Sicherheit & CVD

1. Sicherheitsmodell

One-Home wurde als hybride Plattform nach dem Prinzip Local First entwickelt. Die Wohnungslogik bleibt nach Möglichkeit lokal, während One-Home Cloud Funktionen bereitstellt, die zentral einen Vorteil bieten. Dies begrenzt die Auswirkungen eines Internetausfalls und verringert die Menge an Wohndaten, die standardmäßig in die Cloud übertragen werden muss.

2. Technische Sicherheitsprinzipien

Die aktuelle Architektur enthält oder sieht unter anderem folgende Maßnahmen vor:

• eindeutige Installationsidentität mit einem kryptografischen Geräteschlüssel;
• signierte Geräteanfragen mit Zeitstempel-/Nonce-Prüfungen, um Replay-Angriffe zu erschweren;
• getrennte Signierung von Lizenz-/Berechtigungsinformationen und Releasedaten;
• sichere Browser-/Kontositzungen mit CSRF-Schutz;
• 2FA für sensible Verwaltungsfunktionen;
• lokale Verschlüsselung von Cloud-Backups vor dem Upload ihres Inhalts;
• zeitlich befristete und ausdrückliche Zustimmung zu unterstützter Ferndiagnose;
• Auditinformationen zu relevanten Verwaltungs- und Update-Aktionen.

Die konkrete Umsetzung kann sich je nach Release ändern. Die Sicherheitsaussagen auf dieser Seite sind daher Architektur-/Produktaussagen und keine Garantie dafür, dass Software absolut unangreifbar ist.

3. Updates und Software-Lieferkette

Offizielle Updates sollen mit Integritätsprüfung und signierten Release-Informationen angeboten werden. Der Updater ist darauf ausgelegt, eine neue Version zunächst zu bauen/zu starten, Zustandsprüfungen durchzuführen und nach Möglichkeit auf die vorherige Version zurückzugehen, wenn die neue Installation keinen ordnungsgemäßen Zustand erreicht.

Für den Produktivbetrieb sollen die Überwachung von Abhängigkeiten, SBOM/Bestandsaufnahme der Abhängigkeiten, Verwaltung von Geheimnissen, kontrollierte Build-/Release-Verfahren und regelmäßige Sicherheitstests Teil des Wartungsprozesses sein.

4. Backup- und Wiederherstellungssicherheit

Cloud-Backups sind darauf ausgelegt, vor dem Upload lokal verschlüsselt zu werden. Recovery-Schlüssel und lokale Geheimnisse dürfen nicht in öffentlichen Repositories, Protokollen oder Supporttickets landen. Wiederherstellungsverfahren sollen regelmäßig getestet werden.

Ein verschlüsseltes Backup ist nur dann nützlich, wenn sowohl das Backup als auch die erforderlichen Wiederherstellungsdaten verfügbar sind. Bewahre Recovery-Informationen deshalb getrennt und sicher auf.

5. Coordinated Vulnerability Disclosure — Geltungsbereich

Wir laden Sicherheitsforscher dazu ein, technische Schwachstellen verantwortungsvoll zu melden. Die folgenden Bereiche fallen grundsätzlich in den Geltungsbereich, sofern sie nachweislich von One-Home verwaltet werden:

• one-home.online und offizielle One-Home-Subdomains;
• Mein One-Home und das offizielle Admin-Portal;
• One-Home-Cloud-APIs;
• offizielle One-Home-Core-Releasepakete, die von One-Home veröffentlicht wurden.

Dienste, Hardware, Konten und Infrastruktur Dritter fallen nicht automatisch in den Geltungsbereich. Teste keine Systeme, bei denen du nicht mit hinreichender Sicherheit feststellen kannst, dass sie von One-Home verwaltet werden.

6. Regeln für verantwortungsvolle Untersuchungen

Bei Sicherheitsuntersuchungen bitten wir dich:

• nur dein eigenes Konto, deine eigene Installation oder eine ausdrücklich zugelassene Testumgebung zu verwenden;
• nicht weiter zu gehen, als es nötig ist, um das Vorliegen und die Auswirkungen einer Schwachstelle plausibel zu machen;
• keine personenbezogenen Daten anderer herunterzuladen, zu ändern, zu löschen oder zu veröffentlichen;
• keine Denial-of-Service-Angriffe, massenhaften Scans, Spam, Social Engineering oder physischen Angriffe durchzuführen;
• keine Passwörter, Tokens, privaten Schlüssel, Recovery-Schlüssel oder anderen Geheimnisse zu veröffentlichen;
• die Schwachstelle zunächst vertraulich an One-Home zu melden und angemessene Zeit für Untersuchung und Behebung einzuräumen;
• Nachweise sicher aufzubewahren und nach Abschluss zu löschen, wenn sie nicht mehr benötigt werden.

7. Wie meldest du eine Schwachstelle?

Nutze während des Early Access die Kontaktmöglichkeit auf one-home.online und beginne die erste Zeile deiner Nachricht mit SECURITY. Teile in der ersten Nachricht keine Passwörter, privaten Schlüssel, Recovery-Schlüssel oder großen Datensätze. Anschließend können wir einen geeigneten sicheren Kanal vereinbaren, wenn sensible technische Details erforderlich sind.

Eine gute Meldung enthält:

• die betroffene Domain, den Endpunkt, das Release oder die Komponente;
• eine klare Beschreibung der Schwachstelle und ihrer erwarteten Auswirkungen;
• minimale reproduzierbare Schritte oder einen Proof of Concept;
• gegebenenfalls relevante Anfrage-/Antwortinformationen, aus denen Geheimnisse sorgfältig entfernt wurden;
• eine sichere Möglichkeit, dich zu erreichen.

8. Was kannst du von uns erwarten?

Wir bemühen uns, den Eingang einer ernsthaften Sicherheitsmeldung innerhalb von 5 Werktagen zu bestätigen und anschließend regelmäßig Rückmeldung zu geben, solange die Untersuchung läuft. Die tatsächliche Behebungszeit hängt von Schweregrad, Komplexität, erforderlichen Abhängigkeiten und der Möglichkeit sicherer Tests ab.

Wir bitten Forscher, die Veröffentlichung abzustimmen, bis eine angemessene Frist zur Behebung verstrichen ist. Eine etwaige öffentliche Anerkennung oder Belohnung erfolgt nicht automatisch und wird nur angeboten, wenn dies gesondert vereinbart wird.

9. Untersuchungen nach Treu und Glauben

Wenn du diese Richtlinie in angemessener Weise einhältst, nach Treu und Glauben handelst und versuchst, Schäden zu vermeiden, beabsichtigen wir, deine Meldung als verantwortungsvolle Sicherheitsuntersuchung und nicht als Missbrauch unseres Meldeverfahrens zu behandeln. Dies ist keine allgemeine rechtliche Freistellung und kann weder Rechte Dritter noch zwingendes Recht außer Kraft setzen.

10. Außerhalb des Geltungsbereichs

Beispiele, die normalerweise nicht als Sicherheitsschwachstelle behandelt werden: fehlende Sicherheitsheader ohne nachweisbare Auswirkungen, Self-XSS ohne realistische Angriffskette, Clickjacking auf Seiten ohne sensible Aktionen, rein theoretische Probleme ohne reproduzierbare Auswirkungen, Meldungen zu Ratenbegrenzungen, die sich nur mit unrealistischem Datenverkehr nachweisen lassen, und Probleme in Produkten Dritter, die nicht von One-Home verwaltet werden.

Wenn du unsicher bist, ob etwas in den Geltungsbereich fällt, melde es lieber mit möglichst wenigen Informationen, als aktiv an Daten oder Systemen anderer weiterzutesten.

11. Sicherheitsvorfälle

Ein betrieblicher Sicherheitsprozess soll Verfahren für Erkennung, Ersteinschätzung, Eindämmung, Wiederherstellung, Protokollierung und Kommunikation enthalten. Wenn ein Vorfall personenbezogene Daten betrifft, wird geprüft, welche Melde- oder Informationspflichten nach der DSGVO oder anderen geltenden Gesetzen bestehen.

12. Absicherung für den Produktivbetrieb

Für ein kommerzielles Produktionsrelease gehören unter anderem eine unabhängige Sicherheitsprüfung/ein Penetrationstest, Scans nach Abhängigkeiten und Geheimnissen, sicherer Schlüsselwechsel, Datenbankabsicherung, Wiederherstellungstests, Überwachung und ein ausgearbeiteter Prozess zur Reaktion auf Sicherheitsvorfälle zu den empfohlenen Release-Kriterien.

13. Sicherheitskontakt und security.txt

Die Standarddatei /.well-known/security.txt verweist auf diese Richtlinie. Vor dem breiten öffentlichen/kommerziellen Start wird außerdem ein eigener sicherer Sicherheitskontakt eingerichtet, beispielsweise eine überwachte Sicherheits-E-Mail-Adresse und optional ein Verschlüsselungsschlüssel.