Philips Hue Bridge: HTTPS-Zertifikate ersetzt
von Felix Frank | 13 Kommentare
Hue Bridge
Signify rollt für die Philips Hue Bridge derzeit die Software-Version 1971060010 aus. Neben kleineren Änderungen im Hintergrund hat man auch Veränderungen vorgenommen. Hauptsächlich richtet sich das Update jedoch an Sicherheitsbelangen. So habe man selbst signierte Zertifikate durch HTTPS-Zertifikate ersetzt. So sei eine sichere Interaktion mit Apps und Cloud-Diensten sichergestellt. Die Änderung soll vor allem den Schutz persönlicher und sensibler Daten sicherstellen. Der Rollout erstreckt sich über die kommenden Tage. Ihr habt die Möglichkeit, in der App die automatischen Updates zu aktivieren, um dieses direkt einzuspielen, sobald es bei euch eintrudelt.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Ich glaube das ist im Changelog etwas missverständlich ausgedrückt. Ich gehe mal davon aus das das Zertifikat nicht in der FW hinterlegt ist sondern auf deren Endpoints/Servern geändert ausgetauscht wurde. Wüsste jetzt nicht warum direkt auf der Box ein SSL Zertifikat hinterlegt sein sollte (das wäre ja nur „notwendig“ wenn die App direkt mit der Box lokal/direkt kommunizieren würde und nicht über deren Cloud)
Apropos SSL Zertifikate … das wird die nächsten Jahre noch spannend. Das wird zu viel Hardwareschrott führen (gibt leider genug Hardware wo der Zertifikat tausch nicht automatisiert werden kann). Wäre übrigens evtl. auch mal einen eigenen Blog Beitrag wert um da schon mal etwas vor zu warnen …
https://www.globalsign.com/en/blog/398-days-to-47-days-ssl-tls-certificate-lifespan-decrease
Ich freue mich auf 2029 🙂
Wer seine Zertifikate in den nächsten 4 Jahren nicht auf Automatismen umgestellt hat, ist meiner Meinung nach selbst schuld.
Spätestens seit Letsencrypt und Konsorten möchte man die Zertifikate nicht mehr händisch austauschen.
Selbstverständlich gibt es noch Devices, wo man das nur über eine GUI machen kann. Und selbstverständlich wird das Arbeit machen es zu automatisieren. Aber der Aufwand lohnt sich.
Ob das letzten Endes der Sicherheit dienlich ist möchte ich allerdings bezweifeln. Ich habe aber keine belastbaren Zahlen wieviel Prozent der weltweit ausgestellten Zertifikate missbraucht wurden, wieviel Fantastrilliarden Schaden entstanden ist und wie hoch der Anteil an Zertifikaten mit einem Alter von mehr als 47 Tagen ist/war.
Vielleicht sollte WordPress (exemplarisch) hergehen und alle Plugins deaktivieren, die seit mindestens 3 Monaten nicht mehr aktualisiert wurden. Das würde der Sicherheit dienlicher sein. Das ist meine ganz persönliche Meinung als Sysadmin im Hosting Umfeld.
Ich bin auch der Meinung das wird nicht zur Sicherheit beitragen aber es wird (zumindest am Anfang) vermehrt zu Problemen kommen. Die Fehlerquote steigt (weil eine Automatisierung ist nie zu 100% sicher, und alles was noch manuell gemacht wird noch weniger, wer sagt z.B. das deine Automatisierung nach einem FW Update noch funktioniert, muss dann alles wieder getestet werden) und zum anderen haben auch große Firmen in der Vergangenheit schon verpennt ihre Zertifikate zu tauschen/erneuern.
Zum Glück betrifft mich das Thema (als Softwareentwickler) nur am Rande, da haben andere davor schon ihren Spaß bevor das bei mir „aufschlägt“
Das automatische Renewal funktioniert. Nuff said.
Was ist denn der Unterschied zwischen einem Self-Signed Zertifikat und einem HTTPS Zertifikat?
Signify hat eher „ordentliche“ (signierte?) Zertifikate ausgerollt.
Dürfte aber kaum jemandem auffallen.
Hauptunterschied ist das ein normales Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) ausgestellt wird die auch (mehr oder weniger genau) überprüft wer das Zertifikat beantragt. Ein solches Zertifikat wird z.B. im Browser als vertrauenswürdig gekennzeichnet, das ist bei einem selbst erstellten Zertifikat nicht der Fall. Beim selbst erstellten kann ich reinschreiben was ich möchte z.B. das es von/für Microsoft ist, das hat aber nie jemand überprüft
Dolange das nur für Funktionen im Hintergrund ist, kann es dem Endkunden egal sein.
Dürfte langfristig aber trotzdem besser sein zwecks Kompatibilität, Stichwort meckernde backends zB von anderen Cloud Verknüpfungen von anderen Anbietern.
Welcher Otto Normal hantiert bitte mit Zertifikaten rum ?!?
Ich
Schuldig im Sinne der Anklage
Ich habe NGINX in der VM auf Certbot umgestellt läuft so die Zertifikatserneuerung Automatisch
Das erklärt, warum heute früh mein Openhab die Verbindung zur Hue bridge verloren hatte und erst nach dem erneuten certificate check wieder ging.
Ich musste in Openhab den Schalter für das self-signed certificate deaktivieren.
Das hat aber nur in der api2 funktioniert, in der alten api v1 bridge hat das nicht geholfen.
Jetzt sind aber beide wieder online, und somit auch alle Lampen.