Sicherheit

ZiggyMeter ist darauf ausgelegt, im Heimnetz sicher zu sein, ohne von einem Cloud-Dienst abzuhängen. Diese Seite erklärt, was geschützt ist und wie.

Firmware

Die Geräte-Firmware ist durch starke Verschlüsselungsschlüssel geschützt und bewahrt sensible Informationen wie WLAN-Zugangsdaten vor unbefugtem Zugriff. Firmware-Updates erscheinen regelmäßig und schließen mögliche Sicherheitslücken.

Alle Update-Dateien sind verschlüsselt und digital signiert. Wird eine Datei verändert — und sei es um ein einziges Byte — schlägt die Signaturprüfung fehl und das Gerät weist das Update zurück. Das verhindert die Installation von Schadcode und garantiert die Unversehrtheit jedes Updates.

Keine Downgrades

Das Gerät akzeptiert ausschließlich Firmware, die neuer ist als die laufende. Wären Downgrades erlaubt, ließe sich eine Version mit bekannten Schwachstellen erneut installieren und damit Sicherheitskorrekturen umgehen — ein Rollback-Angriff. Siehe Firmware-Aktualisierung.

Verschlüsselte Datenübertragung

WLAN-Modus	Transport	Warum
Client (in Ihrem Netz)	HTTPS auf Port 443	Normalbetrieb; der gesamte Verkehr ist mit TLS verschlüsselt.
Access Point (eigener Hotspot)	HTTP auf Port 80	Nur für die Ersteinrichtung. Port 443 ist geschlossen.

INFO

Warum im Access-Point-Modus einfaches HTTP? Ein selbstsigniertes Zertifikat auf einem Hotspot erzeugt eine Browserwarnung, die Nutzer gewohnheitsmäßig wegklicken — und genau dieses Verhalten sollte man nicht einüben. Manche Telefone verweigern die Einrichtungsseite sogar ganz. Da die Anmeldung als Challenge-Response abläuft, geht ohnehin in keinem Fall ein Passwort über die Leitung, und der Hotspot ist eine private Verbindung zwischen Ihrem Telefon und dem Gerät, ohne Weg ins Internet.

Sobald das Gerät Ihrem eigenen WLAN beitritt, wechselt es automatisch zu HTTPS.

Die Zertifikatswarnung

In Ihrem eigenen Netz liefert das Gerät HTTPS mit einem selbst erzeugten Zertifikat aus. Ihr Browser warnt beim ersten Verbinden, die Verbindung sei nicht privat. Das ist zu erwarten: Keine öffentliche Zertifizierungsstelle kann für ein Gerät in Ihrem LAN bürgen. Die Verbindung ist dennoch verschlüsselt.

Betreiben Sie eine eigene Zertifizierungsstelle, können Sie ein von ihr ausgestelltes Zertifikat installieren; die Warnung verschwindet dann auf jedem Gerät, das dieser CA vertraut. Siehe HTTPS-Zertifikat.

API-Zugriff

Jede API-Anfrage trägt ein Bearer-Token. Ein Anmeldetoken läuft nach 30 Minuten ab. Für Programme können Sie bis zu drei langlebige Token erstellen, die nie ablaufen. Das Gerät speichert von jedem nur einen Hash, sodass sich ein Token nicht vom Gerät auslesen lässt, und jedes lässt sich einzeln widerrufen. Siehe Langlebige Zugriffstoken.

Sicherheit des Zigbee-Protokolls

Für die lokale Funkkommunikation nutzt das Gerät Zigbee, ein schlankes, stromsparendes und sicheres Rahmenwerk für IoT-Netze. Zigbee verschlüsselt alle Datenpakete mit AES-128, sodass der Austausch zwischen dem Gerät und anderen Netzknoten verschlüsselt und authentifiziert ist. Das verhindert Mitlesen und unbefugtes Einschleusen von Befehlen im lokalen Netz. Zu den eingebauten Mechanismen von Zigbee gehören außerdem Geräteauthentifizierung, Schlüsselverwaltung und sichere Netzwerkbildung.

Sicherheit auf Zählerseite

Wenn der Zähler DLMS/COSEM verwendet, unterstützt ZiggyMeter dessen eigene Sicherheitsstufen:

Stufe	Bedeutung
Keine	Keine Authentifizierung.
Niedrig (LLS)	Authentifizierung per Passwort.
Hoch (HLS, GMAC)	Challenge-Response-Authentifizierung mit einem Authentifizierungsschlüssel.

Die Verschlüsselung der Nutzdaten wird mit dem Blockchiffre-Schlüssel (GUEK) und dem Authentifizierungsschlüssel (AK) Ihres Versorgers unterstützt. Schlüssel und Passwörter liegen in der verschlüsselten Konfiguration des Geräts und werden von der API nie zurückgegeben — das Gerät meldet lediglich, ob ein Passwort gesetzt ist. Siehe Zählerprotokolle.

Das Gerät nicht ins Internet stellen

ZiggyMeter ist für ein lokales Netz gebaut. Leiten Sie keinen Port aus dem öffentlichen Internet darauf weiter. Wenn Sie Fernzugriff brauchen, nutzen Sie ein VPN in Ihr eigenes Netz oder stellen Sie einen abgesicherten Reverse-Proxy davor. Siehe Eigene Lösungen und Cloud.

Durchgehende Absicherung

Sichere Firmware-Entwicklung, verschlüsselte und signierte Updates, Challenge-Response- Anmeldung, TLS im Client-Modus und Zigbee-Verschlüsselung ergeben zusammen einen mehrschichtigen Schutz. Die Firmware wird in der Europäischen Union entwickelt, und auch die erste Programmierung in der Fertigung findet dort statt.

Etwas gefunden? Melden Sie es beim Support.