2 kurze Fragen zu Tuya-Convert & Tasmota-Update

[Dr. Bakterius]

@opensourcenomad said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Ich verstehe bis heute nicht wie man die Sicherheit der eigenen Infrastruktur irgendwelchen mehr oder weniger ominösen Firmen (sprich irgendwelchen fremden, komplett unbekannten Menschen meist noch in einer anderen Gerichtsbarkeit) anvertrauen kann.

Na hoffentlich lötest du deine Hardware selbst zusammen und programmierst sie auch - andernfalls musst du dich auf potentiell böse fremde Menschen verlassen.

Und weil du den Artikel den du verlinkt hast, offensichtlich nicht oder falsch verstanden hast, habe ich nachgefragt. Doch dann kommt nur eine pampige Antwort. Sagt viel aus über dich!

BTW: Paranoia ist behandelbar...

[OpenSourceNomad]

@dr-bakterius said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Na hoffentlich lötest du deine Hardware selbst zusammen und programmierst sie auch

Mache ich nur teilweise, vor allem achte ich aber darauf das die Software bei mir Hause open source ist und ich diese überprüfen und anpassen kann. Außerdem versuche ich ebenso weit wie nur möglich auf binary blobs zu verzichten (leider nicht immer möglich, das wifi instruction set der esp's ist ein gutes Beispiel dafür) und deaktiviere ebenfalls undokumentierte Hardware "Features" (TPM, proprietäre Hardwarebeschleunigung etc.). Letzteres geht zwar (leider) auf Kosten der Performance bringt aber ein deutliches Plus an Sicherheit.

Ist aber natürlich nicht's für Leute die sich nicht mit der Materie auseinandersetzten wollen. Ein Studium ist dafür aber trotzdem nicht zwingend erforderlich

Und weil du den Artikel den du verlinkt hast, offensichtlich nicht oder falsch verstanden hast, habe ich nachgefragt.

Ich glaube ich habe die Informationen vom Kollegen Krebs soweit schon verstanden, allerdings bin ich natürlich für konstruktive Kritik immer erreichbar. Wenn du also was inhaltlich/fachlich zu bemängeln hast bitte her damit

BTW: Paranoia ist behandelbar...

Das mag sein. Berufserfahrung im fortgeschrittenen Stadium ist aber leider nicht heilbar

[Dr. Bakterius]

@opensourcenomad said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Mache ich nur teilweise, vor allem achte ich aber darauf

Und worauf achtest du? Prüfst du die verbauten SMD-Chips nach? Kontrollierst du selbst den Quellcode und kompilierst danach die Pakete? Wäre doch das mindeste, wenn man fremden Personen und Firmen allgemein nicht vertrauen kann.

Ich glaube ich habe die Informationen vom Kollegen Krebs soweit schon verstanden, allerdings bin ich natürlich für konstruktive Kritik immer erreichbar. Wenn du also was inhaltlich/fachlich zu bemängeln hast bitte her damit

Da ist nichts zu bemängeln, denn du hast keine validen Aussagen gemacht was du den Unifi-Geräten anlastest. Der Artikel übt auf jeden Fall keine Kritik an den Geräten, sondern zeigt lediglich die Problematik bei Cloudlösungen auf, angestoßen durch die Kompromittierung von (vermutlich) einer Datenbank. Daher gehe ich davon aus, dass du den Artikel falsch oder gar nicht verstanden hast.

Also erkläre dich, was ist jetzt so gefährlich an den Geräten? Denn, dass deren Server (oder der eines Drittanbieters) gehakt wurde, tangiert mich (und die meisten anderen Kunden) kaum. 1. verwende ich dort keinen Cloudservice, 2. bin ich lediglich im Forum registriert und 3. verwende ich immer einmalige, zufällige Passwörter. Zusätzlich gäbe es die Möglichkeit einer 2FA. Wenn deren Hash entwendet wird, viel Spaß damit. Und im Spam-Ordner sind vielleicht ein paar E-Mails mehr zu finden. Na und? Deswegen werfe ich aber meine USG, Switches und AP nicht in den Müll. Zur Sicherheit das Passwort kurz geändert und gut ist. Viel interessanter ist, wie ein Unternehmen vorgeht wenn es Opfer wird - denn das passiert öfter als man denkt und auch renommierten Konzernen. Da kann man Ubiquiti bislang wirklich nichts vorwerfen.

Berufserfahrung im fortgeschrittenen Stadium ist aber leider nicht heilbar

Einbildung ist auch eine "Bildung". Und sei gewiss: andere sind auch nicht auf der Nudelsuppe daher geschwommen...

[JLeg]

@opensourcenomad said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Ich glaube ich habe die Informationen vom Kollegen Krebs soweit schon verstanden, allerdings bin ich natürlich für konstruktive Kritik immer erreichbar. Wenn du also was inhaltlich/fachlich zu bemängeln hast bitte her damit

"Kollege Krebs" hat von einer Unifi Kundendatenbank bei einem Zulieferer berichtet, dessen Cloud gehackt wurde. Hier wurde dann der Eindruck erweckt, dass alle, die nun irgendein Unifigerät nutzen, am Rande der Hölle wandern. Was Lötzinn ist - ich z.B. benutze auch diverse Unifi-Gerätschaften, habe aber mit deren Cloud nichts zu tun. Bin also auch nicht von den Erkenntnissen des "Kollegen Krebs" betroffen (die man auch vorher bereits z.B. bei heise.de nachlesen konnte)...

[OpenSourceNomad]

@dr-bakterius said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Also erkläre dich

Wieso sollte ich mich denn erklären? Du versuchst mir hier irgendwas anzudichten weil du inhaltlich nichts zu beanstanden hast oder wie soll ich das verstehen?

Wenn deren Hash entwendet wird, viel Spaß damit.

Ubiquiti hat wohlgemerkt darauf verzichtet das verwendete Verfahren zu nennen. Es muss daher davon ausgegangen werden das es sich um ein nicht (mehr) sicheres Verfahren (heutiger best practices entsprechend) handelt und es daher möglich ist die Passwörter aus den Hashes zu berechnen (dafür ist übrigens die "Cloud" ausnahmsweise mal zu gebrauchen ). Das Ubiquiti ihren Kunden ebenfalls empfiehlt das gleiche Passwort auch bei anderen Online Diensten zu ändern zeugt ebenfalls nicht von Vertrauen in ihre eigene Technik und sie rechnen wohl damit das die Passwörter zeitnah geleakt werden. Es war also die richtige Entscheidung von dir, @Dr-Bakterius, kurz die Zeit für den Passwortwechsel aufzuwenden.

Was ich außerdem noch aus der Kommentarspalte bei krebsonsecurity rauslese: Durch ein Firmwareupdate (ob für alle Gerätschaften von ubiquiti oder nur einzelne kann ich nicht sagen) wurde die lokale Authentifizierung. "geändert". Diese ist jetzt wohl an den online account gebunden
Das die E-Mails zum zurücksetzten teilweise nicht versandt (oder nur mit massiver Verzögerung) und die Zwei Faktor Authentifizierung wohl gar nicht durchgehend implementiert ist (der zweite Faktor zur erfolgreichen Authentifizierung abgefragt wird) kommentiere ich jetzt nicht mehr.

Deswegen werfe ich aber meine USG, Switches und AP nicht in den Müll

Das habe ich ebenfalls nicht empfohlen, nicht dir und auch den anderen Ubiquiti Kunden hier im Thread die sich irgendwie alle auf die Füße getreten fühlen. Bis gerade eben wusste ich noch gar nichts von deiner schönen Hardware. Und wenn ich dir was empfehlen würde, dann natürlich deine Geräte zu befreien

Zusammengefasst hast du also inhaltlich nichts zu bemängeln, wirst mir eine

pampige Antwort

vor und schließt deinen post mit

Einbildung ist auch eine "Bildung"

ab. Muss man dich jetzt verstehen?

[Chaot]

@opensourcenomad Und wieder hast du in der Kommentarspalte gelesen und entweder nur die Hälfte davon verstanden oder nur die Hälfte gelesen.

Es steht ein einziger Gerätetyp drin der wohl Cloudbindung zwingend braucht. Das hat nichts mit den APs zu tun. Sogar das steht explizit mehrfach drin das die nicht betroffen sind.
Aber was weiß ich schon als Laie wenn sich Götter unterhalten.

Du bist mir immer noch die Antwort schuldig welche Hardware du empfehlen würdest. Da du dich ja offensichtlich als der Securitygru siehst sollte es dir doch möglich seine eine Empfehlung auszusprechen.
Oder kommen da wieder nur Floskeln ohne Antworten?

Also klare einfache Frage:

Ich benötige einen AP der ein WLan Netz spannt und über einen Switch die Smarthome Geräte mit dem ioBroker verbindet.
Idealerweise wäre der AP dann noch in der Lage ein zweites Netzwerk aufzuspannen das meine Mobiltelefone und Laptops mit dem Internet verbindet.
Wündschenswert, aber nicht zwingend wäre die Versorgung des AP über POE
Welche Hardware soll ich ab den Switch einsetzen?

[da_Woody]

@chaot said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Idealerweise wäre der AP dann noch in der Lage ein zweites Netzwerk aufzuspannen

uni nano mit openWRT. wieviele WLAN brauchst du?

[Chaot]

@da_woody Die Frage ging an Opensourcenomad, weil ja alle Ubiquiti Teile böse sind.
Ärgert mich das einfach Sachen schlecht geredet werden ohne Alternativen aufzuzeigen. Das ist Schwafeln und Aluhutgehabe das nervt.

[da_Woody]

@chaot i know, konnts mir halt nicht verkneifen...

[OpenSourceNomad]

@jleg said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Hier wurde dann der Eindruck erweckt, dass alle, die nun irgendein Unifigerät nutzen, am Rande der Hölle wandern

Das finde ich sehr interessant, vor allem den Part mit der Hölle Ich habe mir gerade extra noch mal die Mühe gemacht und den ganzen Thread durchgelesen. Zwar ist sichtbar das er abdriftet, den Kipppunkt kann ich aber nicht wirklich bestimmen. Abgesehen davon das sich hier manche User getriggert fühlen und sich gezwungen sehen, ich versuche es diesmal extra freundlich (), in eine "Vorwärtsverteidigung" zu gehen und dabei vielleicht ein bisschen "ausschweifen" sehe ich hier trotzdem keine echten Argumente die den Eindruck vom "Rande der Hölle" irgendwie belegen würden. Manche Zeilen sind aber auch etwas verwirrend... da bin ich manchmal ausgestiegen

ich z.B. benutze auch diverse Unifi-Gerätschaften, habe aber mit deren Cloud nichts zu tun. Bin also auch nicht von den Erkenntnissen des "Kollegen Krebs" betroffen (die man auch vorher bereits z.B. bei heise.de nachlesen konnte)...

Das ist doch schon mal gut, viele Wissen eben leider oft nicht wo sie "stehen". Ich würde sogar soweit gehen und sagen das viele so ziemlich alles gedankenlos abnicken und als erstes wahrscheinlich gleich noch die passende App auf's Telefon ballern. Und heise kennen darüber hinaus wahrscheinlich die wenigsten der Privatanwender

Leider ist es aber in den letzten Jahren auch in Deutschland zur Mode geworden sich "cloud connected" Netzwerkgeräte in's Rack zu stellen. Vorher war so etwas fast nur im angelsächsischen anzutreffen und im deutschsprachigen Raum eher noch verpönt. Ich kann nur für den geschäftlichen Bereich sprechen (denke aber im privaten wird es nicht besser sein) und leider treffe ich nicht nur häufiger auf solche Geräte (mit aktiviertem cloud management) sondern auch auf Admins die offensichtlich überfordert mit ihren Netzwerken sind. Manche Firmen hatten sogar diese Gerätschaften (nicht selten sogar auch auf Wunsch der IT) mit den schönen bunten Oberflächen und Apps extra angeschafft um ein "leichteres" management der Infrastruktur zu erreichen.

Nur leider hilft es zuweilen wenig zu versuchen die Komplixität von IT Netzwerken mittels Software zu kaschieren. Was es schlicht braucht ist fähiges Personal, am besten natürlich in dem man vorhandenes aus- und weiterbildet. Das allerdings wollen viele Geschäftsführer auch nicht hören, denn das kostet ja Geld und Arbeitszeit.

Wir werden deswegen mit Sicherheit auch wieder in Zukunft von "Datenreichtümern" im Internet hören.

[OpenSourceNomad]

@chaot said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Und wieder hast du in der Kommentarspalte gelesen und entweder nur die Hälfte davon verstanden oder nur die Hälfte gelesen.

Vielleicht liest du nur die Hälfte meiner Postings oder fabulierst ein bisschen zu viel hinein? Dein Nickname ist wohl Programm bei dir? Ich zitiere mich noch einmal selbst für dich:

@opensourcenomad said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Was ich außerdem noch aus der Kommentarspalte bei krebsonsecurity rauslese: Durch ein Firmwareupdate (ob für alle Gerätschaften von ubiquiti oder nur einzelne kann ich nicht sagen) wurde die lokale Authentifizierung "geändert". Diese ist jetzt wohl an den online account gebunden

Und kopiere dir sogar extra den Inhalt, welcher hinter dem blauen Text versteckt ist, für dich hier rein:

Roberto said on krebsonsecurity

It’s a disgrace!

First they changed the way you authenticate locally – without any big announcement. I was having trouble to log into my own UI hardware using local credentials. Then I realized they bundled that with the UI server account. All “introduced” by a simple firmware update. Now this.

What a nightmare. If I would not have spend hundreds of Euros for my home infrastructure I would throw all of this out immediately.

Shame in UI!

@chaot said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Du bist mir immer noch die Antwort schuldig

Im Traum nicht. Die bin ich meiner zahlenden Kundschaft schuldig aber mit Sicherheit nicht einem @Chaot hier im Forum

[Chaot]

@opensourcenomad

Im Traum nicht. Die bin ich meiner zahlenden Kundschaft schuldig aber mit Sicherheit nicht einem @Chaot hier im Forum

Ich kann mir wirklich nicht vorstellen das jemand für solche abgedrehte Überheblichkeit bezahlt.
Aber wenn du meinst....

Ich wundere mich auch über dein Allgemeinwissen. Aus dem Post eines einzelnen Users in einem Forum bei dem nicht erkennbar ist auf welches Gerät es sich bezieht kannst du herausschließen das alle Geräte der Firmengruppe offensichtlich diese Eigenschaft haben. WOW!!!!!
Deine seherischen Fähigkeiten müssen Gottgleich sein.

Und ganz seltsam ist ja, das der User scheinbar nicht sich lokal einloggen konnte, was ja definitiv auch trotz Cloudanbindung weiterhin möglich geblieben ist. Somit ist die Aussage des Users wohl eher deinem Typus hier zuzuordnen.

Dein Name scheint auch hier Programm zu sein. Vermutlich ziehst du von Forum zu Forum um deine Weisheiten loszuwerden in der Hoffnung das dir irgendwann einer glaubt.

Irgendwie habe ich bei dir den Eindruck das du deinen Kunden ein supersicheres und nur von Topspezialisten administrierbares Firmennetzwerk hinstellst das erhebliche Kosten verursacht und die dann an SAP anbindest.

[Dr. Bakterius]

@opensourcenomad said in 2 kurze Fragen zu Tuya-Convert & Tasmota-Update:

Wieso sollte ich mich denn erklären? Du versuchst mir hier irgendwas anzudichten weil du inhaltlich nichts zu beanstanden hast oder wie soll ich das verstehen?

Scheinbar weißt du selber nicht mehr was du so verzapfst. Du hast geschrieben:

hoffentlich ist kein Unifi involviert

Und ich habe dich gefragt, wie das zu verstehen ist. Daraufhin hast du zwar unheimlich viel geschwurbelt, aber die Frage nicht beantwortet bzw. keinen relevanten Grund dafür geliefert. Bist du Politiker?

Das Ubiquiti ihren Kunden ebenfalls empfiehlt das gleiche Passwort auch bei anderen Online Diensten zu ändern zeugt ebenfalls nicht von Vertrauen in ihre eigene Technik

a) Ich kann mir nicht vorstellen, dass Ubiquiti einen eigenen Verschlüsselungsalgorithmus entwickelt hat.

b) Könnten sie auch bei aktuellem Stand der Technik wirklich behaupten, dass die Passwörter 100% sicher sind? Traust du dich das?

c) Und natürlich ist ein kompromittiertes Passwort tot und gehört folglich überall geändert.

Also in meinen Augen alles richtig gemacht! Ich wäre nicht anders vorgegangen.

Diese ist jetzt wohl an den online account gebunden

Bislang ist wohl nur die Dream Maschine betroffen - ein Consumer-Gerät. Der Markt verlangt es wohl, sonst gäbe es nicht diese Flut an Cloud-Gerätschaften.

die Zwei Faktor Authentifizierung wohl gar nicht durchgehend implementiert ist (der zweite Faktor zur erfolgreichen Authentifizierung abgefragt wird) kommentiere ich jetzt nicht mehr.

Ist auch besser so. Denn auch diesen Kommentar hast du offensichtlich nicht verstanden. Wäre zwar wünschenswert, wenn man alle Zugänge mit 2FA schützen könnte, aber unkritische Bereiche müssen nicht unbedingt sein.

Und wenn ich dir was empfehlen würde, dann natürlich deine Geräte zu befreien

Hätte ich das Bedürfnis openWRT zu verwenden, hätte ich mir andere Hardware angeschafft (wobei nicht einmal alle meine Geräte unterstützt würden). Und wovon soll mich openWRT "befreien"? Höchstens von dem was das UniFi-Universum ausmacht. Da kann ich mir gleich ein Loch ins Knie bohren. openWRT auf UniFi macht höchstens dann Sinn, wenn man nur einen AP hat. Wer sich openWRT auf einen UniFi-Switch installiert, ist vielleicht ein Bastler und probiert das mal aus - doch niemand mit etwas Grips, wird sich einen solchen Switch zulegen um dann openWRT darauf laufen zu lassen.

Einbildung ist auch eine "Bildung"

Muss man dich jetzt verstehen?

Müssen tust du gar nichts. Wundert mich jetzt aber auch nicht, dass du das nicht verstehen kannst...