Beveiliging
ZiggyMeter is ontworpen om veilig te zijn in een thuisnetwerk, zonder afhankelijk te zijn van een clouddienst. Deze pagina legt uit wat beschermd is, en hoe.
Firmware
De firmware van het apparaat is beschermd met sterke encryptiesleutels, waardoor gevoelige informatie zoals Wi-Fi-gegevens buiten het bereik van onbevoegden blijft. Firmware-updates worden regelmatig uitgebracht om mogelijke kwetsbaarheden te verhelpen.
Alle updatebestanden zijn versleuteld en digitaal ondertekend. Is een bestand gewijzigd — al is het maar één byte — dan mislukt de controle van de ondertekening en weigert het apparaat de update. Dat voorkomt de installatie van schadelijke code en garandeert de integriteit van elke update.
Geen downgrades
Het apparaat accepteert alleen firmware die nieuwer is dan wat het uitvoert. Downgrades toestaan zou het mogelijk maken een versie met bekende kwetsbaarheden opnieuw te installeren en zo beveiligingsoplossingen te omzeilen — een rollback attack. Zie Firmware-update.
Versleutelde gegevensoverdracht
| Wi-Fi-modus | Transport | Waarom |
|---|---|---|
| Client (verbonden met uw netwerk) | HTTPS op poort 443 | Normaal gebruik; alle verkeer is met TLS versleuteld. |
| Accesspoint (eigen hotspot van het apparaat) | HTTP op poort 80 | Alleen voor de eerste installatie. Poort 443 is gesloten. |
INFO
Waarom gewoon HTTP in accesspointmodus? Een zelfondertekend certificaat op een hotspot levert een browserwaarschuwing op die gebruikers gewend zijn weg te klikken, en dat leert precies de verkeerde gewoonte — sommige telefoons weigeren de installatiepagina zelfs helemaal. Omdat het inloggen met vraag en antwoord werkt, gaat er in geen van beide gevallen een wachtwoord over de lijn, en de hotspot is een privéverbinding tussen uw telefoon en het apparaat zonder route naar internet.
Zodra het apparaat met uw eigen Wi-Fi verbindt, schakelt het automatisch over op HTTPS.
De certificaatwaarschuwing
In uw eigen netwerk biedt het apparaat HTTPS aan met een certificaat dat het zelf heeft gemaakt. Uw browser waarschuwt de eerste keer dat de verbinding niet privé is. Dat is te verwachten: er is geen openbare certificaatautoriteit die voor een apparaat in uw LAN kan instaan. De verbinding is nog steeds versleuteld.
Beheert u een eigen certificaatautoriteit, dan kunt u een certificaat installeren dat die heeft uitgegeven; de waarschuwing verdwijnt dan op elk apparaat dat die CA vertrouwt. Zie HTTPS-certificaat.
API-toegang
Elk API-verzoek bevat een bearer token. Een inlogtoken verloopt na 30 minuten. Voor programma's kunt u maximaal drie langdurige tokens aanmaken die nooit verlopen. Het apparaat bewaart van elk token alleen een hash, dus een token kan niet van het apparaat worden teruggelezen, en elk token kan afzonderlijk worden ingetrokken. Zie Langdurige toegangstokens.
Beveiliging van het Zigbee-protocol
Voor lokale draadloze communicatie gebruikt het apparaat Zigbee, dat een lichtgewicht, energiezuinig en veilig raamwerk voor IoT-netwerken biedt. Zigbee versleutelt alle datapakketten met AES-128, zodat informatie tussen het apparaat en andere netwerkknooppunten versleuteld en geauthenticeerd is. Dat voorkomt afluisteren en het ongeoorloofd injecteren van commando's binnen lokale netwerken. De ingebouwde mechanismen van Zigbee omvatten verder authenticatie van apparaten, sleutelbeheer en het veilig opzetten van het netwerk.
Beveiliging aan de kant van de meter
Gebruikt de meter DLMS/COSEM, dan ondersteunt ZiggyMeter de beveiligingsniveaus van de meter zelf:
| Niveau | Betekenis |
|---|---|
| None | Geen authenticatie. |
| Low (LLS) | Authenticatie met wachtwoord. |
| High (HLS, GMAC) | Authenticatie met vraag en antwoord op basis van een authenticatiesleutel. |
Versleuteling van de gegevens wordt ondersteund met de blokcijfersleutel (GUEK) en de authenticatiesleutel (AK) die uw netbeheerder verstrekt. Sleutels en wachtwoorden worden opgeslagen in de versleutelde configuratie van het apparaat en worden nooit door de API teruggegeven — het apparaat meldt alleen of er een wachtwoord is ingesteld. Zie Meterprotocollen.
Stel het apparaat niet bloot aan internet
ZiggyMeter is gemaakt voor een lokaal netwerk. Zet er geen poort vanaf het openbare internet naar door. Heeft u toegang op afstand nodig, gebruik dan een VPN naar uw eigen netwerk, of zet er een goed beveiligde reverse proxy voor. Zie Eigen integraties en cloud.
Doorlopende beveiliging
Veilige firmware-ontwikkeling, versleutelde en ondertekende updates, inloggen met vraag en antwoord, TLS in clientmodus en Zigbee-versleuteling vormen samen een gelaagde bescherming. De firmware wordt in de Europese Unie ontwikkeld en ook het eerste programmeren tijdens de productie gebeurt daar.
Iets gevonden? Meld het bij ondersteuning.