On 26/03/2023 14:48, Mirek wrote:
>> A co jeśli ktoś, o muj bosze, odbierze Ci telefon (odblokowany) z
>> Twoją aplikacją i magicznym pośredniczącym brokerem?
> Pobawi się moim domem podobnie jak twoim.
> Ale nic nie zrobi w sieci lokalnej w przeciwieństwie do twojej.

O ile MQTT w Teoej sieci lokalnej jest bezpieczny na lewy payload w
kominikacji, zrobion a na prędce w kiblu na stacji w Koluszkach przez
nastoletniego złodzieja z jednocyfrowym IQ.

Widzisz, to kwestia szacowania ryzyka.

I zdolności technocznych.

Prawdę mówiąc, gdybym Cie wpuścił do mojej wewnętrznej sieci, to
niewiele byś zdziałał. Możesz podpiac się nawet gigabitowym kablem.

>>> Może oberwać również twoja sieć i padnie ci sterowanie wewnątrz...
>> Może. Dzięki temu nie spuszcze wody w kiblu z appki.
> Nie spuścisz w ogóle, bo twój HA będzie zajęty pakietami ddos.

Serio, jestem aż taki ważny? Dalej rozmawiamy o systemie oświetlającym
garderobę i spuszczającym wodę w kiblu a nie o jakims lotniskowcu?

W czyim interesie lezy DDoSowanie mojego HA? Ruskich hackerów w
karzakach przy płocie?

HA ma ograniczone pasmo na routerze, do internetu. Innymi słowy możesz
mi obciązyć koło 1% pasma kabla do internetu. Wytrzyma, to i7.

>> portmap nie chroni *NIC*. Ma w nosie, czy lata tam goły tekst, http
>> czy szyfrowane portole po torrentach. On nie wie i nie dba o to.
> No więc przepuści też pakiety ddos do twojego HA.

Nie, przepuści pakiety do mojego OpenVPN. HA nie zobaczy na oczy.

>> 1) to nie kwestia szyfrowania w internecie
>> 2) to kwestia tego, że IoT to jeden z najgorszych przykładów
>> inzynierii programowania, pisany przez programatorów embedded, dla
>> których przepełnienie bufora na ARM7 to ficzer a nie bug.
> Bzdura. Każdy broker ma limity na wielkość pakietu jak i na liczbę
> pakietów na sekundę.

A na nazwę zawierajacą \0? A na wartość spoza zakresu? Weryfikowałeś
formalnie swój włacznik światła w kiblu? Bo jak nie, to musimy założyć,
że ma bugi. Przynajhmniej tak robią ludzie myslący na serio o
bezpieczeństwie.

https://www.darkreading.com/iot/iot-bug-disclosure-s
ecurity-teams

>  Ilość niebezpieczeństw
>> zwiazanych z obsługą MQTT w małym urządzeniu w ścianie jest
>> przeogromna, wliczajac zdalne wykonanie kodu, DDoS w sieli lokalnej
>> itd itp. A Ty wesoło wystawiasz MQTT do internetu i nie martwisz się,
>> że ktoś go przejmie i zacznie wysyłać w nim ramki z payload do Twojego
>> wyłącznika w ścianie?
> Równie dobrze może "przejąć" twoj VPN - taki sam poziom zabezpieczenia,
> a skutki nieporównywalne.

No i widzisz, co teraz? Miało być bezpiecznie a jest dupa jak zwykle.
Tylko że u mnie ta dupa jest relatywnie prosta, a u Ciebie
skomplikowana. Ale dalej dupa.

>> I dalej nie odpowiedziałeś na pytanie: po co on jest.
> Juź mi się powoli odechciewa, bo to do niczego nie prowadzi.

Bardzo wygodne.

> OK. prosty przykład - masz firmę, albo sąsiada, kogokolwiek komu
> chciałbyś umożliwić sterowanie częścią systemu - dasz im wszystkim VPN-a
> do swojej sieci?

Nie widzę problemu, aby dać kilka VPNów, niezależnych, do częsci sieci,
może do wirtualnych, prawidłowych praw dostępu do określonych elementów.
Nik nie stawia od każdego usera osobnego serwera poczty w onecie. Jest
jeden i *poprawnie* napisany kod na nim.

Przy czym zaznaczam, że błyskawicznie idziesz w kierunku "a gdyby tu
było przedszkole, w przyszłości!". Nie rozmawiamy o systemach firmowych,
nie rozmawiamy o złych sąsiadach chcących Ci przelać szambo. Rozmawiamy
o sterowaniu prywatnym, bo takie było podniesione w tym wątku.

Do złożonych, wielodostępowych systemów, bez zaufania, należało by
wynająć kogoś, kto da gwarancje. Najlepiej gotowe rozwiązanie kosztujące
bardzo dużo zer za znaczkiem dolara.

> A ja dam im użytkownika, który będzie mógł pisać czy tylko czytać pod
> konkretny temaat, a mój system będzie na to reagował, a jak mi się
> odechce to nie.

O, to zupełnie jak interfejs w HA.

>> 1) Po utracie połaczenia internetowego, zewnętrzny broker nie ma
>> zdarzeń z intranetu. Nie jest zsychronizowany
> .
> Bzdura. To załatwia flaga retained - tylko trzeba wiedzieć po co jest i
> jak jej używać.

Wyobraż sobie, że chcesz wiedzieć, czy podczas braku internetu było
otwarcie furtki.

1) ktoś odpina internet
2) ktoś otwiera furtkę
3) ktoś zamyka furtkę
4) ktoś odpala internet

Wynik "retained": furtka zamknięta.

Brawo. Pełna synchronizacja.

>> 2) Jak już się pojawi, po kilku godzinach, to musisz synchronizować
>> wszystkie zdarzenia pomiędzy nimi, aby mieć spójny obraz tego co się
>> działo i jaki jest stan obecny
> To się robi samo, tylko trzeba wiedzieć do czego służy retained, a nie
> wymyślać problemu tam gdzie go nie ma.

Obawiam się, że używasz innego retained, niż reszta świata.