Loxone 100% privat

[duke]

Ich habe gerade erst einen Newsletter von Loxone bekommen, dass alles so sicher ist und meine Daten nicht in eine Cloud gesendet werden.

Ich habe darauf die Connections angesehen und trotz der Versicherung in diesem tollen Newsletter festgestellt, dass eine Verbindung zu 52.28.49.143 besteht. (Ich habe Wetterservice und Cloudmailer schon immer aus der Config gelöscht).

Daraufhin habe ich dem Miniserver jetzt alle ausgehenden Verbindungen außer zu meinem Mailserver untersagt.

Vielen Dank an Loxone für dieses proaktive Handeln und den Hinweis

EDIT:

Ja klar, falls es jemanden interessiert: (Alle Angaben sind ohne Gewähr von Richtigkeit und Vollständigkeit.)


Bei einem Router/Firmware, der/die iptables unterstützt (zb dd-wrt, TomatoUSB,...) :

Die Reihenfolge der Regeln ist wichtig, darum muss man zuerst den Mailserver erlauben:


HowTo 2 Varianten:

1. Alles blockieren und nur den eigenen Mailserver/Timeserver erlauben:
Timeserver in der Konfiguration wechseln auf:
ptbtime1.ptb.de

FW Script
## Block Loxone Hometel
iptables -t filter -A wanout -s MINISERVERIP -d MAILSERVERIP -j ACCEPT
iptables -t filter -A wanout -s MINISERVERIP -d 192.53.103.108 -j ACCEPT
iptables -t filter -A wanout -s MINISERVERIP -j DROP

2. Nur die IP der Loxonecloud blockieren
## Block Loxone Hometel
iptables -t filter -A wanout -s MINISERVERIP -d 52.28.49.143 -j DROP

Die iptables kann man entweder per ssh testen (sobald der Router neu gestartet wird sind sie aber weg) oder als Firewall Script im Gui hinterlegen, dann werden sie immer beim Neustart geladen.

LG

[tholle]

thx fuer die Korrektur und dein HowTo!
Tholle

[Christian Fenzl]

So wie ich das sehe, hast du jedenfalls die Push-Benachrichtigung blockiert.

Ich liebe dieses Marketing von Loxone. Vor nicht mal einem Jahr wollte man uns noch die Registrierung bei Loxone aufzwingen, damit man die App überhaupt benutzen kann...

lg, Christian

[duke]

Ja, in einem anderen Thread habe ich gelesen, dass man die Connection für die Push Benachrichtigung braucht.
Ich verwende diese nicht, wenn etwas wichtiges ist sende ich mir ein Mail über meinen Mailserver, dass geht gleich schnell und ich muss nicht im Netzwerk sein und brauche kein app dazu.

Ich lasse mich gerne eines besseren belehren, dass man diese Push Benachrichtigungen für irgendetwas brauchen könnte

lg Gerd

[Thomas M.]

52.28.49.143 ist laut whois irgend etwas von amazon. Was soll der ms mit einer verbindung zu amazon technologies inc. machen?
Wetterdaten holen vermutlich nicht. Cloudmailer würde ich auch ausschliessen. Wieso soll sich loxone bezüglich funktionieren oder nicht funktionieren von amazon abhängig machen. Bist du sicher, dass der MS die verbindung dort hin hatte?

Ah ... Loxonecloud.com is 52.28.49.143 and is located in the time zone of Europe/ Berlin.

[BSiege]

Wieso soll sich loxone bezüglich funktionieren oder nicht funktionieren von amazon abhängig machen

Nun, es ist genau umgekehrt. Wenn man als verhältnismässig kleine Firma zuverlässig weltweit einen hochverfügbaren Service anbieten will, so muss man sich von AWS o.ä. abhängig machen!


Das macht's übrigens:

GET / HTTP/1.1
Host: dns.loxonecloud.com
User-Agent: [en]

HTTP/1.1 200 OK
Date: Thu, 18 Feb 2016 20:21:45 GMT
Server: Apache/2.4.7 (Ubuntu)
X-Powered-By: PHP/5.5.9-1ubuntu4.11
Access-Control-Allow-Origin: *
Content-Length: 39
Content-Type: text/xml

<Answer cmd="getip" IP="" Code="500" />

Ich benutze übrigens keine externen Services.

[Thomas M.]

Loxone hat ja nur behauptet, dass benutzerdaten oder das programm der sps selbst nicht in einer cloud oder irgendwo in den untiefen des WWW liegen, sondern am MS und sonst nirgends.

Dass der MS nirgendwo hin eine Verbindung aufbaut und Seriennummer von MS, IP Adresse behauptet loxone im newsletter auch nicht.
Was hier übermittelt wird oder auch nicht übermittelt wird, muss man einfach glauben oder auch nicht.
Zumindest wie BSiege veranschaulicht, wird hier die IP übermittelt und die ist ja ohnehin kein Geheimnis.

[Robert L.]

IMHO telefoniert der Miniserver auch nach jedem Absturz (auch reboot?) nach hause..

[BSiege]

Jetzt bin ich aber echt ungehalten:

Dass soll jeder für sich selber abschätzen. Aber für mich wurde eine Grenze überschritten:
Ich habe den Dump etwas weiter laufen lassen und nun weiss ich, dass regelmässig ein Paket mit Triple IP, MS-MAC/Seriennummer UND Koordinaten ungefragt UND ungesichert Richtung Amazon Cloud geht. Sorry, da geht so viel auf einmal schief, das glaube ich jetzt gar nicht! Ich benutze den Wetterservice nicht, habe den nie benutzt. Und sorry: Wenn schon nicht https, dann ein Hashwert oder ein Digest, aber nicht für alle Schlapphüte mitlesbar.... Pures Gold für jeden Datensammler.

Ich muss gleich den Cloud-Newsletter noch mal lesen...

Nicht so im Loxone Smart Home! Für uns ist das Thema Privatsphäre ein zentrales Anliegen. Deshalb werden sämtliche Daten im Loxone Smart Home direkt auf Ihrem Miniserver gespeichert und bleiben in Ihrem Haus!

GET /nowcast/?user=loxone_EEE000DFFFFF&coord=9.XXXX,47.XXXX HTTP/1.1
Host: weather.loxone.com
User-Agent: [en]

HTTP/1.1 200 OK
Date: Fri, 19 Feb 2016 06:08:09 GMT
Server: Apache/2.4.7 (Ubuntu)
X-Powered-By: PHP/5.5.9-1ubuntu4.11
Vary: Accept-Encoding
Content-Length: 153
Content-Type: text/xml

<?xml version="1.0"?>
<ServiceExceptionReport><ServiceException>authen ti cation exception: user is not active</ServiceException></ServiceExceptionReport>

[Christian Fenzl]

Echt? Und du hast kein Wetterservice mehr in der Config?
Gibt's ja nicht!

[BSiege]

Jetzt nicht mehr. Ist das nicht default drin? Ich kann die Hand jetzt nicht ins Feuer Legen, vielleicht habe ich im 2014 mal was angetestet. Ändert an der Problematik aber gar nichts.

[darkrain]

Wenn du den HTTP Service nicht im Internet brauchst, nimm einfach die Gateway Einstellungen raus. Dann ist nichts mehr mit telefonieren. Den Zeitserver kann man auf einem Raspberry Pi mitlaufen lassen, falls verfügbar.

[BSiege]

DNS macht's bei Google und NTP bei Microsoft... Achja den Updatecheck nicht vergessen. Den macht es wiederum bei Mittwald, dem Hausprovider von Loxone.
Ich vergesse immer, dass es noch Einstellungen auf dem Admininterface direkt zu tätigen gibt.

[Thomas M.]

Hat das mal jemand Richtung loxone getragen?
Würde nicht schaden.

[hismastersvoice]

Ich finde es immer wieder interessant...

Es werden egal welche Internet-Geräte ihr habt, alle eben auch Loxone senden Daten über das Netz nach Hause zu den Unternehmen.
Wenn jemand damit nicht einverstanden ist das Gerät vom Netz trennen bzw. alle Rechte sperren.

Es stellt sich doch immer die Frage... Bequem oder Sicherheit...
Ich denke das die Daten die Loxone (bis jetzt) überträgt noch überschaubar sind und somit nicht mit einem persönlichen Risiko einher gehen.

Viel mehr Gedanken muss man sich doch über z.B. einen SmartMeter oder OS von Microsoft/Apple/Google machen.
Über unsere PCs/Handys wissen diese Unternehmen alles von uns. Wo, wie lange, mit wem usw., sogar unsere Kontakte im Handy kennen alle.
Das macht mir viel mehr sorgen als die paar Daten die Loxone im Augenblick überträgt.

Allerdings möchte ich das Thema jetzt auch nicht schön reden, es ist sicher wichtig, aber eben mit Maß und Verstand.

PS: Stellt sich die Frage wie viele von Euch bei Facebook/Whatsapp sind und dort Daten austauschen? Denkt mal darüber nach.

[Benjamin Jobst]

mist, 5 mins zu spät =)

[tholle]

Ich sehe das aehnlich. Fast jeder schreit nach Bequemlichkeit und Zuverlaessigkeit seiner smarten Geraete (vom Handy angefangen, ueber den TV, ueber den A/V-Receiver, bis hin zum &quot;Smart Home&quot, fuehlt sich dann aber gef***t, wenn Daten das eigene kleine Universum verlassen, um eben jene geliebten Funktionen wie FB, Twitter, Sprachsteuerung, Wettervorhersage und was man sonst noch taeglich so smart abruft, zuverlaessig zu benutzen.

Bitte nicht falsch verstehen. Mir ist voellig klar, dass die Daten, die Unternehmen ueber uns sammeln, via Gaming-Konsole, TV, Handy, Auto (auch da wird mittlerweile fleissig ueber die teilweise eingebauten SOS-Module gesendene) Smartphone, Ueberwachungskameras, etc. p.p., nicht ausschliesslich zur Aufrechterhaltung unserer Bequemlichkeit dienen, aber die Geister, die unsere Zeit rief, lassen sich durch Empoerung und Misstrauen nicht einfach wieder vertreiben.

Das Bequemlichkeit und Sicherheit niemals zusammen in die Kiste steigen werden, war mir schon mit meinem ersten Smartphone klar
.
Aber das schoent auch nichts an der Tatsaeche, dass Unternehmen, explizit hier LOXONE nicht auf der einen Seite behaupten koennen, dass saemtliche Daten aussschliesslich auf dem MS gespeichtert sind und auf der anderen Seite sensible Daten einfangen. Das ist dann eine glatte Luege. Und darueber kann man sich sehr wohl aufregen.
Von daher kann ich BSiege auch sehr gut verstehen. Den Mut zu etwas mehr Ehrlichkeit, kann, nein sollte man, von LOXONE schon verlangen.

Nichts fuer Ungut,
tholle

[Benjamin Jobst]

Meinst du, die wüssten das nicht?

Klar, dass Sachen wie Koordinaten übermittelt werden, auch wenn man keinen WetterService nutzt, ist unschön.
Allerdings sehe ich die Sache bisher immer noch recht gelassen. Loxone behauptet, dass keine Daten in die Cloud ausgelagert werden, und das halten sie meiner Meinung nach auch bedingungslos ein. Alles was übermittelt wird, sind die Eigenschaften des MS - SN, IP und Debug-Informationen sehe ich dabei erst einmal unkritisch für "gewöhnliche" Enduser. Verglichen mit anderen Datenkraken, mit denen wir uns so bereitwillig umgeben, ist das an sich nichts besonderes.
Was ich kritisch sehe, sind sensible Echtzeitdaten und Messwerte sowie Schaltbefehle - egal ob sicherheitsrelevant oder nicht. Eine große Anzahl an Systemen setzen auf die Power der Cloud und übermitteln eine große Menge dieser Daten an ihre Server. Hier sehe ich die tatsächliche Gefahr im Smart Home-Bereich.
Wenn ich als Enduser Services nutzen will wie automatischer Zeitabgleich oder automatische Updates (wenn auch erst mal nur der Visu), muss ich damit leben, dass der MS sich auch irgendwie zu Hause melden muss, damit das funktioniert.
Und dass Software-Hersteller auf Debug-Informationen setzen, ist auch nichts neues...

Wenn du ein 100% abgeschottetes System haben willst, kannst du das vermutlich relativ einfach erreichen, indem du dem MS den Internet-Zugang verweigerst. Wenn du Android, Apple oder Windows verwendest, um auf dein Smart Home zuzugreifen, wenn du Samsung-Smart TVs verwendest oder demnächst ein neues Auto mit eCall fährst, gibst du deine Daten wohl anderweitig Preis. Und was deine EMail-Provider, das Einwohnermeldeamt oder Online-Shops wie Amazon mit deinen Daten machen, kannst du auch nicht kontrollieren.

Aber egal, das ufert jetzt zu einer Grundsatzdiskussion aus. Ich verstehe einige eurer Punkte durchaus und gebe meine Daten auch ungern überall her. Deshalb bin ich noch immer strikter Facebook-Verweigerer. Allerdings nutze ich Android, Windows (wenn auch nicht 10!!) und kaufe bei Amazon ein. Ich sehe für mich keinen Weg, das alles zu vermeiden. Ich versuche nur aufzupassen, was ich preisgebe.

Just my two cents...

[hismastersvoice]

Das nenne ich mal ähnliche Gedanke zu gleichen Zeit

[maxw]

Oh ja, was wir freiwillig hergeben ist ein vielfaches und viel Aussagekräftiger als die paar nicht sicherheitsrelevanten Daten die der MS versendet. Da bin ich ganz bei dir. Alles was wir hier im Forum ganz öffentlich tun, ist für Datensammler viel, viel interessanter.

[tholle]

oh, haette ich deinen Post mal gleich gelesen, haette ich mir mein Gebabbel oben sparen koennen.

Gruss,
tholle