Klantgegevens AEG Industrial Solar staan op slecht beveiligde Chinese server

Persoonlijke data van mogelijk vijftienhonderd Nederlandse gebruikers van AEG Solar-inverters zijn al maandenlang via internet toegankelijk. De gegevens staan op een Chinese server met verouderde en slecht beveiligde software.

Het datalek werd ontdekt door een tweaker die de redactie tipte. Mark Blokker kwam al in november vorig jaar achter het lek en probeerde dat via officiële kanalen van het bedrijf te laten dichten, maar dat is na maanden nog niet gebeurd, ook niet na meldingen van Tweakers.

Het lek zit in inverters van het Duitse bedrijf AEG Industrial Solar. Die worden gebruikt om stroom van zonnepanelen om te zetten in netstroom. AEG heeft zijn inverters niet zelf ontwikkeld, maar gebruikt inverters van het Chinese bedrijf INVT, die het bedrijf zelf rebrand. "Dat doen we omdat de inverters van dit bedrijf nu eenmaal erg goed zijn en weinig verlies kennen bij het omvormen", zegt een woordvoerder van het bedrijf. "Er zijn in Europa vrijwel geen fabrikanten die inverters van deze kwaliteit leveren." Opvallend is echter dat het bedrijf niet alleen dezelfde hardware gebruikt, maar ook dezelfde software. Dat betekent dat gegevens van klanten van AEG Solar op een server in China staan.

Veel van de software die INVT gebruikt, was lange tijd verouderd of onveilig. De server draaide op MySQL 5.6.35, een versie uit 2016 waar bekende kwetsbaarheden in zitten. Ook gebruikte de server geen ssl-verbinding en is op Android te zien hoe de app gebruikmaakt van een oude manier van permissies vragen die al heel lang niet worden gebruikt. Bovendien stonden er op de server zestien poorten open naar internet, waaronder de ftp-poort, waar geen uniek wachtwoord op zat.

Mede door de slechte beveiliging was het mogelijk gegevens van iedere gebruiker op de server te verkrijgen, inclusief gegevens van gebruiker #1, het admin-account, waar bovendien alle andere gebruikers een koppeling mee hebben. Met een simpele HTTP GET-request was het mogelijk gegevens op te vragen. Dat is ook mogelijk via de url, zonder dat daar een limiet of captcha op zat. Deze procedure kon geautomatiseerd worden, zodat de data van alle accounts op de server in één bestand komen te staan. Na meldingen van Tweakers heeft het bedrijf hier maatregelen tegen genomen.

Op deze manier was veel informatie van gebruikers te achterhalen. Het ging om standaardinformatie, zoals de loginnaam en het serienummer of -type van de inverter, maar ook om informatie die klanten zelf kunnen invullen, zoals hun naam, e-mailadres, postcode en huisnummer. Zeker die laatste zijn interessant, want sommige installateurs gebruiken die gegevens als wachtwoord om in te loggen op de portal. Naast het aflezen van informatie was het mogelijk om met een HTTP POST-request de inverter zelfs te manipuleren. Het was dan mogelijk die helemaal uit te schakelen, of de spanning te verhogen of te verlagen.

In totaal zijn op deze manier de gegevens van 19.000 gebruikers te achterhalen. Hoeveel van hen uit Nederland komen, is niet met zekerheid te zeggen, maar er staan wel 1542 records in de database met 'Netherlands' als country ingesteld. "Maar het echte aantal Nederlandse klanten ligt waarschijnlijk zo'n 300 lager. Dat zijn bijvoorbeeld ook testaccounts of dubbelingen", zegt AEG. Het is niet bekend hoe lang de data op deze manier openbaar was, maar volgens AEG zijn er geen signalen dat onbevoegden toegang tot de data hebben gehad. De tweaker die ons tipte, ontdekte het lek al in november 2018. Hij kreeg meerdere malen te horen dat er 'aan een oplossing gewerkt werkt', blijkt ook uit mailwisselingen die Tweakers heeft ingezien. Over die maatregelen kreeg hij echter geen details.

Ook tegen Tweakers bevestigt het bedrijf dat het nog steeds bezig is met het verhelpen van het probleem. Het bedrijf heeft in Duitsland een softwaremaker in de arm genomen om nieuwe software zoals een app te ontwikkelen en om de data te migreren van de server uit China naar een Europese. Dat moet nog gebeuren, zegt het bedrijf. "Het probleem zit in de wifisticks die de inverters gebruiken om met de server te communiceren. Als we alles naar nieuwe servers overzetten, moeten er nieuwe wifisticks komen. Die worden in de komende weken getest in China en daarna geleverd aan onze klanten in Europa." Pas daarna worden gebruikers gemigreerd naar de nieuwe, Europese server. Volgens AEG Solar kan dat tot vier weken duren. Tweakers heeft het bedrijf twee weken de tijd gegeven om te reageren, maar kreeg donderdag te horen dat de migratie alsnog een maand op zich liet wachten. Daarop is besloten te publiceren.

In de tussentijd zijn er wel maatregelen genomen om de beveiliging van de server te verbeteren. De portal om in te loggen is tijdelijk offline gehaald, en wordt daarna voorzien van ssl en nieuwe software op de server. Wel is een ander deel van de server nog onbeveiligd zolang de oude wifisticks daar nog verbinding mee maken.

Reacties (119)

[mlooise]

@Ad-Blokker Ook ik heb AEG panelen en idem omvormer (AS-IR01). De installatie liep bij mij ook moeizaam en de installateur kreeg e.e.a. ook slecht voor elkaar.

Het systeem bestaat uit een wifistick en een app. De app maakt dan via het netwerk waar de stick op is aangemeld verbinding met de omvormer en leest deze uit. De stick wordt initieel op het netwerk aangemeld door eerst als AP te fungeren waarbij via de app de stick op een netwerk wordt aangemeld. Hierbij viel al direct de matige menu's en AEG labels op. Nadat de stick op het netwerk is aangemeld kan je OF remote OF local kiezen. Local werkte wel, maar probleem is dat de omvormer alleen de data opslaat sinds laatste startup , dus maar 1 dag aan info. Remote weigerde te werken. In het begin dacht men dat het aan de WIFI stick zou liggen ivm. slecht bereik op de zolder. Ik heb uiteindelijk een ethernet stick gekregen, maar in feite veranderde dit niets. Zelfs de menu's hadden nog alle WIFI opties, wat ook al niet echt goed aanvoelt. Lokaal kon ik de omvormer wel uitlezen met de (Zeer matige) app die 'local monitoring' ondersteund.

Heel deze ervaring was zoals gezegd niet best en ben ik ook gaan zoeken naar hoe het systeem exact werkt. Via het IP wat de stick probeert te bereiken er ook achter gekomen dat het een gerebrande INVT inverter is en dat de portal in zijn geheel in china draait. Ik ben toen ook in contact geweest met AEG waarde enige mails volgde die beloofde dat er contact met me werd opgezocht om 1) de zaak aan de praat te krijgen en 2) om samen te werken om het nieuwe product op de markt samen te verbeteren.

Uiteindelijk is via een aeg persoon de remote monitoring wel aan de praat gekregen (euvel was een casing issue in de key/sticker op de stick). Maar gezien de site en de chinese data leek mij het geen goed fijn idee om dit te gebruiken en dit heb ik dan ook uitgeschakeld. Na nog een paar email wisselingen en een beloofd contact met de Nederlandse importeur bleef het vanuit AEG stil (jammer want men beloofde wel een samenwerking wat ik nog wel als positief zag).

Echter ben ik zelf aan de slag gegaan met local monitoring. In deze modus werkt de inverter als een modbus server. Je kan dus prima met netwerk sniffing achterhalen wat voor commando's je moet sturen om responses te krijgen. Na deze wat te parsen heb je goede info die ik nu naar pvoutput stuur (https://pvoutput.org/intr...706&sid=62814&dt=20190622) . Ik draai mijn 'software' nu op een raspberry in nodered. Voor mensen die het leuk vinden; ik heb de code op github geplaatst. Ik heb geen tijd gehad voor een step-by-step instructie maar als je node-red een beetje kent moet je eruit komen. Enige vereiste is een platofrm in het netwerk van de inverter, node-red daarop en een pvoutput-account. Ik heb ook een node-red dashboard erin gezet voor lokaal een beeld op telefoon oid. Script is hier te vinden; https://github.com/mlooise/aeg-inverter-monitor Voor mij werkt het naar wens op deze manier en de omvormer doet goed zijn werk.

[Ad-Blokker]

Bedankt voor deze uitgebreide reactie. Ze hebben van vele mensen blijkbaar meldingen gekregen en er niks aan gedaan totdat Tweakers actie ondernam.

Ik ga zo snel mogelijk even je GitHub code testen! Alvast bedankt!

[cascul]

Het is angstig stil rond de monitoring app van AEG. We zijn al weer een paar weken verder.

[Reactie gewijzigd door cascul op 22 juli 2024 20:58]

[S1W]

Mooi zeg! Ik ga er mee spelen! Weet je toevallig een handige docker instance waar de basis al werkt?

[dakathefox]

Misschien dat Tweakers mij ook even een berichtje kan sturen... Ik ken nog een vestiging van een gerenommeerde hotelketen waar alles op tafel ligt, varierend van toegang tot een applicatie waarin alle klantgegevens staan tot de sleutelnummers die toegang geven tot de achterdeur.

Edit. Ze hebben het eindelijk opgelost zie ik. Man man man, prutsers.

[TijsZonderH]

Als je in de toekomst een datalek tegenkomt (en als je bij het bedrijf geen antwoord krijgt) dan kun je me altijd dm'en!

[ChojinZ]

Maar voor het melden van Datalekken is er toch al een meldpunt? Is het dan niet verstandiger om het daar te melden?

[TijsZonderH]

De Autoriteit Persoonsgegevens bedoel je? Dat is zeker een optie. Of er dan ook wat aan gedaan wordt is maar wel de vraag...

[wjn]

Ho wacht even. AP is wettelijk verplicht elke klacht in behandeling te nemen, en dat doen ze ook. Duurt alleen errug lang voordat je reactie krijgt (per post), maar je krijgt het (dat ze de klacht in behandeling hebben genomen).

Geen gefundeerde uitspaak dus.

[TijsZonderH]

Ok fair enough, ja er 'wordt wat aan gedaan', maar of dat in de praktijk ook echt iets toevoegt is een ander verhaal. Duurt weken, zo niet maanden, en de AP heeft simpelweg niet de middelen om het resultaat te bereiken dat media wel kunnen. Als we dit voorbeeld mogen nemen: @Ad-Blokker deed een AP-melding en daar gebeurde vooralsnog niks mee. Maar toen ik namens Tweakers contact opnam werd er redelijk snel actie ondernomen door het bedrijf. Dus tsja, de AP neemt het in behandeling, maar je kunt ook vinden dat dat weinig effect heeft.

[wjn]

Niet melden heeft een averechts effect. Kijk naar de cijfers van de politie. Alles gaat goed. Nee, niet alles gaat goed, maar de mensen melden niets meer, omdat er toch niets aan gedaan wordt.

Maar hoofdlijn is, cijfers (lage aantal meldingen), geven aan dat alles goed gaat, dus er is niet meer budget nodig.

Tweakers zou minstens moeten benadrukken hoe belangrijk het melden bij de instanties is. Want één ding is in Nederland zeker, alles wordt geregistreerd en gemeld. En als er afwijkingen zijn (recent in het nieuws de misdaadcijfers van asielzoekers, grote post 'overig'), dan valt dat op en wordt wat mee gedaan.

[Ad-Blokker]

Hier heb ik het ook heel snel aan aangemeld. Ze hebben het na maanden wachten nog steeds niet in behandeling genomen. Ze moeten hem wel in behandeling nemen want dat is de belofte die ze maken. Maar ze geven al tijden mee dat het enorm druk is en dat ze onderbezetting hebben en dat daardoor meldingen bij de AP enorme vertragingen oplopen.

[dakathefox]

Wat Ad-Blokker al zegt... Ik heb er al wel eens iets neergelegd, maar er wordt niet veel mee gedaan. Maar goed, we weten wie er aan het hoofd staat bij de Autoriteit Persoonsgegevens, dus dat zou je ook niet moeten verbazen.

[Olaf van der Spek]

Waarom hebben deze inverters een internetverbinding?

[Ad-Blokker]

Welkom in het IoT tijdperk. Ze vonden het een noodzaak om mensen de opbrengsten en andere dingen te laten aflezen vanaf verschillende devices. Dit ook mede omdat als er geen zon meer is de inverter uit gaat en je niet meer kan zien wat er opgebracht is. Dit is waarom ze alles zo graag in de cloud willen proppen.

[Reactie gewijzigd door Ad-Blokker op 22 juli 2024 20:58]

[Caayn]

Zodat je de statistieken kan uitlezen.

Wij hebben zelf zonnepanelen en helaas moeten wij, om ze uit te kunnen lezen, de omvormer aan het internet hangen. Lokaal uitlezen is bij ons niet mogelijk

Lang leve de moderne wereld waar alles aan het internet moet zitten

[Reactie gewijzigd door Caayn op 22 juli 2024 20:58]

[mkleinman]

Daarom ben ik blij dat ik mijn omvormers ( 9 stuks totaal, aantal samengevoegd tot 1 ) lokaal kan uitlezen en daar lokaal statistieken van kan maken ( http://trinity.familie-kleinman.nl/v2 ). Kostte wat moeite om uit te zoeken en te programmeren, maar dan heb je wel wat

jSunnyreports leest lokaal de verschillende omvormerbestanden in, verwerkt die informatie en maakt daar JSON bestanden van die door de frontend kunnen worden ingelezen. Deze kan je lokaal openen maar ook uploaden naar een eigen website. Op dit manier ben je min of meer zelf in control over je eigen data. Ik ben er persoonlijk niet zo'n fan van om omvormers te koppelen aan de cloud van de leverancier. En dit artikel onderstreept dit nog maar eens.

Ik ben dus auteur van jSunnyreports. Begonnen als hobby om twee omvormers in een overzicht te krijgen, dat is intussen uitgegroeid tot een hele waslijst aan logfiles die het programma kan verwerken. Het enige wat JSR niet zelf doet is het uitlezen van de omvormer zelf.

En mochten liefhebbers het voor elkaar krijgen om bijvoorbeeld SolarEdge., AEG of andere merken omvormers te kunnen uitlezen en te kunnen loggen, ik pas mijn tool met alle liefde aan

[Anoniem: 310408]

Daarom ben ik blij dat ik mijn omvormers ( 9 stuks totaal, aantal samengevoegd tot 1 ) lokaal kan uitlezen en daar lokaal statistieken van kan maken ( http://trinity.familie-kleinman.nl/v2 ). Kostte wat moeite om uit te zoeken en te programmeren, maar dan heb je wel wat

Niet om lullig te doen maar blij zijn dat je data lokaal afgelezen kan worden en het dan zelf in de cloud gooien lijkt toch wat dubbelzinnig.

[mkleinman]

Dan is het een eigen keuze. Ik heb er voor gekozen om mijn data inderdaad publiek toegankelijk te maken op een eigen server. Dat hoeft dus niet met JSR. Dan is en blijft alle data van je zelf en bij je zelf.

En daarbij JSR heeft geen "cloud" omgeving oid. Je kan in JSR een FTP account/locatie instellen waar hij de bestanden naar upload.

[Reactie gewijzigd door mkleinman op 22 juli 2024 20:58]

[Falcon]

Waarom kunnen wij erbij dan? Dat moet je toch niet willen?

[mkleinman]

Je ziet alleen de opwek van mijn zonnepanelen, niet wat ik verbruik, of ik wel of niet thuis ben etc. Dus waarom zouden andere mensen dit niet mogen zien?

Ik log daarnaast nog veel meer in huis ( temperaturen, verbruik, %RV etc etc ). Die heb ik uiteraard wel afgeschermd omdat je daar wel veel van kan afleiden.

[Reactie gewijzigd door mkleinman op 22 juli 2024 20:58]

[Ad-Blokker]

Ik heb zelf ook al onderzocht of je data kan afvangen en het zelf kan verwerken. Het probleem zit hem in dat de omvormer wifi stick hardcoded het ip van de chinese server in de firmware heeft staan. Zolang deze geen connectie kan maken met de server stuurt de omvormer niks.

Ik ben altijd bereid om samen even te kijken of er toch wat te regelen valt! Ik zal je een prive bericht sturen

[S1W]

Lijkt me niet al te lastig om lokaal dat IP adres te laten routeren naar een interne server. Wat voor protocol babbelt de wifi stick naar de server? Ik zal straks even Wireshark draaien in mijn LAN en het externe IP uitfilteren. Daarna m'n Ubiquity edgerouter alle pakketjes naar 'Chinees IP' laten forwarden naar lokale listener. Zoiets moet werken toch?

[teaser]

Als de data via de cloud te raadplegen is, kun je dit lokaal ook onderscheppen uitlezen. Misschien niet volgens de officiële documentatie, maar dit kan nagenoeg altijd. Voor SolarEdge is er bv een eigen topic hier op het forum.
Edit: bewoordingen wat genuanceerd.

[Reactie gewijzigd door teaser op 22 juli 2024 20:58]

[woekele]

dat hoeft niet perse te kunnen. Als SSL (goed) gebruikt wordt, heb je niks aan de onderschepte data.

[teaser]

Vanuit het topic:

Zoals in sectie 2 al is uitgelegd, staat bij nieuw geïnstalleerde omvormers de encryptie standaard uit. Ergens in de eerste 48 uur dat de omvormer contact heeft met de servers van SolarEdge wordt de beveiligingssleutel uitgewisseld en direct daarna wordt de versleuteling aangezet.

Een plan B is om via RS232 de encryptiesleutel uit te lezen.

[woekele]

ook dat hoeft niet perse te kunnen. RS232 hoeft niet eens aanwezig te zijn. Even voor de duidelijkheid: specifiek op de SolarEdge wel. Maar jij stelde dat alles wat via de cloud te raadplegen is ook lokaal uitgelezen kan worden. En dat is niet (altijd) zo.

[teaser]

Goed, in theorie heb je gelijk
Maar in praktijk blijkt er toch altijd een manier te zijn.
Ik heb naast de SE nog zo'n toestel dat je aan het internet 'moet' hangen om dan via een app ermee te interfacen. Ook netjes met SSL. Maar er is toch mogelijk om er lokaal een beveiligde verbinding mee op te zetten. Dus in dit geval gaat het niet eens over 'onderscheppen'.

[MadEgg]

Daar moet je van tevoren over nadenken natuurlijk. Ik heb de inverter er op uitgezocht dat je zelf gegevens uit kan lezen. Al is het niet ondersteund door de fabrikant, het werkt wel. Al die cloud services kunnen me gestolen worden, ik monitor het liever zelf.

[Caayn]

De omvormer kwam met het huis mee. We hadden dus niet veel te kiezen. En een andere ophangen is een dure grap.

[Armin]

Lokaal uitlezen is bij ons niet mogelijk

Is de betere oplossing dan niet gewoon een componentje ertussen wat de geproduceerde stroom meet?

Of wil je graag lekker veel Tweakers statistieken

(Geen kritiek, maar persoonlijk zou ik die statistieken dan gewoon laten voor wat ze zijn en de omvormer gewoon laten doen wat hij doet zonder toezicht.)

[Caayn]

(Geen kritiek, maar persoonlijk zou ik die statistieken dan gewoon laten voor wat ze zijn en de omvormer gewoon laten doen wat hij doet zonder toezicht.)

Ik in eerste instantie ook. Echter. Onze omvormer is een keertje stuk geweest waardoor we een tijd niks hadden opgewekt zonder dat we het door hadden. Sindsdien is de omvormer aangesloten zodat we de gegevens kunnen uitlezen.

Je houdt zo de performance bij van de panelen, hoeveel wek op je. Klopt dit met wat je verwacht? Etc.

[Niet Henk]

Tegenwoordig erg gebruikelijk om te showen hoe geweldig goed je voor het milieu bent.

Ik weet van een bedrijf die 24/7 in de hal een scherm aan had staan om te laten zien hoeveel stroom de zonnepanelen op het dak produceren in real time + een overzicht van de geschiedenis (daar kon je dus meteen al ~100W vanaf trekken voor het vrij grote scherm en de computer om dat ding aan te sturen).

Een internetverbinding is overigens wel erg makkelijk voor de gemiddelde consument. Dan hoef je niet te hannesen met LAN-instellingen en dergelijke als je het lokaal wilt uitlezen, en kan je de energieproductie altijd gedetailleerd uitlezen.

[bwerg]

Een internetverbinding is overigens wel erg makkelijk voor de gemiddelde consument. Dan hoef je niet te hannesen met LAN-instellingen en dergelijke als je het lokaal wilt uitlezen, en kan je de energieproductie altijd gedetailleerd uitlezen.

De gemiddelde consument kan helaas ook niet zo gemakkelijk controleren of die automatisch ingestelde LAN eigenlijk wel veilig is. Onze verhuurder regelde dit ook allemaal voor mij zodat ik niks hoefde te doen. Maar ik ben toch blij dat ik achteraf zelf wat default-passwords heb veranderd van het openbare wifi wat de geinstalleerde inverter uitzendt, anders had je met een laptopje op straat met voltages kunnen morrelen. Doe een gok uit welk land de desbetreffende inverter kwam.

Toen ik de installateur verbaasd vroeg of dat wachtwoord niet even veranderd moest worden reageerde hij met "oh, ja. Dat zou je kunnen doen, ja". Toen ik vroeg of iemand op dat netwerk geen kwaad kon antwoorde hij "neuh, daar staat verder niks". Ik weet d'r weinig van, maar je kan in ieder geval die hele inverter uitzetten, en ook wat rommelen met voltages (?). Geen idee of je daar zelfs fysieke schade mee kunt veroorzaken, maar de installateur heeft me niet echt overtuigd.

[Reactie gewijzigd door bwerg op 22 juli 2024 20:58]

[robertlinke]

Station Amersfoort heeft ook zo'n ding hangen ja

[_Eend_]

Maar dat is geen TV scherm, dat zijn een paar LCD schermpjes en een PC die het eea. uitleest. Dan heb ik er wat minder moeite mee dan een 152 inch LCD TV..

[PalingDrone]

Liever eenmalig een beetje hannesen dan je volledige gegevens voor iedereen toegankelijk op internet.
Waar ik behoorlijk van schrok is het feit dat er instellingen te wijzigen zijn, zou je daar remote een brand mee kunnen veroorzaken?

[Znorkus]

" (daar kon je dus meteen al ~100W vanaf trekken voor het vrij grote scherm en de computer om dat ding aan te sturen)."

Haha, prachtig. Alles voor een mooi plaatje naar de buitenwereld nietwaar. 24/7 pc met groot scherm aangooien om te laten zien hoe goed je wel niet bezig bent met energie.

Gewoon niet begrepen dus.

[Armin]

Gewoon niet begrepen dus.

Of juist wel, want volgens mij zijn zonnepanelen vooral:

1) een middel om aan de EPC/BENG normen te voldoen bij nieuwbouw
2) hobby voor Tweakers (en niet cynisch bedoeld, het is ook oprecht leuk)
3) laten zien hoe groen je bent tov je klanten/gemeente/etc - ofwel PR
4) geld besparen

En optie 4 is vaak twijfelachtig voor non-particulieren, als je ook installatie, verzekering, onderhoud, reparaties, hogere kosten bij ongerelateerde dakreparatie, etc meetelt. Zonder een zak subsidie als bedrijf is het vaak niet kosteneffectief.

[SinergyX]

Cloud-service hoofdzakelijk.

[Videopac]

Die kun je toch ook lokaal opzetten op je NAS?

[Ad-Blokker]

Je kan jammer genoeg niet makkelijk zelf een server opzetten om lokaal alles te draaien. Het IP adres van de server is hardcoded in de wifi stick van de omvormer ingebakken.

[Crazy Harry]

Als je het ip blokt zodat er geen info naar toe kan, werken de inverters dan nog?

[Ad-Blokker]

De omvormer werkt dan gewoon nog qua stroom omzetten natuurlijk. Dit is hetzelfde als wanneer je hem zoals ik niet aan je wifi netwerk heb gekoppeld. Je kan alleen niks uitlezen omdat hij weigert om data te sturen. De enige optie dan is local monitoring. Hij zend zodra je hem niet verbonden hebt met een wifi netwerk zelf een wifi netwerk uit. Daarmee kan je verbinden en met de app via een omweg wel data uitlezen. Alleen je moet dan elke keer voor het donker wordt de stand noteren in bijv. excel want zodra er geen zon meer is dan kan je het niet meer inzien. Ook is de volgende dag de data weer weg.

[g0ulash]

Kun je de data via een of andere API uitlezen? Anders wellicht een idee om een RPi met WiFi-stick neer te zetten om je data elke dag uit te lezen?

[Ad-Blokker]

Ik ben hiermee bezig geweest, dit is een deel waar ik nog niet veel ervaring in heb. Het is namelijk ook erg lastig om uit te vissen wat die wifi stick allemaal doet. Zolang hij in Access Point modus zit doet hij namelijk niet veel (DNS requests en niet veel meer buiten dat, en natuurlijk probeert hij verbinding te zoeken met de webserver in China). Ik kan met de huidige routers en modem die ik heb hem niet volledig afzonderen van mijn overige spullen op het netwerk. Anders had ik dit makkelijker kunnen testen.

[g0ulash]

Wat als je hem niet aan je netwerk koppelt, maar gewoon zelf een WiFi netwerk laat uitzenden? Dat is wat ik bedoelde. En dan de RPi rechtstreeks verbinden met je inverter.

[Ad-Blokker]

Dat is een idee, ga ik morgen even proberen!

[bwerg]

Hij zend zodra je hem niet verbonden hebt met een wifi netwerk zelf een wifi netwerk uit.

Sommige merken blijven ook na verbinden gewoon uitzenden. Dat vereist dan nog wat extra aandacht om te controleren of dat geen gaten in je eigen wifi-netwerk veroorzaakt.

[Videopac]

Dat is dan gebrek aan flexibiliteit van de omvormer-aanbieder.

[Rolfie]

Behoorlijke design fout. Maar dat is achteraf altijd....

[woekele]

als je die hebt. En snapt. En ondersteund wordt.

[jvanderkroon]

om statistieken naar de cloud te publiceren zodat eigenaren via een app kunnen zien wat de prestaties zijn.

[skatebiker]

Inderdaad, ik vind dat nog steeds ongehoord dat deze apparaten met internet verbonden zijn.
Een smartphone app en/of een web interface die via je eigen wifi netwerk uit te lezen is moet voldoende zijn.

De IT industrie heeft de mond vol van veiligheid, maar dezelfde IT industrie verbindt alles met internet met als gevolg het ene datalek na het andere.
Zoiets als boter en hoofd.

[ThisGuy]

Tweakers heeft het bedrijf twee weken de tijd gegeven om te reageren, maar kreeg donderdag te horen dat de migratie alsnog een maand op zich liet wachten. Daarop is besloten te publiceren.

Mooi om te zien hoe een tech community zich hiervoor inzet en als er geen gehoor wordt gegeven, er druk kan worden uitgeoefend.

[TijsZonderH]

Zeker, dank aan @Ad-Blokker voor het doorgeven! We proberen daar altijd voorzichtig mee om te gaan maar in gevallen als deze heb je helaas weinig keus dan uiteindelijk toch te publiceren

[TheDevilOnLine]

Growatt heeft het zelfde probleem met hun systemen, vorig jaar al een keer bij jullie gemeld. Tot op heden door Growatt ook nog niks mee gedaan.

[Ad-Blokker]

Als ik even snel bij Growatt kijk zie ik ook een aantal interessante dingen die fout gaan. Ik denk dat je hier ook een boek over kan schrijven.

[masterbass]

Ik heb dit ook al een aantal keer bij Growatt aangegeven. Ze geloofde me in eerste instantie niet, daarna instructies opgestuurd maar daar werd niks mee gedaan. Nog eens gebeld, toen afgesproken dat ik een video zou maken. Ik heb toen een video gemaakt met een stuk of 3 bevindingen waaronder het overnemen van een installatie van random personen (waarna je dus ook instellingen van de omvormer kunt aanpassen), het opvragen van NAW, telefoongegevens etc. Maar na meerdere keren om een reactie gevraagd te hebben nog steeds niks gehoord.

Net even een mail gestuurd met dit artikel en de vermelding dat als ze er niks aan doen, ze het risico lopen dat ze op deze manier in het nieuws komen.

Volgens mij interesseert het ze helemaal niks.

[Reactie gewijzigd door masterbass op 22 juli 2024 20:58]

[Ad-Blokker]

Ik heb een groot rapport gemaakt met alles in detail en ook kort uitgelegd en je ziet het ook daarop komt geen snelle actie. Ik heb het al eerder gezegd, in je eentje als consument sta je meestal machteloos tegen dit soort bedrijven. En dan is het nog lastiger als het geen Nederlands bedrijf is.

Het is wel altijd belangrijk om een responsible disclosure te doen naar het bedrijf toe. Hierdoor dek je jezelf ook in.

Ik heb growatt en anderen al meerdere keren gehoord nu in de comments en privé berichten dus ik wordt nu ook nieuwsgierig

[TijsZonderH]

Goed idee, brb!

[TijsZonderH]

DM me even of mail naar [e-mail], kan er altijd naar kijken!

[Tubby]

Oe, graag een artikel van maken, ik zal zelf ook ff wat onderzoek gaan plegen, heb zo'n ding ook hangen

[basmevissen]

Dat was het eerste dat ik me afvroeg toen ik dit artikel las. Ik heb al veiligheidshalve een bedrade internetverbinding aan mijn Growatt inverter zitten, zodat het makkelijker is om deze op een apart netwerksegment te zetten. Dat scheelt al in de toegang tot andere apparaten op hetzelfde netwerk.
Uiteindelijk wil ik de RS-485 poort gebruiken om zelf de data uit de inverter te halen en te bewaren. Dan kan de directe link met het internet en de Chinese server helemaal weg. Wel zo een fijn idee.

[Dutchess_Nicole]

Oh dat is wel goed om te weten.. zal daar zelf idd ook maar eens wat achteraan gaan dan

[Ad-Blokker]

Ter informatie, ik heb dit zelf uitgezocht en toen ben ik met het volledige rapport na maanden dat er niks gedaan werd naar Tweakers gestapt. Hierna is door @TijsZonderH verder contact opgenomen met het bedrijf in kwestie en daarna is dit artikel gemaakt

[Caelestis]

Maar dan nog is er geen sprake van een "community".
Je kan het niet geheim houden en dan ons "de community" gebruiken als straf maatregel......
Wil je ons erbij betrekken dan kom je vanaf dag 1 met alles.
Nu zijn wij letterlijk niks anders als een geïnformeerde partij die nergens vanaf wist. Ignorance is bliss I guess.

[Ad-Blokker]

Ik snap wat je zegt. Echter heb ik wel op vrijdag 24 mei 2019 op het Tweakers forum (https://gathering.tweakers.net/) een post geplaatst
Hiervoor lag het eigenlijk bij AEG Industrial Solar en was ik met andere dingen bezig. Ik ben de laatste maand pas weer echt actief er mee bezig gegaan maar daarvoor heb ik ze wel elke keer reminders gestuurd. Het probleem alleen is als ik alle details over alles ga geven, dan kan elke persoon zonder moeite data gaan lekken in dit systeem. Dit is ook waarom er ook nog niet gelinkt wordt naar mijn volledige rapport

[Caelestis]

Begrijp me niet verkeerd. Je bent zeker goed bezig. Ik geef alleen aan dat RVS hierboven absoluut een punt heeft.
Het is eerder grappig om te zien dat er zoveel personen hem/haar een -1 geven omdat zij met jouw eer ervandoor willen gaan.

[RoestVrijStaal]

Bedankt dat je het voor me op wilt nemen. Zoiets overkomt me niet vaak.

Ik snap ook niet wat er aan mijn vraag zo ongewenst is. Eigenlijk boeit het ook heel weinig wat andere mensen ervan vinden, want ik stel de vraag aan @ThisGuy die naar mijn inziens incorrect stelde "Dankzij de tech community..."

Stel als @Ad-Blokker trouwe lezer was van de Telegraaf en hij ermee naar de Telegraaf was gegaan, konden dan Telegraaf-lezers dan op hun borst kloppen van dat ze dit aankaarten? Nee, natuurlijk niet.

[Reactie gewijzigd door RoestVrijStaal op 22 juli 2024 20:58]

[Caelestis]

Tja ik waardeer een kritisch kijk op zaken ipv dat ik als een schaap achter de kudde aanloop, zonder na te denken waar men mee bezig is.
Ik geef dan ook veel liever wat tegengas dan dat ik stiekem in de achtergrond een plus of minnetje geef omdat ik mij "gekwetst" voel.
Het is net alsof je een apple fanaat perongeluk heb beledigd en er komt gelijk 30 man dat -1 knopje bashen.
Gewoon walgelijk.

[Ad-Blokker]

@RoestVrijStaal & @Caelestis Een kritische blik is altijd goed. Dat heb ik zelf ook, door die blik heb ik ook dit allemaal gevonden in deze enorm diepe rabbit hole. Alleen de bedrijven hier in kwestie waren natuurlijk niet zo blij met mijn soms TE kritische blik.

Ik wil ook echt niet +1/+2/+3 krijgen omdat ik toevallig de tipgever ben maar om de mijn getypde reactie zelf.

Misschien kunnen we als community de portals en toebehoren van andere fabrikanten en leveranciers gaan controleren op fouten en dan kunnen we elkaar van de gevonden bevindingen op een forum op de hoogte stellen. Ik heb er al meerdere in dezelfde en minder erge vormen voorbij zien komen in de reacties. Lijkt mij in ieder geval interessant omdat er meerdere mensen ook kritisch werden op hun desbetreffende omvormer. Hoogstwaarschijnlijk is dit niet eens jullie bedoeling hiermee en ben ik te ambitieus maar ik zie er wel wat in.

[ThisGuy]

Ik doel daarmee meer op hoe ik Tweakers zie, als een tech community. En dankzij de mogelijkheden van Tweakers heeft Ad-Blokker nu wat hij hoopte te krijgen: aandacht voor zijn ontdekking. Ik zie het niet als een partij die nu met de eer wilt gaan strijken. Het is eerder zo dat Tijs ondersteuning heeft kunnen bieden aan Ad omdat hij als individu niet erdoor kwam. Let vooral niet op mijn benoeming voor tweakers, dat staat eigenlijk min of meer los ervan.

[Ad-Blokker]

Dit is ook precies wat mijn beweegredenen waren. Na zoveel tijd en valse beloftes verder moest er toch druk gezet worden. Als 1 kritische consument heb je weinig macht jammer genoeg.

[ThisGuy]

Precies dat. Fijn dat je op deze manier ondersteund wordt.

Daarnaast valt me nu in dat toen ik bezig was voor zonnepanelen, ik ook een gesprek heb gehad met een Limburgs bedrijf (ik zal geen namen noemen) wat ook dit AEG Industrial Solar materiaal gebruikt, waar ik gevraagd heb of mijn data in Nederland/Europa blijft en hoe deze opgeslagen wordt. Mij werd verzekerd dat deze in Duitsland bleef. Ik zal mijn part ook bijdragen en dit bedrijf op de hoogte stellen.. Zo zie je ook maar weer hoe vaak die sales lui amper weten hoe de vork in de steel zit. Weten dat het slecht beveiligd is tot daar aan toe, maar men had dus wel moeten weten dat de data dus klakkeloos naar China gesynchroniseerd wordt.

[Ad-Blokker]

Vanaf mijn kant zijn ook de installateur en groothandel op de hoogte gesteld. Het werkt alleen niet mee dat AEG Industrial Solar volhoud dat ze de veiligheid van je data waarborgen en dat ze voldoen aan de privacy wetgevingen. Dit hebben ze me verzekerd per mail. Maar dit kunnen ze onmogelijk doen als die servers in China staan en niet eens van hun zelf zijn.

[downtime]

Die garanties kunnen ze geven als het Chinese bedrijf die garanties geeft. Maar Chinezen garanderen alles zolang je maar blijft betalen. In een land waar zuivelbedrijven zelfs gif door de melk mengen om een paar centen op de melk te besparen kun je niet verwachten dat garanties meer dan een krabbel op een stuk papier zijn.

[choi99]

Ik vind het helemaal niet mooi om te zien. Publiekelijk bekend maken van dergelijke zaken moet het allerlaatste middel zijn. Wat Tweakers doet is kwaadwillende een mooie kans geven om toe te slaan.

[ThisGuy]

Ik denk dat dit de juiste stap is als laatste stap in het rijtje na het verzenden van e-mails, brieven, telefoontjes, enzv. Kwaadwillenden komen er uiteindelijk toch achter, net zoals Ad-Blokker erop is gestuit. Dan maar even publiekelijk en aan de schandpaal zodat ze onder druk worden gezet, het gaat hier wel om veel Europese consumenten die de dupe zijn van dit soort praktijken.

[0vestel0]

Lol. AEG als duits top merk bestaat inds 1996 al niet meer. Als ik het goed heb is het merk en veel van zijn activiteiten bij Chinese bedrijven ondergebracht. Veel Chinese bedrijven hebben "oude" duitse merken gekocht om hun spullen in Europa te rebranden en hier te verkopen als Deutsche grundlichkeit

[Ad-Blokker]

AEG valt onder AB Electrolux (publ), Alleen heeft AEG industrial Solar alleen de naam AEG als licentie afgekocht. Ze hebben verder niks te maken met AEG en of Electrolux

[The Zep Man]

Vergelijkbaar met Philips en TP Vision.

[Goldwing1973]

Net zoals Grundig, vroeger een prima merk, in 2003 failliet gegaan, nu 1e klas Chinese troep

[Step5]

Had dat ff gemist, maar toen ik het laatst bij de action zag liggen kreeg ik al zo'n vermoeden...

[mission]

Dat zie je wel meer. Of zoals bijvoorbeeld Miele tegenwoordig doet, higher end zelf bouwen en het goedkopere segment word onder licentie door een of andere chinees gebouwd.

[MauriceL]

Heb je toevallig een bron oid?

[Christoxz]

Toevallig al op hun website gekeken?

© 2019 Solar Solutions GmbH | AEG is a registered trademark used under license from AB Electrolux (publ).

[MauriceL]

Toevallig al op hun website gekeken?

Ja dat wel, maar op basis daarvan had ik niet gelijk geconcludeerd dat het in Chinese handen zou zijn. Ik was even benieuwd of er een ietwat makkelijkere manier was om dit uit te vinden/controleren. Met name voor toekomstige gevallen. Even wiki eigenaars doorklikken lukte ook niet want ik kon alleen de wiki pagina vinden van AEG zelf en AEG Industrial Solar zit gewoon in Frankfurt.

_{edit: even tikfoutje eruit gehaald}

[Reactie gewijzigd door MauriceL op 22 juli 2024 20:58]

[Giesber]

[...]
AEG Industrial Solar zit gewoon in Frankfurt.

Inderdaad: volgens Google maps ligt hier hun hoofdkwartier:
https://www.google.com/ma...gx_FHg!2e0!7i13312!8i6656

Daar zit zeker ergens een ganse fabriek achter waar ze die Duitse panelen maken.

Ze hebben tenminste nog een vacature op hun website staan voor een sales functie in Frankfurt, dus ze zijn al niet helemaal Chinees .

[stresstak]

...een sales functie in Frankfurt, dus ze zijn al niet helemaal Chinees .

Totdat het sollicitatiegesprek in het Chinees gaat.

[Ad-Blokker]

Naja ik heb met ze contact gehad en ik heb ze toevallig getipt

[onuro]

Er komt deze maand een nieuwe app uit met nieuwe backend. Ik heb deze ook en kreeg 1,5 maand geleden mail over vernieuwingen.

[Ad-Blokker]

Dit beloven ze mij ook al sinds november vorig jaar november. Deze release datum is al zo vaak doorgeschoven

[TijsZonderH]

Ze zeiden aanvankelijk dat die 'eind mei' zou uitkomen, maar nu dat ze 'binnenkort' beginnen met de uitrol van alpha-versie. Ik moet het dus nog maar zien...

[Annihlator]

Waarom toch telkens wifi? het ding hangt daar en *blijft* er hangen, had toch óók een rj-45 aansluiting op zijn minst aangeboden...
zo worden de omvormers doorgaans vlak bij het dak gemonteerd en modems hedendaags vaak gelijkvloers...

"lekker makkelijk" zal het argument wel blijken te zijn...
Wat lekker makkelijk is, is als het een 4-verdiepingen hoog pand telt met de modem op begaane grond... kan de eigenaar als het even tegen zit niet bij zijn eigen panelen, maar iedere vreemde vanaf de 2 hoogste verdiepingen weer wel...

Is het alleen mijn opvatting of lijkt het als we heel eerlijk zijn alsof er niet heel goed over nagedacht is bij dat soort beslissingen? Het enkel integreren van WIFI geeft mij vooral een vermoeden naar pure gemakzucht en het integreren van onnodige zwakheden in een vast systeem... of is dat wel heel zwart-wit?

[S1W]

Heeft allemaal niks met Wifi te maken. In het software gedeelte van de wifi stack is het IP adres van de chinese server hardcoded. Dat hadden ze ongetwijfeld bij een bedrade NIC ook gedaan. Overigens hangt deze inverter gewoon binnen (want niet IP69) dus je kan er prima bij. Was wel het eerste wat ik aan de monteur vroeg: kan het ook bedraad?

[Annihlator]

Ja ik wou ook eigenlijk vooral insteken op dat, voor zover ik ze tegen kom, mij dus opviel dat er altijd een wifi verbinding is;de eerste met standaard rj45 moet ik nog tegen komen... al heb ik zelf geen eigen dak (appartement op tussenvloer) en zelf er verder ook niet op georienteerd is dit wel wat mij opvalt wanneer ik het bij vrienden zie.

Bij een bedrade NIC had het (vind ik) nog enigzins kunnen schelen in dat je een stuk makkelijker invloed uitoefent op die bedrade situatie dan een Wifi-apparaat wat vervolgens ook nog hardcoded adressen aanspreekt; je zou dan nog een redelijke optie hebben om het apparaat op een eigen stuk netwerk/filtering te gooien, bij de WIFI-situatie ga je dan extra SSID's en/of AP's moeten plaatsen.

[Ad-Blokker]

Was wel het eerste wat ik aan de monteur vroeg: kan het ook bedraad?

Dit is ook het eerste wat ik vroeg

[Ad-Blokker]

Er is ook een optie met RJ45 maar dat lost dit probleem aan de achterkant van de infrastructuur niet op.
Die wifi stick is zegmaar een module die aan een seriele poort aangesloten wordt op de omvormer. Er zijn ook zoals hierboven genoemd een RJ45 module en GPRS (sim) module gemaakt. De standaard uitvoering is wifi. Ik had zelf ook gevraagd of ik de RJ45 module kon krijgen maar die was niet leverbaar.

[Annihlator]

Het is waar dat het het probleem niet oplost, toch heb ik het idee dat de standaard-integratie van wifi over rj-45 onnodig extra zwakheden met zich mee brengt voor een apparaat wat toch vast geinstalleerd zal zijn.

zegmaar, ik had het logischer gevonden als die wifi-stick een of andere module had geweest dan de rj45-poort. ook RS232 als standaard en eindgebruiker zet daar zelf een rj-45 of wifi-module tussen had m.i. stukken beter kunnen zijn; ik snap gewoon niet hoe dat zo ontstaan is

[Ad-Blokker]

Dat is altijd een goeie vraag. Er is hier blijkbaar gekozen voor RS485 poort met daarop verschillende modules. Maar aan de andere kant kunnen ze nu wel makkelijker een nieuwe stick ontwikkelen, je hoeft namelijk alleen dat ding los te schroeven en de nieuwe erop

[Annihlator]

Dat klinkt naar mij alsof er in ieder geval een vorm van vooruitgang is op zich positief!

[Ad-Blokker]

Ik ben er wel voorzichtig mee, ze beloven al tijden vooruitgang. Maar we zullen deze 4 weken afwachten en kijken waarmee ze op de proppen komen.

[S1W]

Mooi is dat, precies een maand geleden zonnepanelen gekocht mét een AEG omvormer, want dat leek zo betrouwbaar (Duits enzo hé). Maar eigenlijk direct na installatie viel me al op hoe brak de app was (geen local monitoring mogelijk) en dat de Wifi stick kuren vertoonde. En helaas, ook direct daarna gezien dat een en ander van Chinese makelij was. Meteen contact opgenomen met de leverancier, BONGO solar, en een keurige brief van AEG ontvangen waarin beloofd werd binnen 6 weken (datering ergens in april 2019) met een nieuwe app plus migratie te komen. En nu dus dit. Had BONGO dit niet kunnen / moeten weten? AVG technisch een issue lijkt me...

[Reactie gewijzigd door S1W op 22 juli 2024 20:58]

[Ad-Blokker]

gekocht mét een AEG omvormer, want dat leek zo betrouwbaar (Duits enzo hé).

Dit is precies wat ik ook meermaals heb aangehaald. Mensen vertrouwen de AEG naam.

De leveranciers en groothandel weten hier al sinds mijn initiële melding vanaf. Het probleem is dat AEG Industrial Solar dingen belooft en dan niet in die beloofde timeframe doet. Hier kunnen de leveranciers/installateurs eigenlijk ook niks aan doen omdat dit niet in hun handen ligt. Het enige wat ze kunnen doen in deze situatie is status vragen bij AEG Industrial Solar en dat communiceren naar de klanten. De installateurs gaan ook niet zomaar stoppen met het verkopen van omvormers van AEG Industrial Solar omdat AEG Industrial Solar beloofd om met een oplossing te komen.

[onuro]

Idem ditto

[rsbroer]

Mijn broer al maanden problemen met die AEG Inverter Control app om remote je inverter data uit te lezen.
Heeft al een paar keer contact gehad met de leverancier, iets van Chinese software en er wordt aan gewerkt maar is erg moeilijk dus heb geduld.

Lijkt erop dat ze idd aan het migreren zijn.

[Twilkie]

Hoe zit het met SMA omvormers eigenlijk? Die komen in principe ook uit Duitsland... of is dat ook gewoon een chinese rebrand?

[Ad-Blokker]

Daar durf ik niks over te zeggen. Misschien wel eens leuk om in te duiken!