Как изолировать «Умный Дом» от телефона с банковскими приложениями

Заказчик хотел автоматизировать дом, но опасался, что взломанная система станет мостом к его телефону и банковским счетам. Внешние облака, голосовые помощники и удалённое управление сразу исключили из проекта. В итоге спроектировали локальную проводную систему с отдельным планшетом для управления, а связь с личными устройствами разорвали сетевой сегментацией.

Автоматика построена на проводной шине, IP-шлюзе и сервере визуализации. Все базовые функции запрограммированы так, чтобы работать без интернета и без постоянного контакта с домашней сетью. Заказчик сознательно отказался от удобства управления из поездки и принял необходимость держать под рукой ещё одно устройство.

Документация проекта начинается с точного перечня функций. Для каждого сценария указывают конкретную команду, исполнительное устройство и поведение при отказе связи. Смежным разделам выдают задания: точки питания, кабельные трассы, места в щитах и интерфейсы.

Простой пример - защита от протечки. Датчик обнаруживает воду, контроллер выдаёт команду, но перекрыть поток нечем, если электроприводной кран не попал в проект водоснабжения. Задание должно включать тип привода, напряжение, сигнал положения и порядок ручного открытия.

Со шторами риск скрыт за отделкой. После зашивки потолка выяснять способ подключения привода поздно. Ниши и доступ для обслуживания согласовывают с архитектором и электриками на стадии чертежей.

Кибербезопасность закладывают через таблицу обмена данными. Право читать температуру не означает право перепрограммировать климатический контроллер. Ограничение настраивают на принимающем оборудовании, если оно это поддерживает.

Ценные данные в автоматике - это расписания, события датчиков, сценарии присутствия и сервисные учётные записи. По ним можно определить, что дом пустует. Несанкционированная команда способна изменить отопление, поднять шторы или открыть подключённый привод.

Путь от выключателя до банковского приложения содержит несколько переходов. Захватив IP-шлюз или сервер визуализации, злоумышленник получает точку для атаки в пределах доступных соединений. Дальше его ждёт личное устройство с собственной защитой: Android использует изоляцию процессов, iOS - песочницу, и обычное приложение света не читает данные банка.

Схема проекта описывает вход из интернета через автоматику. Метка «переход закрыт» означает запрет соединения штатными правилами фаервола. Уязвимости роутера, заражённый сервисный ноутбук, подменённое обновление и физический доступ к шине требуют отдельных мер.

В проекте создали пять сетевых зон. Проводные клавиши, датчики и исполнительные устройства остались на нижнем уровне с локальной логикой, независимой от сервера. Шлюзу, серверу и планшету управления выделили отдельный IP-сегмент.

Межзонные соединения пропускает фаервол с политикой запрета по умолчанию. Сервисное окно временно открывает конкретное соединение. DNS, синхронизацию времени и другие нужные службы тоже описывают в таблице обмена, а широкого правила «доступ к домашней сети» не применяют.

Размещение сервера и планшета в одном VLAN позволяет им обмениваться данными через коммутатор, минуя IP-маршрутизацию. Правило на роутере не ограничит планшет одним портом сервера. Для такого контроля нужен фаервол на сервере, список доступа на коммутаторе или отдельный маршрутизируемый сегмент.

Для проводной шины KNX применяют два механизма защиты. KNX IP Secure шифрует связь на IP-участке, но не затрагивает обычные телеграммы на линии витой пары. KNX Data Secure защищает обмен между совместимыми конечными устройствами, и поддержку проверяют по спецификациям приборов и настройкам проекта.

Заказчик выбрал управление с настенных панелей и отдельного планшета без банковских приложений, личной почты и SIM-карты. Его доступ к серверу ограничен на уровне сети или самого сервера. Скрытый идентификатор сети и фильтрация MAC-адресов считаются вспомогательными мерами, а основную защиту дают шифрование, контроль подключения и правила обмена.

Облака и голосовые помощники в решение не вошли. Push-уведомления на внешний телефон требуют внешнего канала, поэтому в закрытом режиме оставили сообщения на локальной панели и в журнале. Если уведомления снаружи понадобятся, их доставку и состав данных проектируют отдельно.

Для обслуживания предусмотрен временный VPN с персональной учётной записью специалиста. Владелец разрешает сеанс, фаервол пропускает только нужные соединения. Прямые пробросы портов и UPnP отключены, а после работ доступ закрывают, завершают активный сеанс и при необходимости сбрасывают состояния отслеживания соединений.

Обновления проводят по согласованной процедуре. Конфигурацию сохраняют, прошивку проверяют для конкретной модели. Сервисный ноутбук отключают от посторонних сетей и раздачи интернета перед подключением к автоматике, заводские пароли меняют, права владельца, техника и пользователя разделяют.

Проект ETS и конфигурации шлюзов передают владельцу в защищённом виде. Для KNX Secure прилагают проектные данные и ключи с отдельным порядком доступа. Копию обязательно открывают и проверяют: зашифрованный архив без известного пароля не восстановит систему.

Журналы событий и ошибок сохраняют локально с заданным сроком хранения и правами доступа. История входов и изменений настроек помогает разбирать инциденты. Передачу телеметрии производителю рассматривают отдельно, а не включают по умолчанию.

Приёмка подтверждает и запреты, и работу разрешённых функций. Отключают канал провайдера, Wi-Fi, сервер визуализации и IP-шлюз, фиксируя сохранность функций в каждом режиме. Связи между зонами проверяют в обоих направлениях по нужным протоколам и портам, а не только эхо-запросами.

Из сети автоматики проверяют запрет выхода наружу, включая DNS и прокси на роутере. Убеждаются в отсутствии второго шлюза или модема. Внутри сегмента планшет должен обращаться только к нужным службам, а административные интерфейсы - оставаться недоступными обычному пользователю.

Сервисное окно открывают и проверяют доступность только нужного узла. После закрытия убеждаются в прекращении активного сеанса, запрете нового входа и наличии события в журнале. Резервные копии открывают штатными средствами, проверяют дату, пароль и комплектность.

Результаты заносят в протокол с версиями конфигураций и прошивок. Владелец получает схему сети, таблицу разрешённых соединений, список учётных записей и комплект для восстановления. При разряженном планшете свет обязан включаться с настенной клавиши - локальные функции не зависят от устройства управления.

Источник: Хабр — Умный дом

Читайте также

Amazfit Cheetah 2 Ultra: часы для трейлраннинга с автономностью до месяца

Испарительный охладитель GDS-620: почему он не заменит кондиционер

«Самолет» получил 22,3 млрд рублей чистого убытка за первое полугодие

Покровское-Стрешнево вышло на второе место в Москве по продажам новостроек

Названия новостроек на латинице почти исчезли после запрета