Agentschap Telecom start onderzoek naar cybersecurity omvormers zonnepanelen

Het Nederlandse Agentschap Telecom is een onderzoek gestart naar de cybersecurity van omvormers bij zonnepanelen. Volgens de minister voor Energie kunnen omvormers een risico vormen voor het elektriciteitsnet als ze slecht beveiligd en grootschalig aan te sturen zijn.

Het Agentschap Telecom zal in gesprek gaan met fabrikanten van omvormers voor zonnepanelen en nagaan hoe er verbeteringen aan de cybersecurity van deze apparaten gerealiseerd kunnen worden. Volgens de Nederlandse minister voor Klimaat en Energie Rob Jetten hebben de fabrikanten en leveranciers van iot-apparaten, waar omvormers voor zonnepanelen toe worden gerekend, een belangrijke verantwoordelijkheid ten opzichte van de veiligheid en betrouwbaarheid van het Nederlandse elektriciteitsnet.

Om potentiële beveiligingsrisico's bij omvormers en andere iot-apparatuur te verkleinen, zet de Nederlandse overheid volgens de minister momenteel in op preventie, bewustzijn en aanvullende Europese wetgeving. De minister verwijst bijvoorbeeld naar het Europese Radio Equipment Directive dat de cybersecurityeisen heeft geïmplementeerd voor radiogestuurde en telecomapparaten die op de Europese markt verkocht worden. Daarnaast verwijst de minister ook naar de Europese Cyber Resilience Act die gemeenschappelijke cyberbeveiligingsregels in moet voeren voor fabrikanten en verkopers van digitale producten of diensten.

Het onderzoek van het Agentschap Telecom komt er nadat de Nederlandse hacker Jelle Ursem toegang wist te krijgen tot de systemen van Solarman; dat is een Chinees bedrijf dat monitorsoftware voor omvormers voor zonnepanelen levert. Ursem, die op Tweakers bekendstaat als SchizoDuckie, vond de inloggegevens van het Solarman-monitorsysteem via Github en kreeg daarmee toegang tot het adminportaal van de monitorsoftware. Hij ging op zoek naar die gegevens naar aanleiding van een tweet van ethisch hacker Célistine Oosting.

De hacker kon de persoonsgegevens van Nederlandse klanten inkijken, nieuwe klanten aanmaken en bestaande gebruikers van Solarman-diensten verwijderen. Hij kon ook nagaan hoeveel stroom zonnepanelen van klanten opwekken via gps-coördinaten, en firmware van omvormers downloaden, aanpassen en weer uploaden. Volgens Ursem was het mogelijk om de zonnepanelen van een afstand uit te schakelen of onklaar te maken. Oosting kwam erachter dat de klantendata van Solarman ook naar China werd gestuurd, wat in strijd is met de AVG. Het lek bij Solarman zou inmiddels gedicht zijn.

Reacties (128)

[Pazo]

Enphase heeft helaas ook al meerdere jaren een aardig groot beveiligingslek op hun Envoy zitten. Ik heb dit al meerdere keren benoemd, ingediend bij Enphase, bij Tweakers gesubmitted, maar wordt niets mee gedaan. Met de Envoy versies 3 en 5 is zit de 'bug' er nog steeds. Met versie 7, die ze nu langzaam lijken uit de rollen, lijkt het opgelost te zijn. Echter zijn er nog duizenden systemen die aan het net hangen en met een paar stappen aan te passen of om zeep te helpen zijn. Als je simpel googled op een versie / firmware nummer krijg je zo tientallen Enphase installaties die aan het net hangen, waar vrij eenvoudig in kan. Als je een dienst als Shodan gebuikt vind je er zo duizenden over de hele wereld. Omdat het admin wachtwoord hard-coded is, is deze niet aan te passen, maar dus wel simpel aan de hand van het serienummer van de Envoy achter te komen. En het is simpel op te lossen: door een software update toe te passen waarbij het serienummer van de Envoy niet zichtbaar is, totdat je evt ben ingelogd. Maar dat schijnt te moeilijk te zijn?

@ de redactie, als jullie meer / uitgebreidere info willen hebben hoor ik het wel.

[Mfpower]

Ik vind het vooral ook kwalijk dat ik als niet-installateur geen 100 procent controle over het apparaat / firmware heb. Toen de installateur deze zomaar in m’n switch prikte heb ik daar wat van gezegd maar hij snapte niet waar ik het over had. Ik heb m nu in een ander vlan / afgeschermd netwerk hangen zodat dit apparaat geen vector is mijn netwerk in. En dan heb ik het nog niet eens over de inverters die die aanstuurt. De envoy heeft geen open Port naar buiten toe dus dat kun je met de firewall afschermen.

Overigens heb ik hetzelfde issue met apparaten van bijv KPN (tv decoder) die ook zomaar in het netwerk gehangen worden en als spy-apparaten kunnen dienen. Die laatste is door de aard van het apparaat moeilijke te scheiden door de lastige configuratie van routed iptv.

[kodak]

Iedereen kan installateur worden en er zijn geen duidelijke regels over it-beveiliging. Dus kan je het ook jezelf kwalijk nemen dat je met deze installateur in zee bent gegaan. Natuurlijk klinkt dat dan misschien niet leuk om te horen, maar een groot deel van het probleem lijkt dat bijna niemand vooraf duidelijk genoeg wil zijn wat wel en niet acceptabel is en hoe dat voldoet. Je enorm afhankelijk maken van anderen die net zo min, of zelfs minder verstand hebben van de werking en gevolgen, heeft ook een prijs. En mogelijk zelfs dus achteraf een hele hoge.

[supersnathan94]

Ja eh hoor eens. Er is geen enkele installateur die ook maar enigszins iets met IT heeft gedaan en enig idee heeft hover firewalls, VLANs, netwerkscheiding en hard coded passwords en als ze het al wel hebben dan jog hebben ze er geen boodschap aan, want jij wil dit apparaat voor “zo goedkoop mogelijk”.

Als zij aankomen met een apparaat wat wel goed ontwikkeld is qua software beveiliging is in 99/100 keer het antwoord: “waarom zo duur? Doe maar een andere.”

[trenjeska]

Nee dat kan niet meer.
Je krijgt tegenwoordig een Doe-Het-Zelf account als particulier.

[jongetje]

Maar er is toch niemand die elk apparaat isolated het internet op laat gaan. Jij vertrouwd de KPN decoder niet, de zonnepanelen niet. Maar welk apparaat dan wel? Het is niet te doen om alles te isoleren want dan werkt de chromecast niet, kun je je nas niet bereiken, muziek streamen naar een ander netwerk apparaat lukt niet, netwerkprinter is niet bereikbaar. Etc.

[Mfpower]

Apparaten die ik niet zelf beheer gaan in een apart netwerk zodat ze m’n nas en andere apparaten niet kunnen bereiken.

De uitzondering zijn apparaten die ik vertrouw, zoals mijn iPhones of printers idd die nog regelmatig updates krijgen.

Een eenmalig niet-onderhouden apparaat wat geen updates krijgt en afhankelijk is van een derde, de installateur wiens core business het niet is om security patches te geven en blijkbaar ook nog eens makkelijk binnen te dringen is vallen dan niet onder vertrouwde apparaten.

Provider spullen zoals decoders zijn enigszins grijs gebied wat mij betreft.
Spullen als Chromecasts (Google!) komen mijn huis niet binnen omdat ik die sowieso zie als spyware, ze leven op gegevens.

Maar ik geef toe het is niet altijd makkelijk en soms ook voor mij arbitrair waar je de lijn trekt en wie of wat je vertrouwt. Ik probeer er zo bewust mogelijk mee om te gaan maar ook ik ben slechts een mens. Een app op m’n iPhone moet ik toestemming geven om apparaten op m’n netwerk te detecteren maar een decoder of envoy zou ik er dan wel zo inhangen …

[ChaserBoZ_]

Zo gaat het hier ook inderdaad, alle IoT 'meuk' in een apart vlan, met eigen wifi SSID. Wordt één van die clouds gehackt, dan kunne ze wellicht wel binnenkomen, maar ze komen niet bij mijn NAS.

[RogerWilco2]

Waarom moeten al die apparaten op het internet kunnen?
En ik gebruik dus dingen zoals een chromecast inderdaad niet.
Mijn NAS is inderdaad niet bereikbaar.
Mijn beveiliging is niet 100%, maar ik ben wel heel beperkt in wat ik door laat, en wat die apparaten dan toegang toe hebben.

[jongetje]

Als mijn chromecast, tv decoder e.d. niet op internet kunnen is het lastig een film of tv kijken. Daarbij moet de printer weer in hetzelfde netwerk als mijn laptop anders kan ik niet printen. Mijn router kan niet beperken dat de printer niet op internet kan en de laptop wel.

[Wunk]

IP camera's ook.. Die zijn bij mij volledig gefirewalled zodat ze internet niet op kunnen

[rtfm]

Recentelijk is mijn Ziggo modem vervangen en hierdoor is ook m'n Wifi-wachtwoord veranderd.
Nu kan ik het wachtwoord wel weer aanpassen aan het oude wachtwoord, om zodoende weer connectie te krijgen met m'n Envoy systeem, maar ook het interne IP adres was gewijzigd. Je 'krijgt' standaard 192.168.178.0 netwerk toegewezen. Dit is niet te veranderen in 192.168.1.0.
Dus m'n Envoy systeem zat niet meer 'logisch' gezien in mijn thuis-netwerk.
Aanpassen kon alleen maar met een 'installateur' account op het Envoy-systeem.
Ik had geen zin om de leverancier te benaderen voor zo'n simpele wijziging.

Even wat rondzoeken op Internet en je komt wel een 'hack' tegen om het installateur wachtwoord te 'kraken'. Achteraf gezien kinderlijk eenvoudig. Je moet het serienummer weten. Kun je met een API call opvragen. Met een speciaal programma kun je dan het wachtwoord achterhalen.
Eenmaal bemachtigd; dan kun je inderdaad de IP settings aanpassen.
In dit geval even handig gebruik gemaakt van deze 'feature'.

[ChaserBoZ_]

Juist daarom heb ik een eigen firewall achter de Ziggo router staan. Wat er nu ook verandert (modem/router, IP reeks, de hele internetprovider); alles in mijn netwerk blijft hetzelfde.

[Niemand_Anders]

Totdat Ziggo hetzelfde IP reeks gaat gebruiken. Dan heeft jouw router aan beide zijdes dezelfde reeks en zal alsnog alles 'offline' gaan omdat een van de twee network devices op jouw prive router geen (werkend) IP address meer zal hebben...

[ChaserBoZ_]

Dan pas ik in het Ziggo modem de LAN reeks aan, en het WAN IP van mijn firewall, probleem opgelost.

[RogerWilco2]

Kleine kans, ik gebruik 10.x.x.x. subnetten, en niet een "mooi" nummer zoals 100 of 200 of zo.

[Skit3000]

Herkenbaar, de problemen met Solarman heb ik in 2018 al eens aangekaart en uiteindelijk is de Chinese organisatie via de Nederlandse serviceverlener aan het werk gezet en hebben ze toen het door mij ontdekte probleem verholpen, maar ik geloof nooit dat ze daarna zelf de rest van hun systeem nog eens hebben doorgelicht (wat wel blijkt).

Destijds hadden zij 70.000 omvormers in Nederland, maar schijnbaar zijn er al heel wat vervangen aangezien Jelle er nog 'maar' 42.000 vond.

[djwice]

@JayStout Zie boven:
Pazo in 'Agentschap Telecom start onderzoek naar cybersecurity omvormers zonnepanelen'

[Reactie gewijzigd door djwice op 24 juli 2024 01:39]

[SniperGuy]

Dat (dat beveiligingslek wat in de link staat) gaat alleen werken als UPNP aanstaat of er poorten geforward worden. Normaal gesproken werkt dat niet. Dat is geen direct probleem van een Envoy, maar een configuratiefout in de router van de klant.
Dat kan fout gaan met alle apparaten in huis: printer, koelkast, IPcam etc. Als je klakkeloos poorten gaat forwarden ben je dom bezig!

[Pazo]

Ja, daar zit een deel van het probleem. Maar het feit is dat je van iedere Envoy adhv het (zichtbare) serienummer het admin wachtwoord kan genereren. Als het serienummer van de Envoy niet zichtbaar zou zijn, is het probleem al opgelost, ook al is de Envoy online benaderbaar.

[Reactie gewijzigd door Pazo op 24 juli 2024 01:39]

[trenjeska]

Het probleem is dan weer dat versie 7.x lokale access onmogelijk maakt.
Er MOET een token opgehaald worden op een externe website die onder beheer is van Enphase.

Verder EIST Enphase dat de apparaten door hun via het internet te bereiken zijn voor garantie claims.

(heb al uren met ze aan de telefoon gehangen om mogelijkheden tot aanpassing van de gebruikersvoorwaarden af te dingen, maar ze zeggen botweg: "gaat niet gebeuren, accepteer deze voorwaarden of we leveren niet of leveren geen garantie")

[Pazo]

Het probleem is dan weer dat versie 7.x lokale access onmogelijk maakt.
Er MOET een token opgehaald worden op een externe website die onder beheer is van Enphase.

Dat is niet helemaal waar, het is al gelukt om alsnog de data lokaal binnen te harken met versie 7, in bijvoorbeeld Home Assistant.
https://gathering.tweaker...message/72268882#72268882

[trenjeska]

"Hierna kon ik in Home Assistant de Envoy integration toevoegen (met IP-adres, mijn e-mailadres en wachtwoord van Enlighten account, en mijn Envoy serienummer, en het vinkje aan).
"

Dus nee: die plugin maakt contact met die website en scraped het token.
Ik ben bekend met deze HA plugin en is inderdaad beter dan niets, maar je moet nog steeds je cloud-account gegevens ingeven om er gebruik van te kunnen maken.

EDIT: extra info waarom er geen onvoorwaardelijke lokale toegang is tot je eigen data

Hier zelfs nog een recente commit die rechtstreeks het token refereert:
https://github.com/jrutsk...d5aa8a10d7823beabc5747f37

Die functie gebruikt dez url(s)
ENLIGHTEN_AUTH_FORM_URL = "https://enlighten.enphaseenergy.com"
ENLIGHTEN_TOKEN_URL = "https://enlighten.enphaseenergy.com/entrez-auth-token?serial_num={}"

[Reactie gewijzigd door trenjeska op 24 juli 2024 01:39]

[Cyb]

De Google Play app van de genoemde Solarman ziet er kwa privacy ook niet echt prettig uit:
https://play.google.com/store/apps/details?id=com.igen.rrgf

Permissies:

Device & app history
- read sensitive log data
Contacts
- read your contacts
Location
- approximate location (network-based)
- precise location (GPS and network-based)
- access extra location provider commands
Phone
- read phone status and identity
Photos/Media/Files
- access USB storage filesystem
- read the contents of your USB storage
- modify or delete the contents of your USB storage
Storage
- read the contents of your USB storage
- modify or delete the contents of your USB storage
Camera
- take pictures and videos
Microphone
- record audio
Wi-Fi connection information
- view Wi-Fi connections
Device ID & call information
- read phone status and identity
Other
- view network connections
- change network connectivity
- full network access
- modify system settings

Data safety:

No information available

Er zullen vast wel legitieme redenen te bedenken zijn waarom een zonnepaneelsysteem audio zou moeten kunnen opnemen, maar vraagtekens geeft het wel.

[Reactie gewijzigd door Cyb op 24 juli 2024 01:39]

[GertMenkel]

Locatie en GPS zijn logisch, er zit bijvoorbeeld een feature in om een inschatting van je opbrengst te berekenen.

Telefoonstatus en identiteit is waarschijnlijk voor tracking en telemetrie, dat wordt helaas getolereerd tegenwoordig.

Foto's, camera's en andere media lijkt me onderdeel van de social media-functie die in de app zit (om de een of andere reden).

Netwerkverbindingen wijzigen zal waarschijnlijk zijn voor het zoeken en verbinden met de omvormers en eventueel het instellen ervan. Het ding heeft ook internet nodig voor contact met de cloud want alles is helaas cloudgebaseerd tegenwoordig.

De uitgebreide trackinginformatie vind ik het meest storende hieraan, helemaal met het ontbreken van een databeschermingsdocument. De rest is te verdedigen voor de features die de app bevat, hoe stom die features ook zijn.

[Cyb]

Het gevaarlijke van "zal waarschijnlijk" is dat er fabrikanten zijn die weten dat mensen zo denken, en daardoor geneigd kunnen zijn om optionele features er in te zetten, puur en alleen zodat ze die permissie kunnen krijgen. Niet voor de optionele feature, maar voor tracking en telemetrie op de achtergrond. De optionele feature is dan meer een middel, een trojaans paard strategie.

Fabrikanten zouden eigenlijk zo veel mogelijk moeten proberen om alle schijn weg te nemen, door apps te ontwikkelen met zo min mogelijk permissies. Neem bijvoorbeeld een VPN app als Mullvad, waarvan je zou verwachten dat daar toch wel een redelijke hoeveelheid permissies in zou zitten, maar omdat ze zich op privacy focussen, is het aantal permissies slechts beperkt tot het minimale: view network connections, full network access.

[GertMenkel]

Wellicht, maar mijn punt is meer dat de aanwezigheid van veel permissies niet per se betekent dat ze erop uit zijn je telefoon te hacken en je bestanden te stelen.

Dat gezegd hebbende, de onnodige onzin die bij deze app inzit zou me wel doen twijfelen of ik een product van dit bedrijf zou willen. Niet alleen heb ik totaal geen interesse in social media voor mensen met zonnepanelen maar een bedrijf dat zoveel inzet op toegevoegde waarde en services klinkt niet als een hardwareproducent die voldoende geld binnenhaalt met hun hardware.

[sympa]

Ik verbaas me over de nauwkeurige locatie. De onnauwkeurige locatie is echt genoeg om te weten wat voor weer het is, hoe laat de zon onder gaat, etcetera.
Voor vrijwel elke app, met uitzondering van echte navigatie.

[geerttttt]

Ik geloof dat die scheiding er maar sinds kort is. Ergo als jij een app hebt ontwikkeld een jaartje of 2 geleden en je had toen iets met gps nodig, dan is de permissie vandaag de dag altijd "nauwkeurige locatie". Ten tijde van ontwikkeling was de optie voor onnauwkeurige locatie er nog niet.

[mjl]

GPS is toch niet nodig, bij een mobiel huis wellicht maar … bij installatie wordt dit toch gewoon in de portal ingevuld en klaar… identiteit is ook gewoon een statische registratie en hoort niet thuis in de omvormer zelf.

Als dan de portal gehackt wordt, tja … zorg dan dat alles netjes encrypted is..

[GertMenkel]

Als ik een app open en druk op "bereken hoeveel zonne-energie oplevert" dan is het wel handig als het kaartje in de buurt van mijn huis opent. Best lastig als de kaart midden in Peking opent.

Daar is geen nauwkeurige locatie voor nodig maar afhankelijk van je API target kan het zijn dat die distinctie er niet is voor oudere apparaten en in het manifest beide permissies moeten worden gedeclareerd.

[mjl]

Ik bedoel meer dat de portal weet aan de hand van je login wat de locatie van jou zonnepanelen is, een GPS module in een omvormer lijkt mij wat dat betreft overkill.

Toegang van de app tot jou GPS in de telefoon kan nuttig zijn als je wilt weten hoe zonnig het is op je huidige locatie

[WhiteDog]

Filmpje maken voor support? Als het goed is (iOS) zal een app daar ook alleen maar komen om vragen als het nodig is.

[musback]

Ik heb een Growatt omvormer met WiFi-stick en maak me hier al langer wat zorgen om...
Ik ga er vanuit dat als ik deze er uit trek, dat er niks mis gaat, maar misschien toch iemand die kan bevestigen of ik hem al dan niet veilig kan ontkoppelen?

Edit: @MSteverink en @EsEsDee Bedankt voor jullie input! De stick gaat eruit :-) Voorlopig is er geen echte nood aan data-opvolging, maar ik zal je voorstel/concept wel in het achterhoofd houden mocht ik ooit een digitale meter voorgeschoteld krijgen en ik m'n elektriciteitsverbruik meer wil afstemmen naargelang opbrengst.

[Reactie gewijzigd door musback op 24 juli 2024 01:39]

[EsEsDee]

De inverter blijft blijft gewoon zijn werk doen zonder die stick. Ik heb zelf een Growatt Wifi-S voorzien van alternatieve firmware, waardoor hij niets meer naar servers in China stuurt, maar alleen maar lokaal via mqtt zijn data naar mijn Domoticz stuurt.

Dit behoeft wel wat simpel electro werk, en de firmware flashen. Als je de Wifi-X variant hebt is er geloof ik zelfs geen modificatie nodig, en kan je hem gewoon inpluggen in je PC en de firmware uploaden

Ik heb een paar extra sticks (zowel usb en serieel) op voorraad en in bestelling, geef maar een gil als je meer info wil

edit: https://github.com/otti/Growatt_ShineWiFi-S

[Reactie gewijzigd door EsEsDee op 24 juli 2024 01:39]

[Teun!]

Werkt de alternatieve firmware ook voor mijn Growat 1000S? Ik heb hier momenteel geen WiFi dongle voor maar zou er (enkel en alleen) wel interesse in hebben als deze firmware inderdaad alleen lokaal werkt, met Home Assistant in mijn geval. Ik zou ook graag meer willen weten over dit "electro" werk. Daar heb ik zelf minder vertrouwen in dan een keertje de firmware flashen. Kan ik hier ergens meer over lezen?

[EsEsDee]

Zeker! Ik heb zelf de Growatt 2000-S dus dat is dezelfde serie. Het electro-werk bestaat uit de dongle extern voeden, en een GPIO-pin naar ground zetten tijdens boot om flashmode te enablen. En dan natuurlijk usb-serial aansluiten op je PC om de firmware in te laden.

Op deze pagina is alles terug te vinden. Een aantal dingen waar ik niet uit kwam (Arduino IDE instellingen) kon ik oplossen door te speuren in de issues: https://github.com/otti/Growatt_ShineWiFi-S

[MSteverink]

Ik heb mijn Growatt nooit op wifi aangesloten, en die produceert gewoon stroom.
Beantwoordt dat je vraag een beetje?

[Muncher]

Hoe heeft de gemiddelde Tweaker dit op netwerkniveau ingericht? Is je omvormer op het internet aangesloten? Zit het in een aparte vlan?

Ik krijg zelf begin volgend jaar panelen. Ik geloof dat de omvormer van SMA is. Maar eens uitzoeken of ik de data daaruit kan peuteren en kan inlezen via HA. De data hoeft niet echt het netwerk uit dan lijkt mij.

[J_van_Ekris]

Bij mij heb ik een apart SSID met VLAN met dedicated subnet voor alle IoT meuk: alleen een pijp naar buiten met LAN-isolation. In mijn draadloze netwerk gebruik ik MAC-filtering, dus ik duw ze ook vrij brute force dat SSID, VLAN en subnet in. Alles op het echte interne netwerk weet bovendien dat het desbetreffende subnet niets mag, en servers en Linux clients blokkeren en alarmeren actief op pogingen tot communicatie vanuit dat subnet (simpel firewall regeltje).

Er gebeurt in praktijk niets (of ik zie het niet), maar ik slaap er wel rustiger door. Ik zit niet zo rustig als je bijvoorbeeld via het nieuws hoort dat "IoT product X" zo lek is als een mandje en actief misbruikt wordt voor ransomware aanvallen. En zo'n eigen SSID met VLAN en eigen subnet is op de betere routers ook niet zo moeilijk in te regelen.

[Omnicron1]

Kijk lees hier hoe het ook kan. Ik heb exact hetzelfde gedaan. Micmac filtering, firewall en een pijpje naar buiten via lan, achter de modem. die ik nauwlettend in de gaten houd.

[turboproc]

Ken de gemiddelde Tweaker niet, maar inderdaad, niet aansluiten op internet (via de WiFi module van de leverancier). Gewoon via een modbus adapter uitlezen met een Raspbery PI. Omvormer is daardoor helemaal niet verbonden met het netwerk.

En als je her per se wil, maak dan een apart VLAN voor IoT aparaten. Vanuit dat VLAN alleen toegang tot het Internet maar geen toegang tot andere devices.

[Reactie gewijzigd door turboproc op 24 juli 2024 01:39]

[Omnicron1]

Voordeel is wel dat als je via Wifi aan het net gekoppeld bent je vreemd genoeg niet zo ontvankelijk bent voor hacks, juist omdat deze infra achter de poorten van de modem schuilgaan

[TheDutchChief]

Solaredge bedraad aangesloten in IoT-vlan (in dat vlan kunnen apparaten in principe niet met elkaar praten. Alles sowieso via een pihole. Kun je meteen zien wat die omvormer doet (op de router kun je nog meer zien natuurlijk. Domoticz (ander vlan natuurlijk) leest de solaredge uit via de modbus plugin. Samen met het uitlezen van P1 heb je echt een veel beter overzicht.

Heb hem dus niet helemaal afgesloten. Dit ivm service van mijn zonnepanelenboer.

[Thamell]

Mijn gastennetwerk is bij het netwerk voor alle apparatuur die ik minder vertrouw. Omvormer, wifo beveiligingscamera en de slimme thermostaat zit er op.

Beter dan niets...

[bartvb]

Hier een Huawei omvormer. Bedraad aangesloten, IoT VLAN zonder toegang tot internet, zelf uitlezen via Modbus.

[twdikkert]

SMA is een prima apparaat. Zorg wel dat je het installateur password krijgt, en niet gebruiker, omdat je hier net wat meer ziet. B.v. de events waarbij de netspanning te hoog wordt en je omvormer van het net gehaald wordt. Je kan niets fout doen omdat de gevaarlijke instellingen al snel gelocked worden. Dacht na 24 uur.
Kan prima zonder internet, maar is denk ik wel nodig voor firmware updates.

[mjl]

Apart vlan (voor IOT/Guest) wel aan internet (niet de omvormers direct maar een apparaat die de data verzameld en doorstuurt) maar ook gekoppeld aan home assistant om data lokaal uit te lezen (en ooit eens wat logica toe te passen om eigen verbruik te optimaliseren). Als die module geen verbinding heeft of ik de ethernet kabel er uit haal gaat de productie gewoon door, data wordt dan gebufferd tot er weer internet is.

[twmichel]

Je moet die dingen ook geen internet toegang geven, hoe handig dat misschien ook is.

Het lijkt me niet de bedoeling dat je Xi Jinping of hackers potentieel de controle geeft over een belangrijk deel van de nederlandse energieinfrastructuur.

[Ultimus XI]

Eens. Ik heb de aparte wifi-module van mijn omvormer zelfs niet eens aangesloten. Leuk, grafiekjes en dagelijks zien wat je opbrengst is, maar dat heb je na een paar keer ook wel gezien. Woehoe, nieuw record, nou boeiend! Ik vind het dan eerder zonde dat een deel van die recordopbrengst dan gaat naar die wifi-module zelf.

[Clevergyno]

Totdat voor een of andere rede je stop eruitschiet van de panelen en je twee weken later pas erachter komt dat de panelen geen zak gedaan hebben. Ik ga niet elke keer naar de wei lopen om op de omvormer te tuuren.

[Ultimus XI]

Bij ons liggen ze op het dak en is de omvormer op zolder duidelijk zichtbaar met statuslichtjes. Een risico bij ons zou zijn als één van de panelen het ineens niet doet, wat je anders misschien door zou hebben als je je overzichten in de gaten houdt, maar als hij het helemaal niet zou doen (stop erdoor), zouden we dat snel door hebben.

Natuurlijk is elke situatie anders en wil je in jouw geval sneller de informatie. Echter, ik reageerde met 'eens' vooral op het punt dat je ze niet via het internet wil laten lopen. Via lokaal (Wifi) netwerk is al een stuk veiliger, maar ook dat vind ik in mijn situatie niet nodig.

[Cergorach]

Daar zijn ook andere oplossingen voor te vinden. Je zou ook iets kunnen bouwen dat een signaal stuurt wanneer de panelen niet werken. Daar hoef je helemaal geen wifi voor te gebruiken, je zou prima een uitgaand signaal kunnen maken die je thuis opvangt en je op een display thuis een alarm krijgt dat de panelen niet werken.

[beerse]

Voor dergelijke signalen zijn best veel standaarden beschikbaar. De omvormer hier op zolder uit 2013 heeft geen wifi maar wel blue-tooth. Daarmee kan ik er in ieder geval iets mee. Ik moet er niet aan denken dat ze daar een ander/eigen signaal voor zouden gebruiken, dat stoort zo lekker op alle andere apparatuur.

[Cergorach]

Als het in huis zit, zet je BT uit en gebruik je kabel. Het voorbeeld van Hebbocake was specifiek panelen in een weide, natuurlijk kan je daar een kabel voor leggen (dat doe je immers ook voor je stroom), maar het kan ook anders.

[beerse]

Het probleem met die kabels is dat daar dan ook weer een protocol voor de bekabeling, stekker en communicatie is. Deze jongen is wel blij met de bluetooth verbinding, omdat er tegenwoordig niet veel laptops meer zijn met een echte seriële rs232 aansluiting. Nu gaat het signaal als 'seriëel' over BlueTooth.

En communicatie over een powerline heeft al zo veel standaarden en bijgaande storing en verstoring, dat is net zo iets als via de ether (en via een ethernet kabel).

Voor panelen in de weide ga ik er van uit dat die gegroepeerd op een omvormer zijn aangesloten. Niet allemaal een eigen omvormer en ook niet allemaal op de zelfde omvormer. Het is dan die omvormer die ook de communicatie en het beheer doen. Gezien de afstand en hoeveelheid zou ik die dan bekabeld willen aansturen en bedienen, bijvoorbeeld via een ethernet verbinding.

[sympa]

Ik zou denken aan een alarmpiepertje als er iets mis is.

[J_van_Ekris]

Ik zou denken aan een alarmpiepertje als er iets mis is.

Je beseft dat 99% van de storingen identiek is aan de situatie die 's nachts plaatsvindt: er loopt weinig/geen stroom? Je moet best wat over panelen weten voordat je met enige zekerheid kunt vaststellen dat het gebrek aan stroomlevering komt door een storing in plaats van natuurlijke omstandigheden. Ik heb wel eens proberen te vergelijken met panelen in de buurt, maar de plaatsing is soms anders, wat enorm veel uitmaakt.

[Cowamundo]

Kun je het niet gewoon op een vlan laten draaien zodat je er intern wel toegang toe hebt maar de connectie naar buiten gewoon afsluit?

[Teun!]

Als ik mijn slimme meter uitlees met de slimmelezer+ kan ik zien wat ik teruglever (maar niet wat ik direct verbruik van de opgewekte energie) dus dit zou voor mensen in deze situatie misschien een oplossing kunnen zijn voor het uitval scenario.

[Deveon]

Hier inderdaad gewoon een domme omvormer. Zelfs al wil je graag je eigen stroom verbruiken dan kan je beter je meter uitlezen.

[System]

Maar zodra je een thuisaccu hebt ben je zeer weinig met de data van uw energie meter.

[Blokker_1999]

Nee hoor. Je ziet direct of je aan het net aan het leveren bent en hoeveel. De batterij kan dan exact bepalen hoeveel er geladen kan worden. Als je zuiver je paneelopbrengst gaat laden, gaan je verbruikers thuis alsnog stroom van het net halen.

[toekie]

Ik heb daar bij de installatie van mijn panelen expliciet over gevraagd bij meer dan 10 installateurs. Ik kreeg consequent te horen dat als ze wifi verbinding bewust werd uitgeschakeld/verbroken mijn garantie vervalt en ik niet verzekerd ben bij welke schade dan ook. Dus heb er uiteindelijk maar genoegen mee moeten nemen al wilde ik zelf ook graag domme omvormers en dan hang ik het zelf aan HA en zo kan ik dan alsnog netjes al het verbruik lokaal zien en niet via een of andere server die weet ik god waar staat van een leverancier.... Heb de wet er niet op nagekeken, maar voelt mij toch wel wat onwettig aan dat ze dat zomaar mogen eisen.

[Omnicron1]

Wat een onzin.
Wat wel zo is dat ze via een achterdeurtje mee kunnen kijken via het internet.
maar de installatie kan makkelijk draaien zonder I-net acces. Das eigenlijk alleen maar voor error logging en of je Apje op de telefoon.

Vel mensen vermoeden dat de omvormer uit gaat vie deze kanalen, maar dat is niet zo.
Dat ligt o.a. aan de net beheerder. ( Ten-Net) Engie o.i.d.. als die zien dat de werkspanning te hoog oploopt dan helpen ze de omvormer door deze doelbewust wat hoog te houden, waarop het interen beveiliging circuit er dan voor zorgt dat de omvormer uitgaat, of in een zgn, slaapstand gaat staan en niets meer levert
Anders loopt de stroom in de distributie netten te hoog op dat resulteer weer in lokale warmte ontwikkelingen met als mogelijk gevolg sluiting of erger doorbranden van bepaalde circuits.

[beerse]

Dat die apparaten zijn ingesteld op een bepaald wifi kanaal en dat die daarna wegens hardware storing is vervangen en de panelen zijn 'vergeten' opnieuw aan te sluiten... Daar moet zo'n garantie bepaling heel goed tegen kunnen.

[Sissors]

Read only toegang voor monitoring zou prima zijn. Maar dan moet je het wel echt gescheiden hebben.

[Luchtbakker]

Er bestaan honderden fabrikanten waarvan een groot deel Chinees die niet zo happig zijn in hun software actief te patchen.

Dit had vanaf dag 1 al gecoördineerd moeten zijn. Alleen omvormers van fabrikanten met garanties. Alleen dan had je het voorkomen.

Nu heb je een wildgroei waar je niets meer aan doet.

[Caayn]

Ook bij niet Chinese wil het nog wel eens lastig zijn. Bij bijvoorbeeld Solar Edge ben je afhankelijk van de installateur of hij updates voor jou doorvoert.

Solar Edge maakt wel updates maar de installateur moet deze goedkeuren en uitvoeren

[Fidler]

Bij Solar Edge kan je zelf vrij makkelijk een installateur account aanvragen en daarna jouw adres/installatie koppelen. Dan heb je zelf de controle weer. Maar dan natuurlijk ook zelf verantwoordelijk om de installatie in de gaten te houden.

[cold_as_ijs]

Thanks voor de tip, heb nu een account aangemaakt.
Btw nummer was nog een dingetje, vooral omdat het voorbeeld van de KVK al in gebruik was

[Dennahz]

Bedankt voor de tip!

[WhiteDog]

Als je installatie na een update "ineens" niet meer werkt is het de installateur die jij zal opbellen en die mag langskomen. Bekijk het ook even vanuit dat standpunt

Het lijkt me aan SolarEdge om hun producten degelijk genoeg te maken en van voldoende failover te voorzien. En dan nog zal het misgaan (en denkt je oven opeens dat hij een theepot is).

Heb zelf liever een domme omvormer die wat raw data doorgeeft aan een vrij te kiezen slimme systeem, maar dat is niet wat Jan modaal wil

[WillySis]

Aangezien er nogal vaak installateur failliet gaan, betekent dat in veel gevallen dat de ondersteuning en updates komen te vervallen. Updates moeten gewoon de verantwoordelijkheid van de fabrikant te blijven.

[Omnicron1]

Niet helemaal. veel updates lopen op de achtergrond vie of je wifi/lan connectie
Ja als de omvormer kaduuk gaat wordt er gewoon ene nieuwe geplaatst met alle recente updates erop.
tussentijds hoft dat niet perse.

[Bor]

tussentijds hoft dat niet perse.

Totdat er een bug is welke echt nadelig is voor bijvoorbeeld de opbrengst of veiligheid. Dan blijken die updates ineens wel weer nodig.

[J_van_Ekris]

Alleen omvormers van fabrikanten met garanties. Alleen dan had je het voorkomen.

Daar heb je niet zoveel aan als je leverancier op Chinees grondgebied zit en zichzelf probleemloos failliet laat gaan. Omnik heeft alles ook gewoon op zijn beloop gelaten waarna ze failliet zijn gegaan en je als consument naar fabrieksgarantie kunt fluiten. Die fabrikanten doen dit er ook maar een beetje bij (net als veel IoT spullen overigens), ze schuiven omvormers, die software is niet hun kern-competentie.

Enige serieuze oplossing is een gestandaardiseerde interface naar de hardware en dan (Europese) Open Source daar bovenop. Dan pak je het wel structureel aan.

[blorf]

Een certificering afdwingen zou kunnen. Laat elk consumentenapparaat met online-activiteit verplicht gepaard gaan met een exacte specificatie van alle verbindingen naar buiten die gemaakt worden.
Digitale produkten die afhankelijk zijn van externe services mogen best een waarschuwings-symbool krijgen. Een probleem daarbij is wel dat een heleboel "Westerse" apparaten dan ook nat gaan...

[J_van_Ekris]

Probleem is dat je niet weet waar je zwaktes zitten. Natuurlijk zou je een basale test kunnen doen, maar als na rollout er issues ontdekt worden die niet meer opgelost gaan worden, dan ben je nog even ver van huis.

Zelf denk ik dat je dit soort spul moet laten uitlezen door spul dat door de consument wel te patchen valt, zoals de P1 poort van de slimme meter ook werkt. Het is niet de slimme meter die aan het internet hangt, maar een Domoticz, die zich wel laat patchen.

[Zer0]

Een probleem daarbij is wel dat een heleboel "Westerse" apparaten dan ook nat gaan...

Een ander probleem is dat veel apparaten waarschijnlijk duurder gaan worden..

[HakanX]

En een ander probleem is dat onze eigen overheden dan ook toegang tot kunnen eisen al dan niet in de vorm van een backdoor. Ik heb liever dat geen overheid toegang tot mijn apparaten heeft waar we wederzijdse verplichtingen tegenover elkaar hebben, want dan onstaat er een machtspositie welke openstaat voor misbruik.

[Muncher]

Verschil tussen Huawei en SMA spul, was ongeveer 350 euro. Dat heb ik er wel voor over.

[Zer0]

Tja, ook SMA spul zal mogelijk duurder worden als het gecertificeerd moet worden....
Mogelijk kost het hen zelfs meer als relatief klein bedrijf ten opzichte van Huawei.

[WillySis]

Chinezen en software ontwikkelen gaat niet heel goed samen. Zeker als het gaat om software die speciaal bedoeld is om diverse hardware aan te sturen.
Eigenlijk is er wel een centrale regeling nodig om problemen met besturingssoftware in de toekomst te voorkomen. Op zijn minst zal de software ergens in Europa opgeslagen moeten worden voordat dit soort apertuur in Europa verkocht mag worden. Voor auto's moet dat natuurlijk ook gelden.

Een zoveel mogelijk gestandaardiseerde interface is uiteraard een goed idee. Open Source zal bij veel fabrikanten op verzet stuiten, maar wanneer een fabrikant failliet gaat of niet aan de update verplichting voldoet zou de software gewoon zonder pardon als open source vrijgegeven moeten worden.

[canonball]

hier ook een Omnik. Je kunt het veilig maken, maar default is het niet optimaal. Probleem wat ik zie is hoe je iets default veilig maakt, maar ook voor zorgt dat een gebruiker die niet weet waar hij mee bezig is het ook veilig houd, terwijl wel gebruiksvriendelijk blijft. OP de omnik staat bv standaard een hotspot aan, handig om verbinding te maken maar natuurlijk niet veilig.

[kodak]

Er valt prima wat aan die wildgroei te doen: de eigenaren van die apparatuur hun verantwoordelijkheid laten nemen niet zomaar genoegen te nemen met producten en diensten die voor anderen grote problemen kunnen opleveren. Verantwoordelijkheid die men al hoort te nemen en dus kan verwachten dat die alsnog genomen moet worden.

[J_van_Ekris]

Er valt prima wat aan die wildgroei te doen: de eigenaren van die apparatuur hun verantwoordelijkheid laten nemen niet zomaar genoegen te nemen met producten en diensten die voor anderen grote problemen kunnen opleveren. Verantwoordelijkheid die men al hoort te nemen en dus kan verwachten dat die alsnog genomen moet worden.

Verantwoordelijkheid die men niet kan nemen omdat de gemiddelde consument gewoon de ballen verstand van electriciteit en security heeft. Dus dan kun je het daar wel neerleggen, maar dat gaat in praktijk gewoon niet werken. Als je iets doet, moet het op Europees niveau bij toelating tot de EER.

[kodak]

Misschien klinkt het gek, maar verantwoordelijkheid nemen wil ook zeggen dat als je niet weet of het verstandig is je dus deskundige hulp inschakelt of het niet koopt. Dat mensen daar niet aan denken of willen is niet snel een excuus om de verantwoordelijkheid dus maar helemaal niet te nemen.

[HakanX]

De mensen die er geen verstand van hebben, weten dus ook niet dat het verstandiger is om het dan niet te doen vanwege de gevaren die kunnen ontstaan waarvan ze niet bewust zijn vanwege het feit dat ze er geen verstand van hebben.

Als dit een nationaal gevaar kan veroorzaken, zoals het platleggen van het net. Dan ligt de eindverantwoordelijkheid gewoon bij de overheid.

[J_van_Ekris]

Misschien klinkt het gek, maar verantwoordelijkheid nemen wil ook zeggen dat als je niet weet of het verstandig is je dus deskundige hulp inschakelt of het niet koopt.

Dat doet de consument, dat heet een installateur. Probleem is dat je met installateurs je in praktijk al blij moet zijn als deze alles volgens de wettelijk verplichte normen (zoals de NEN1010 en installatievoorschriften) afhandelt.

En zelfs de goede installateurs hebben de ballen verstand van cybersecurity. Ze hoeven dat ook niet te hebben, net zo min als een installateur verstand hoeft te hebben van de electrische eisen waaraan de binnenkant van een omvormer dient te voldoen. Daar heb je het stelsel van toelatingseisen vanuit CE voor: douane en product-certificeerders hebben daar een rol, maar als het op de markt verkocht wordt moet het veilig zijn, dat kun je echt niet aan de installateur of consument overlaten.

Dit is zoals productveiligheid nu werkt (ben als certificatiemanager bij KEMA onderdeel van die keten geweest) en het is ook de enige kosteneffectieve manier om het te organiseren. Zie je het voor je dat je voor 10.000 installateurs verantwoording mag afleggen hoe een ontwerp is opgebouwd, waarbij sommige zaken serieus bedrijfsgeheim zijn?

[Reactie gewijzigd door J_van_Ekris op 24 juli 2024 01:39]

[Sebazzz]

Goed idee, bij Goodwe omvormers kan je niet eens het wachtwoord van de webinterface (admin/admin) of de wachtwoordcode van de instellingen via de app wijzigen (123456789). Via SolarGo kan je wel de pincode wijzigen maar alleen in een viercijferige pincode. Tegelijkertijd kan je wel via die app alle netparameters wijzigen.

[Reactie gewijzigd door Sebazzz op 24 juli 2024 01:39]

[ComputerGekkie]

Wat is dan nog het idee van het wachtwoord vraag ik me dan af. Er zijn mensen die het kunnen proggen, lijkt me dan toch ook dat ze snappen dat dat niet veilig is? Alhoewel ik bij mijn studiegenoten soms ook twijfel aan de kunde terwijl we universitair informatica studeren…

[CEdS]

Bij mijn Goodwe omvormer kan ik dat allemaal wel aanpassen.......en niett alleen naar een 4 cijferige pincode.

[Omnicron1]

Op solaredge ook. da's simpel aan te passen

[dunklefaser]

Die pincode voor Owner of Installer is totaal irrelevant, ben je een keer aangemeld op een omvormer in de een of andere rol kan je gewoon op een andere Goodwe omvormer met de WiFi connecten (AP-modus).
Een nieuwe autorisatie via een PIN is dan niet meer nodig, ook zijn de PIN's totaal anders.

[D0phoofd]

Goedkoop is duurkoop toch?
Op mijn oude adres verzorgde de wongingbouw nieuwe zonnepanelen, en mij werd geacht om dat ding aan het internet te hangen.
Na kort rondsnuffelen in dat apparaat blijkt er een hardcoded ipv4 adres in dat ding wat dus al zijn telemetrie naar china stuurt. SolarMan heette dat inderdaad. Dat vertrouwde ik dus voor geen meter. Al helemaal na het zien van de site.

De ban van Trump op o.a. Chineese apparatuur was misschien zo heel gek nog niet, vanuit een technisch en beveiligings standpunt.

[Reactie gewijzigd door D0phoofd op 24 juli 2024 01:39]

[habbekrats]

Kun je prima blokkeren ineen beetje fatsoenlijke router. Doe ik ook alleen lokaal voor de HA integratie.

Omnik had dit ook alleen is failliet en meneer Solarman dacht dit over te nemen en de klantjes 2 maandjes gratis toegang en daarna betalen.
Nu blokkeer ik dat al een hele tijd en bij de overgang kreeg ik van Solarman bericht dat mijn omvormer er niet meer was. Ze gingen er vanuit dat deze kapot was. Mooi niets meer aan doen.

Voor de mensen die toch logging willen en verder niet te veel klooien willen
https://www.omnikportal.net/

[Reactie gewijzigd door habbekrats op 24 juli 2024 01:39]

[D0phoofd]

ja kei vet en zo dat je dit blokkeert. Dat deed ik ook. Dat val vast voor iedere andere tweaker gelden met soortgelijke instelling. Maar dat gaat dus compleet voorbij het punt van mij en het artikel. Je wilt je eigen *landelijke* infrastructuur beschermen.

[habbekrats]

Dan moet er echt wel meer gebeuren dan alleen pv omvormers. 95% van alle spul draait op Chinees/Taiwin chips met wat software. Neem alle tuya apparaten maar eens, lekker bij iedereen alle lampen aan en uit knallen.
Wat niet bekend is of omvormers ook over internet te bedienen is, dat zou inhouden een secret set commando's.

[D0phoofd]

Volgens mij heb je het hele moraal gemist van het artikel.
Het gaat namelijk over de veiligeid van het stroomnet. De vraag is letterlijk n.a.v. het onderzoek; kunnen de betreffende omvormers mogelijk gebruikt worden voor kwaadaardige acties tegen NL/EU infra(?).

Dat je lampje gehackt kan worden zal niemand wat boeien. Echter, wanneer je zo'n vloot aan omvormers kan bedienen, kan ik mij wel voorstellen dat je daar enge dingen mee kan doen.

[quazar]

Jammer dan zonnepanelen niet gewoon een P1-poortje hebben. Of dat je ze via USB aan een raspberry of commercieel alternatief kunt hangen.

[basvkesteren]

Sunspec doet dit eigenlijk wel, veel inverters ondersteunen dat. Is een modbus over ethernet interface, is heel mooi met een raspberry uit te lezen.

[TheDutchChief]

Ik lees mijn solar edge ook uit via modbus met domoticz. Solaredge zonder WiFi laten installeren op een iot-vlan. Modbus-poortje open laten zetten en domoticz-plug-in geïnstalleerd.

[wondexx]

Wellicht ook een idee om te onderzoeken hoe veilig slimme thermostaten en bijbehorende server (connectie) zijn.

[sypie]

Jij weet misschien hoe dat moet. De gemiddelde Henk en Ingrid weten dat niet en zijn allang blij dat "iets" het doet.