Was ist der SecurePIN?

In LoxBerry wird im Setup-Assistent ein SecurePIN erstellt, der bei der Passwort-Änderung und bei der Plugin-Installation abgefragt wird.

Der SecurePIN kann zwischen 4 und 10 Zeichen lang sein und Buchstaben und Ziffern enthalten. Standardmäßig wird im Assistenten ein 4-stelliger Zifferncode generiert.

Wozu dient dieser SecurePIN?

LoxBerry wird mit einer unverschlüsselten Webseite betrieben. Deswegen wird bei jedem Klick der Benutzername und das Passwort über das Netzwerk übertragen. Zudem interagiert - je nach Plugin - der Miniserver mit den Anmeldedaten mit dem LoxBerry.

Daher besteht eine erhöhte Gefahr, dass sich ein Angreifer, der sich bereits in deinem Netzwerk befindet, dein LoxBerry-Passwort ausspähen kann. Wenn du deinen LoxBerry vom Internet aus zugänglich machst, könnte sogar jeder, der zwischen deinem Mobiltelefon, an dem du auf den LoxBerry aus der Ferne zugreifst, und deinem LoxBerry hängt, dieses Passwort abgreifen und selbst auf deinen LoxBerry zugreifen.

Der SecurePIN wird bei gewissen, sicherheitstechnisch risikoreichen Operationen, wie beispielsweise beim Anzeigen oder Ändern von Passwörtern, beim Zugriff aufs Dateisystem mittels Dateimanager, und beim Installieren von Plugins, abgefragt. Der SecurePIN wird ebenfalls unverschlüsselt übertragen, aber nur beim Generieren im Setup-Assistenten, und wenn du ihn eingeben musst. Damit ist die Chance viel geringer, dass auch der SecurePIN ausgespäht wird, um kritische Operationen durchzuführen.

Warum wird die Plugin-Installation mit dem SecurePIN geschützt?

Abgefragt wird der SecurePIN (derzeit) bei einer Änderung der Anmeldedaten (Benutzername, Passwort, SecurePIN) sowie bei der Plugininstallaton.

Die Plugin-Installation wird deswegen geschützt, weil ein Plugin die Möglichkeit hat, Operationen als Root-Benutzer auszuführen. Ein Eindringling, der das LoxBerry-Passwort erlangt hat, könnte selbst ein Plugin erstellen und installieren, mit dem er sich selbst Root-Zugriff auf den LoxBerry erteilen kann.Damit ist es möglich, die Passwörter am LoxBerry ohne Rückfrage der alten Passwörter zu setzen. 

Standard-SecurePIN

Wenn du den Setup-Assistenten nicht ausgeführt hast, ist der SecurePIN 0000.

Mein SecurePIN ist GESPERRT!

Diese Meldung erhältst du, wenn du mehrmals deinen SecurePIN falsch eingegeben hast. Die SecurePIN-Eingabe wird nach ca. 5 Minuten entsperrt. 

Wie kann ich den SecurePIN zurücksetzen?

Zum Schutz geht das nur über Dateizugriff per SSH (Eine SSH-Verbindung mit putty aufbauen / Shell-Zugriff).

  • Wechsle ins Verzeichnis /opt/loxberry/config/system/
  • Lösche die Datei securepin.dat
  • Kopiere den Standard-Securepin: cp securepin.dat.default securepin.dat

Warum wird LoxBerry nicht mit SSL-Verschlüsselung betrieben?

Eine verschlüsselte Webseite, die mit https betrieben wird, benötigt ein SSL-Zertifikat für die Verschlüsselung. Die Erstellung eines sogenannten "Self-Signed" Zertifikats am LoxBerry ist technisch kein Problem.

Allerdings stufen die aktuellsten Webbrowser-Versionen (u.a. Google Chrome, Firefox, Safari) Webseiten mit Self-Signed Zertifikaten als Unsicher ein und erschweren oder verweigern komplett den Zugriff.

Diese Sicherheitsbedenken der Browser-Hersteller sind im Internet mit Recht begründet: Ein selbst signiertes Zertifikat bietet zwar Verschlüsselung an, jedoch besteht absolut keine Gewissheit darüber, ob der Server überhaupt dem Unternehmen gehört, für den er sich ausgibt. Somit könnten persönliche und schützenswerte Daten (verschlüsselt) an einen unauthorisierten Server übermittelt werden. Server im Internet, die Verschlüsselung anbieten, müssen daher ihr Zertifikat von einer vertrauenswürdigen Stelle ausgestellt bekommen. Dies überprüft der Webbrowser automatisch beim Zugriff auf einen Server mit SSL-Verschlüsselung.

Damit diese Überprüfung funktioniert, sind einige Kriterien erforderlich, die ein LoxBerry in einem abgeschlossenen Heimnetzwerk nicht erfüllen kann:

  • SSL-Zertifikate für Webserver, die von einer bekannten, vertrauenswürdigen Zertifizierungsstelle ausgestellt werden, sind in der Regel kostenpflichtig.
  • Diese SSL-Zertifikate müssen mit einem Hostnamen und einer Domäne ausgestellt sein, die im Internet verfügbar ist. Das heißt, der LoxBerry müsste einen Domänennamen haben.
  • Es gibt Anbieter von Gratis-SSL-Zertifikaten. Für diese Dienste muss der LoxBerry nicht nur einen Domänennamen haben, sondern auch noch von extern erreichbar sein.

Da diese Punkte kaum erfüllt werden können oder wollen, haben wir uns gegen den Einsatz von SSL am LoxBerry entschieden.

Es ist daher umso mehr darauf zu achten, dass das interne Netzwerk abgesichert gegen Eindringlinge ist. Soll der LoxBerry aus dem Internet erreichbar sein, empfehlen wir den Einsatz eines VPN (der LoxBerry kann selbst als VPN-Server dienen).