gdyby osoba atakująca chciała dokonać jakichkolwiek szkód na miejscu, musiałaby znać fizyczny adres, pod którym jest zainstalowany Miniserver.
Nie istnieją żadne znane przypadki wykorzystania tej luki przy ataku.
Bezpieczeństwo użytkowników Loxone i instalacji konsumenckich jest dla nas priorytetem, ponieważ leży u podstaw tego, co robimy. Z tego powodu podjęliśmy natychmiastowe kroki, aby trwale zapobiec temu scenariuszowi ataku.
Loxone Cloud DNS: udoskonalone wykrywanie fałszywych pakietów danych
Za pomocą żądania HTTP można odczytać adres IP i port Miniservera, który jest skonfigurowany na routerze domowym (jest to używane na przykład przez aplikację do dostępu zewnętrznego / zdalnego). W odpowiedzi HTTP pole „Last Update Timestamp” zostało usunięte, aby nie ujawniać cyklu aktualizacji Miniservera. Środek ten został wdrożony 6 lipca 2020 r.
Zaawansowana kontrola wykrywa potencjalnych napastników, gdy tylko adres IP zmieni się kilka razy w ciągu minuty. Potencjalny atak może więc zostać zidentyfikowany już po pierwszej próbie, w wyniku czego adres IP domniemanego napastnika zostanie umieszczony na czarnej liście na 24 godziny. Środek ten został wdrożony 16 lipca 2020 r.
Niezależnie od powyższego, pojedynczy adres IP może wysłać maksymalnie 50 aktualizacji do Loxone Cloud DNS w ciągu jednej minuty. Jeżeli liczba ta zostanie przekroczona, adres IP zostanie umieszczony na czarnej liście na 7 godzin, a wszystkie aktualizacje będą w tym czasie ignorowane. Środek ten został wdrożony 16 lipca 2020 r.
Z jednego adresu IP można wysłać do Loxone Cloud DNS maksymalnie 5 aktualizacji dla Miniservera na minutę. W ten sposób da się zapobiec spamowaniu przy aktualizacjach Miniservera. Jeśli liczba ta zostanie przekroczona, adres IP zostanie umieszczony na czarnej liście na 7 godzin. Środek ten został wdrożony 16 lipca 2020 r.
Dla wszystkich Miniserverów w wersji 11.1 (2020.09.03) lub nowszej, korzystających z Loxone Cloud DNS, wprowadzono sygnaturę pakietu aktualizacyjnego. Za pomocą uwierzytelniania ma się pewność, że odpowiedni pakiet pochodzi z danego Miniservera. Po pomyślnym przeprowadzeniu aktualizacji przy użyciu tej metody uwierzytelniania, Miniserver nie zezwoli na żadne przyszłe pakiety, które nie zostaną podpisane w ten sposób. Niniejsza aktualizacja została udostępniona konsumentom i partnerom Loxone 3 września 2020 r.
Powyższe zmiany zapewniają wysoki poziom ochrony instalacji Loxone, które korzystają z usługi Loxone DNS. Aby móc korzystać z ulepszeń, zalecamy regularne aktualizowanie instalacji. Aktualizacje w wersji 11.1 zapobiegają atakom w oparciu o scenariusze opisane powyżej i dlatego zapewniają najwyższą ochronę w tym zakresie.
Uwaga: scenariusze ataków opisane powyżej dotyczą wyłącznie usługi Loxone DNS. Powyższe nie dotyczy usługi Loxone „Remote Connect”.
