IPS-Showcases auf raketenschnecke.net wegen Sicherheitsmängeln deaktiviert

Man staunt nicht schlecht, wenn man plötzlich feststellen muss, dass nicht nur die Daten, die man einem Webfront zugewiesen hat, auch im Internet sichtbar werden, nein, es werden grundsätzlich alle Daten nach außen gegeben! Und das betrifft entgegen der Behauptung des Herstellers alle derzeit aktuellen IPS-Versionen (IPS 3.4 – 4.x). Den Foren-Thread dazu findet man im Hersteller-Forum hier.

Frei zugänglich werden alle Daten der gesamten Home-Automation, sobald ein Webfront veröffentlicht (und von außen zugänglich) wird und dieses nicht passwortgeschützt ist (in wieweit dieser Passwortschutz seine Bezeichnung verdient, kann ich derzeit nicht beurteilen). Das wäre zum Beispiel schon dann der Fall, wenn man nur einen kleinen Teil seines IPS-Systems (z.B. seine Wetterdaten) über ein dediziertes Webfront nach außen zugänglich machen wollte.

Damit ist nicht nur eine komplette Aufzeichnung aller im System bewegten Daten möglich, sondern auch eine komplette Rekonstruktion des Objektbaumes.

Aus meiner Sicht ist das ein absolut fataler Umgang mit Userdaten, da diese in der Regel nicht das KnowHow haben, dies herauszufinden oder (so wie ich) dem Hersteller der Automations-Software ein gewisses Grundvertrauen  entgegen bringen. Ebenso wird dies vom Hersteller nicht/schlecht kommuniziert/dokumentiert. Ich halte diesen ’sorglosen Umgang‘ mit Daten Fremder für absolut nicht tolerierbar. 

Die IPS-Showcases laufen zwar nur auf Testmaschinen (sind also nicht produktiv im Einsatz), dennoch habe ich mich daher dazu entschlossen, alle Webfrontends zunächst vom Internet abzuklemmen, bis für mich klarer wird, welche Auswirkungen das hat.