Aby vám do domu neviděl nikdo cizí

Čeho se reálně bát

Útočníci masově skenují internet a hledají snadné cíle: zařízení s výchozím heslem, staré firmware se známými chybami, otevřené porty. Je t o automatizovaný lov nejslabších. Vaším úkolem není být nedobytní. Stačí nebýt snadní.

Pomáhá vědět, o co útočníkům jde. Většinou ne o vaše soukromí, ale o výpočetní výkon a připojení: napadená krabička rozesílá spam nebo útočí dál, a vy o tom ani nevíte. Horší kategorie je zneužitá kamera nebo přístup do sítě, odkud vedou cesty k počítačům a datům. Obojí má stejnou prevenci, a ta je celá v tomto článku.

Druhé riziko je nenápadnější: zařízení, která z principu posílají data ven. Kamera s povinným cizím cloudem, zásuvka, která bez serveru výrobce neudělá nic. Každé takové zařízení je dírka, kterou nekontrolujete. Proto doporučujeme lokálně fungující techniku, u kamer obzvlášť, jak píšeme v článku o kamerách a soukromí.

A třetí, na které se zapomíná: váš telefon. Je to klíč od celého domu. Zamčená obrazovka, aktuální systém a přehled o tom, kdo všechno má v aplikaci účet, patří k zabezpečení domácnosti stejně jako cokoli na routeru. Ztracený odemčený telefon s otevřenou aplikací je horší díra než leckterá zranitelnost.

Jak se k chybám staví otevřená platforma

Chyby se najdou všude, i v Home Assistantu. Rozdíl je v tom, co následuje. Projekt má veřejný bezpečnostní proces: zranitelnosti se zveřejňují, opravy vycházejí rychle. Když se v roce 2023 našla vážná chyba v komponentě Supervisor, oprava se na instalace rozdistribuovala automaticky a projekt celou věc sám veřejně popsal.

U uzavřeného systému jste odkázáni na to, co výrobce zveřejní a kdy opraví. Transparentnost není záruka bezchybnosti, je to záruka, že se o problémech dozvíte a že se řeší. To je v bezpečnosti víc, než kolik toho zvládne marketing.

Pět návyků, které rozhodují

Hesla. Unikátní, dlouhá, uložená ve správci hesel. Dvoufaktorové ověření zapněte všude, kde ho systém nabízí. Výchozí hesla zařízení měňte první den. A účty oddělené: každý člen domácnosti svůj, děti bez správcovských práv, žádné jedno rodinné heslo kolující po lístečcích.

Aktualizace. Home Assistant vychází každý měsíc, opravy chyb v tom rytmu taky. Systém, který rok nikdo neaktualizoval, je postupně měkčí cíl. Před každou aktualizací si přečtěte poznámky k vydání a udělejte zálohu: občas se mění věci, které vyžadují zásah, a příprava je rozdíl mezi pětiminutovou rutinou a večerem laděním. Kdo tuhle práci dělat nechce, ať si ji objedná jako součást servisu.

Žádné otevřené porty. Vzdálený přístup patří na šifrovanou cestu: VPN, nebo důvěryhodná cloudová služba s šifrováním. Otevřený port s webovým rozhraním do internetu je pozvánka pro skenery.

Oddělená síť. Chytrá zařízení patří do vlastní sítě, oddělené od počítačů a telefonů. Když selže jedna krabička, nemá odkud skákat dál. K tomu silné heslo Wi-Fi a návštěvy do hostovské sítě, ne do té domácí. Jak síť postavit, popisujeme v článku o síti pro chytrý dům.

Lokální provoz. Co běží doma, neposílá data ven. Méně cloudů znamená menší plochu útoku a méně cizích podmínek, kterým musíte věřit.

Bezpečnost začíná už při nákupu

Polovinu problémů si domů nosí lidé v krabici. Před koupí zařízení se ptejte: vydává k němu výrobce aktualizace, nebo je to bezejmenná krabička, která zestárne bez oprav? Funguje lokálně, nebo je mrtvá bez cizího serveru? Levné zařízení bez aktualizací není levné, je to bezpečnostní dluh s odloženou splatností. Souvisí to i s volbou platformy, kterou rozebíráme v článku o otevřených a uzavřených systémech.

Zálohy jako součást bezpečnosti

Bezpečnost není jen obrana proti vniknutí, ale i schopnost se vrátit do provozu. Šifrované zálohy má systém vestavěné, jedna kopie má ležet mimo dům. Podrobně v článku o spolehlivosti a zálohách.

Kdo se o to stará

Všechno výše je práce. Ne těžká, ale pravidelná. Domácnosti, která si systém spravuje sama, zabere pár hodin ročně plus měsíční rytmus aktualizací. Jednou ročně si k tomu přidejte malý audit: projít seznam účtů, smazat nepoužívané, zkontrolovat zařízení, kterým skončila podpora výrobce, a projít pravidla na routeru. Hodina práce, která uklidí, co se za rok nastřádalo.

Kdo tu práci dělat nechce, ať si ji objedná: přesně tohle je obsah služby správy systému. Co je horší volba, je systém bez správce, který tiše stárne do prvního problému.

POMŮCKA · INTERAKTIVNÍ

Bezpečnostní kontrola chytré domácnosti

• Výchozí hesla všech zařízení změněná na unikátní
• Správcovský účet má silné heslo, které nepoužíváte nikde jinde
• Dvoufaktorové ověření zapnuté všude, kde ho systém nabízí
• Aktualizace řídicího systému instalujete v pravidelném rytmu
• Víte, jak se aktualizuje firmware kamer, zámků a routeru
• Na routeru nejsou otevřené porty směrem do domácnosti
• Vzdálený přístup jde přes VPN nebo šifrovanou službu, ne přes otevřený port
• Automatické otevírání portů (UPnP) na routeru vypnuté, pokud ho nic nevyžaduje
• Kamery a citlivá zařízení běží lokálně, bez povinného cizího cloudu
• Chytrá zařízení jedou v oddělené síti, nebo aspoň v síti pro hosty
• Zálohy systému jsou šifrované a jedna kopie leží mimo dům
• Víte, kdo všechno má do systému účet, a nepoužívané účty rušíte
• Zařízení bez podpory výrobce vyřazujete nebo izolujete od internetu
• Telefony s aplikací domu mají zámek obrazovky a aktuální systém

časté otázky

Může mi někdo hacknout chytrou domácnost?

Riziko existuje u všeho, co je připojené k síti, stejně jako u počítače nebo telefonu. Naprostá většina reálných útoků ale míří na snadné cíle: výchozí hesla, otevřené porty, neaktualizovaná zařízení. Kdo tyhle základy drží, není pro plošné útoky zajímavý. Tvrzení o nehacknutelném systému nevěřte nikomu.

Je otevřený systém bezpečnější než uzavřený?

Není to automatické. Rozdíl je v transparentnosti: otevřená platforma zranitelnosti zveřejňuje a opravy distribuuje rychle, u uzavřeného systému vidíte jen to, co výrobce pustí ven. V obou případech ale o bezpečnosti rozhoduje hlavně provoz: hesla, aktualizace, síť.

Potřebuji na zabezpečení IT vzdělání?

Ne. Základy zvládne pečlivý laik za odpoledne: hesla, dvoufaktor, aktualizace, žádné otevřené porty. Pokročilejší kroky jako oddělená síť nebo VPN jsou jednorázová práce, kterou si můžete objednat, a dál se o ni stará systém.

Jaká je nejčastější chyba?

Nechané výchozí heslo a webové rozhraní vystavené do internetu přes otevřený port. Obojí se hledá automatizovaně a obojí se opravuje za pár minut. Začněte právě tam.