Безопасность умного дома: брокер, сеть, обновления и удалённый доступ

Что именно мы защищаем

Возьмём условный дом за городом. В нём реле котла, датчики протечки с краном перекрытия воды, электрозамок калитки и камера у ворот. Злоумышленнику не обязательно «взламывать дом» в кино-смысле. Достаточно отправить одно сообщение в нужный топик — и кран перекроется зимой, котёл выключится, калитка откроется. Поэтому главный объект защиты — канал команд, то есть брокер сообщений и сеть вокруг него. Как устроен этот канал, разобрано в материале про обмен сообщениями MQTT.

Брокер: учётные записи и права

Никакого анонимного доступа

Первое, что стоит проверить после установки домашнего брокера, — разрешены ли анонимные подключения. В рабочей системе их быть не должно.

Отдельная учётка на каждое устройство

Один общий логин на все устройства удобен ровно до первой проблемы. Если прошивку одного датчика удастся прочитать, у злоумышленника окажется ключ ко всему дому. Отдельные учётные записи позволяют отозвать доступ одного устройства, не перенастраивая остальные.

Права на топики

Датчику температуры нужно публиковать только в свой топик и ничего не читать. Реле нужно читать команды из своего топика и публиковать своё состояние. Панели нужно читать почти всё и публиковать команды. Списки доступа на брокере позволяют выразить это явно.

# условный список доступа, синтаксис зависит от брокера
user sensor-kitchen
topic write home/kitchen/climate

user relay-boiler
topic read  home/boiler/set
topic write home/boiler/state

Шифрование соединений

Без шифрования логины, пароли и команды передаются по сети открытым текстом. Внутри изолированной домашней сети это меньший риск, но как только сообщения выходят за её пределы — шифрование обязательно. Протокол MQTT поверх TLS по соглашению использует порт 8883 вместо 1883. Не всем маломощным устройствам TLS даётся легко; в таком случае тем более важно, чтобы они жили в закрытом сегменте сети.

Отдельная сеть для устройств

Дешёвые устройства умного дома редко получают обновления безопасности. Если они находятся в той же сети, что и ноутбук с рабочими документами, уязвимая розетка становится дверью ко всему остальному.

Большинство современных роутеров умеют создавать отдельную сеть для устройств или гостевую сеть. Даже такое простое разделение лучше, чем ничего.

Не открывать порты наружу

Самый частый способ «сделать доступ к дому из интернета» — пробросить порт брокера или панели на роутере. Это значит, что любой человек в интернете может постучаться в ваш брокер. Автоматические сканеры делают это постоянно.

Обновления

Прошивки устройств, операционная система сервера, сам брокер и панель — всё это нужно обновлять. Выберите удобный ритм, например раз в месяц, и делайте это планово. Перед обновлением — резервная копия, после — проверка, что автоматизации работают. Устройства, которые производитель давно перестал обновлять, стоит держать в самом закрытом сегменте или постепенно заменять.

Резервные копии

Что копировать:

• конфигурацию брокера, включая списки доступа;
• настройки панели и автоматизаций;
• список устройств с их адресами, учётными записями и местом установки;
• историю показаний, если она вам важна.

Храните копию не на том же устройстве, что и систему, — иначе при поломке карты памяти вы потеряете и то и другое. Раз в несколько месяцев проверяйте, что из копии действительно можно восстановиться.

Панель и учётные записи жильцов

Панель управления — тоже точка входа. Если к ней можно подключиться без пароля из любой точки домашней сети, гостевой телефон, случайно попавший в основную сеть, получит доступ к замку калитки. Заведите отдельные учётные записи для жильцов, а для детей и гостей ограничьте права: смотреть температуру можно, открывать ворота — нет. Сессии на общих устройствах, например на планшете в прихожей, стоит ограничить только просмотром и безопасными действиями.

Журнал событий

Полезно хранить хотя бы простой журнал: кто и когда подключался к брокеру, какие команды получали замок, котёл и кран воды. Он не защитит сам по себе, но поможет понять, что произошло, если что-то сработало неожиданно. Многие брокеры умеют писать подключения и отказы в доступе в журнал — достаточно включить эту возможность и иногда туда заглядывать. Повторяющиеся отказы в доступе с одного адреса — повод проверить, что это за устройство.

Физическая безопасность и отказ

Умный дом должен оставаться просто домом, когда что-то сломалось. Свет должен включаться выключателем, замок — открываться ключом, котёл — работать по своему термостату при пропаже связи. Продумайте, в какое состояние переходит каждое исполнительное устройство при потере брокера.

Чек-лист безопасности

• Анонимный доступ к брокеру запрещён.
• У каждого устройства своя учётная запись и права только на свои топики.
• Соединения за пределами домашней сети зашифрованы TLS.
• Устройства умного дома вынесены в отдельный сегмент сети.
• На роутере нет проброса портов брокера и панели в интернет.
• Удалённый доступ — через VPN.
• Обновления по расписанию, с копией до и проверкой после.
• Резервные копии лежат отдельно и проверены восстановлением.
• Для каждого исполнительного устройства известно безопасное состояние при потере связи.

Типичные ошибки

Один пароль на всё. Утечка с одного устройства открывает весь дом.

Проброс порта «на время». Временные решения живут годами, а сканеры находят открытый порт быстро.

Пароли по умолчанию. Заводские учётные записи известны всем, кто читал инструкцию к устройству.

Копия на той же карте памяти. При отказе носителя пропадают и система, и её резерв.

Замок только «по сети». Если связь пропала, а ключа нет, умный дом превращается в ловушку.