Fjernadgang og sikkerhed

Introduktion

Et smart hjem er ikke rigtig smart, hvis det kun kan overvåges eller styres, når man er hjemme. Derfor ønsker mange HA brugere at få adgang til deres system, når de ikke er koblet på deres netværk derhjemme.

Det er der heldigvis flere muligheder for at sætte op.

Jeg beskriver i dette indlæg de forskellige muligheder og de sikkerhedsmæssige overvejelser bag hver løsning.

Afslutningsvis giver jeg også et par øvrige gode råd til at øge sikkerheden i og omkring din HA installation.

Hvorfor er sikkerhed vigtig?

Inden vi kigger nærmere på de forskellige løsninger til at opnå fjernadgang til din HA installation, kigger vi på, hvorfor sikkerheden er vigtig.

Du tænker måske, at din HA installation ikke er videre interessant for andre at få adgang til.

It-kriminelle er dog ligeglade med hvad du tænker, og de forsøger løbende at skaffe sig adgang til enheder, der er koblet på internettet.

I 2019 koblede sikkerhedsfirmaet Avast i en test i alt 500 smart home produkter på internettet. De overvågede, hvor ofte enhederne blev forsøgt kontaktet af personer eller robotter, der scanner internettet for mulige angrebsmål. I gennemsnit blev hver enhed forsøgt angrebet over 11.000 gange om dagen. Det svarer til et forsøg på angreb hver 7.-8. sekund.

De it-kriminelle arbejder med automatiserede værktøjer, der søger efter og forsøger at udnytte kendte sårbarheder. Deres mål er økonomisk berigelse og de anvender flere forskellige metoder:

• Ransomware, der krypterer alle data, som de kan få adgang til og kræver løsepenge for at give dig adgang til dine data igen
• Stjæle personlige data og efterfølgende afpresning for at undgå at offentliggøre følsomme data. Alternativt sælges de stjålne data til andre it-kriminelle, herunder eksempelvis dine loginoplysninger til it-systemer og onlinetjenester
• Fjernkontrol af dine enheder og misbrug i såkaldte botnetværks, som kan bruges til forskellige kriminelle formål (se mere nedenfor)

I nogle tilfælde vil et netværksdrev (NAS) eller en computer med en masse filer måske være mere interessant end din HA maskine.

Men dit HA system indeholder stadig en masse kritisk data og funktionalitet. Eksempelvis gemmes adgangskoder til alle de online tjenester, som du har integreret i dine HA konfigurationsfiler. Og måske har du overvågningskameraer og dit alarm system integreret i HA…

Så det er en rigtig god idé at forsøge at beskytte dit HA system bedst muligt. Det gælder især, når du åbner op for fjernadgang.

Særligt om botnetværk

Et botnetværk er en samling af computere og enheder, som er inficeret med en type skadelig software. Dette betegnes som en bot eller zombie og giver en hacker adgang til at styre dine enheder. Disse inficerede computere og enheder kaldes ofte for “zombie-enheder” og kan være spredt over hele verden.

Botnetværk kan bruges til en række forskellige ondsindede formål:

• sende spam og phishing e-mails
• udføre overbelastningsangreb (DDoS) mod virksomheder og myndigheder
• stjæle følsomme data
• udvinde kryptovaluta

Hackere bruger ofte botnetværk til at udføre skadelige aktiviteter. Det kan være svært at spore angrebet, når det kommer fra en samling af forskellige zombie-computere i stedet for en enkelt kilde.

Det er vigtigt at tage skridt til at beskytte din computer mod at blive inficeret. Både for at beskytte dig selv og andre.

Løsninger til fjernadgang

Der er flere muligheder for at få fjernadgang til din HA installation, hver med forskellige sikkerhedsniveauer. Mulighederne kan opdeles i følgende grupper af løsninger:

1. Cloud service (Home Assistant Cloud): Dette er en betalt service, der giver dig mulighed for at få fjernadgang til din HA installation gennem en sikker forbindelse uden yderligere konfiguration
2. Port forwarding: Du kan vælge at åbne de relevante porte på din router og videresende trafikken direkte til din HA installation.
3. Reverse proxy: Denne metode involverer brug af en reverse proxy, såsom NGINX eller Apache, til at kryptere og godkende forbindelser til din HA installation.
4. VPN-forbindelse: Denne metode involverer tilslutning gennem en VPN-forbindelse, der giver direkte adgang til din HA installation.

De enkelte løsninger og deres fordele og ulemper er nærmere beskrevet i de efterfølgende afsnit.

Home Assistant Cloud / Nabu Casa

Den mest simple måde at få fjernadgang til din HA et at bruge Home Assistant Cloud.

Det er en abonnementstjeneste, som man kan tilmelde sig direkte igennem HA’s app med ganske få trin:

Løsningen kræver ikke yderligere konfiguration og skaber en sikker forbindelse mellem din HA maskine og cloud tjenesten. Sikkerheden i løsningen består bl.a. i den adgangskode, som du vælger. Men sikkerheden er i høj grad også afhængig af de tiltag, som udviklerne har gjort for at beskytte deres tjeneste mod angreb. Hvis en hacker får adgang til Home Assistant Cloud løsningen, har vedkommende potentielt set adgang til alle HA installationer, der er koblet op på tjenesten. Kildekoden til løsningen er dog tilgængelig som open-source. Alle med teknisk snilde kan derfor gennemse den for at finde eventuelle sårbarheder.

Brugen af HA cloud giver dig også mulighed for at oprette forbindelse til cloud-tjenesterne: Google Assistant og Amazon Alexa.

Et abonnement koster pt. 7,5 EUR pr. måned svarende til cirka 56 kr. Alternativt kan man betale 75 EUR for et helt år ad gangen svarende til cirka 47 kr. pr. måned. Der er en måneds gratis prøveperiode, så du kan teste løsningen inden du køber.

Løsningen drives af Nabu Casa, Inc, som er et selskab grundlagt af udviklerne bag HA.

Du støtter dermed indirekte den videre udvikling af HA ved at bruge løsningen.

Port forwarding

Hvis du har en statistik offentlig IP-adresse, kan du bruge denne til at tilgå din HA installation. Det kræver blot, at du opretter en port forwarding regel i din router.

En port forward regel sørger for at sende al trafik videre til dit interne netværk. Du kan f.eks. bestemme, at al trafik på port 8123 på din offentlige IP-adresse skal sendes videre til din HA maskine. Det gøres ved at lave en port forwarding regel.

DuckDNS

Hvis du ikke har en statisk IP-adresse, kan du bruge en DNS-opdateringstjeneste til at opnå fjernadgang til din HA installation. DuckDNS er en gratis DNS tjeneste, som løbende kan opdatere din offentlige dynamiske IP-adresse. Så kan du også få adgang til din HA, når din IP-adresse ændres med jævne mellemrum af din internetudbyder.

Der findes et DuckDNS addon i HA. Det sørger for at opdatere DuckDNS tjenesten, når din dynamiske IP ændres. Samtidig hjælper addon med at skabe en krypteret forbindelse ved brug at Let’s Encrypt certifikater.

For at bruge DuckDNS til fjernadgang til Home Assistant skal oprette en konto på deres hjemmeside. Her opretter du et domæne med et valgfrit navn. Det kan f.eks. være min-HA-installation.duckdns.org.

Du skal derefter installere og konfigurere DuckDNS addon.

Til sidst skal du opsætte en port forwarding regel på din router.

Når dette er gjort, kan du bruge dit DuckDNS-domæne til at få fjernadgang til HA. Du skal blot tilgå din HA via det valgte domænenavn, f.eks. min-HA-installation.duckdns.org.

Processen er illustreret i nedenstående figur:

Fordele:

• Gør det muligt at får fjernadgang til HA selvom du har en dynamisk IP-adresse
• Gratis tjeneste
• Kan installeres via addon i HA
• Bruger SSL-certifikater til at kryptere din forbindelse

Ulemper:

• Afhængighed af en tredjeparts-tjeneste: Du er afhængig af, at DuckDNS-tjenesten fungerer korrekt og opdaterer din IP-adresse på den rigtige måde. Hvis tjenesten er nede, kan du ikke få fjernadgang til HA.
• Potentielle sikkerhedsrisici: Selvom SSL-certifikater kan bruges til at kryptere din forbindelse, er det stadig vigtigt at sørge for, at din fjernadgang er ordentligt sikret mod uautoriseret adgang. Du åbner en port, der er eksponeret mod internettet.
• Begrænsede funktioner: DuckDNS er en simpel DNS-opdateringstjeneste, der ikke tilbyder yderligere sikkerhedsfunktioner. Hvis du har brug for mere avancerede funktioner til fjernadgang, skal du måske overveje en betalt tjeneste eller en anden løsning.

Reverse proxy via NGINX

NGINX er en open source webserver, der kan fungere som en reverse proxy og omdirigerer trafikken til din Home Assistant-server.

Ved at bruge NGINX som en reverse proxy kan du give adgang til din HA installation uden at åbne porte på din router. I stedet kan du konfigurere NGINX til at håndtere al trafik til en bestemt domæne eller underdomæne, og derefter omdirigere trafikken til din Home Assistant-server på din interne IP-adresse og portnummer.

Fordele:

• Forbedret sikkerhed: Ved at bruge en reverse proxy som NGINX kan du skjule din Home Assistant-server bag en ekstra lag af beskyttelse. NGINX kan filtrere og blokere uønsket trafik og håndtere HTTPS-kryptering, hvilket kan forbedre sikkerheden for din fjernadgang.
• Skjul din IP-adresse: Ved at bruge en reverse proxy kan du skjule din offentlige IP-adresse og i stedet vise et domænenavn eller underdomæne, som du har registreret hos en DNS-udbyder som DuckDNS eller Cloudflare.

Ulemper:

• Lidt mere kompleks konfiguration: NGINX kræver en vis grad af teknisk ekspertise til at konfigurere korrekt. Hvis du ikke har erfaring med NGINX, kan det tage tid og kræve en del research at sætte op.
• Begrænsede funktioner: NGINX er en webserver, og det betyder, at det ikke har de samme funktioner som en VPN eller andre specialiserede fjernadgangsløsninger. Hvis du har brug for mere avancerede funktioner, som f.eks. adgangskontrol eller to-faktor-autentificering, skal du muligvis bruge en anden løsning eller kombinere NGINX med andre værktøjer.

Cloudflare

Cloudflare er en DNS- og sikkerhedstjeneste, der kan bruges til at beskytte fjernadgangen til din HA.

Du skal oprette en gratis konto på Cloudflare’s hjemmeside. Derudover skal du have oprettet et domæne. Det kan enten være gratis eller ved at betale et mindre årligt gebyr.

I modsætning til DuckDNS, så tilbyder Cloudflare tilbyder yderligere funktioner og sikkerhedstjenester.

Fordele:

• Forbedret sikkerhed: Cloudflare tilbyder forskellige sikkerhedsfunktioner, såsom DDoS-beskyttelse, firewall og indholdskryptering. Dette kan forbedre sikkerheden for din fjernadgang til Home Assistant.
• Hurtigere hastigheder: Cloudflare har en række funktioner, som kan fremskynde indlæsningstider for dit website eller applikation, herunder caching, komprimering af billeder og optimering af HTML og CSS.
• Gratis brug: Cloudflare tilbyder en gratis tjeneste, som kan være en god løsning for dem, der ønsker at få fjernadgang til Home Assistant uden at skulle betale for en tjeneste.

Ulemper:

• Afhængighed af en tredjeparts-tjeneste: Du er afhængig af, at Cloudflare-tjenesten fungerer korrekt og er tilgængelig. Hvis tjenesten er nede, kan du ikke få fjernadgang til din HA.
• Potentielle sikkerhedsrisici: Selvom Cloudflare tilbyder en række sikkerhedsfunktioner, er det stadig vigtigt at sørge for, at din fjernadgang er ordentligt sikret mod uautoriseret adgang. Du skal sørge for, at du har sat korrekte adgangskontrol og kryptering op på din router og Home Assistant.
• Potentielle problemer med caching: Cloudflare kan gemme en kopi af dine websider i deres cache, og dette kan føre til problemer, hvis din Home Assistant giver dynamisk indhold eller data, som kræver en frisk version af siden.
• Avancerede sikkerhedsfunktioner kræver betaling: Selvom Cloudflare tilbyder en række funktioner og tjenester, er der stadig nogle avancerede funktioner, som ikke er tilgængelige, hvis du bruger den gratis tjeneste.

VPN løsning

En VPN-forbindelse er en sikker måde at oprette fjernadgang til dit hjemmenetværk og HA. En VPN-forbindelse opretter en krypteret tunnel mellem din fjernenhed og dit hjemmenetværk. Det betyder, at al trafik, der sendes mellem disse to enheder, er sikker og beskyttet mod uautoriseret adgang.

For at bruge en VPN-forbindelse skal du oprette en VPN-server på dit netværk eller bruge en tjeneste fra en VPN-udbyder.

Derefter skal du installere eller opsætte en VPN-klient på din enhed og konfigurere den til at oprette forbindelse til VPN-serveren. Når du har oprettet forbindelse til VPN-serveren, kan du få adgang til dit hjemmenetværk og din HA installation. Du vil have samme adgang, som hvis du var tilsluttet dit lokale netværk.

Hvis du ikke har mulighed for at opsætte en VPN-tjenest på din router, kan du benytte af flere gratis services. Der findes findes bl.a. addons til både Tailscale og ZeroTier, som begge

Fordele:

• Høj sikkerhed: En VPN-forbindelse tilbyder høj sikkerhed, da al trafik er krypteret. Dette betyder, at uautoriserede personer ikke kan se eller få adgang til de data, der sendes mellem din fjernenhed og dit hjemmenetværk.
• Fuld adgang til dit hjemmenetværk: Med en VPN-forbindelse kan du få fuld adgang til dit hjemmenetværk og alle de enheder, der er tilsluttet det. Dette betyder, at du ikke kun kan få adgang til HA, men også til andre enheder på dit hjemmenetværk, som f.eks. en NAS eller andre IoT-enheder.

Ulemper:

• Konfiguration kan være udfordrende: Konfigurationen af en VPN-forbindelse kan være teknisk krævende. Det er mere besværligt end at bruge DuckDNS eller Cloudflare.
• Langsom ydelse: En VPN-forbindelse kan påvirke hastigheden på din forbindelse til HA. Dette skyldes, at al trafikken går gennem en krypteret tunnel.
• Kræver VPN-software: For at oprette en VPN-forbindelse skal du installere VPN-software på de enheder, der skal have fjernadgang til HA. Dette kan være en ulempe, hvis du ikke ønsker eller har mulighed for at installere yderligere software.
• Afhængighed af en tredjeparts-tjeneste: Vælger du at bruge Tailscale eller ZeroTier er du afhængig af, at VPN-tjenesten fungerer korrekt og er tilgængelig. Hvis tjenesten er nede, kan du ikke få fjernadgang til din HA.

Konklusion: Hvilken løsning skal du vælge?

Home Assistant Cloud er helt klart den nemmeste måde at få fjernadgang til HA på og du støtter samtidig Nabu Casa og videreudviklingen af HA.

Der findes også gratis alternativer, som dog kræver yderligere opsætning og konfiguration.

Hvis din router giver mulighed for at opsætte en VPN forbindelse, er det umiddelbart den sikreste løsning. Samtidig gør VPN det muligt at få adgang til andre tjenester i dit hjemmenetværk, mens du er på farten. Det kan f.eks. være filer på en NAS eller opskrifter i din Mealie madplan.

Øvrige sikkerhedsmæssige overvejelser

Sikkerhed handler i bund og grund om brug af sund fornuft.

Der er ingen løsning, som er 100% sikker, men mindre kan også gøre det.

Her er et par gode råd til at beskytte din HA installation:

1. Brug et stærkt kodeord for alle HA brugere og særligt administratorbrugere. Dette vil forhindre uautoriseret adgang til webgrænsefladen og andre dele af systemet.
2. Installer regelmæssigt sikkerhedsopdateringer til dit HA system og relevante komponenter, så eventuelle kendte sikkerhedsfejl bliver rettet.
3. Du har forskellige muligheder for at begrænse adgangen til dit netværk og enhederne tilsluttet det, som kan forhindre uautoriseret adgang til dit HA system:
   • Brug en firewall til at blokere indgående trafik til til alle andre porte end dem, som HA kræver. Dette vil forhindre uautoriseret adgang til systemet fra internettet.
   • Brug et separat netværk til IoT-enheder, der er tilsluttet HA
   • Tillad kun enheder, du har tillid til, at få adgang til dit hjemmenetværk, dette kan gøres ved at bruge MAC-adressefiltrering, som kun tillader enheder med specifikke MAC-adresser at oprette forbindelse til dit netværk.
4. Overvåg adgangen til dit netværk og beskyt mod kendte trusler.
5. Sørg for regelmæssigt at sikkerhedskopiere din HA installation

Hvert råd er beskrevet yderligere i de efterfølgende afsnit.

Brug stærke adgangskoder

Du bør vælge og bruge stærke adgangskoder til alle dine brugere på HA, men særligt dem, der har administrator-adgang.

Her er par gode råd til valg af adgangskode:

• Brug en adgangskode, der er på minimum 12 tegn og indeholder en kombination af:
  • Små bogstaver
  • Store bogstaver
  • Tal
  • Specialtegn
• Brug en unik adgangskode, som du ikke har brugt på andre sider. Du bør også bruge hjemmesiden Have I been pwned? til at undersøge om din e-mail eller adgangskoder er blevet stjålet og offentliggjort
• Brug en Password Manager løsning til at generere og huske en tilfældig adgangskode

Denne tabel, viser hvorfor det er vigtigt at bruge stærke adgangskoder:

TIP
Du finder flere gode råd til brug af passwords i denne vejledning fra Center for Cybersikkerhed (CFCS).

Sikkerhedsopdateringer

Det er heldigvis sjældent, at der opdages alvorlige sikkerhedshuller i HA softwaren. Og HA udviklerne har været hurtige til at orientere om og rette fejl i de tilfælde.

Det er dog alligevel en god idé at sørge for at opdatere sit HA system løbende – også for at sikre en bedre performance og rettelse af øvrige fejl i dit system.

TIP
Du kan finde en liste over kendte sårbarheder (CVE) i HA og deres kritikalitet HER.

Begræns adgang til netværk

Mange smart home produkter er ofte designet med fokus på funktionalitet og i langt mindre grad med fokus på sikkerhed. Mange produkter kræver samtidig en internetforbindelse for at kunne opsættes eller bruges. Derfor kaldes de ofte for IoT enheder, der står for Internet of Things.

Enhederne kan være alt fra simple sensorer til mere komplekse enheder som højttalere, smarte termostater, overvågningskameraer, robotstøvsugere, internetopkoblede køleskabe, biler og så videre.

Kombinationen af den manglende fokus på sikkerhed og adgang til internettet gør enhederne sårbare over for angreb. Mange enheder har kendte sårbarheder i produkternes software eller hardware. Sårbarhederne kan udnyttes af ondsidede aktører til at opnå uautoriseret adgang til eller tage kontrol over enheden.

Det er derfor en god idé at adskille IoT fra øvrige enheder på dit netværk og i øvrigt begrænse deres adgang mest muligt. Ved at placere IoT-enheder på et såkaldt VLAN kan man isolere dem fra resten af netværket, som illustreret i dette simple netværksdiagram:

VLAN står for Virtual Local Area Network, som er en teknologi til at opdele et fysisk netværk i flere separate virtuelle netværk, der fungerer som om de er adskilt fra hinanden. VLANs gør det muligt at gruppere enheder i netværket logisk i stedet for fysisk og sikrer, at de kun kommunikerer med andre enheder i samme VLAN.

Dermed kan man isolere enheder og begrænse konsekvenserne ved et angreb, hvor der opnås adgang til en enhed på netværket.

Overvåg og beskyt mod trusler

Mange routere har indbygget firewalls og flere har også mere eller mindre avanceret beskyttelse mod forskellige typer af ondsindede angreb. Denne funktionalitet omtales ofte som intrusion detection system (IDS) og intrusion prevention system (IPS).

Når du åbner for fjernadgang til dit HA system bør du du overveje at aktivere IDS/IPS på din router, hvis den ikke allerede er aktiveret.

Nedenstående log fra min router viser forsøg på angreb på min HA installation i den periode, hvor jeg har testet forskellige løsninger til fjernadgang. Hackerne fejrer tydeligvis ikke nytår:

Hvis din router ikke har indbygget IDS/IPS, så kan du i stedet overveje at bruge CrowdSec, som tilbyder en gratis løsning.

CrowdSec løsningen består af to dele:

• en agent, der detekterer angreb
• en bouncer, som blokerer angreb

Begge dele skal installeres og er tilgængelige som addons i HA.

Her er instruktioner i at installere agenten og bounceren.

Lav regelmæssig sikkerhedskopi

Det er altid en god idé at lave en regelmæssig sikkerhedskopi af din HA konfiguration og data. Så kan du gendanne dit system, hvis du skulle for behov for det. Du bør overveje at gemme en eller flere sikkerhedskopier på en anden maskine, end den, der kører din HA.

Se evt. her, hvor du kan lave automatisk sikkerhedskopiering til Google Drive.

Afslutning

Du har har nu forhåbentligt fået en bedre forståelse for, hvorfor det er vigtigt at beskytte din HA installation. Og for hvad du kan gøre for at øge sikkerheden ved fjernadgang.

Du kan få flere gode råd til beskyttelse af dit netværk og dine smart enheder på sikkerdigital.dk, hvor du bl.a. kan læse mere om:

• Hold styr på sikkerheden, når dit hjem bliver digitalt
• Hold styr på din digitale assistent
• Gør dit trådløse netværk sikkert