#internet

@FoxtrotLima - brak panelu admina dostępnego z internetu nie oznacza braku ekspozycji. Shodan pokazuje głównie usługi, które da się znaleźć i rozpoznać z zewnątrz a urządzenie sterowane przez chmurę może w ogóle nie nasłuchiwać połączeń przychodzących, a mimo to zależeć od aplikacji, API i infrastruktury producenta. Bezpieczeństwo trzeba więc oceniać dla całego produktu, nie tylko samego sprzętu.

Najważniejsze zagrożenia:

* Problemy w chmurze lub API producenta - błędy uwierzytelniania i kontroli dostępu mogą ujawnić dane albo pozwolić przejąć konto czy sterowanie urządzeniem. Urządzenie nie musi być bezpośrednio widoczne w internecie.

* Przejęcie konta użytkownika - wyłudzone, powtórnie używane lub słabe hasło do aplikacji może dać dostęp do urządzeń i danych przypisanych do konta.

* Wyciek danych - urządzenie może wysyłać do chmury informacje o użytkowaniu, harmonogramach, lokalizacji albo stanie domu; ryzyko dotyczy zarówno transmisji, jak i przechowywania danych.

* Niebezpieczne aktualizacje lub nieaktualne oprogramowanie - luki w firmware, bibliotekach, aplikacji lub usłudze chmurowej mogą pozostać niezałatane, zwłaszcza gdy producent zakończył wsparcie.

* Przejęcie urządzenia przez sieć lokalną - atakujący, który już dostał się do domowej sieci, może szukać słabo zabezpieczonego urządzenia lub wykorzystać je jako punkt wejścia do innych sprzętów. To inne ryzyko niż bezpośredni dostęp z internetu.

* Awaria lub przejęcie usługi producenta - może przerwać zdalne sterowanie, ujawnić dane albo - zależnie od projektu - umożliwić nieuprawnione wydawanie poleceń. Zależność od chmury to także ryzyko dostępności, nie tylko poufności.

* Botnet lub nadużycie zasobów - zainfekowane urządzenie może zostać użyte do ataków na innych, nawet jeśli właściciel nie wystawił mu publicznego panelu. NIST wymienia zarówno ryzyko botnetów, jak i problem niewystarczającego monitorowania oraz aktualizacji w urządzeniach IoT.

@koszotorobur dzięki za ten ai slop

@FoxtrotLima Nawet jeśli coś słucha tylko lokalnie, to poza wymienionymi powyżej opcjami, "fajnym" patentem na atak jest XSS na jakąś stronkę, który osadza tam skrypt robiący intranet CSRF (atak, gdzie JS preparuje request na 192.168.X.X albo inny lokalny adres, i robi tam niecne rzeczy).

@FoxtrotLima - nie ma za co - zawsze do usług jeśli widzę, że trzeba trochę więcej informacji dla nieświadomków wcisnąć, oczywiście za leniwy jestem by sam pisać, ważne, że z grubsza się info zgadza :smirk:

@FoxtrotLima a co tam się nie zgadza? Z tego co czytam, to raczej wszystko ok i przykłady też ok. Może tylko pierwszy się dubluje z przedostatnim, chociaż nie do końca.

Pytam, bo jak tam widzisz błędy, to powinienem je też widzieć, bo za kilka tygodni mam egzamin z podstaw cyberbezpieczeństwa.

@FoxtrotLima Samochody też są dostępne tylko przez chmurę, a już nie jedna marka pozwoliła zdalnie "odpalić" swoje samochody ; )

@Czokowoko kamera w pokoju bobasa nie jest tak grozna jak piec CO i CWU gotujacy wode

@100mph kazdy nowy piec CO ma czujnik ktory go wyłącza. Co wiecej czujnik jest jest mechaniczny wiec tutaj raczej ciezko bedzie cos zjebać

@Bystrygrzes tak ale możesz np. w CWU puścić wodę o temperaturze, którą ktoś się poparzy

@100mph przecież w CWU standardowo płynie woda którą możesz się poparzyć oO

Pasuje żeby się jednak ta Legionella nie panoszyła, a od regulacji temperatury w docelowym odbiorniku jest nie wiem, bateria termostatyczna kranu?

@LaMo.zord nie kazda bateria jest termostatyczna xD jak chcesz z piecem inny przyklad to wystarczy, ze ktos ma piec lub pompe z podlogowka bez zaworu mieszajacego bo nie ma innej formy ogrzewania i ktos podnosi zdalnie temperature na piecu czy pompie i podajesz na podloge 85 stopni ;)

@100mph w sensie, że taka z dwoma kurkami? No to już problem brytoli XD

Co do podłogówki to też raczej bez mieszającego tylko i kogoś kto robił turbo januszerkę.

Rozumiem, że są jakieś MOŻLIWE zagrożenia, ale to tylko w przypadku kiedy instalacja jest robiona naprawdę biednie.

@LaMo.zord chlopie, kazda bateria, ktora nie ma nastawy temperatury na pokretle nie jest termostatyczna xD to sa jedynie baterie mieszalnikowe bazujace na glowicu mieszalnikowek i sprzedaje sie ich przytlaczajaca wiekszosc xD nie wiem skad Ty sie urwales, ze nie slyszales o bateriach mieszalnikowych

*mieszaczowa

@LaMo.zord po co zawor mieszajacy jesli w domu masz jeden system ogrzewania, np podlogowke? co ma Ci dodatkowego dac oprocz zwiekszonych kosztow instalacji i strat ciepla? przeciez na wyjsciu zrodla ciepla juz bedziesz mial ustalona gorna granice temperatury wody/glikolu w instalacji xDDD

@100mph mea culpa, faktycznie bateria mieszająca. Co nie zmienia faktu, że IMHO nawet mój niepełnosprawny syn się jakoś nie poparzył pomimo, że i mnie CWU ma 70°C puszczone.

Po co zawór mieszający?

Właśnie po to, że jak pięć ma awarie elektroniki to nie puści ci wrzątku na instalację?

No ale wiadomo kilka stów za zawór na wyjściu to ogromna oszczędność w skali całej instalacji CO XD

@AdelbertVonBimberstein @100mph @walus002 może i spierdolina ale straszenie sądem za głupie wpisy na socjalach też słabe.

@Opornik no chyba nie. Ogólnie Wiech jakiś czas temu się wkurwił i udowadnia półgłówkom, że za słowa się odpowiada i nie są bezkarni.

@AdelbertVonBimberstein ma racje bo bezpodstawnie wylewaja na niego wiadra pomyj

@Opornik absolutnie nie masz racji. Poczucie bezkarnosci budzi w niektórych najgorsze instynkty. Szybka edukacja daje do myślenia, a jeśli delikwent następnym razem dwa razy się zastanowi zanim kliknie wyślij to świat na tym tylko zyska.

@dez_ absolutnie nie masz racji. Wolność slowa to wartość wyższa niz pierdolenie debili w internecie, zwróć uwagę że to nie chodzi o dezinformację, szkalowanie, groźby karalne, tylko jakiś debil pierdoli głupoty i obraża.

@Opornik obrażanie oponenta to nie jest wolność słowa. Wiech nie wzywał kogoś do przeprosin za to że został zasypany odmiennymi argumentami.

@dez_ jakiego oponenta? To są shitposterzy z dupy, nie przeciwnicy polityczni. Jest ich od chuja i co raz częściej to boty.

@Opornik ale Ty o Wiechu czy randomach, którym przywraca ustawienia fabryczne?