Alarmanlagen-Forum - Alarmforum - Fachforum für Sicherheitstechnik

Firmware Update wird ständig gewartet, was ist denn eigentlich mit den Sensorenfirmware ist die automatisch dann auch gepatscht.

(18-01-2020 22:16)surfer schrieb: [ -> ]Firmware Update wird ständig gewartet, was ist denn eigentlich mit den Sensorenfirmware ist die automatisch dann auch gepatscht.

wird ständig gewartet
nur nicht von Lupus wie es scheint
Außerdem ist es vollkommen unnötig bei einem funktionierenden System hinter jedem Firmwareupdate hinterher zu laufen.
Firmwareupdates macht man nur, wenn es neue Funktionen gibt, welche man unbedingt braucht (nicht nur haben will)!
Eine EMA ist schließlich kein Spiele PC!

Habe gerade festgestellt, dass bei mir der Stromvebrauch unter Smarthome nicht mehr geladen wird. Ist das bei euch auch so?
Danke und Gruß

(18-01-2020 22:29)peteralarm schrieb: [ -> ]

(18-01-2020 22:16)surfer schrieb: [ -> ]Firmware Update wird ständig gewartet, was ist denn eigentlich mit den Sensorenfirmware ist die automatisch dann auch gepatscht.

wird ständig gewartet
nur nicht von Lupus wie es scheint
Außerdem ist es vollkommen unnötig bei einem funktionierenden System hinter jedem Firmwareupdate hinterher zu laufen.
Firmwareupdates macht man nur, wenn es neue Funktionen gibt, welche man unbedingt braucht (nicht nur haben will)!
Eine EMA ist schließlich kein Spiele PC!

vielleicht werden mit Updates aber auch Sicherheitslücken geschlossen, Oberfläche erweitert, Funktionen erweitert usw.

@surfer: ich wollte ja nix mehr dazu schreiben.
Aber DER BRÜLLER war echt gut.
Träum weiter.

Anzeige Stromverbrauch unter Smarthome:
Unter der Firmware O.1.3.2.B lässt sich bei meiner xt3 die Anzeige nicht mehr öffnen.
Nach einem Downgrade auf O.1.3.1.E ließ sich die Anzeige wieder öffnen.
Nach Upgrade auf O.1.3.2.B wieder nicht mehr.
Könnte mal bitte einer im Forum bei seiner (auch XT2plus) kurz prüfen, ob dieses Verhalten bestätigt werden kann.
Danke
Gruß

@Lupus !!!!!!!!!!!!!!!!!!

Warum gibt es denn nicht ENDLICH mal die Möglichkeit die Meldung 'neue Software verfügbar' bei jedem Start der APP oder dem Aufruf aus dem Webbrowser zu deaktivieren bzw. einmalig zu bestätigen ??????????????????? Laßt doch bitte, bitte, bitte den Usern die Möglichkeit selbts aktiv neue Updates aufzuspielen OHNE dauernd genervt zu werden. Das ist denke ich ein Wunsch vieler Anwender hier !

(19-01-2020 20:29)Tekla schrieb: [ -> ]@Lupus !!!!!!!!!!!!!!!!!!

Warum gibt es denn nicht ENDLICH mal die Möglichkeit die Meldung 'neue Software verfügbar' bei jedem Start der APP oder dem Aufruf aus dem Webbrowser zu deaktivieren bzw. einmalig zu bestätigen ??????????????????? Laßt doch bitte, bitte, bitte den Usern die Möglichkeit selbts aktiv neue Updates aufzuspielen OHNE dauernd genervt zu werden. Das ist denke ich ein Wunsch vieler Anwender hier !

Das sollten alle Lupus Besitzer mal an Lupus senden, vielleicht bringt es dann was.

Ich muss mich auch mal hier äußern.

Erstmal in Richtung der 1-2 Errichter, deren Kommentare mich echt aufregen, weil sie extrem unqualifiziert sind. Ich will euch eure Expertise in der Auswahl und in der Einrichtung eurer Produkte nicht absprechen. Aber was Netzwerk- und Software sowie deren Sicherheitstechnik angeht (das ist meine Profession), so habe ich bei euren Aussagen so meine Zweifel! Wenn ich sowas lese, wie "ich lasse bewußt Anlagen mit Uralt-FW bei meinen Kunden laufen", so behaupte ich mal, das sowas in der heutigen Art der Vernetzung der Appliances grob verlässig ist und ihr im Falle eines Falles (weil die Anlage dann wegen einer nicht in der Anlage gesicherten Lücke ausgetrickst werden kann bzw. nicht funktioniert aus anderen Gründen, weil die Kiste einfach übernommen wurde für die Bildung eines Bot-Netzwerkes) mE gar je nach Vertrags-, Kunden- und Aufklärungssituation in der Haftung hängt. Ich möge mir jetzt euren Groll auf mich ziehen, aber so ist das.

Warum? Ganz einfach: Alle diese Anlagen, egal welcher Hersteller, sind nunmal teil eines Netzwerkes. Egal ob Kabelgebunden im LAN (Das übliche Heim-LAN ist keine DMZ!) oder über Funk erreichbar. Wirklich autark ist keine mehr, denn sobald das Medium Luft mit im Spiel ist, ist das Ding gelaufen. Und 99% der Hard- und Software in den Kisten basiert auf öffentlich zugänglichen Teilen. Sei es Opensource-Software, (idR ist immer irgendein ein Linux-Distri Unterbau mit im Spiel) sei es Protokolle (wie eben Zigbee) usw. Und alle, ausnahmslos alle, sammeln schnell massig CVEs pro Jahr ein, die gefixt werden und dann von den Herstellern dann hoffentlich in Ihre Produkte einfließen - mal mehr, mal weniger schnell. Für einen Angriff auf diese Anlagen reichen Standard-Angriffe. Das werden rasend schnelle alle möglichen Tests durchgeführt, bis man drin ist. Keine dieser Mini-Kisten wird sich gegen sowas wehren, ein IDS gibts nicht. Daneben gibt es noch Lücken, die die Hersteller selbst "reingebaut" haben (teils durch Unterlassen statt aktivem Einbau ) - mangels Erfahrung, mangels Audits. Kosten halt Geld. Auch hier, je nach Lücke, gibt es Standard-Angriffe, im Idealfall, um die ganze Kiste zu übernehmen. Eine dieser schwerwiegenden Lücken hat Lupusec z.B. auf meine Untersuchung hin gefixt (müsste in 2.19E gewesen sein), das war der Grund, warum ihr jetzt diese X-Token für POST-Requests braucht. Über die Qualität des Fixes will ich mich hier nicht auslassen, aber es ist besser als vorher.

Also ist die Aussage, dass da keine Lücken gefixt werden, schonmal kassiert. Leider sind ALLE Anlagen, egal ob EMA oder anderes IOT Zeugs, die ich am Wickel hatte (und auch massig mehr, die ich nicht kenne), alle gespickt von haarsträubenden Lücken. Es ist die Aufgabe eines jeden Herstellers, die beiden Hausaufgaben (Lücken in Zuliefererteilen fixen und die in eigener Software erst gar auszuschließen) zu machen. Nur erfordert das das Liefern von (nach besten Wissen & Gewissen fehlerfreien) Patches und vom Nutzer das Einspielen derer. Für Zigbee 3.0 muss ja auch mal was gekommen sein, denn das gibt es ja noch nicht so ewig.

Nun zu Lupusec: IMHO leider sehr unprofessionel, die Aktion.

1. Man mag Beta-User gesucht haben. Aber mal im Ernst, wer installiert sich eine Beta in seine Anlage... Ich habe damals schon angeboten, für sie zu testen - ging das um den genannten Fix oben. Wenn sie mir ein Setup als VM schicken würden oder alles physisch. Hat man nicht gemacht. Klar hätte das denen Geld im Form von Hardware gekostet, aber Expertise gebracht. Verschenktes Potential. Man hat abgelehnt. Bei anderen Firmen ist sowas üblich, da geht es um ganz andere Werte. Aber die sehen eben den wahren Wert, wenn sie echte Nutzer mit Expertise haben.

2. Wenn ein Update failed, rollt man zurück. Man jagt nicht 2-3 weitere Versionen hinterher, die nur in noch mehr Hektik zusammengeschraubt sind. Man löst die Probleme dann im Verborgenden mit Betroffenen. Ein Staged-Rollout wäre auch sinnvoll gewesen. Naja, für's nächste mal.

3. Was soll der Sonos-Quatsch jetzt. Ja ich habe auch eine. Aber was soll die an der Anlage.

Hört lieber mal auf Eure Kunden und baut ein, was wirklich fehlt:

a) Usability des FE Desktop und Mobil (holt euch Experten und macht UX-Tests)
b) Variablen in der Automation, damit dieser Quatsch mit den Steckdosen aufhört, den hier einige machen
c) 2/Mehrfach-Fach-Auslöser bei den Bewegungsmeldern (X PIR im selben Raum müssen auslösen innerhalb Zeitraum Y für einen Alarm)
d) Innr SP-120 Support, der seit >1 Jahr versprochen wird (zur V3.0 FW) - der Fix dafür muss marginal sein - ist man bei Lupusec nicht in der Lage, diesen Stecker für 25 Euro zu kaufen? Soll ich euch einen ausleihen, jetzt mal im Ernst....
e) Eigenes SSL-Zertifikat installierbar machen
f) Klammern in den Bedinungsabfragen der Automation bzw. generelle Verbesserung bzgl. Verknüpfung von Bedingungen
g) Update-Meldung "als gelesen markieren" Option statt bei jedem Start zu nerven

Macht doch mal ne Umfrage, was die Leute wollen. Das Update jetzt - Ewigzeiten nach dem alten - ist eher ne Luftnummer. Scheint mir so, als baut da einer nach Feierabend dran rum. Das gehört aber professionell angegangen. Dazu braucht ihr Leute, die wissen was sie tun. Die kosten Geld. Ihr wollt aber auch Geld damit verdienen.

Mag sein, dass die Leute bei Lupusec für Ihr Produkt brennen, jung und motiviert sind. Das ist gut. Nur dazu muss eben noch das Talent & Know-How + Erfahrung für die richtige Umsetzung.

Nichts für ungut. Stetige Verbesserung. Aus Fehlern lernen. Muss dann jetzt aber auch passieren.

Das war mein Wort zum Sonntag.

(19-01-2020 12:13)seagull schrieb: [ -> ]Anzeige Stromverbrauch unter Smarthome:
Unter der Firmware O.1.3.2.B lässt sich bei meiner xt3 die Anzeige nicht mehr öffnen.
Nach einem Downgrade auf O.1.3.1.E ließ sich die Anzeige wieder öffnen.
Nach Upgrade auf O.1.3.2.B wieder nicht mehr.
Könnte mal bitte einer im Forum bei seiner (auch XT2plus) kurz prüfen, ob dieses Verhalten bestätigt werden kann.
Danke
Gruß

Vielen Dank für die zahlreichen Antworten.

(20-01-2020 10:40)seagull schrieb: [ -> ]Vielen Dank für die zahlreichen Antworten.

Was willst du denn hören?
Kann ich die Anzeige öffnen -> ja.
Habe ich Geräte die den Stromverbrauch liefern -> nein.

(20-01-2020 11:30)mucki schrieb: [ -> ]

(20-01-2020 10:40)seagull schrieb: [ -> ]Vielen Dank für die zahlreichen Antworten.

Was willst du denn hören?
Kann ich die Anzeige öffnen -> ja.
Habe ich Geräte die den Stromverbrauch liefern -> nein.

Bei mir leider ähnlich..
Kann die Seite öffnen, aber hab nichts was einen Stromverbrauch anzeigt.

@Bastelheini: Ich finde auch Lupus sollte sich sich wieder auf die Tugenden einer Alarmanlage besinnen und aufhören jedem Trend hinterher zu laufen. Das eine Alarmanlage auch mal eine Lampe anmacht oder eine Steckdose schaltet ist schon sinnvoll. Diese Alexa, Sonos was weiß ich Integration benötigen die wenigsten User hier und macht die Anlage nur unwahrscheinlich komplex beherrschbar, für den User und wie man sieht auch für den Hersteller.

Nicht nur das es eine Alarmanlage unnötig komplex macht (ist die EMA Technik eh schon) das sind meiner Meinung nach Funktionen und Verbindungen, welche in einer EMA nichts, aber auch gar nichts zu suchen haben.
Diese Anwendungen machen eine EMA von außen für jedermann angreifbar. Gerade Alexa und Co. Ein mögliches Szenario dabei ist doch schon die Tatsache, das man über den Alexa -nur als Beispiel- Weg feststellen kann, wann eine EMA scharf geschaltet wird und aus der Regelmäßigkeit die Gewohnheiten der Bewohner nachverfolgen kann.
Somit sind Einbrechern doch Tür und Tor geöffnet.
Darüber sollte einfach jeder, der meint seine EMA muss ein komplettes SmartHome System sein mal nachdenken.

---

@bastelheini:
Erstmal in Richtung der 1-2 Errichter, deren Kommentare mich echt aufregen, weil sie extrem unqualifiziert sind. Ich will euch eure Expertise in der Auswahl und in der Einrichtung eurer Produkte nicht absprechen. Aber was Netzwerk- und Software sowie deren Sicherheitstechnik angeht (das ist meine Profession), so habe ich bei euren Aussagen so meine Zweifel! Wenn ich sowas lese, wie "ich lasse bewußt Anlagen mit Uralt-FW bei meinen Kunden laufen", so behaupte ich mal, das sowas in der heutigen Art der Vernetzung der Appliances grob verlässig ist und ihr im Falle eines Falles (weil die Anlage dann wegen einer nicht in der Anlage gesicherten Lücke ausgetrickst werden kann bzw. nicht funktioniert aus anderen Gründen, weil die Kiste einfach übernommen wurde für die Bildung eines Bot-Netzwerkes) mE gar je nach Vertrags-, Kunden- und Aufklärungssituation in der Haftung hängt. Ich möge mir jetzt euren Groll auf mich ziehen, aber so ist das.

Eine professionelle EMA als Teil eines Bot Netzwerkes? Na, das mach mir mal vor...
Wenn eine alte Telenot, UTC, Honeywell läuft und an der Peripherie der Anlage nichts geändert wird, braucht es kein Firmwareupdate. Die Anlage läuft und ist von außen nicht angreifbar. Da gibt es keine Browserlücken, welche ein Sicherheitsrisiko darstellen, ebensowenig Risiken im Betriebssystem. Du könntest mal versuchen auf eine ATS Master Zentrale zuzugreifen, welche mit dem Internet verbunden ist, du wirst dir die Zähne daran ausbeißen
Es ist somit in keinster Weise ein Risiko für den Kunden, wenn keine Updates eingespielt werden. Das ist erst mit dem Smart Home Gedöns relevant geworden.
Ich hätte da keine Bauchschmerzen irgendwie in die Haftung genommen zu werden.

@bastelheini: ich spreche dir nach deinem letzten Post die Fähigkeit ab, eine aktuelle Alarmanlage und deren Aufbau eplizit zu kennen. Du hast keine Ahnung vom Zusammenspiel von Hauptplatinen und Übertragungsgeräten.
Mag sein, dass du Netzwerkplatinen analysieren kannst, vielleicht kannst du sie auch in (d)ein Botnetzwerk übernehmen. Nur: was bringt dir das? Was bringt das Gewafe mit Firmwareupdates und geschlossene Lücken? Was erreichst du damit, wenn dein Tool weiss was hintendran sein will. Deswegen kommst du noch lange nicht drauf, geschweige weisst du was du auslösen musst, um für diese Sache einen Schaden von Leib und Leben zu generieren. So sehe ich es wie peteralarm, da lehne ich mich mal dezent zurück.
Trotzdem: ich bin die nächsten 2 Tage auf ner Fachtagung und da stelle ich diesen Beitrag mal zur Diskussion. Mal schauen, was die Fachingenieure dazu sagen.
Ich werde berichten. Bis dahin bleibe ich bei meiner Aussage, dass nicht jedes Update notwendig ist, solange die Anlage ohne zu murren läuft.
Zu deiner Information: die Anlagen sind alle aufgeschaltet.
Bei den Telenot und ATS Masteranlagen ist es so, dass Wählgerät und Zentralplatine getrennte Einheiten sind. Da versuch mal draufzukommen und was zu richten. Die neue ATS Advanced erkennt im oh netrec Fremdangriffe und die anderen sind auch nicht auf der Brennsuppe dahergeschwommen.
Dein Szenario funktioniert vielleicht bei ner Lupus, mag ich nicht beurteilen, ob da was zu reissen ist.
Bis jetzt gab es hier im Forum KEINEN Beitrag von einer übernommenen Anlage.
Wenn doch, würde er hier zitiert werden.
Somit stelle ich deinen Beitrag als Getöse ab.

(20-01-2020 19:26)peteralarm schrieb: [ -> ]Gerade Alexa und Co. Ein mögliches Szenario dabei ist doch schon die Tatsache, das man über den Alexa -nur als Beispiel- Weg feststellen kann, wann eine EMA scharf geschaltet wird und aus der Regelmäßigkeit die Gewohnheiten der Bewohner nachverfolgen kann.

Hättest du hierzu ein paar weiter Infos? Also jetzt mal rein angenommen jemand nutzt sogar die Smarthome Funktionen Alexa<->Lupusec (die Funktion zum Scharf-/Unscharfschalten natürlich nicht).

Wie kann der Besitzer, Amazon oder ein Dritter die Gewohnheiten der Scharf-/Unscharfschaltungen nachverfolgen?

Nun, man hat ja schon oft genug Berichte darüber gelesen, dass gerade bei Alexa das Microfon ferngesteuert aktiviert und mitgehört wurde. Angeblich um die Qualität und Funktion der Spracherkennung zu verbessern (wer's glaubt)
Also wenn das möglich ist, dann kann ich mir auch vorstellen, dass ein findiger Hacker mit genügend krimineller Energie es auch schafft Schaltvorgänge der Alexa und damit verbundener Geräte herauszufinden und diese Infos gegen Bares an Dritte weitergibt. Das betrifft mit Sicherheit nicht nur Alexa sondern alle ähnlich gelagerten Gerätschaften.
Es wird sich niemand für die Gewohnheiten von "Lieschen Müller" interressieren, aber gerade Menschen mit entsprechendem finanziellen Hintergrund haben Alexa, Sonos usw. zu Hause, dort sehe ich schon eine Gefahr bei der Smart Home / EMA Verknüpfung und rate auch immer von solchen Kombinationen ab. Zum Glück meist mit Erfolg.
Wenn eine EMA Licht, Garagentor, Einfahrt oder Rolläden steuert ist das sicher kein Risiko, jedoch sobald das SmartHome Gedönse die EMA steuert schon.
Ich hatte vor ein paar Jahren einen Kunden, der wollte unbedigt über sein EIB System auch die EMA, eine Telenot Complex 400 steuern und alle Meldegruppen auf den Hauptmonitor des EIB Systems anzeigen lassen, incl. Scharf/ Unscharf Schaltung. Es geht, jedoch nach Rücksprache mit Telenot ist damit die VdS Zulassung der Anlage erloschen. Sagt doch alles, oder?

Ok, das man seine Alarmanlage nicht mit Alexa schaltet ist für mich selbstredend.

Im vorherigen Post hast du von einer "Tatsache" geschrieben, dass die Gewohnheiten nachverfolgt werden können. Im nächsten Post stellt sich dann heraus, dass du mal was gelesen hast, dass Amazon angeblich das Mikrofon ferngesteuert aktiviert hat leitest daraus ab, dass ein findiger Hacker Schaltvorgänge herausfinden kann.

Also von Tatsache hin zu einer möglichen Legende...
Hatte schon Angst ich hätte eine Neuigkeit diesbezüglich verpasst :-)

(20-01-2020 21:50)mucki schrieb: [ -> ]Ok, das man seine Alarmanlage nicht mit Alexa schaltet ist für mich selbstredend.

Im vorherigen Post hast du von einer "Tatsache" geschrieben, dass die Gewohnheiten nachverfolgt werden können. Im nächsten Post stellt sich dann heraus, dass du mal was gelesen hast, dass Amazon angeblich das Mikrofon ferngesteuert aktiviert hat leitest daraus ab, dass ein findiger Hacker Schaltvorgänge herausfinden kann.

Also von Tatsache hin zu einer möglichen Legende...
Hatte schon Angst ich hätte eine Neuigkeit diesbezüglich verpasst :-)

Also das mit Amazons Alexa ist eine Tatsache. Das Risiko, das auch weitere Funktionen abgefangen werden ist daher doch gar nicht so abwegig, oder kannst du das ausschließen?
Wenn das Risiko besteht, sollte man es bei einer EMA vermeiden. Kann jeder machen wie er will für mich, ich habe ausschließlich im professionellen Bereich gearbeitet und einige Anlagen bei sogenannten VIP's in VdS C gebaut, ein NoGo.
Was du zu Hause machst, ist deine Sache professionell ist dieser Weg nicht.

Wie ich geschrieben hatte, steuere ich meine Alarmanlage NICHT mit Alexa.

Von den erweiterten hier scheinbar bekannten Angriffen auf Alexa hatte ich nur noch nicht in der Fachpresse gelesen (die ich schon berufsmäßig täglich verfolge).
Daher hatte ich mich sehr über das hier scheinbar vertretene Spezialwissen zu neuen Sicherheitslücken gewundert.