Rasbian Update

[aiole]

Da kann man kaum kommen mit, das wird aber "aufwändig". Es ist ein Zwang.

Also mein BEV bekommt beim Service nicht per se eine neue FW. Gleiches bei diversen IOT-Geräten.
Für die interne LAN-Sicherheit hat man eine Eigenverantwortung. Da kann man noch so viele Vorschriften erlassen.

[jpn]

Da kann man kaum kommen mit, das wird aber "aufwändig". Es ist ein Zwang.

Also mein BEV bekommt beim Service nicht per se eine neue FW. Gleiches bei diversen IOT-Geräten.
Für die interne LAN-Sicherheit hat man eine Eigenverantwortung. Da kann man noch so viele Vorschriften erlassen.

Yup und "die anderen machen es aber auch so" war schon immer das beste Argument wenn man keinen Bock hat sich ernsthaft mit der Thematik auseinander zu setzen.

Ich glaube Ihr vermischt hier ein paar Dinge. Natürlich kann man sich in der Theorie wünschen, dass immer das neueste Betriebssystem auf der openWB installiert ist, aber das ist weder Praktikabel noch Sinnvoll, weil sich eben Schnittstellen und Unterbau verändern können und damit der Aufwand und das Risiko von Ausfällen steigt.

Worüber man aber sehr wohl reden kann ist die Strategie für Sicherheitsupdates. Wenn kritische Lücken bekannt/gefixt werden, die die openWB potentiell gefährden, erwarte ich schon, dass der Hersteller aktiv wird. Das Argument "Du musst halt schauen, dass dein Netzwerk sicher ist" beginnt halt auch dann zu bröckeln, wenn die Hardware dann doch anfängt zwecks remote support, SOC und cloud Anbindung Löcher in Richtung Internet zu stanzen.

P.S. Diskussionen lassen sich wesentlich einfacher führen wenn man sachlich auf die Argumente und Wünsche der anderen eingeht. Es gibt hier dann doch einige Beiträge, die im Subtext klingen wie "Du bist dumm und hast eh keine Ahnung". Es empfiehlt sich den eigenen Beitrag vor dem Absenden unter diesem Gesichtspunkt noch einmal quer zu lesen bevor man auf "Absenden" drückt...

[LutzB]

Das Argument "Du musst halt schauen, dass dein Netzwerk sicher ist" beginnt halt auch dann zu bröckeln, wenn die Hardware dann doch anfängt zwecks remote support, SOC und cloud Anbindung Löcher in Richtung Internet zu stanzen.

Es werden keine "Löcher gestanzt". OpenWB hat keine offenen Ports, die aus den Internet zu erreichen sind.

Fahrzeug SoC läuft über definierte Webseiten der Hersteller. Da müsste sich bei Dir schon jemand in Deinen DNS einhacken, um das auf andere Server zu leiten und dann dort potentiell gefährliche Antworten an openWB zu liefern.

Die MQTT Brücke der Cloud ist ebenfalls fix an einen Server gebunden. Der Cloud-Server wär hier der Angriffspunkt, nicht die openWB. Der Server wird regelmäßig mit Updates versorgt und so bekannte Sicherheitslücken geschlossen.

Der Remote Support macht erst einmal gar nichts, der muss aktiv gestartet werden. Das funktioniert lokal über ein Token oder aber über die MQTT Brücke der Cloud. Bei Aktivierung wird ein remote SSH Tunnel zu einem definierten Server bei openWB hergestellt. Auch hier müsste das per DNS Manipulation umgeleitet werden. Um dann die Verbindung zur openWB über den Tunnel aufzubauen, werden noch die lokalen Zugangsdaten benötigt. Da müsste es schon einen Bug in SSH geben, der eine Anmeldung ohne Zugangsdaten ermöglicht.

Alles in Allem würde ich die Situation für Angriffe aus dem Internet als sicher einstufen. Im lokalen Netz könnte noch der Apache oder Mosquitto direkt angegriffen werden, mehr offene Ports hat openWB nicht. Wenn das jemand aus Deinem Netzt kann, hast Du definitiv woanders erhebliche Probleme.

[aiole]

Yup und "die anderen machen es aber auch so" war schon immer das beste Argument wenn man keinen Bock hat sich ernsthaft mit der Thematik auseinander zu setzen.

Nein - es war ein Beispiel, dass "neu" nicht immer "besser" ist. Vor allem nicht bei komplett neuem OS.

Ich glaube Ihr vermischt hier ein paar Dinge. Natürlich kann man sich in der Theorie wünschen, dass immer das neueste Betriebssystem auf der openWB installiert ist, aber das ist weder Praktikabel noch Sinnvoll, weil sich eben Schnittstellen und Unterbau verändern können und damit der Aufwand und das Risiko von Ausfällen steigt.

Übereinstimmung

Worüber man aber sehr wohl reden kann ist die Strategie für Sicherheitsupdates. Wenn kritische Lücken bekannt/gefixt werden, die die openWB potentiell gefährden, erwarte ich schon, dass der Hersteller aktiv wird. Das Argument "Du musst halt schauen, dass dein Netzwerk sicher ist" beginnt halt auch dann zu bröckeln, wenn die Hardware dann doch anfängt zwecks remote support, SOC und cloud Anbindung Löcher in Richtung Internet zu stanzen.

Den Zugang dazu kannst Du Dir geben lassen (dann eigenes Risiko). Ich denke, das ist ein guter Kompromiss für Leute, die auf vollständige Patches Wert legen. Andere Hersteller verweigern dies komplett.
Bedenke auch die andere Richtung, wenn Unbedarfte mit "apt get" loswürfeln würden. Das endet schlicht im Chaos.

P.S. Diskussionen lassen sich wesentlich einfacher führen wenn man sachlich auf die Argumente und Wünsche der anderen eingeht. Es gibt hier dann doch einige Beiträge, die im Subtext klingen wie "Du bist dumm und hast eh keine Ahnung". Es empfiehlt sich den eigenen Beitrag vor dem Absenden unter diesem Gesichtspunkt noch einmal quer zu lesen bevor man auf "Absenden" drückt...

Deine Subtextinterpretation ist falsch. Es gibt hier ein paar unterschiedliche Standpunkte, die beidseits auch akzeptiert werden sollten.

ps
Ich nutze hier schon jahrelang dutzende IOT-Geräte hinter einer FB und fahre mit normalen Sorgfaltspflichten eines IT-users gut - sprich null Probleme durch externe Angriffe o.ä.. Wer sich jedoch jedes IOT-Gerät (WLAN-Steckdose etc.) mit originaler APP/Cloud ohne Nachdenken auf sein Phone zimmert oder den PC nicht clean hält, hat erhöhtes Risiko.
Das Thema Sicherheit ist riesig und fängt häufig schon beim Umfang der genutzten Tools an. "Weniger ist mehr", hilft dort bereits erheblich.

pps
Die Idee mit neuer SD-Card inkl. aktuell supportetem OS wurde bis dato nicht kommentiert.

[jpn]

Wenn das jemand aus Deinem Netzt kann, hast Du definitiv woanders erhebliche Probleme.

...oder eben der Hersteller einer anderen IOT Hardware...

Ich denke schon, dass es das besserer Sicherheitskonzept ist auch das lokale LAN als unsicher anzusehen. Sollte sich jemand unerlaubt in meinem Netzwerk herumtreiben, wäre es mir schon lieber, wenn er nicht auch noch meine openWB kapern würde.

Um das aber noch mal klar zu stellen: Meine vorheriger Post zielte nicht darauf ab Euer System in Zweifel zu ziehen. Mir ging es nur darum zu sagen, dass es mit einer generellen Aussage, dass das hier nicht zutrifft eben nicht getan ist, sondern es wichtig ist zwischen Features und Sicherheitsproblemen zu unterscheiden und es bei letzteren durchaus angebracht ist aktiv zu werden. Das zu beurteilen und entsprechend zu handeln ist Eure Aufgabe und ich persönlich hab keinen Anlass zu behaupten dass Ihr das nicht im Griff hättet.

Danke übrigens für die Zusammenfassung der Schnittstellen. Vielleicht wäre es eine Überlegung Wert das ganze auch im Wiki zu beschreiben.

[aiole]

Ich denke schon, dass es das besserer Sicherheitskonzept ist auch das lokale LAN als unsicher anzusehen. Sollte sich jemand unerlaubt in meinem Netzwerk herumtreiben, wäre es mir schon lieber, wenn er nicht auch noch meine openWB kapern würde.

kompromittiertes LAN heißt: alle Teilnehmer prüfen und ggf. reparieren

btw
Aufgrund der lokalen Betriebsweise einer oWB ist schon einiges besser im Vergleich zu vollständig cloudbasierten WB.
Auch wird sicherheitstechnisch bei oWB weiterentwickelt. v2 bietet z.B. https (wegen "unsicheren" LAN's ).

[mrinas]

https löst keine Probleme mit nicht gepatchten Systeme, 'Mal Butter bei de Fische'. HTTPs bzw TLS schützt Daten auf den Übertragungsweg und kann geeignet sein die Identität des gegenübers zu bestätigen. Spielt bei der Betrachtung der Sytsemsicherheit aber keine Rolle, der Angreifer kann ja genau so per HTTPs kommunizieren und den TLS-Fehler wie wir auch alle ignorieren.

Ich denke es ist im ist es unstrittig dass spätestens mit Bekanntmachung (dazu zählen auf Fixe) werden Schwachstellen ausgenützt. Sowohl manuell als auch automatisiert. Garantiert. Ein ungepatchtes System ist also per se unsicher und angreifbar.

Eine weitere Dimension ist die Frage nach der Wahrscheinlichkeit des Angriffs, z.b. auch durch die zur Verfügung stehenden Angriffsvektoren. Hier kommt es dem Sytsem sicher zu gute dass es in einem privaten Netz betrieben ist und nicht unmittelbar aus dem Internet erreichbar ist. Sobald man ein infiziertes System im gleichen Netz hat kann sich die Schadsoftware von dort aber weiter ausbreiten. Gab es mit Routern, Printservern und allen möglichen und unmöglichen anderen Gerätschaften genau so schon. Aber ist halt etwas weniger wahrscheinlich.

Und bleibt noch die Frage nach dem möglichen Schaden. Der ist für einen selber womöglich erstmal überschaubar, gibt ja auf der openWB wenig brisante Informationen. Gut, gültige Zugangsdaten und -tokens um den SoC der Fahrzeuge auszulesen, einschließlich solcher welche schon die MFA Hürde übernommen haben. Aber keine Kreditkarten, massenweise private Bilder oder ähnliches worüber sich Geld machen liesse (Stichwort Ransomware).
Befallene Systeme werden aber auch regelmässig genutzt um weitere Angriffe gegen andere Systeme zu fahren, z.b. DDoS etc.

Und in unserem Umfeld findet all das sicher automatisiert statt, kaum jemand wird manuell versuchen ein einzelnes unserere privaten System anzugreifen. Dafür sind wir alle, tut mir leid, vermutlich einfach viel zu uninteressant.
Aber Schadcode verbreitet sich über andere Systeme und scannt dann nach weiteren verwundbaren Systemen (siehe bekannte Schwachstellen) und wird sich über den Weg ggf. weiter verbreiten..

So, genug zur allgemeinen IT Sicherheit.

Im konkreten sehe ich das Risiko eher gering, meine openWB hängt auch im internen Netzwerk und ist per MQTT Brücke mit openWB web verbunden.

Dennoch halte ich es für eine grundsätzlich richtige und sinnvolle Vorgehensweise regelmässig die zur Verfügung stehenden Updates zu installieren. Was natürlich mit Aufwand einhergeht um die Kompatibilität nicht zu gefährden - wobei minor Updates i.d.R. ja keine Verhalten verändern sollten und somit weniger problematisch sind als der Wechsel auf das nächste Release.

[aiole]

Dennoch halte ich es für eine grundsätzlich richtige und sinnvolle Vorgehensweise regelmässig die zur Verfügung stehenden Updates zu installieren. Was natürlich mit Aufwand einhergeht um die Kompatibilität nicht zu gefährden - wobei minor Updates i.d.R. ja keine Verhalten verändern sollten und somit weniger problematisch sind als der Wechsel auf das nächste Release.

Das machst Du (und diejenigen mit Freischaltung) auch, weil Du root hast. Beim Normaluser sieht das (aus guten Gründen) allerdings anders.

Ehrlich gesagt, sehe ich auch Kapazitäten für die Funktionsweiterentwicklung bei oWB schwinden, wenn so etwas wie aktives Patchen für jedermann und für x Umgebungen eingeführt würde. Damit würden dann sicher zusätzliche Supportkosten generiert werden, die letztlich im Raum stünden. Wollt Ihr das wirklich?

Nicht, dass wir uns falsch verstehen. Ich mag' Sicherheit sehr, nur ist z.B. ein frisches OS im Vergleich zum Bestands-OS alles andere als "save". Will heißen - solange man black box-artig immer nur "neu" forciert, wird's nicht besser.
Patches zum Bestands-OS wären zugegeben hilfreich, aber dazu müsste das root-Thema geklärt werden. Dafür gibt es allerdings die o.g. Freischaltoption, was ich persönlich top finde. Klare Gewährleistungsabgrenzung - dafür voller Zugriff.

[mrinas]

nope, auf meine beiden Ladepunkte habe ich kein Zugriff, die lasse ich so wie sie sind. Meine openWB 2.0 läuft separat und steuert einen der openWB Ladepunkte.

Würde durchaus begrüssen wenn im Rahmen der openWB updates in regelmässigen Abstand auch sonstige Updates mit verarbeitet werden.

[Montair]

Wäre ja schon sinnvoll, jeden Hauptzweig des RaspianOS mit Updates versorgen zu lassen. Wenn es dort Major Updates gibt, muss man ja nicht ad hoc auf jede neue Version aufspringen als Upgrade. Aber die Hauptzweige sollten sich patchen lassen. Und ab openWB Software x.xx muss dann eben auch der Unterbau einmal komplett neu bzw. ein Update erhalten.

Muss ja nicht per se gleich auf allen Softwareständen vorhanden sein, aber auf EINEM definierten sollten alle Sicherheitsupdates ermöglicht werden.

Und ja, da die Sicherheit bei IoT bislang so schäbig gehandhabt wurde, hat der Gesetzgeber ja auch reagiert. Es ist aber jetzt mal Zeit, dass sich Hersteller eben des Themas annehmen. Auch die Android Smartphone Hersteller etc. müssen sich nun bewegen anstelle Gerät verkaufen und dann eben nichts mehr patchen.

Ihr könnt das nicht einfach aussitzen als Verkäufer / mit der KG). Das Projektteam ist davon ja erstmal nicht betroffen, aber der Verkäufer/Hersteller eben, der das Produkt in den Markt bringt bzw. verkauft.