Bezpečnosť
ZiggyMeter je navrhnutý tak, aby bol v domácej sieti bezpečný a nezávisel od cloudovej služby. Táto stránka vysvetľuje, čo je chránené a akým spôsobom.
Firmvér
Firmvér zariadenia je chránený silnými šifrovacími kľúčmi, ktoré zabezpečujú citlivé informácie, ako sú prihlasovacie údaje k Wi-Fi, pred neoprávneným prístupom. Aktualizácie firmvéru vychádzajú pravidelne a riešia možné bezpečnostné zraniteľnosti.
Všetky aktualizačné súbory sú zašifrované a digitálne podpísané. Ak sa súbor zmení — čo len o jediný bajt —, overenie podpisu zlyhá a zariadenie aktualizáciu odmietne. Zabraňuje to inštalácii škodlivého kódu a zaručuje integritu každej aktualizácie.
Žiadne prechody na staršiu verziu
Zariadenie prijíma len firmvér novší než ten, ktorý beží. Povolenie starších verzií by umožnilo znovu nainštalovať vydanie so známymi zraniteľnosťami a obísť tak bezpečnostné opravy — ide o útok typu rollback. Pozrite si Aktualizácia firmvéru.
Šifrovaný prenos údajov
| Režim Wi-Fi | Prenos | Prečo |
|---|---|---|
| Klient (pripojené k vašej sieti) | HTTPS na porte 443 | Bežná prevádzka; celá komunikácia je šifrovaná pomocou TLS. |
| Prístupový bod (vlastný hotspot zariadenia) | HTTP na porte 80 | Používa sa len pri prvom nastavení. Port 443 je zatvorený. |
INFO
Prečo obyčajné HTTP v režime prístupového bodu? Certifikát podpísaný sebou samým na hotspote vyvolá varovanie prehliadača, ktoré sa používatelia naučia odklikávať — a to učí presne zlý návyk; niektoré telefóny stránku nastavenia dokonca vôbec neotvoria. Keďže prihlásenie prebieha metódou výzva–odpoveď, heslo tak či tak neputuje po sieti a hotspot je súkromné spojenie medzi vaším telefónom a zariadením bez cesty na internet.
Len čo sa zariadenie pripojí k vašej Wi-Fi, automaticky prejde na HTTPS.
Varovanie o certifikáte
Vo vašej vlastnej sieti poskytuje zariadenie HTTPS s certifikátom, ktorý si samo vygenerovalo. Pri prvom pripojení prehliadač upozorní, že spojenie nie je súkromné. Tak to má byť: neexistuje verejná certifikačná autorita, ktorá by mohla ručiť za zariadenie vo vašej lokálnej sieti. Spojenie je aj tak šifrované.
Ak prevádzkujete vlastnú certifikačnú autoritu, môžete nainštalovať certifikát, ktorý vydala, a varovanie zmizne na každom zariadení, ktoré tejto autorite dôveruje. Pozrite si Certifikát HTTPS.
Prístup k API
Každá požiadavka na API nesie token typu bearer. Prihlasovací token vyprší po 30 minútach. Pre programy si môžete vytvoriť až tri dlhodobé tokeny, ktorých platnosť nikdy nevyprší. Zariadenie z každého uchováva len hash, takže token nemožno zo zariadenia spätne prečítať, a každý možno zrušiť samostatne. Pozrite si Dlhodobé prístupové tokeny.
Bezpečnosť protokolu Zigbee
Na lokálnu bezdrôtovú komunikáciu používa zariadenie Zigbee, ktorý poskytuje ľahký, úsporný a bezpečný rámec pre siete IoT. Zigbee šifruje všetky dátové pakety pomocou AES-128, takže informácie vymieňané medzi zariadením a ostatnými uzlami siete sú šifrované a overené. Bráni to odpočúvaniu a neoprávnenému vkladaniu príkazov v lokálnych sieťach. Vstavané mechanizmy Zigbee zahŕňajú aj overovanie zariadení, správu kľúčov a bezpečné vytváranie siete.
Bezpečnosť na strane elektromera
Keď elektromer používa DLMS/COSEM, ZiggyMeter podporuje jeho vlastné úrovne zabezpečenia:
| Úroveň | Význam |
|---|---|
| Žiadna | Bez overovania. |
| Nízka (LLS) | Overovanie heslom. |
| Vysoká (HLS, GMAC) | Overovanie výzva–odpoveď s overovacím kľúčom. |
Šifrovanie údajov je podporované pomocou blokového šifrovacieho kľúča (GUEK) a overovacieho kľúča (AK), ktoré dodá distribútor. Kľúče a heslá sú uložené v šifrovanej konfigurácii zariadenia a API ich nikdy nevracia — zariadenie hlási len to, či je heslo nastavené. Pozrite si Protokoly elektromera.
Nevystavujte zariadenie na internet
ZiggyMeter je určený pre lokálnu sieť. Nepresmerúvajte naň port z verejného internetu. Ak potrebujete vzdialený prístup, použite VPN do vlastnej siete alebo pred zariadenie postavte zabezpečený reverzný proxy server. Pozrite si Vlastné riešenia a cloud.
Priebežné zaisťovanie bezpečnosti
Bezpečný vývoj firmvéru, šifrované a podpísané aktualizácie, prihlásenie metódou výzva–odpoveď, TLS v režime klienta a šifrovanie Zigbee tvoria spolu viacvrstvovú ochranu. Firmvér vzniká v Európskej únii a prvé naprogramovanie vo výrobe prebieha takisto tam.
Našli ste niečo? Nahláste to podpore.