Beveiliging omvormers zonnepanelen

[Reptile209]

Naar aanleiding van nieuws: Nederlandse toezichthouder: veel zonnestroomomvormers storen en zijn ... en soortgelijke berichten in de algemene media vraag ik me nu af: wat (if anything) moet ik concreet doen om mijn omvormer te beveiligen? Want het gemiddelde nieuwsbericht rept daar niet over, ook het artikel van Tweakers niet.

Mijn setup:
- Growatt omvormer op zolder met een communicatie-dongle;
- Growatt ShineLanBox, communiceert met die dongle en stuurt mijn data naar de cloud (via LAN kabel naar mijn Ziggo-modem);
- ShinePhone app, waarmee ik mijn data in mooie grafiekjes kan terugzien. Ik log in met een vrij sterk random wachtwoord van 12 tekens met de gebruikelijke mix van hoofd- en kleine letters en speciale tekens.

Waar zit voor mij (en voor de ongetwijfeld vele anderen met een vergelijkbare setup) nu de kwetsbaarheid? En hoe los ik die op? Is het een risico dat mijn data naar <geen idee waarheen / "de cloud"> wordt verstuurd? Wordt dit systeem eigenlijk geüpdatet door Growatt? Is het pushen/pullen van updates kwetsbaar?

Ik wil wel toegang houden tot mijn (realtime) data van opgewekt vermogen en ik heb geen zin om daar allerlei domotica tussen te gaan hangen om het lokaal te trenden. Ik heb ook niet het idee dat mijn privacy of veiligheid in het geding is als iemand kan zien hoeveel stroom ik opwek. Maar bij een scenario als een hele stad of meer in rap tempo laten in- en uitschakelen op afstand, kan ik me voorstellen dat dat het netwerk enorm belast en mogelijk op zijn gat brengt.

Voor de breedte van de discussie: bij mij is het dus een Growatt installatie. Hebben andere merken andere of juist vergelijkbare kwetsbaarheden?

Edit: op de website van Growatt vind ik niks over de beveiliging, alleen dat het super handig en makkelijk is met de app

[ Voor 3% gewijzigd door Reptile209 op 30-05-2023 22:17 ]

[klump4u]

Hoe los ik dit op?
Nou gewoon de wifi of lan stick eruit halen en zelf uitlezen met een pi, maar dat is dan waarschijnlijk weer te veel gevraagd.

[Stalensnuitje]

klump4u schreef op dinsdag 30 mei 2023 @ 22:24:
Hoe los ik dit op?
Nou gewoon de wifi of lan stick eruit halen en zelf uitlezen met een pi, maar dat is dan waarschijnlijk weer te veel gevraagd.

Kabel erin laten zitten en in het modem de internettoegang voor dat ip/MAC-adres intrekken zou ook moeten werken toch? Of zou bv. de integratie binnen HA dan ook niet meer werken, omdat dat alsnog via de server van (in mijn geval) SolarEdge loopt?

[klump4u]

Stalensnuitje schreef op dinsdag 30 mei 2023 @ 22:29:
[...]

Kabel erin laten zitten en in het modem de internettoegang voor dat ip/MAC-adres intrekken zou ook moeten werken toch? Of zou bv. de integratie binnen HA dan ook niet meer werken, omdat dat alsnog via de server van (in mijn geval) SolarEdge loopt?

Geen idee, ik heb 2 Growatt omvormers en daar zit een wifistick in, deze stuurt data naar de Growatt servers en ik lees die data uit via de ShinePhone app, echter heb ik ook de inverters met een pi verbonden en lees daarmee ook de omvormers uit en stuur dit na Domoticz en PVOutput, mocht er iets vreemds gebeuren in de toekomst met de Growatt servers heb ik altijd nog mijn eigen data.
Maar on-topic, ik heb geen idee of de omvormers van buitenaf te manipuleren, ik vermoed van wel, gewoon via een firmware update kun je volgens mij wel bewerkstelligen dat hij niks meer doet na b.v. de laatste uitschakeling.

[Reptile209]

Stalensnuitje schreef op dinsdag 30 mei 2023 @ 22:29:
[...]

Kabel erin laten zitten en in het modem de internettoegang voor dat ip/MAC-adres intrekken zou ook moeten werken toch? Of zou bv. de integratie binnen HA dan ook niet meer werken, omdat dat alsnog via de server van (in mijn geval) SolarEdge loopt?

En @klump4u
Ik wil liefst wel gewoon gebruik blijven maken van de mogelijkheid om de data van de opgewekte energie uit te blijven lezen, kabel er rücksichtslos uittrekken is dus niet de oplossing die ik zoek. En ik denk dat dat voor 95% van de gebruikers geldt. Ik ga ook geen lokale server gebruiken die de data uitleest en presenteert. Dit moet toch gewoon veilig zijn of te maken zijn, of zijn deze systemen fundamenteel onbetrouwbaar ontworpen?

[jbhc]

Ik heb bij elke omvormer gewoon een kleine KWh meter zitten. De pulsen die deze genereren laat ik via een ESPhome module uitlezen en vervolgens lees ik dat weer in in HomeAssistant.

De meegeleverde dongles liggen ongebruikt te verstoffen want ik ga mijn spullen echt niet in een chinese cloud hangen.

Ik ben dan ook een moeilijk persoon en de meeste mensen snappen niet waarom ik zo moeilijk doe Het leuke vind ik dat ik dit soort problemen al heel lang aan zie komen

Uiteindelijk wil ik gebruik maken van de modbus verbinding naar mn omvormers maar dat is weer een apart projectje.....

[ Voor 11% gewijzigd door jbhc op 30-05-2023 23:45 ]

[Ricko1]

Als je het niet lokaal wil/kan uitlezen moet het via de cloud. De kwetsbaarheid hiervan is volledig afhankelijk van het updatebeleid van de fabrikant.

Persoonlijk heb ik voor een Home Assistant installatie gezorgd. De Deye micro-omvormers hebben al een verbindings probleem waardoor ze in mijn geval op een eigen wifi SSID moeten. Isolatie van internet kan dan met een vlan switch (mits je wifi accespoint dat ondersteund). Ze updaten nu automatisch en gezien het fixen van het kunnen instellen van wachtwoord een ding was moet dat nog even.

[Oogje]

Reptile209 schreef op dinsdag 30 mei 2023 @ 23:33:
[...]

En @klump4u
Dit moet toch gewoon veilig zijn of te maken zijn, of zijn deze systemen fundamenteel onbetrouwbaar ontworpen?

Alles wat mensen maken is door mensen te kraken. Het probleem met al die omvormers die aan een Chinese of andere cloud hangen is dat je aan hen overgeleverd bent. Dus of een corrupte medewerker iemand toegang verschaft, of dat hun systemen gehackt worden, het eindresultaat is dat ze dan bij jouw data kunnen en wat nog beroerder is, updates kunnen pushen naar je omvormer of uitschakelen.

[JvS]

Reptile209 schreef op dinsdag 30 mei 2023 @ 23:33:
[...]

Dit moet toch gewoon veilig zijn of te maken zijn

Hoe wil je dit "gewoon" veilig maken? Je hebt helemaal geen toegang tot de software of zicht op de communicatie. Je wilt wel de cloud diensten, niet met een lokale sensor gaan meten. Dan houdt volledig veilig maken een beetje op.

Je hebt een apparaat, dat op afstand beheerd is door een beheerder die mogelijk onbetrouwbaar is. Je kan dat apparaat wel op een eigen vlan in je huis zetten zodat je het tot zekere hoogte isoleert van de rest van je apparaten. MAar dan is dat risico van uit/aanzetten er nog steeds.

[Reptile209]

Als ik de reacties tot nu toe lees, kom ik niet verder dan: China en mogelijk malafide updates. Waarom wordt daar dan nu ophef over gemaakt? Want dat geldt ook voor het hele telefonie netwerk (hack Huawei, Apple of Samsung en dan denk ik dat je het hele mobiele netwerk wel op zijn knieën kunt krijgen. Doe hetzelfde met Tesla of andere connected auto's en maak een chaos op de weg. Doe dit met de AMS-IX en half Europa heeft geen of brak internet.

Dus waarom zouden "mijn" (alle) zonnepanelen dan een groter risico vormen? Kudo's voor alle mensen met een mooi getweakte thuisoplossing, maar dat gaat de gemiddelde gebruiker niet doen of kunnen. Een wachtwoord aanpassen (welke dan?) misschien nog wel, als het niet te veel gedoe is.
Moet de overheid dan versneld dwingen dat de fabrikanten actie ondernemen? En dan blijft voor mij de vraag: zit de kwetsbaarheid in hun backend, of juist bij de installatie van de consument? Voor zover ik weet, is mijn omvormer (door de standaard afscherming van mijn modem) niet zichtbaar vanaf het internet. Hij zal alleen een "phone home" doen naar Growatt om data af te leveren en updates op te halen. Daar kan ik niet zo veel aan beïnvloeden (behalve de stekker er uit halen).

[bombadil]

JvS schreef op woensdag 31 mei 2023 @ 07:34:

Hoe wil je dit "gewoon" veilig maken? Je hebt helemaal geen toegang tot de software of zicht op de communicatie.

wat toch wel zou kunnen is thuis niet op het standaard wifi thuisnetwerk met de rest van jouw apparatuur maar enkel via een gastennetwerk.

Dat beschermd niet de zonnepanelen maar wellicht het netwerk ietsje.

[Supermario16]

Je zou de communicatie stekkers uit je omvormers kunnen halen en hier homewizard kwh meters tussen kunnen zetten. Daarmee koppel je het meten los van het besturen van de omvormer en heb je verder geen lokale domotica nodig. Homewizard heeft de data ook in de cloud staan maar kan in ieder geval niet je converter onklaar maken.

[sh4d0wman]

@Reptile209 het probleem in deze is de combinatie beroerde hardware en de impact op kritieke infrastructuur.

Door onder andere de groene revolutie is het stroomnet erg kwetsbaar geworden voor verstoring. Zonder stroom is een land nergens en het is vaak lastig te herstellen. Als het te lang duurt kun je wachten op openbare orde problemen.

Deze omvormers kunnen mogelijk een verstoring veroorzaken, Maar het hangt erg af van het design, is er communicatie naar buiten nodig? Hoe, wat, waar? Etc. Dus ja, dat ga je als simpele consument niet even beveiligen.

De impact zal vergelijkbaar zijn met totale uitval van internet, zoals een aanval op de AMS-IX. Geen telefonie of mobiele diensten is ook aardig kut maar net wat minder Vandaar de ophef denk ik.

[Treenaks]

Vraag me af hoe APSystems dat gaat doen. De software op in ieder geval de ECU-R is lekker dan een mandje en met security disclosures doen ze niks.

Groot issue is dat alles op hetzelfde LAN als de ECU bij alle instellingen kan met een default password, en dus rustig micro-omvormers kan uitzetten of expres verkeerd kan configureren.

Daarnaast is onduidelijk waar de firmware vandaan komt en of die "signed" is.

[ Voor 48% gewijzigd door Treenaks op 31-05-2023 08:17 ]

[klump4u]

Reptile209 schreef op dinsdag 30 mei 2023 @ 23:33:
[...]

En @klump4u
Ik wil liefst wel gewoon gebruik blijven maken van de mogelijkheid om de data van de opgewekte energie uit te blijven lezen, kabel er rücksichtslos uittrekken is dus niet de oplossing die ik zoek. En ik denk dat dat voor 95% van de gebruikers geldt. Ik ga ook geen lokale server gebruiken die de data uitleest en presenteert. Dit moet toch gewoon veilig zijn of te maken zijn, of zijn deze systemen fundamenteel onbetrouwbaar ontworpen?

Dan moet je dus ook de eventuele risico’s voor lief nemen, stel Growatt gaat betaling invoeren voor het langer opslaan/ terug kijken van data, vind je het dan nog leuk of niet de moeite waard?
Je hoopt iets te vinden wat er (nog) niet is maar voor nu ben je helemaal overgeleverd aan een Chinese firma.

[ehtweak]

Nog afgezien van de 'coole grafiekjes' die er uit verweggistan-cloud-based omvormer devices komen... wat als die clouddienst er gewoon niet meer is?
Los van het feit dat dan je hippe grafiekjes missen.

Werken je devices nog door zonder rare fratsen of speciale ingrepen? Kun je dan nog wat aan (be)sturing doen.
En dat dat geen irreëel scenario is, weten we al lang. Er zijn al diverse diensten/producten/fabrikanten geweest die gewoon stoppen met het ondersteunen van hun, voorheen digitale-wolk-afhankelijke, devices.

Kijk dat bijvoorbeeld een slimhorloge er op een gegeven moment mee ophoudt, oké, da's ook vervelend, maar zaken die met je nutsvoorzieningen te maken hebben, daar wil je dit gezeik niet mee.
Wat te denken van malafide figuren die wellicht in de toekomst ransomware praktijken loslaten op je PV-installatie!

[Reptile209]

klump4u schreef op woensdag 31 mei 2023 @ 08:24:
[...]

Dan moet je dus ook de eventuele risico’s voor lief nemen, stel Growatt gaat betaling invoeren voor het langer opslaan/ terug kijken van data, vind je het dan nog leuk of niet de moeite waard?
Je hoopt iets te vinden wat er (nog) niet is maar voor nu ben je helemaal overgeleverd aan een Chinese firma.

Maar het gaat dus eigenlijk niet eens om mijn eigen "probleem" dat er mogelijk ontstaat, maar het maatschappelijke. Dat ik geen grafiekjes (gratis) meer zou krijgen: niet het einde van de wereld. En zelfs als mijn apparaat door ransomware gegijzeld zou worden (@ehtweak) dan kost me dat hooguit tientjes aan gemiste opbrengsten tot ik het in de gaten heb en dan een paar honderd piek voor een nieuwe omvormer. Worst-case. Ga ik nu niet hard voor lopen.

Maar als de hele elektra-infra van een land of regio kwetsbaar wordt, is dat een ander verhaal. Ga ik niks aan veranderen (niet kunnen, niet willen: geen zin in extra kerstbomen in huis aan apparatuur en de Chinese omvormer is voor de komende 5-10 jaar ook een voldongen feit). Lijkt me dan een zinnigere taak voor de overheid of de netbeheerder om hier actie op te nemen. Want zelfs als ik dingen doe, dan blijven de buren en de rest van de stad kwetsbaar en maakt het dus geen donder uit (toch een blackout). Dus zonder sturende actie "van boven" los je dit probleem niet op.

[klump4u]

Reptile209 schreef op woensdag 31 mei 2023 @ 13:14:
[...]

Maar het gaat dus eigenlijk niet eens om mijn eigen "probleem" dat er mogelijk ontstaat, maar het maatschappelijke. Dat ik geen grafiekjes (gratis) meer zou krijgen: niet het einde van de wereld. En zelfs als mijn apparaat door ransomware gegijzeld zou worden (@ehtweak) dan kost me dat hooguit tientjes aan gemiste opbrengsten tot ik het in de gaten heb en dan een paar honderd piek voor een nieuwe omvormer. Worst-case. Ga ik nu niet hard voor lopen.

Maar als de hele elektra-infra van een land of regio kwetsbaar wordt, is dat een ander verhaal. Ga ik niks aan veranderen (niet kunnen, niet willen: geen zin in extra kerstbomen in huis aan apparatuur en de Chinese omvormer is voor de komende 5-10 jaar ook een voldongen feit). Lijkt me dan een zinnigere taak voor de overheid of de netbeheerder om hier actie op te nemen. Want zelfs als ik dingen doe, dan blijven de buren en de rest van de stad kwetsbaar en maakt het dus geen donder uit (toch een blackout). Dus zonder sturende actie "van boven" los je dit probleem niet op.

Waarom begin je dan de discussie hierover, het maakt toch geen donder uit wat je (niet wilt) doen/doet.
Altijd makkelijk om iets wat je niet leuk of nodig vindt door te schuiven naar anderen of naar de overheid.

[Reptile209]

klump4u schreef op woensdag 31 mei 2023 @ 13:29:
[...]

Waarom begin je dan de discussie hierover, het maakt toch geen donder uit wat je (niet wilt) doen/doet.
Altijd makkelijk om iets wat je niet leuk of nodig vindt door te schuiven naar anderen of naar de overheid.

Omdat de berichtgeving suggereert dat ik als consument dingen kan doen om het veilig(er) te maken: "zoals standaard wachtwoorden veranderen". Maar op basis van de reacties die ik hier krijg, zit daar niet de zwakke plek. Dit zit in de keuze voor de omvormer en de beveiliging bij de fabrikant (cq de regelgeving of het gebrek daaraan). En dat is wel even een ander dingetje.
Dingen doen als de stekker er uit halen werkt alleen als "iedereen" het doet, en dat gaat niet gebeuren zonder dwingende regelgeving want je levert in op functionaliteit.

[ Voor 10% gewijzigd door Reptile209 op 31-05-2023 13:50 ]

[klump4u]

Reptile209 schreef op woensdag 31 mei 2023 @ 13:49:
[...]

Omdat de berichtgeving suggereert dat ik als consument dingen kan doen om het veilig(er) te maken: "zoals standaard wachtwoorden veranderen". Maar op basis van de reacties die ik hier krijg, zit daar niet de zwakke plek. Dit zit in de keuze voor de omvormer en de beveiliging bij de fabrikant (cq de regelgeving of het gebrek daaraan). En dat is wel even een ander dingetje.
Dingen doen als de stekker er uit halen werkt alleen als "iedereen" het doet, en dat gaat niet gebeuren zonder dwingende regelgeving want je levert in op functionaliteit.

Net als bijna alles wat te koop is willen wij het graag goedkoop en daarom komen we bij die Chinese producten uit. De gevolgen nemen we op de koop toe tot het meestal te laat is, kan dan weer een nutteloze dure commissie gaan uitvogelen hoe het zo ver kon komen. Van mij mag Europa alle verbindingen met China e.d. landen verbieden maar of dat reeel is nu weet ik niet. Hoe ga je dat met mobieltjes en dergelijke aanpakken? Waar is de grens en wat is dreigend en wat niet. Ik weet het niet en maak me er verder ook niet druk om.

[_Teq_]

Reptile209 schreef op woensdag 31 mei 2023 @ 07:40:
Als ik de reacties tot nu toe lees, kom ik niet verder dan: China en mogelijk malafide updates. Waarom wordt daar dan nu ophef over gemaakt? Want dat geldt ook voor het hele telefonie netwerk (hack Huawei, Apple of Samsung en dan denk ik dat je het hele mobiele netwerk wel op zijn knieën kunt krijgen. Doe hetzelfde met Tesla of andere connected auto's en maak een chaos op de weg. Doe dit met de AMS-IX en half Europa heeft geen of brak internet.

Dus waarom zouden "mijn" (alle) zonnepanelen dan een groter risico vormen? Kudo's voor alle mensen met een mooi getweakte thuisoplossing, maar dat gaat de gemiddelde gebruiker niet doen of kunnen. Een wachtwoord aanpassen (welke dan?) misschien nog wel, als het niet te veel gedoe is.
Moet de overheid dan versneld dwingen dat de fabrikanten actie ondernemen? En dan blijft voor mij de vraag: zit de kwetsbaarheid in hun backend, of juist bij de installatie van de consument? Voor zover ik weet, is mijn omvormer (door de standaard afscherming van mijn modem) niet zichtbaar vanaf het internet. Hij zal alleen een "phone home" doen naar Growatt om data af te leveren en updates op te halen. Daar kan ik niet zo veel aan beïnvloeden (behalve de stekker er uit halen).

Hear hear. Ik ging ook zoeken naar extra beveiliging n.a.v. het artikel, volgens mij is dit 'probleem' zo'n beetje geïntegreerd in ieder 'connected' device.

Storm in een glas water imho.

[Raven]

Stalensnuitje schreef op dinsdag 30 mei 2023 @ 22:29:
[...]

Kabel erin laten zitten en in het modem de internettoegang voor dat ip/MAC-adres intrekken zou ook moeten werken toch?

Voor slimme apparaten gebruik ik PiHole andersom. Normaal laat PiHole alles door behalve wat op een blacklist staat. In het geval van slimme apparaten wordt hier alles geblocked, behalve wat op een whitelist staat

[ehtweak]

Reptile209 schreef op woensdag 31 mei 2023 @ 13:49:
[...]

en dat gaat niet gebeuren zonder dwingende regelgeving want je levert in op functionaliteit.

Nou... enige nuancering is wel op z'n plaats.
Je hoeft helemaal niet in te leveren op functionaliteit, alleen dan moet je er wel ZELF verder induiken en zaken uitzoeken c.q. installeren.

Zo stuur ik m'n Hoymiles omvormers niet aan met de door de fabrikant geleverde beheerdevices, maar heb zelf de OpenDTU oplossing geïnstalleerd i.c.m. een HA server op een Intel NUC. Die bij mij thuis al dat soort domotica zaken aanstuurt.
En die data blijft gewoon binnen mijn eigen LAN en kan niet naar buiten toe.
Hetzelfde geldt voor bewakingscamera's. No way dat ik die via een vage clouddienst laat communiceren.

En idd; dat is niet voor iedereen weggelegd. Maar hé, het is niet voor niets tweakers hier.

Kun je dat niet zelf, maar wil je het wel, dan zul je er dus iemand voor moeten inhuren. En ja, dat kost geld.
Heb je daar geen tijd/moeite/geld voor over, dan zul je genoegen moeten nemen met hoe het nu geregeld is. M.a.w. niet zeuren, maar accepteren.

Zoals het aloude spreekwoord luidt: bezint eer gij begint!
M.a.w. enige vooronderzoek kan echt geen kwaad, VOORDAT je 'buitenlandse' technologie en datagraai devices installeert.

[ Voor 7% gewijzigd door ehtweak op 31-05-2023 15:24 ]