Sicherheit
Was der Hub heute leistet, und was noch fehlt.
Der WELIQ Hub arbeitet lokal in Ihrem Netz. Diese Seite nennt, was in der Firmware 0.78 umgesetzt ist, was wir für Version 1.0 planen und welche Daten wo liegen.
Heute umgesetzt (Firmware 0.78)
| Bereich | Umsetzung |
|---|---|
| Verschlüsselung | Alle Zugriffe laufen über HTTPS. Eine Anfrage über http wird auf https umgeleitet. |
| Einrichtung | Kein Standardpasswort. Das Setup-Passwort steht auf dem Display des Geräts. Ohne verbundenes Gerät schaltet sich das Einrichtungs-WLAN nach 5 Minuten ab, spätestens nach 30 Minuten. |
| Weboberfläche | Anmeldung mit Benutzer und Admin-Passwort. Nach 5 Fehlversuchen sperrt der Hub die Anmeldung für 5 Minuten. Eine Sitzung läuft nach 15 Minuten ab. |
| Local API | Zwei API-Schlüssel, getrennt vom Admin-Passwort: rw (Daten senden, Status lesen) und r (nur Status lesen, z. B. für Monitoring). Jeder wird nur einmal angezeigt und nur als Hash gespeichert. Höchstens 10 schreibende Anfragen pro Minute und Quell-IP. Nach 10 ungültigen Schlüsseln in 5 Minuten sperrt der Hub die Quell-IP für 10 Minuten. |
| Zertifikate | Der Hub erzeugt zunächst ein eigenes Zertifikat (der Browser warnt beim ersten Aufruf). Ein eigenes Zertifikat lässt sich über eine Zertifikatsanforderung (CSR) installieren. Fingerabdruck und Public-Key-Pin sind in der Weboberfläche sichtbar. |
| Wake-Signal über https | Der Hub prüft ab Firmware 0.76 das Zertifikat der Gegenstelle gegen ein von Ihnen hinterlegtes CA-Zertifikat, wenn „Prüfen“ gewählt ist. Ohne hinterlegtes CA-Zertifikat sendet er wie bisher ungeprüft und zeigt in der Weboberfläche eine Warnung. Die Prüfung braucht eine gültige Uhrzeit. |
| Änderungen an der Anzeige | Neue Daten werden erst nach erfolgreicher Anzeige dauerhaft gespeichert. Bei einem Fehler bleiben die bisherigen Daten erhalten. |
| Updates | Nur manuell, durch Sie. Das Update-Image wird vor der Installation geprüft. |
| Protokoll und Safe Mode | Die letzten 100 Ereignisse sind in der Weboberfläche einsehbar und als Textdatei ohne Zugangsdaten herunterladbar. Im Safe Mode lehnt der Hub Schreibzugriffe über die API ab. |
| Offline-Betrieb | Der Hub kann ohne Router und ohne Internet in einem eigenen WLAN arbeiten. Die Local API ist dabei abgeschaltet. Am USB-C-Netzteil schaltet sich das Offline-WLAN nach 15 Minuten ohne Zugriff ab; im Akkubetrieb nach 10 Minuten. |
Geplant für Version 1.0
Diese Funktionen gibt es heute noch nicht. Einen Termin nennen wir erst, wenn er sicher ist.
| Funktion | Stand |
|---|---|
| Secure Boot | Nur signierte Firmware startet. Geplant für Version 1.0. |
| Flash-Verschlüsselung | Gespeicherte Daten im Flash-Speicher werden verschlüsselt. Geplant für Version 1.0. |
| Signierte Updates mit Rückfall | Updates werden vor der Installation auf ihre Signatur geprüft, ein fehlgeschlagenes Update fällt auf die letzte funktionierende Version zurück. Geplant für Version 1.0. |
Welche Daten liegen wo
| Was | Wo und wie |
|---|---|
| Auf dem Hub | Anzeigedaten (je nach Anzeigemodus WLAN-Zugang, Weblink oder Kontakt), Gerätename, Zeitserver, Zeitzone, das WLAN des Verwaltungsnetzes, Admin-Passwort, API-Schlüssel rw und r (nur als Hash) und ein Protokoll der letzten 100 Ereignisse. |
| Konfigurationssicherung | Standardmäßig ohne Passwörter. Wer „Mit WLAN-Passwörtern“ wählt, erhält diese im Klartext und sollte die Datei sicher aufbewahren. Admin-Passwort, API-Schlüssel und Anzeigedaten sind nicht enthalten. |
| Wake-Signal | Optional und standardmäßig aus. Es sendet Seriennummer, Gerätename, IP-Adresse, Firmware-Version, Aufwachgrund, Stromquelle und Restwachzeit an ein Ziel, das Sie selbst festlegen. Es enthält weder Passwörter noch den API-Schlüssel. |
| Verbindungen nach außen | Eine Cloud gibt es heute nicht. Der Hub fragt die Uhrzeit bei dem von Ihnen eingestellten Zeitserver ab. Außerdem sendet er das Wake-Signal, falls Sie es eingerichtet haben. |
| Diese Website | Setzt keine Cookies und bindet keine Tracking-Dienste ein. |
So betreiben Sie den Hub sicher
- Stellen Sie den Hub in ein Verwaltungs- oder IoT-Netz, nie in das Gästenetz, dessen Passwort er zeigt.
- Installieren Sie ein eigenes Zertifikat, wenn Sie die Browser-Warnung vermeiden oder die Verbindung fest zuordnen wollen.
- Sichern Sie die API-Schlüssel an einem geschützten Ort. Sie werden nur einmal angezeigt. Für Monitoring genügt der Schlüssel r.
- Halten Sie Aufwachfenster und Wake-Signal so schmal wie möglich, wenn der Hub mit Akku läuft.
- Spielen Sie Updates erst ein, wenn Sie die Hinweise zur Version gelesen haben.
Sicherheitslücke melden
Schreiben Sie an support@weliq.de mit dem Betreff „Sicherheit“. Nennen Sie, was Sie beobachtet haben, und die Firmware-Version. Senden Sie bitte keine Zugangsdaten oder Schlüssel mit.
Wichtig: Der WELIQ Hub ist ein Prototyp. Er hat bisher keine Konformitätsprüfung (zum Beispiel CE) durchlaufen, und wir machen keine Aussagen zu Zertifizierungen oder Normerfüllung. Wir beschreiben nur, was der Hub tut.