UPDATE 31.10.: Amazon Alexa - ioBroker Skill läuft aus ?

[Jan1]

@opensourcenomad
Wenn er unbedingt will, kann er es lassen, warum ich es nicht machen würde, habe ich ja begründet.

[OpenSourceNomad]

@jan1 deine Begründung ist das es noch komplizierter wird Tasmota upzudaten. Es fehlt eben der Hinweis das in vielen (alten) Version bekannte und ausnutzbare Sicherheitslücken existieren die es möglich machen das Gerät aus der ferne zu übernehmen. Zusätzlich liegt das WLAN Passwort unverschlüsselt auf dem ESP, wenn es jemand möglich ist einen dump zu ziehen kann man das komplette Netzwerk (außer natürlich es das Netzwerk vom Admin von Welt :stuck_out_tongue_winking_eye:) als kompromittiert sehen.

[haselchen]

@opensourcenomad

Das ist leider auch nur von hier nach da gedacht.
Wenn ich von WIN10 auf 11 update bin ich dann sicherer?
Es kommt doch auf die Art des Updates an.
Wird eine Sicherheitslücke geschlossen oder bekommt die GUI eine Kosmetik.
Da obliegt es jedem selbst, ob ein Update ein Nutzen für denjenigen ist.
Ein System auf Stand zu halten finde ich sinnvoller, als nen Steckdosen Template upzudaten, wenn alles seit Jahr und Tag läuft und weiter laufen wird, weil nichts essentielles als Update dazu kommt.

[liv-in-sky]

@opensourcenomad

wenn jemand in mein netz kommt und dann auf die sonoffs zugreift - denke ich - habe andere probleme - ansonsten wüßte ich nicht, wie sich die sicherheit auswirken würde - aber das ist nicht mein spezialgebiet - die sonoffs gehen nicht nach außen , öffnen keine ports.

aber meine frage ist soweit beantwortet

danke

aber die neuen sonoffs nutzen doch einen anderen chip - oder bin ich da falsch informiert - d.h. irgendwann ist das eh vom tisch

[OpenSourceNomad]

@liv-in-sky said in Tasmota Update 10.0 mit TasmoAdmin:

wenn jemand in mein netz kommt und dann auf die sonoffs zugreift

Leider nicht verstanden. Ein Tasmota teil mit bekannten Lücken ist das Einfallstor in dein Netzwerk :bulb:

Ich muss mich leider schon wieder zitieren:

@opensourcenomad said in Tasmota Update 10.0 mit TasmoAdmin:

und selbst wenn er mit VLAN und client isolation arbeitet (und wir utopischer annehmen das System ist frei von backdoors 🚪, bugs 🐛 oder Unfähigkeit der Hersteller🤦 ), ja selbst dann kann ein Angreifer die voll Kontrolle über einen (verwundbaren) Tasmota übernehmen und nach Gutdünken schalten und walten.

Und da diese Geräte meistens (außer es ist nur Sensorik im Einsatz) zum schalten im Einsatz sind kann sich der Admin von Welt dann mit etwas Glück über eine Lichtershow 💡 🚨 🚥 freuen, mit etwas weniger Glück über amok laufende Großverbraucher 🖨 📺 📻 🛢 🎛 📈

[liv-in-sky]

@opensourcenomad
ok - muss ich mal schlau machen - das wäre ein grund

kann mir das nur vorstellen, wenn ein gerät noch als ap im netz sichtbar wäre - hatte ich mal

[OpenSourceNomad]

@liv-in-sky said in Tasmota Update 10.0 mit TasmoAdmin:

kann mir das nur vorstellen, wenn ein gerät noch als ap im netz sichtbar wäre - hatte ich mal

Nein, sowohl für den wlan stack als auch für den bluetooth stack (esp32) gibt es remote execution vulnerabilities (wir reden hier von einem Computer GAU :boom:)

[liv-in-sky]

@opensourcenomad

aah - wußte ich nicht - also einen grund haben wir gefunden - das war ja meine frage

aber z.b bei den esp 32 finde ich es sinnvoll - habe 5 cam32 - die tasmota version finde ich nicht so toll - da werde ich updaten, wenn es ein update gibt

[liv-in-sky]

@opensourcenomad

jetz muss ich nochmal nachfragen:

es muss jemand wissen, dass ich sonoffs im haus benutze, dann muss er in der nähe des hauses sein, damit er den wlan stack überhaupt angreifen kann - bei bluetooth muss er eigentlich schon direkt vor der haustüre stehen und er muss auch noch wissen, wie das hacken geht

ich wohne auf dem land - wenn da jmd steht, der in sein laptop tippt, werden die mistgabeln eh rausgheholt :-)

ist da Computer GAU nicht etwas übertrieben ?

[OpenSourceNomad]

@haselchen said in Tasmota Update 10.0 mit TasmoAdmin:

Wenn ich von WIN10 auf 11 update bin ich dann sicherer?

Nein, weil es ein Windows ist ;)

Spass beiseite, sowohl Windoof 10 als auch Windoof 11 erhalten Security Updates, anders als z.B. ein Windows XP :bulb:

Es kommt doch auf die Art des Updates an.

Da es bei Tasmota aber nur eine Art von Update gibt heißt es hier "Friss oder Stirb"

Ein System auf Stand zu halten finde ich sinnvoller, als nen Steckdosen Template upzudaten

Das "Steckdosen Template" ist auch ein System :bulb:

@haselchen said in Tasmota Update 10.0 mit TasmoAdmin:

weil nichts essentielles als Update dazu kommt.

Es werden halt Sicherheitslücken geschlossen die es Fremden im besten Fall erlaubt dein Netzwerk zu übernehmen. Wenn das nichts essentielles für dich ist rate ich deine WLAN Verschlüsselung zu deaktivieren ;)

[Thomas Braun]

'Never touch your running system' heißt auch 'Never fix your open issues'.
Und die open issues können halt vielgestaltig sein.
Deswegen ist 'Never touch your running system' größter Unfug.
Haltet die Systeme auf Stand.

[OpenSourceNomad]

@liv-in-sky said in Tasmota Update 10.0 mit TasmoAdmin:

es muss jemand wissen, dass ich sonoffs im haus benutze, dann muss er in der nähe des hauses sein, damit er den wlan stack überhaupt angreifen kann - bei bluetooth muss er eigentlich schon direkt vor der haustüre stehen und er muss auch noch wissen, wie das hacken geht

Es soll Leute geben der Hobby ist Wardriving.

Nähe des Hauses ist relativ je nach Antennentyp- und Art sind viele hundert Meter, mit Sichtverbindung gar Kilometer möglich - erst recht auf dem Land :mouse:

ist da Computer GAU nicht etwas übertrieben ?

remote execution vulnerabilities heißt übersetzt: "Dein Haus wird übernommen ohne das es davor jemand betreten muss". Deine Mistgabel hilft dir da nichts.

[haselchen]

@opensourcenomad

Die Strafe für Wardriving ist ja geil :grimacing: :grimacing: :grimacing:

Beim Wardriving mit motorisierten Fahrzeugen kann ein Verstoß gegen § 30 Abs. 1 Straßenverkehrsordnung vorliegen, wenn jemand durch das „Sinnlose Umherfahren innerhalb geschlossener Ortschaften“ belästigt würde.[1] Das Handyverbot greift ebenfalls, d. h. der Fahrer darf entsprechende Geräte während der Fahrt nicht bedienen.

[liv-in-sky]

@haselchen

ich wohne am ende der sackgasse - zum wenden müßte er in meinem hof fahren - dann kann ich ihn auch noch wegen unerlaubten befahrens meines grundstückes anzeigen :-)

[OpenSourceNomad]

@haselchen said in Tasmota Update 10.0 mit TasmoAdmin:

Die Strafe für Wardriving ist ja geil 😬 😬 😬

Beim Wardriving mit motorisierten Fahrzeugen kann ein Verstoß gegen § 30 Abs. 1 Straßenverkehrsordnung vorliegen

Deswegen gibt's ja auch Warbiking oder warwalking ;)

Der "größte" Wardriver wird mit hoher Wahrscheinlichkeit übrigens google sein!

[OpenSourceNomad]

@liv-in-sky said in Tasmota Update 10.0 mit TasmoAdmin:

ich wohne am ende der sackgasse

Perfekt! Eine WLAN Verschlüsselung brauchst du ja dann gar nicht! Macht die Einrichtung neuere sowieso viel leichter ;)

[liv-in-sky]

@opensourcenomad

dachte ich mir auch - habe alles im gastnetzwerk installiiert

[OpenSourceNomad]

@liv-in-sky said in Tasmota Update 10.0 mit TasmoAdmin:

dachte ich mir auch - habe alles im gastnetzwerk installiiert

Warum Gastnetzwerk wenn du einer Sackgasse wohnst? :thinking_face:

[OpenSourceNomad]

@thomas-braun said in Tasmota Update 10.0 mit TasmoAdmin:

'Never touch your running system' heißt auch 'Never fix your open issues'.
Und die open issues können halt vielgestaltig sein.
Deswegen ist 'Never touch your running system' größter Unfug.
Haltet die Systeme auf Stand.

Ich glaube für viele hier wäre die originale chinakracher firmware das kleinere Übel gewesen :see_no_evil:

Tuya ist ja tatsächlich auch bekannt dafür security issues zu fixen die es erlauben ihre firmware ota zu überschreiben...

[Vocaris]

@micklafisch
Nur über den Weg bekomme ich die FW Updates hin..
Mit dem "normalen" Vorgehen in Tasmota Admin geht es nicht.
Habe die XAMP Version. Nutze die Automatik Version. Die legt dann die aktuelle bins im "Webspace" ab und beginnt das Upgrade. Er spukt auch nur positive Meldungen aus. Aber machen tut er nix.
Auch über das Webinterface via des localhost links macht er nix. Mit der Befehls"version" von dir geht es. Aber das kann ja dem Grunde nicht das Ziel der Software sein.