Verständnisfrage: Hat das HM-LGW einen AES Key?

Deutsche Foren Hardware
#1

Mir ist aufgefallen, dass beim HM-LGW auf der Rückseite kein AES-Key aufgedruckt ist (im Gegensatz z.B. zum HM-CFG-LAN).

Sehe ich das richtig, dass der HM-LGW als Gateway quasi den AES-Key von der Zentrale übernimmt (genauer gesagt einfach die verschlüsselten Pakete weiterleitet) wogegen z.B. der HM-CFG-LAN einen eigenen Key hinterlegt hat (der aber bei Homegear nicht verwendet wird)?

Wenn das soweit stimmt, warum braucht dann Homegear den AES-Key vom HM-CFG-LAN wo doch theoretisch der Homegear eigene AES-Key verwendet wird und auch der HM-CFG-LAN (genau wie das HM-LGW) nur zum stumpfen Weiterleiten der Pakete genutzt wird…? :neutral_face:

#2

Auf dem LGW steht kein AES Key aber ne andere Zeichenfolge. Bin mir bzgl. der Bezeichnung gerade nicht sicher. Bei beiden handelt es sich, meiner Meinung nach, um Keys zur Verschlüsselung der Ethernet-Netzwerkkonfiguration.

Diese Keys haben nichts mit dem AES Key für die BidCos Kommunikation zu tun. Dafür ist der rfkey in der homematicbidcos.conf zuständig und der wird dann von Homegear an die Devices übermittelt.

Die AES Keys bzw. den LGW Key trägst Du in die conf bei den einzelnen Devices ein und den rfkey einmal im [General] Teil

#3

Ah ok, langsam ergibt sich ein Bild. :stuck_out_tongue:

Es gibt also zwei verschiedene AES-Keys für symmetrische Verschlüsselung. Jedes LAN fähige Device hat einen eigenen AES-Key hinten aufgedruckt, mit dem aber nur der LAN-Traffic verschlüsselt wird, damit niemand mit-sniffen kann. Beim HM-CFG-LAN steht vermutlich der Hashvalue hinten drauf und beim HM-LGW der Schlüssel in Plaintext. In beiden Fällen handelt es sich aber nur um den LAN-Key, der logischerweise für jede Interface Komponente einzeln konfiguriert werden kann.

Völlig unabhängig zur Verschlüsselung im LAN gibt es aber noch einen weiteren AES-Key für die Verschlüsselung über Funk, den sogenannten (und viel wichtigeren) RF-Key. Wenn ich das jetzt richtig verstehe, gibt es hier einen “bekannten” RF-Key, der in allen Geräten per Firmware vom Hersteller hinterlegt ist und bei Aktivierung der RF-Verschlüsselung standardmäßig benutzt wird (statt verschlüsseln sollte man bei einem bekannten Key dann wohl eher von verschleiern sprechen :wink: ). Dieser RF-Key kann nun durch einem eigenen Schlüssel ersetzt werden, der dann auch in die HM-Geräte (z.B. der Handsender) fest eingetragen wird. Anscheinend verhindert nun eine mehr oder weniger pfiffige Funktion in der Firmware der meisten Geräte die Werkseinstellungen wiederherzustellen, wenn der RF-Key durch einen eigenen ersetzt wurde. Deswegen ist nur der RF-Key als potentiell “gefährlich” anzusehen.

Ist das soweit richtig?

Was ich in diesem Zusammenhang nicht verstehe: Was hat das mit dem Default RF-Key in der Homegear Konfiguration (00112233445566778899AABBCCDDEEFF) auf sich? Ist das der offizielle RF-Key, der auch in der Firmware der Geräte hinterlegt ist?

PS: Zu diesem ganzen Thema AES Verschlüsselung im LAN bzw. über RF wäre ein Wiki Eintrag hilfreich, damit Neueinsteiger (wie ich) sich zu Beginn einmal einlesen können. Aktuell bin ich noch verunsichert, dass ich mir irgendein Gerät abschießen könnte, dass dann nur vom Hersteller zurückgesetzt werden kann.

#4

Das passt aus meiner Sicht. Aber vielleicht hat Sathya ja noch ein wenig INput.

Zu dem Key in der Config 00112233445566778899AABBCCDDEEFF: Ich glaube das soll nur ein Beispiel sein. Anzahl Stellen, Hexadezimal, etc. Das ist nicht der Default-HM Key.

Wenn Du selber einen KEy vergibst, dann solltest Du einfach drauf achten, dass Du den irgendwo dokumentiert hast. Da Du ihn nicht verlieren darfst. Wenn Du das DIng aber noch irgendwo hast, kannst Du es ruhig auch verwenden. Wirkliche Probleme sind mir nicht bekannt. Ich habe AES (mit eigenem Key) aber nur für Geräte aktiviert, wo ich denke, dass es sicherheitskritisch ist. Ob jemand aus der Ferne mein Licht ein oder ausschalten kann, ist mir relativ egal.

#5

Ja ich denke auch, dass die bei EQ3 einen Random-Key als globalen Schlüssel genommen haben, aber in der Homegear Konfiguration ist die entsprechende Zeile (mit dem oben genannten Example-Key) scharf geschaltet (also nicht auskommentiert). Aber eventuell wird im Homegear Quelltext dieser Example-Key anders behandelt…

#6

[code]## Specify a 16 byte (32 characters) long AES key here to protect your wireless communication

!!! IMPORTANT: It is highly recommended to change this key before pairing the first device.

!!! IMPORTANT: Never ever lose this key. That would render your devices useless.

To remove the key from your devices, you need to factory reset them

rfKey = 00112233445566778899AABBCCDDEEFF[/code]

Ich vermute, dass Sathya das scharf geschaltet hat, weil AES jetzt grundsätzlich funktioniert und es Sinn macht einen anderen Key als den Default Key zu verwenden. Er schreibt ja auch “It is highly recommended to change this key before pairing the first device”. Ich gehe davon aus, dass wenn man mit der o.g. Konfiguration das erste Device pairt, es dann auf den o.g. Key eingestellt wird.

#7

Genau. rfKey muss auch gesetzt werden. Prinzipiell ließe sich in rfKey der Standardschlüssel eintragen, dann lassen sich die Geräte auch weiterhin am Gerät in den Werkszustand versetzen. Aber solange man den Schlüssel nicht verliert, sind mir keine Probleme mit AES bekannt und ich empfehle einen vernünftigen Schlüssel zu setzen. Trotzdem habe ich wegen der kürzeren Schaltzeiten AES nur auf sicherheitsrelevanten Geräten aktiviert. Ob mir jemand mein Licht schaltet ist mir auch ziemlich egal :wink:.

Auch bei geändertem Schlüssel werden die Pakete nicht verschlüsselt sondern nur signiert. Die Pakete lassen sich also noch im Klartext sniffen.

Anders herum. Der HM-CFG-LAN hat den AES-Schlüssel direkt aufgedruckt, aus dem Schlüssel auf dem HM-LGW muss der AES-Schlüssel noch generiert werden.

Ich bin für jede Hilfe dankbar :stuck_out_tongue:. Aktuell sitze ich gerade an der Überarbeitung der Referenz (auf http://ref.homegear.eu), damit Homegear 0.6 endlich online gehen kann.