Das HmIP-"Rekeying" wurde hier schon viel diskutiert, dabei ging es aber immer um das Einspielen von Backups und der Abhängigkeit von den eQ3-Keyservern. ich habe aber noch keine Diskussion darüber gefunden, welchen Zugewinn an Sicherheit es eigentlich bringt, beziehungsweise was die Bedrohungsszenarien in der Sicherheitsanalyse gewesen sein könnten, vor denen der Hersteller eQ3 sich vermittels dieses "Rekeyings" schützen wollte. (Ich schreibe Rekeying in Anführungszeichen, da mir noch nicht ganz klar ist, was da überhaupt passiert, und ob es wirklich ein Rekeying im kryptologischen Sinne ist)
Die Frage nach Sinn und Zweck des "Rekeyings" ist eine, die mir seit längerem durch den Kopf geht. Vielleicht gibt es hier im Forum ja neben den folgenden noch weitere Ideen.
Folgende Überlegung: Ich habe einige HmIP-Aktoren und Sensoren an eine CCU3/RM angelernt. Irgendein Key (NWK?) liegt nur im Funkmodul. Ich mache nächtliche Backups auf einen an die CCU3 angesteckten USB-Stick, diese Backups enthalten aber prinzipbedingt nicht diesen NWK des Funkmoduls, da dieser sich zwar benutzen, nicht aber auslesen lässt.
a) Ein Einbrecher bricht bei mir ein und klaut mir den Stick von meiner CCU. Nun spielt er das Backup auf seine eigene CCU. Das kann er erstmal nicht nutzen, da er den NWK meines Funkmoduls nicht kennt. Aber dank der Keyserver von eQ3 kann er nun ein "Rekeying" durchführen, und bekommt nun doch Zugriff auf alles.
-> Abhilfe würde schaffen, dass man bei eQ3 seine Geräte bei Verlust des Backups "blacklisten" oder auf bestimmte Funkmodule beschränken lassen kann. Bietet der Hersteller so eine Funktion an? Würde das skalieren? Wie würde denn ein Kunde mit hunderten von SGTINs/Devices seine Eigentümerschaft effizient und automatisierbar nachweisen?
b) Jemand nutzt ein 0day in meinem Router und ein weiteres in meiner CCU3/RM. Nun hat er Zugriff auf die dort abgelegten Keys und kopiert sie sich. Anschließend kommt er mich besuchen und will mit diesen Keys mein HmIP-Alarmsystem abschalten. Aber das kann er nicht, weil er nämlich trotz aller 0days den NWK aus dem Funkmodul nicht herausbekommen hat. Deshalb kontaktiert er die eQ3-Keyserver und bekommt dank Rekeying nun doch Zugriff auf mein HmIP-System.
-> Gleiche Anmerkung wie bei a)
c) Ein Auditor kommt vorbei und fragt: "Liegen da Schlüssel im Klartext auf einem auslesbaren Speicher?" Der Anwender sagt: "Nein, das ist alles brav in einem HSM abgelegt." Der Auditor denkt sich: "Wunderbar!", rückt sich sein Klemmbrett zurecht, macht ein Häkchen auf seiner Checkliste und geht weiter.
Meinungen zu meinen Ideen a - c?
Weitere Ideen?
