Wifi-omvormer zonnepanelen beveiligen
Als je zonnepanelen hebt, geniet je van veel voordelen. Zo is de stroomrekening lager en is het goed voor het milieu. Helaas zijn er ook wat nadelen en problemen en dan met name op het gebied van de beveiliging van je zonnepanelen. Lees hier hoe dat zit met wifi-omvormers.
Wat is een wifi-omvormer?
Zonnepanelen zetten zonne-energie om in gelijkstroom. En daar heeft ons wisselstroomnet niks aan. Daarom moet er een omzetting plaatsvinden door de zogenaamde omvormer, een apparaat dat de opgewekte gelijkstroom verandert naar wisselstroom en deze vervolgens aan het net levert. Veel van die omvormers bieden de mogelijkheid om basisinformatie over de zonnepanelenset uit te lezen. Op een display kun je dan bijvoorbeeld zien hoeveel stroom er per dag opgewekt wordt en of de panelen goed werken.
Als de omvormer wifi aan boord heeft kun je veel uitgebreidere gegevens bekijken via een website en/of een mobiele app. Via wifi streamt de omvormer via zijn ingebouwde accesspoint alle data de lucht in, op te pikken door iedereen met de juiste toegangsgegevens. De standaardinstellingen van de beveiliging zijn vaak niet zo best en het is dus belangrijk om alles eens rustig na te lopen en juist in te stellen.
De gevaren zitten hem in een aantal dingen die we hieronder zullen uitlichten. Bekende merken omvormers zijn SMA, Goodwe, Steca en Omnik.
Standaard configuratie
Het is erg gevaarlijk als je een nog niet geconfigureerde wifi-omvormer met het netwerk verbindt. Het probleem is dat veel wifi-omvormers een standaardnetwerk (accesspoint) opzetten met een bekende naam, beveiligd met een bekend en voor de hand liggende standaardwachtwoord. Maakt iemand verbinding met je wifi-omvormer, dan heeft die persoon daar de volledige controle over. Maar daarmee stopt het niet.
Als iemand in de omvormer kan inloggen, zou deze persoon eventueel ook het wifi wachtwoord en de netwerknaam van het thuisnetwerk kunnen achterhalen. En als de omvormer geen scheiding heeft tussen het wifi-accespoint en het gewone wifi-net, kan men via het wifi-access point zelfs direct in het thuisnetwerk terechtkomen. En een hacker die toegang heeft tot het thuisnetwerk kan bijvoorbeeld gekoppelde apparaten manipuleren, persoonlijke informatie stelen of mailware uploaden.
Zorg er dus voor dat je voordat je de wifi-omvormer opzet en echt in gebruik neemt eerst de netwerkfuncties uitschakelt, om te voorkomen dat de standaard-wifi voor iedereen beschikbaar is. Het standaardwachtwoord van een niet-geconfigureerde wifi-omvormer van Goodwe is bijvoorbeeld 12345678.
Helaas kan het zo zijn dat je eigen wifi niet sterk genoeg is om de wifi-omvormer te bereiken; de omvormer is immers vaak op zolder geplaatst. Wijzig dan op zijn minst het standaardwachtwoord van de omvormer, of investeer in een wifi-extender of mesh-wifi-netwerk voor betere dekking in huis.
Wachtwoord omvormer wijzigen
Een belangrijk gevaar is dat veel omvormers nog het standaardwachtwoord hebben. Bijvoorbeeld admin als gebruikersnaam en wachtwoord. Dat is natuurlijk erg onveilig, maar gelukkig heel eenvoudig te wijzigen. Raadpleeg daarvoor even de handleiding van je wifi-omvormer. Maar daarmee zijn we er nog niet; een ander probleem is dat er vaak nog een speciaal account is voor de installateur waarbij ook nog het standaardwachtwoord actief is en dat moet je maar net even weten. De enige mogelijkheid die je dan hebt is om de installateur te bellen, te vragen om die speciale inloggegevens en ze handmatig wijzigen of vragen of de installateur ze wil wijzigen.
Natuurlijk wordt dit pas echt een risico als je omvormer van buitenaf beschikbaar is, wat helaas bij veel omvormers het geval is.
Voor een Goodwe-omvormer wijzig je het wachtwoord als volgt. Log in met ‘admin’ als gebruikersnaam en wachtwoord en ga naar het tabblad Device Management en dan naar Administrator Settings. Daar kun je een nieuwe gebruikersnaam en wachtwoord invullen. Klik op Apply om deze wijzigingen actief te maken.
Voor een Omnik-omvormer geldt ook dat je er standaard in komt met ‘admin’ als gebruikersnaam en wachtwoord. Daarna ga je naar het tabblad Account en kun je de inloggegevens wijzigen.
Wachtwoorden SMA Sunny Boy
Bij de omvormer van SMA zijn twee accounts standaard aanwezig: een gebruikersaccount en een installateursaccount. Gelukkig kan je voor beide het wachtwoord wijzigen. Als normale gebruiker kun je inloggen met vier keer 0 (nul) en als installateur log je in met vier keer 1. Bij SMA is het zo dat de gehele opzet uit meerdere losse apparaten bestaat, waar je je ook individueel op kunt aanmelden. Je kunt voor elk apparaat individueel unieke wachtwoorden instellen.
Om het wachtwoord te wijzigen in de Sunny Webbox ga je naar het tabblad WebBox / Instellingen / Veiligheid. Vervolgens kun je bij Gebruiker Wachtwoord een nieuw wachtwoord invullen voor de account gebruiker. Doe hetzelfde dan bij Installateur wachtwoord. We zitten nu op twee wachtwoorden, maar er is nog een wachtwoord dat gewijzigd moet worden, namelijk het Installatiewachtwoord. Daarvoor ga je naar Instellingen / Gebruikersrechten (alle apparaten) / Bewerken. Nu kun je een nieuw wachtwoord invullen voor alle apparaten of per apparaat individueel. Klik daarna op Opslaan.
Overigens is het niet alleen maar negativiteit wat de klok slaat. Het kan ook goed: bij bijvoorbeeld bepaalde types SMA-omvormers - welke precies is onduidelijk - is security wat beter geregeld, bijvoorbeeld door middel van een WPA-beveiligd draadloos netwerk met als wachtwoord het serienummer, waarvoor je fysiek toegang moet hebben tot de omvormer om het serienummer in te zien. Je moet dan direct na het aanmelden een nieuw wachtwoord en gebruikersnaam instellen en ook het WPA-wachtwoord wijzigen. Zo kan het dus ook en hopelijk pakken andere wifi-omvormerfabrikanten dit op.
Firmware-updates
Nog een risico: firmware-updates. Bij sommige wifi-omvormers worden die namelijk handmatig geïnstalleerd. Een beveiligingslek is dan een serieus risico als elke omvormer individueel en handmatig gepatcht moet worden, in plaats van automatisch.
Bij sommige omvormers is het helaas zo dat, als je al verbinding hebt gemaakt, alles hebt ingevuld en je wachtwoorden hebt gewijzigd, het wifi-wachtwoord simpelweg als ongecodeerde tekst in de wifi-omvormer wordt opgeslagen. Natuurlijk is de aanvalsvector klein, maar het getuigt opnieuw van geen goede instelling dat dit zo onveilig wordt opgeslagen.
Daarnaast zijn de omvormers zelf niet goed beschermd tegen bruteforce-aanvallen. Je kunt ongelimiteerd wachtwoorden uitproberen. Het is dan belangrijk dat deze omvormers niet zomaar open aan het internet hangen. Ook wordt het dan wel erg belangrijk om een sterk wachtwoord te gebruiken: gebruik bijvoorbeeld KeePass om het langst mogelijke wachtwoord dat je omvormer accepteert te genereren (bij bijvoorbeeld SMA is dat slechts twaalf karakters!).
Aanval op SolarEdge
Dat bruteforcing een echt issue is, bewijst Fred Bret-Mounet uit Californië. Die voerde een bruteforce-aanval uit op een service die verliep via de onbeveiligde http-verbinding van zijn eigen zonnepanelenset. Na 36 uur was de bruteforce gelukt en de gebruikersnaam en wachtwoord geraden: admin en support. Via de IoT-zoekmachine Shodan kon hij eenvoudig andere zonnepanelen van hetzelfde merk vinden die via de http-verbinding met het internet waren verbonden.
Als hij van kwade wil zou zijn geweest had hij flinke problemen kunnen veroorzaken voor die gebruikers. Maar, dat was nog niet alles. Eenmaal ingelogd in de geheime installateursportal werd duidelijk dat er een vpn-verbinding actief is met het installatiebedrijf. Was het hem gelukt daarmee te verbinden, dan was de kans groot dat hij alle zonnepanelen van de installateur Tigo kon bedienen. Het probleem bleek overigens dat er per ongeluk duizend debug-omvormers geleverd waren die niet bedoeld waren voor klanten.
De omvormers van SolarEdge waren tot en met december 2015 kwetsbaar voor een man-in-the-middle-aanval. De verzonden commando’s naar SolarEdge werden alleen gecontroleerd met een CRC, die te kraken was door de code te decompilen. Daarna zou je eenvoudig commando’s uit kunnen voeren op die omvormers.
Waarom wifi?
Je vraagt je overigens misschien af waarom wifi-omvormers überhaupt met het internet zijn verbonden. Een van de redenen hiervoor is, naast het inzien van het verbruik op een eenvoudige manier, dat de installateur in de gaten kan houden of alles nog goed werkt en er direct actie op kan ondernemen als dat niet langer het geval is.
Dat is echter slechts een voordeel ten opzichte van vele nadelen. Om die nadelen weg te halen, zou je het volgende kunnen doen: koppel je wifi-omvormer niet aan het internet. Een drastische maatregel, maar gezien het gebrek aan beveiliging vanuit de fabrikanten is het ook meteen de enige optie. Als eerste zou je eens kunnen kijken wat vanuit je router de mogelijkheden zijn.
Waar je dan bijvoorbeeld aan kan denken, is om ouderlijk toezicht in je router in te schakelen. Je kunt vaak met ouderlijk toezicht eenvoudig instellen dat het apparaat geen internettoegang krijgt. Je kunt er dan nog wel vanaf je lokale netwerk bij, maar het apparaat maakt dan in ieder geval geen verbinding meer met het internet. Let wel op dat dit niet voor alle omvormers zal werken: sommige vereisen mogelijk een internetverbinding.
Vergeet de rest van het netwerk niet
Een andere risicofactor is dat de aanval van binnenuit komt, zoals bijvoorbeeld een stukje malware op je pc, die op zoek gaat naar een wifi-omvormer op het netwerk en deze alsnog rare dingen laat doen. Het is dan ook belangrijk om je eigen (netwerk)beveiliging goed op orde te hebben. Je zou er aan kunnen denken om je netwerken te scheiden. Dan kun je de wifi-omvormer aan een andere router en dus netwerk koppelen. Als je die router aan de modem hangt en je eigen router weer koppelt aan de speciale router voor je wifi-omvormer en misschien ook voor andere onveilige (iot-)apparaten - denk ook aan je smart-tv - dan isoleer je die apparaten daarmee. Apparaten aangesloten op de speciale router kunnen dan namelijk niet bij de apparaten op je eigen privénetwerk. Dat betekent dat je netwerk gescheiden is en dat verhelpt een boel beveiligingsproblemen.
Als je in de markt bent voor een nieuwe omvormer, zou je eens kritisch kunnen kijken naar de geboden extra’s. Je kan bijvoorbeeld een omvormer zonder internetaansluiting kopen of er een kopen met alleen een bekabelde aansluiting, dat is toch al een stuk veiliger dan een met wifi. Let dan wel op of het mogelijk is om een ethernetkabel helemaal naar je zolder (of waar de omvormer ook hangt) te leiden, anders heb je er alsnog niets aan.
In dit artikel hebben we gekeken in wat de veiligheidsproblemen zijn bij wifi-omvormers voor zonnepanelen. Helaas hebben veel fabrikanten hun zaakjes niet op orde en zal het waarschijnlijk lange tijd duren voordat dat wel het geval zal zijn, omdat wifi-omvormers lang meegaan. De problemen zijn groot: standaardwachtwoorden, standaard-wifi-netwerken, maar ook verbindingen over http, mitm-mogelijkheden en geen bescherming tegen bruteforce-aanvallen. Wat je zelf kunt doen, is bovendien maar weinig. Het beste is om de wifi-omvormer te isoleren in een eigen netwerk en niet met het open internet te verbinden, indien mogelijk.