Sicherheit

Netzwerk

• Die Integration baut nur ausgehende Modbus-TCP-Verbindungen zum konfigurierten Host und Port auf. Sie lauscht auf keinem Port.
• Modbus TCP ist unverschlüsselt und hat keine Authentifizierung. Geräte und Home Assistant gehören in ein vertrauenswürdiges Netzsegment; Port 502 darf niemals aus dem Internet erreichbar sein.
• Die optionale Verbindung zum Lizenzserver nutzt HTTPS.

Geheimnisse

• Es werden keine Kontopasswörter erhoben oder gespeichert.
• Lizenz-Blobs liegen im .storage von Home Assistant; sie sind signierte Dokumente, keine Geheimnisse, enthalten aber Kundenname und Instanz-UUID.
• Der private Lizenzschlüssel gehört nicht ins Repository. Er gehört in Infisical oder Vault und ist nur für Release-/Support-Mitarbeiter zugänglich.
• Support-Tokens werden nur im Speicher an den Provider übergeben und nie geloggt oder persistiert.

Lizenzintegrität

• Ed25519-Signaturen decken das kanonische JSON-Payload ab.
• Die Instanz-UUID ist Teil des signierten Payloads; eine Lizenz lässt sich nicht durch Kopieren von Dateien auf eine andere Installation übertragen.
• Die Integration prüft den gespeicherten Blob bei jedem Start neu. Ein manipulierter oder nach Schlüsselrotation ungültiger Blob wird verworfen; der Status fällt auf Trial/Free zurück.

Support-Zugriff

• Standardmäßig aus und ausschließlich vom Kunden ausgelöst.
• Maximale Session-Dauer 24 Stunden; Standard 4 Stunden.
• Die Session endet bei Timeout, manuellem Stopp und bei einem Neustart von Home Assistant.
• Version 0.1.0 öffnet keinen Tunnel. Ein künftiger Provider darf keine Tokens persistieren und muss den Tunnel in async_stop schließen.

Diagnose

• Redigiert Schlüssel mit password, token, secret, api_key oder private.
• Enthält die Home-Assistant-Instanz-UUID, Hostadressen und Registerwerte. Den Payload vor dem Teilen prüfen.
• In 0.1.0 findet kein Upload statt; export_diagnostics liefert die Daten nur lokal zurück.

Sicherheitslücke melden

Über das Ticketsystem der SpeicherGuru GmbH melden und kein öffentliches Issue für Sicherheitsprobleme anlegen.