XT2 - Firmwareupdates

[bastelheini]

Ich muss mich auch mal hier äußern.

Erstmal in Richtung der 1-2 Errichter, deren Kommentare mich echt aufregen, weil sie extrem unqualifiziert sind. Ich will euch eure Expertise in der Auswahl und in der Einrichtung eurer Produkte nicht absprechen. Aber was Netzwerk- und Software sowie deren Sicherheitstechnik angeht (das ist meine Profession), so habe ich bei euren Aussagen so meine Zweifel! Wenn ich sowas lese, wie "ich lasse bewußt Anlagen mit Uralt-FW bei meinen Kunden laufen", so behaupte ich mal, das sowas in der heutigen Art der Vernetzung der Appliances grob verlässig ist und ihr im Falle eines Falles (weil die Anlage dann wegen einer nicht in der Anlage gesicherten Lücke ausgetrickst werden kann bzw. nicht funktioniert aus anderen Gründen, weil die Kiste einfach übernommen wurde für die Bildung eines Bot-Netzwerkes) mE gar je nach Vertrags-, Kunden- und Aufklärungssituation in der Haftung hängt. Ich möge mir jetzt euren Groll auf mich ziehen, aber so ist das.

Warum? Ganz einfach: Alle diese Anlagen, egal welcher Hersteller, sind nunmal teil eines Netzwerkes. Egal ob Kabelgebunden im LAN (Das übliche Heim-LAN ist keine DMZ!) oder über Funk erreichbar. Wirklich autark ist keine mehr, denn sobald das Medium Luft mit im Spiel ist, ist das Ding gelaufen. Und 99% der Hard- und Software in den Kisten basiert auf öffentlich zugänglichen Teilen. Sei es Opensource-Software, (idR ist immer irgendein ein Linux-Distri Unterbau mit im Spiel) sei es Protokolle (wie eben Zigbee) usw. Und alle, ausnahmslos alle, sammeln schnell massig CVEs pro Jahr ein, die gefixt werden und dann von den Herstellern dann hoffentlich in Ihre Produkte einfließen - mal mehr, mal weniger schnell. Für einen Angriff auf diese Anlagen reichen Standard-Angriffe. Das werden rasend schnelle alle möglichen Tests durchgeführt, bis man drin ist. Keine dieser Mini-Kisten wird sich gegen sowas wehren, ein IDS gibts nicht. Daneben gibt es noch Lücken, die die Hersteller selbst "reingebaut" haben (teils durch Unterlassen statt aktivem Einbau ) - mangels Erfahrung, mangels Audits. Kosten halt Geld. Auch hier, je nach Lücke, gibt es Standard-Angriffe, im Idealfall, um die ganze Kiste zu übernehmen. Eine dieser schwerwiegenden Lücken hat Lupusec z.B. auf meine Untersuchung hin gefixt (müsste in 2.19E gewesen sein), das war der Grund, warum ihr jetzt diese X-Token für POST-Requests braucht. Über die Qualität des Fixes will ich mich hier nicht auslassen, aber es ist besser als vorher.

Also ist die Aussage, dass da keine Lücken gefixt werden, schonmal kassiert. Leider sind ALLE Anlagen, egal ob EMA oder anderes IOT Zeugs, die ich am Wickel hatte (und auch massig mehr, die ich nicht kenne), alle gespickt von haarsträubenden Lücken. Es ist die Aufgabe eines jeden Herstellers, die beiden Hausaufgaben (Lücken in Zuliefererteilen fixen und die in eigener Software erst gar auszuschließen) zu machen. Nur erfordert das das Liefern von (nach besten Wissen & Gewissen fehlerfreien) Patches und vom Nutzer das Einspielen derer. Für Zigbee 3.0 muss ja auch mal was gekommen sein, denn das gibt es ja noch nicht so ewig.

Nun zu Lupusec: IMHO leider sehr unprofessionel, die Aktion.

1. Man mag Beta-User gesucht haben. Aber mal im Ernst, wer installiert sich eine Beta in seine Anlage... Ich habe damals schon angeboten, für sie zu testen - ging das um den genannten Fix oben. Wenn sie mir ein Setup als VM schicken würden oder alles physisch. Hat man nicht gemacht. Klar hätte das denen Geld im Form von Hardware gekostet, aber Expertise gebracht. Verschenktes Potential. Man hat abgelehnt. Bei anderen Firmen ist sowas üblich, da geht es um ganz andere Werte. Aber die sehen eben den wahren Wert, wenn sie echte Nutzer mit Expertise haben.

2. Wenn ein Update failed, rollt man zurück. Man jagt nicht 2-3 weitere Versionen hinterher, die nur in noch mehr Hektik zusammengeschraubt sind. Man löst die Probleme dann im Verborgenden mit Betroffenen. Ein Staged-Rollout wäre auch sinnvoll gewesen. Naja, für's nächste mal.

3. Was soll der Sonos-Quatsch jetzt. Ja ich habe auch eine. Aber was soll die an der Anlage.

Hört lieber mal auf Eure Kunden und baut ein, was wirklich fehlt:

a) Usability des FE Desktop und Mobil (holt euch Experten und macht UX-Tests)
b) Variablen in der Automation, damit dieser Quatsch mit den Steckdosen aufhört, den hier einige machen
c) 2/Mehrfach-Fach-Auslöser bei den Bewegungsmeldern (X PIR im selben Raum müssen auslösen innerhalb Zeitraum Y für einen Alarm)
d) Innr SP-120 Support, der seit >1 Jahr versprochen wird (zur V3.0 FW) - der Fix dafür muss marginal sein - ist man bei Lupusec nicht in der Lage, diesen Stecker für 25 Euro zu kaufen? Soll ich euch einen ausleihen, jetzt mal im Ernst....
e) Eigenes SSL-Zertifikat installierbar machen
f) Klammern in den Bedinungsabfragen der Automation bzw. generelle Verbesserung bzgl. Verknüpfung von Bedingungen
g) Update-Meldung "als gelesen markieren" Option statt bei jedem Start zu nerven

Macht doch mal ne Umfrage, was die Leute wollen. Das Update jetzt - Ewigzeiten nach dem alten - ist eher ne Luftnummer. Scheint mir so, als baut da einer nach Feierabend dran rum. Das gehört aber professionell angegangen. Dazu braucht ihr Leute, die wissen was sie tun. Die kosten Geld. Ihr wollt aber auch Geld damit verdienen.

Mag sein, dass die Leute bei Lupusec für Ihr Produkt brennen, jung und motiviert sind. Das ist gut. Nur dazu muss eben noch das Talent & Know-How + Erfahrung für die richtige Umsetzung.

Nichts für ungut. Stetige Verbesserung. Aus Fehlern lernen. Muss dann jetzt aber auch passieren.

Das war mein Wort zum Sonntag.