UPDATE 31.10.: Amazon Alexa - ioBroker Skill läuft aus ?

[Chaot]

@homoran , @fastfoot , @Jan1
Laut AVM ist die Nutzung von MyFritz eine normale Portfreigabe.
Also führt jede Nutzung von MyFritz unweigerlich dazu das der ioBroker offen im Netz steht.
Wie @fastfoot schon sagte ist das mehr oder weniger ein DynDNS Service mit einer Komfortoberfläche zur Portfreigabe.

Ich bin mir zwar wirklich sicher das das früher nicht so war, kann es aber nicht belegen. Ich kann mich irgendwo daran erinnern das ich für die Freigabe einen separaten Link hatte.
Aber ist ja am Ende auch egal, da der aktuelle Status eben so ist wie es derzeit ist.

In den Ausführungen zu MyFritz bei AVM steht das recht undeutlich beschrieben, so das man denken könnte das der Zugriff sicher über MyFritz erfolgt. Von einer kompletten Freigabe steht dort blöderweise kein Wort.
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-6591-Cable/1376_MyFRITZ-Freigaben-einrichten/

Also kann es durchaus sein das die "zugänglichen" ioBroker im Netz öfter mal durch eine vermeintlich sichere MyFritz Freigabe Zustandekommen.

[Homoran]

@chaot Danke für das Feedback!

[Jan1]

@chaot
Das war auch früher anders und da hast schon recht. Warum man für die Portfreigabe überhaupt noch myfritz brauchen soll, verstehe ich nicht, da das nicht wirklich weniger Klicks und Wissen bedeutet, als würde man die Freigabe eben manuelle einrichten.

[hydrotec]

Eventuell bringt das etwas Licht ins Dunkel.

Generell ist die Fritzbox über die öffentliche IP-Adresse im Internet erreichbar.
Sonst hätte man kein Internet zur Verfügung.
Damit man auf die Fritzbox über das Internet zugreifen möchte, müssen erst diverse Einstellungen vorgenommen werden.
Ansonsten ist der Port zur Fritzbox Oberfläche nicht geöffnet.
Das hat erst einmal nichts mit den Portfreigaben zu tun.
In den Fritzbox Einstellungen auf der Seite Internet->Freigaben->FRITZ!Box-Dienste sieht man die Adressen,
unter welcher die Fritzbox aus dem Internet erreichbar ist.

myfritz.net ist ein reiner DynDNS Dienst, welcher von AVM für seine Nutzer der Fritzbox zur Verfügung gestellt wird.
Wenn ein Nutzer diesen Dienst verwenden möchte, ist seine Fritzbox über den myfritz.net Link, und der öffentlichen IP-Adresse erreichbar.
(sofern in den Fritzbox Einstellungen Internet->Freigaben->FRITZ!Box-Dienste bei "Internetzugriff auf die FRITZ!Box über HTTPS aktiviert" der Haken gesetzt wird)
Diesen DynDNS-Dienst konnte man früher nur mit einer öffentlichen IPv4-Adresse nutzen.
Da gab es noch keine myfritz Freigaben. (Nagelt mich nicht fest, ist wirklich schon lange her)
Die wurden erst im Zuge der Kabelanbieter eingeführt, damit man seine Fritzbox auch über die IPv6 im Internet erreichen kann.

Eingerichtete Portfreigaben, egal ob myfritz oder nicht, sind generell zum Internet geöffnet, wenn sie aktiv sind.
Sonst würden diese Dienste ja auch keinen Sinn machen, oder.

Gruß, Karsten

[Jan1]

@hydrotec
Nicht ganz richtig, da man früher eben nicht über die öffentliche IP durch die myfritz Freigabe auf die Box gekommen ist, sondern nur mit dem dadurch generierten Link, was ja auch ein DynDNS Dienst darstellt und man eben nicht immer die wechselnde öffentliche IP in Erfahrung bringen musst um auf die Box zu gelangen.

Somit konnte man sich einfach den Link in die Favoriten legen und hatte einen sicheren Zugriff auf die Box.
Nun ist es schlicht ne Portweiterleitung, nicht mehr und nicht weniger, was mit DynDNS Dienst wenig zu tun hat ;)

[Chaot]

@jan1 Ich bin zwar auch recht sicher das das früher so war, aber es hilft ja auch nichts.
Aktuell ist es eben so, das eine Freigabe über MyFritz den ioBroker offen ins Internet stellt. Ob das dem Nutzer dabei bewusst wird wage ich in den meisten Fällen zu bezweifeln, weil AVM selbst hier ja auch mehr wirbt als warnt.

[Jan1]

@chaot
Es reicht wenn man weiß, dass man es nicht tun sollte und alles andere als ein DynDNS Dienst ist ;)

[Homoran]

@chaot sagte in Steht offen im Internet ???:

Ob das dem Nutzer dabei bewusst wird wage ich in den meisten Fällen zu bezweifeln

Ich versuche mal die Aussage von @fastfoot hier mit einzubauen.

Vielleicht war es schon immer so, dass eine myFritz Freigabe eine allgemeine Portweiterleitung für die öffentliche IP anlegte (anders nutzt es ja auch nichts) und erst mit dem Update wird dieses deutlich sichtbar in der GUI(, damit es den Usern bewusst wird)

[hydrotec]

@chaot sagte in Steht offen im Internet ???:
..., aber es hilft ja auch nichts.

Stimmt, hilft dem eigentlichen Problem nicht wirklich weiter. ;-)

Generell würde ich jedem empfehlen, keine, oder nur wirklich benötigte Portfreigaben, an einem Router einzurichten.
Und wenn man wirklich eine Freigabe zu ioBroker benötigt, dann nur mit Https und echtem Zertifikat, user:password nicht zu vergessen.
Es wird leider immer schlimmer mit den scanbots.

Wenigstens war in dem hier genannten Fall der hacker ja so freundlich und hat nur einen Hinweis gestartet.

[Jan1]

@hydrotec
Das war kein Hacker, da ein Hacker keine Portfreigabe benötigt um Dein System zu entern ;)

[hydrotec]

@jan1
"personmitadministrativemzugangaufdieheimischeiobrokersystemverwaltung"

Besser? :grinning:

[Meister Mopper]

Es bleibt:

• VPN-Zugang oder

• reverse proxy mit echten Zertifikaten und zusätzlicher Authentifizierung und (wenn möglich) 2FA

[RMortan]

Hey... Gibt's ne möglichkeit zu test ob man offen ist... Habe mal de Port scann bei Heisse gemacht der sagt alles ist gut...

Habe auch keine Portfrei gabe in der Fritte an...

Allerdings nutze ich myfritz um per Fritz app zugreifen zu können..

Sonst nutze ich VPN um ins heim Netz zukommen..

Lieben Dank..

[Jan1]

@rmortan sagte in Steht offen im Internet ???:

Allerdings nutze ich myfritz um per Fritz app zugreifen zu können..

Die App hat ein eigenes VPN drin, somit ist das absolut überflüssig.

[Wildbill]

Vor Jahren, als ich noch eine Fritzbox hatte, war die myfritz-Freigabe nix anderes als ein simples Firewall hole punching. Die Box hat einen Kanal zum myfritz-Server geöffnet, dort hat man sich angemeldet und durch diesen Kanal lief dann der Verkehr. IMHO war das sogar sicher, da verschlüsselt und mit Benutzer und passwort. Ports wurden da keine geöffnet.
Wenn das Einrichten einer myfritz-Freigabe jetzt wirklich (zusätzlich?) den Port öffnet, dann kann das eigentlich nur ein Bug und nicht gewollt sein. Dann könnte man sich myfritz wirklich gleich sparen.
Gruß, Jürgen

[Jan1]

@wildbill sagte in Steht offen im Internet ???:

Wenn das Einrichten einer myfritz-Freigabe jetzt wirklich (zusätzlich?) den Port öffnet

Nicht zusätzlich, das macht sonst nix anderes mehr. Es gibt kein Link mit dem man dann über den myfritz Server auf die Box kommt.

[Chaot]

@wildbill sagte in Steht offen im Internet ???:

Vor Jahren, als ich noch eine Fritzbox hatte, war die myfritz-Freigabe nix anderes als ein simples Firewall hole punching. Die Box hat einen Kanal zum myfritz-Server geöffnet, dort hat man sich angemeldet und durch diesen Kanal lief dann der Verkehr. IMHO war das sogar sicher, da verschlüsselt und mit Benutzer und passwort. Ports wurden da keine geöffnet.
Wenn das Einrichten einer myfritz-Freigabe jetzt wirklich (zusätzlich?) den Port öffnet, dann kann das eigentlich nur ein Bug und nicht gewollt sein. Dann könnte man sich myfritz wirklich gleich sparen.
Gruß, Jürgen

Ist laut AVM kein Bug und wirklich nur als DynDNS Service zu verstehen.
Wie gesagt, war ich mir auch recht sicher das das früher anders war, aber auch das ist angeblich schon immer so gewesen.

Aber deine Folgerung ist Richtig. Hierfür kann man sich das MyFritz wirklich sparen.

[Jan1]

@chaot sagte in Steht offen im Internet ???:

Ist laut AVM kein Bug und wirklich nur als DynDNS Service zu verstehen

Das ist es eben nicht, da man so immer über ein und die selbe IP, oder Link auf die Box zugreifen könnte und hier wird schlicht ein Port geöffnet, mehr nicht. Wechselt Deine IP durch die Zwangstrennung, dann kommst auch nur mit der neuen wieder drauf und ein DynDNS Service macht eben nicht anderes, als den IP Wechsel wieder in eine quasi Feste IP über deren Server zu wandeln. Hier gehst ja nicht mal über den myfritz Server, sondern direkt rein in die Box ;)

[Wildbill]

Wenn hier AVM behauptet, dass wäre gewollt beziehungsweise gar schon immer so (war es nicht), bekräftigt das zumindest meine Meinung, die ich im Lauf der letzten Jahre von dieser Firma gewonnen habe und bestätigt, dass es richtig war, um Fritzboxen einen Bogen zu machen.
Früher waren das mal Boxen, die für unbedarfte User sehr sicher und einfach einzurichten waren. Mit den Jahren häuften sich die Bugs, und jetzt jubelt man dem User sogar noch Sicherheitslücken (IMHO ist es genau das) als Feature unter?!
Gruß, Jürgen

[Jan1]

@wildbill
Na die sind immer noch gut, man sollte eben wissen was man tut und ich habe bis jetzt noch nichts offizielles von AVM dazu gelesen.
Wobei ich auch nicht verstehe, warum in der myfritz APP der kinderleichte Aufbau einer VPN Verbindung raus genommen wurde. Die Begründung dazu verstehe ich nicht wirklich, da einfach gesagt wird, dass der Zugriff über die APP auf das Fritz WebIf eh über ne VPN geht. OK, aber was wenn ich gar nicht da hin will, sondern einfach ne VPN vom Handy zur Fritz möchte um mein IOBroker zu bedienen?
Aber auch egal, habe mir dann eben manuell ne VPN mit der Fritz eingereichte, was ja auch kein Hexenwerk ist ;)

Die myfritz Port Geschichte ist aber wirklich etwas seltsam, da wie ich schon mehrfach geschrieben habe, es so kein Sinn macht und außer brandgefährlich sonst nix ist.