IoT aparaat (Evohome thermostaat) te hacken?

[swdick]

Ik overweeg om voor mijn verwarming een Evohome thermostaat te installeren die via Wifi de radiatorknoppen bedient. Ik heb de fabrikant (Honeywell) gevraagd hoe het is met de beveiliging en krijg dit antwoord:

" Als u de evohome registreert, zorgt u ervoor dat de thermostaat verbinding maakt van de cloudserver van Honeywell. Er wordt dus niet op de evohome ingelogd.
Als u de thermostaat wilt bedienen, logt u ook in op de cloudserver.
Om uw evohome dus te kunnen hacken, moet men de cloudserver van Honeywell hacken.
En hier zijn behoorlijke firewalls om dat te voorkomen.
Dus ik kan wel zeggen dat het niet mogelijk is om uw evohome te hacken."

Ik snap het niet. Worden de knoppen via een cloud bij Honeywell bedient? Lijkt me toch sterk. Waar zou die server anders moeten draaien?

[Soggney]

maw, heb je geen internet, kan je je thermostaat niet bedienen

[DJMaze]

swdick schreef op woensdag 25 september 2019 @ 21:16:
"Dus ik kan wel zeggen dat het niet mogelijk is om uw evohome te hacken."

Onzin, alles is te hacken.
Vraag ze even om de pentest rapporten en de ISO certificeringen van die servers en software

[celshof]

Als het goed is zit er een centraal besturingskastje bij. Via dat kastje kun je alles bedienen. Daarvoor hoeft deze niet met internet verbonden te zijn
Ook kun je deze aanmelden op de Honeywell servers en zo via je telefoon je radiatoren bedienen. Is aardig als je bijvoorbeeld vergeten bent alles uit te zetten als je op vakantie gaat of, als je weer terugkomt, een uur van tevoren alvast je huis weer gaan verwarmen.

[swdick]

Bedankt. De cloudserver stelt me dus alleen in staat om via internet e.e.a. te bedienen. Dat heb ik niet nodig. Blijft over de vraag of via wifi de centrale bediening is te hacken. Ik zal Henywell nog eens ernaar vragen.

[Palo Alto]

swdick schreef op donderdag 26 september 2019 @ 11:29:
Blijft over de vraag of via wifi de centrale bediening is te hacken. Ik zal Henywell nog eens ernaar vragen.

Welk antwoord verwacht je nu eigenlijk? Met welke waarde wil je het antwoord uitdrukken? Ja/nee? Een percentage? Een kwalitatieve beschrijving?

Dit is net zoiets als aan de installateur van sloten vragen of er in je woning met een toegekend politiekeurmerk niet meer kan worden ingebroken. Wat vind jij van een installateur die claimed dat inbraak onmogelijk is?

Begrijp me niet verkeerd: ik zou het toejuichen als IoT fabrikanten volledige openheid geven over besturingssysteem en veiligheidbeleid. De vraag is wel of jij dat inhoudelijk kan beoordelen.

Als je op wat voor manier dan ook ter goeder trouw interacteert met een voorwerp in je omgeving, dan kan dat ook altijd ter kwader trouw. Dus een deur zonder slot kan je eenvoudig openen, maar een kwaadwillende kan dat ook eenvoudig. Zet je er een slot op, dan is het minder gebruiksvriendelijk, maar wel veiliger. Bij hoeveel sloten is inbraak volgens jou “onmogelijk“?

Alles wat je dus fysiek verbindt in een netwerk is daarmee per definitie te benaderen door andere apparaten op dat netwerk. De vraag is of er deuren zijn, zo ja met welke “sloten” de deur dicht zit, of er een apart gastenverblijf is, of er niet toch een kelderraam is waar je naar binnen kan of een sleutel onder de bloempot blijkt te liggen.

Stel dat ze antwoorden dat dit apparaat Linux variant Y, versie X blijkt draait en alleen port Z toestaat. Ben je dan tevreden? Ook als het poort 22 zou zijn?

[DukeBox]

swdick schreef op woensdag 25 september 2019 @ 21:16:
.. een Evohome thermostaat te installeren die via Wifi de radiatorknoppen bedient.

Verbinding tussen de knoppen en thermostaat gaat niet via WiFi.