Newsgroup: it.comp.sicurezza.varie
Titolo: sicurezza della domotica

Sto mettendo su un po' di domotica utilizzando un Raspberry con varie 
tipologie di aggeggi (tplink, sonoff con tasmota o esphome, zigbee di 
xiaomi e ikea tramite un gateway connesso al raspi)
 
So che la domotica è molto vulnerabile ad attacchi da remoto e vorrei 
avere una sicurezza maggiore di quella attuale, e sono arrivato alla 
conclusione di avere 2 wlan totalmente isolate tra loro, e con IP del 
tutto diversi (
p.es
. 192.168.22.x e 192.168.91.y)
 
In pratica continuerei a usare la rete attuale sul 7590 solo per il pc 
e la stampante, mentre su un secondo router (un 7490) attaccherei il 
raspberry con tutta la domotica.
Questo router non sarebbe mai connesso a internet, realizzando il 
totale isolamento; così come ho detto la domotica funzionerebbe solo da 
dentro casa.
 
In quei casi in cui mi servisse il suo uso da remoto darei l'internet 
del 7590 al 7490 con un cavo ethernet, e spengo il pc.
 
Mi sembra che sia una buona soluzione, ma magari cè qualcosa di meglio.
 
Che ne pensate?
 
Suggerimenti?

Rispondo qui sotto a ArchiPit

Forse un routerino LTE da accendere alla bisogna per dare internet al 
7490 è anche meglio e l'isolamento tra le 2 reti rimane totale.


 
la rete interna non puo' essere raggiunta da quella esterna (domotica), 
ha la stessa sicurezza come quando si affaccia direttamente su Internet.
Mentre dalla rete interna si possono raggiungere tutti i dispositivi di 
quella esterna ma non e' consentito il contrario.
 
angelo

 Suggerimenti?
 
trovo la soluzione inutilmente dispendiosa.
se vuoi isolare i dispositivi da internet puoi farlo anche senza il 
doppio router: sia il 7490 che il 7590 hanno la possibilità di bloccare 
l'accesso a internet dei singoli dispositivi, mentre in ingresso sono già 
protetti salvo che tu non faccia delle aperture sul firewall.
separare le reti potrebbe avere senso, se tu avessi un switch e un 
firewall che gestiscono le vlan. così per carità le reti sono isolate, ma 
è comodo come un paio di mutande di carta vetrata. e poi separare le reti 
serve a proteggere una rete dall'altra nel caso una delle due venga 
compromessa, quindi devi chiederti cosa vuoi proteggere e da cosa. nel 
caso in cui qualcuno riesca ad violare la wi-fi della domotica è vero che 
non può attaccare pc e stampante, ma è anche vero che con i dispositivi 
domotici fa quello che gli pare. meglio quindi che ti concentri sulla 
sicurezza della rete wi-fi accertandoti che nessun dispositivo ti 
obblighi ad usare ad abbassare la guardia con protocolli non adeguati.
 
 

 obblighi ad usare ad abbassare la guardia con protocolli non adeguati.
 
..wifi della domotica, zigbee, Esp32...
Io i protocolli di sicurezza di questi non li conosco e non sono in 
grado di darne loro una maggiore di quella intrinseca.
 
Per questo pensavo a isolare tra loro le reti di funzionamento.
 
Forse potrei usare un secondo raspberry come firewall con iptables a 
valle del router e prima del pc e del raspberry della domotica, ma sono 
troppo ignorante di linux e iptables.

 angelo
 
Grazie, vado a vedere

 So che la domotica è molto vulnerabile ad attacchi da remoto
 
e cosa ti farebbero? ti spengono il freezer pieno di carne oppure ti 
accendono il riscaldamento a 35°?
oppure sfruttano la TV per generare bitcoin?
 
-- 
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\
-=- -=- -=- -=- -=- -=- -=- -=- - -=-
........... [ al lavoro ] ...........

 oppure sfruttano la TV per generare bitcoin?
 
Ecco in quel caso mi piacerrebbe controllare tutto per bene e poter 
craccare il craccatore fregandogli i bitcoin generati nei miei 
dispositivi con la mia energia...

 tra loro, lì si fermano.
 
eh però hai parlato di netcam. e anche arrivare a spegnere o accendere le 
luci, beh, io non lo troverei simpatico.
ma sul raspberry cosa c'è? 

 ma sul raspberry cosa c'è?
 
Hass.os
Cambiato la porta 8123.
 
Ho provato Domoticz e OpenHab, ma non mi ci sono trovato.

 oppure sfruttano la TV per generare bitcoin?
 
mah guarda: fino a qualche tempo fa seguivo un forum di domotica fai-da-
te, non hai idea di cosa fanno con questi microcontrollori a basso costo 
persone che a malapena sanno collegare due fili. apertura cancelli, 
garage, tapparelle, apriporta citofono (fra i più gettonati), persino la 
serratura del portoncino blindato, qualsiasi cosa basta che sia 
elettrica. 
non sto a dirti poi quante persone si dedicano alla videosorveglianza per 
diletto, c'era un sito che si divertiva a pubblicare link a videocamere 
scovate in rete.
non è sicuramente il caso dell'op, ma ti garantisco c'è una vasta platea 
di persone che affidano le normali apparecchiature di sicurezza della 
casa a dei dispositivi di rete informatici, senza avere la benché minima 
cognizione di sicurezza informatica. come lasciare le chiavi di casa a 
disposizione di tutti e non rendersene conto.

 Ho provato Domoticz e OpenHab, ma non mi ci sono trovato.
 
conosco openhab, certo non può essere esposto su internet. per essere 
comandato da fuori ha una parte server che si installa sul cloud, oppure 
utilizzando un account sul loro server condiviso.
leggo che invece home assistant prevede l'accesso da remoto. sicuramente 
ok, ma bisogna essere consapevoli di avere un servizio esposto su 
internet. 
una volta mi ero dilettato installando un centralino voip freepbx su un 
raspberry, andando a vedere i log mi accorsi che dopo pochi giorni mezzo 
mondo stava cercando di sfondarmelo con centinaia di attacchi al secondo 
24h no stop (ps: avevo fastweb e un ip statico). installai fail2ban per 
mitigare la cosa, più misi su un intrusion detection prima di decidere di 
buttare via tutto e lasciar perdere il giochino che si era fatto troppo 
pesante per i miei gusti.

 serratura del portoncino blindato
 
questo no, corca


 oppure sfruttano la TV per generare bitcoin?
 
 
Fanno partire un DDoS mondiale, come successo non tanto tempo fa sfruttando
delle telecamere connesse, ad esempio.
Certo che anche spegnerti il congelatore non serebbe (per l'utilizzatore)
divertente!