Security

Как понять, что вы в зоне риска

Если вы сами или кто-то вам сделал удалённый доступ к контроллеру, чтобы с улицы или с работы включать дома лампочку/смотреть показания климата — вы в зоне риска.

Убедитесь, что удалённый доступ настроен через Wiren Board Cloud, Tailscale, VPN или аналоги.

Не можете разобраться сами:

1. Отключите контролер от сети.
2. Сделайте резервные копии.
3. Напишите нам на support@wirenboard.com

Резервные копии

Кнопки резервного копирования

Чтобы в случае проблем можно настройки инсталляции можно было восстановить, сделайте резервную копию, для этого скачайте архив в разделе Настройки → Система.

Подробнее о резервном копировании.

Безопасность

Контроллер — это сложное устройство с множеством сервисов и программ, которое предназначено для работы внутри доверенного контура локальной сети.

В заводской конфигурации на контроллере открыты:

• Wi-Fi точка доступа;
• SSH со стандартными логином и паролем;
• веб-интерфейс;
• MQTT-брокер.

Если вы устанавливаете сторонний софт, он тоже открывает порты, номера портов смотрите в документации на софт.

Всё это позволяет злоумышленнику получить доступ к вашим данным, украсть или удалить их. Например, через MQTT-брокер или веб-интерфейс можно загрузить скрипт на wb-rules, который пропишет ключ доступа злоумышленника в контроллер, а ваш пароль сменит.

Сразу после первого включения:

1. Закройте стандартную точку доступа Wi-Fi паролем или отключите, если она не нужна.
2. Смените пароль на SSH, а лучше используйте авторизацию по ключу. Инструкции.

Если контроллер в корпоративной сети или к нему есть доступ по VPN — к нему могут получить доступ другие пользователи сети. Чтобы этого избежать, установите пароль на веб-интерфейс и заблокируйте доступ к MQTT-брокеру.

Используйте для удаленного доступа Wiren Board Cloud, Tailscale, OpenVPN или аналоги.

Если контроллеру нужно назначить внешний IP-адрес. Выполните все рекомендации выше и позовите системного администратора, который дополнительно настроит контроллер для противодействия угрозам: переключит веб-интерфейс на https, закроет лишние порты и т.п.

Проверка открытых портов и стандартных паролей

Пример списка опасностей.

В ПО контролера есть возможность определять популярные проблемы безопасности:

• стандартный пароль к SSH на портах 22, 25, 23, 2222, 8022, 9002, 9022;
• открытый MQTT-брокер на стандартном порту 1883;
• открытый веб-интерфейс на популярных портах 80, 8080, 443 и порт, по которому пользователь зашёл в веб-интерфейс контролера.

Если контроллер доступен из интернета и в нём есть одна из проблем — в его веб-интерфейсе появится предупреждение и ссылка на эту инструкцию.

Как работает

Когда вы открываете веб-интерфейс контроллера, специальный сервис отправляет запрос на https://probe.wirenboard.com/ и сервер пытается подключиться по списку популярных портов и стандартных протоколов. Используется IP-адрес с которого пришёл запрос к нам на сервер, а также IP-адрес по которому пользователь зашёл в веб-интерфейс. Локальные адреса и дубли игнорируются.

Если ему это удаётся, он отдаёт назад на контроллер список проблем, которые отображаются пользователю в веб-интерфейсе. После устранения проблем, нажмите в браузере на странице веб-интерфейса контроллера F5, будет отправлен повторный запрос на сервер и, если всё в порядке, то сообщение о проблемах исчезнет.

Чтобы сократить нагрузку на сервер и сеть, при отсутствии известных проблем, следующий запрос будет отправлен не раньше, чем через 24 часа.

Это не панацея

Важно понимать, что сервис не сканирует ваш контроллер целиком, а проверяет популярные ошибки безопасности, которые допускают пользователи. Например, если вы пробросили веб-интерфейс наружу через порт 9000, то мы его не найдём, а злоумышленники рано или поздно найдут.

Также процедура не проверяет открытую точку доступа Wi-Fi.

Что делать, если контроллер скомпрометирован

Контроллер Wiren Board:

1. Отключите этот контроллер от сети.
2. Сделайте дамп памяти контроллера по инструкции.
3. Выложите дамп в любое облачное хранилище и пришлите ссылку нам на support@wirenboard.com. Это поможет нам больше узнать о способе взлома и принять меры в будущем.
4. Сбросьте контроллер на заводские настройки тем же образом, что снимали дамп раньше.
5. Если контроллер был соединён MQTT-мостом с другим MQTT-брокером, смените там логин и пароль.

Если контроллер имел доступ в локальную сеть, скорее всего злоумышленники получили доступ и к другим устройствам локальной сети. Если это были контроллеры Wiren Board — выполните рекомендации выше. На других устройствах смените пароли и проверьте антивирусом.