Nuki: Smartes Türschloss nun mit Weboberfläche und IFTTT-Integration
Es gibt Neuigkeiten zu meinem tollsten Gadget 2016 – Nuki. Der Türschlossmotor mit optionaler Internetanbindung hat mit dem aktuellen Update neue Fähigkeiten erhalten. Diese betreffen Nuki nur indirekt selbst, erweitern aber die Möglichkeiten des Nutzers. Dieser kann sein Nuki (oder auch mehrere) nun über eine Weboberfläche verwalten. Das muss zuerst in der App aktiviert werden, zu finden in den Einstellungen zum einzelnen Nuki. Die Weboberfläche erlaubt sowohl die Bedienung von Nuki als auch die Einsicht der Protokolle oder die Aktivierung neuer Nutzer sowie die Entfernung von nicht mehr benötigten. Außerdem ist sie nicht ganz unwichtig, wenn es um die nächste Neuerung geht: Die Integration von IFTTT.
Verknüpft man Nuki mit IFTTT kann man aus bereits vorhandenen Applets auswählen oder auch neue erstellen. Nutzte ich direkt einmal, um meinen IFTTT-Account zu reaktivieren. Nun wird bei mir abends das Schloss automatisch zugesperrt, in diesem Fall ist auch eine etwaige Verzögerung seitens IFTTT nicht so problematisch. Diese könnte aber problematisch werden, wenn man ein Applet wie „Schloss auf – Hue-Lampen an“ zurückgreift.
Den Nuki IFTTT-Channel findet man an dieser Stelle, Informationen dazu gibt es auch im Nuki-Blog. Um Nuki Web oder IFTTT nutzen zu können, wird eine Nuki Bridge benötigt, das funktioniert auch mit der Siftware-Bridge, die für Android-Smartphones zur Verfügung steht. Ziemlich schöne Neuerungen, die auch eine „Inselllösung“ in das Smart Home einbindbar machen.
Wird geladen ...
Zieht Nuki den Schlüssel immer heraus sodass „dünne“ Schlösser wieder freigegeben werden oder lässt es den Schlüssel immer im Schloss stecken? Es gibt ja durchaus noch recht viele Türen die „gesperrt“ sind, falls von der anderen Seite schon ein Schlüssel drinsteckt. Das wäre dann ärgerlich, falls das Smartphone oder das Schloss leer wäre und man nen Schlüssel dabei hat.
Ich habe mein Schliesszylinder ausgetauscht gegen einen, der sich auch öffnen lässt, wenn auf der andere Nicht seite ein Schlüssel steckt, es wird von Nuki auch dringend empfohlen einen solchen zu verwenden.
Bin ich der einzige der ein zusätzliches Risiko darin sieht, einem weiteren Dienst Zugriff auf die Haustür zu geben?
@Chris, Nuki erwartet den Einsatz eines Schliesszylinders mit „Not und Gefahrenfunktion“ sprich einen der voll funktionsfähig ist wenn auf der anderen Seite ein Schlüssel steckt.
@Bart, ich bin normal jemand der nicht paranoid ist und recht locker mit Internet etc. umgeht, aber meine Haustüre übers Web öffnen, weiß ich jetzt auch nicht.
Nutze die App und auch die Bridge, aber ich glaube fürs Web freischalten eher nicht.
Da sind mir dann zuviele Stationen dran beteiligt die Nuki nicht im Griff hat.
Mein Nuki hat leider gestern den Geist aufgegeben und soll nun vom Hersteller ersetzt werden.
Die Bemühen sich zwar sind aber im Rücksendeprozess etwas schwerfällig. Ich hoffe das wird noch.
Haustür für Hacker freigeben fällt für mich definitiv aus! Es muß nicht alles über das INet erreichbar sein!
@Hardy: Wenn Du die Bridge nutzt, hängt das Schloss doch schon „im Internet“.
Man kann auch den vorhandenen Profilzylinder nehmen und lässt vom Schlüsseldienst seines Vertrauens eine sogenannte Kupplung einbauen, damit kann man dann auch schließen wenn von der anderen Seite ein Schlüssel steckt. Ist auf alle Fälle preiswerter als ein neuer Profilzylinder.
Kupplung?
Nach wie vor wäre mir eine Version für schweizer Zylinder lieber als so eine „Spielerei“.
Hat jemand die DEF CON 24 verfolgt? Ich bin mal gespannt was bei einem Einbruch die Versicherung sagt, wenn das Ding unsicher ist oder man die neuesten Updates nicht eingespielt hat.
https://media.defcon.org/DEF%20CON%2024/DEF%20CON%2024%20presentations/DEFCON-24-Rose-Ramsey-Picking-Bluetooth-Low-Energy-Locks.pdf
Bitte, das ist doch DIE Sicherheitslücke schlechthin. Aber muss eh jeder selber wissen 🙁
Bei manchen Schlössern reicht es wenn man von jedem Schlüssel vorne die Spitze etwas wegfeilt.
Nuki hat eine durchaus schlüssige Sicherheitsarchitektur (gehabt) inkl. dem Fernzugriff aus der App heraus. Hier kam neben TLS zum Server noch eine ende-zu-ende Verschlüsselung zwischen App und Bridge zum Einsatz. Die Bridge selbst ist über das Internet auch nicht erreichbar und baut immer eine (ordentliche) TLS Verbindung zu einem von zwei Nuki-Servern nach aussen auf.
Mit Nuki-Web und darüber noch IFTTT ist bei Aktivierung das Sicherheitskonzept in dieser form aber ausgehebelt. Man gibt dem Web-Service von Nuki quasi eine virtuelle Schlüsselkopie und IFTTT indirekt über den Nuki-Webservice einen „steuernden“ Zugriff auf diese Schlüsselkopie. Damit kommen ganz neue Bedrohungsszenarien zum Tragen die Nuki leider nicht im blog beschreibt, Auch wurde das bisher gut dokumentierte Sicherheitskonzept nicht um Nuki-Web und die spezifischen Risiken erweitert/ergänzt. Das Schloss ist also nur so gut geschützt wie der Webservice und die Nutzer-Accounts darauf, aber es geht noch weiter.
Das Nadelöhr und damit Primärziel ist nun der E-Mail-Account eines jeden Nuki-Nutzers der Nuki-Web aktiviert hat. Denn sobald man entweder E-Mails auf dem Netzwerk abfangen kann oder Zugriff auf das Konto erlangt hat man die Tür ebenfalls gehackt. Grund ist der einfach angelegte Passwort-Reset-Prozess der lediglich den Empfang der E-Mail benötigt, kein Challenge-Response-Verfahren hat (z.B. ein paar Fragen die nur der Nutzer kennt beantwortet) bzw. auch schlossseitig keine neue Authentisierung (bzw. Authorisierung nach Reset) verlangt.
Kurzum – habe ich das Passwort zurück gesetzt bin ich Herr über das Schloss, da der Authentisierungstoken der Bridge (also indirekt des Schlosses) nicht zurückgesetzt wird. Zumindest hat meine Überprüfung genau das ergeben.
Hier ist Nachbesserung angesagt, sodass ein Zurücksetzen des Passwortes alleine nicht ausreicht das Schloss aus dem Web zu steuern.
Nuki lässt dem Nutzer viele Möglichkeiten das Schloss sehr sicher oder sehr komfortabel (aber entsprechend unsicherer) über das Web zu nutzen. Allerdings dürften unbedarfte Anwender die Bedrohungen oft nicht einschätzen und z.B. nicht erkennen, dass der E-Mail-Account plötzlich der Schlüssel zum Königreich (Home Sweet Home) ist.
Insgesamt gefällt mir die Lösung ganz gut, Nachbesserung ist aber dringend angeraten und schön wäre es auch wenn erfahrene Nutzer sich ein Nuki-Web „zu Hause“ installieren könnten um per VPN sicher und ohne Web-Service im Internet komfortabel drauf zuzugreifen. Alternativ könnte auch die App durchaus die Bridge-API direkt unterstützen und sicherheitsbewussten Anwendern damit bessere Möglichkeiten geben. Von einem Sicherheitsprodukt darf man durchaus erwarten, dass es nicht nur „Cloud only“ gibt, oder zumindest eine „private Cloud“ Option für zu Hause. So könnten die Entwickler ihr Produkt noch attraktiver machen.