Bezpieczeństwo

boneIO Black steruje światłem, roletami i ogrzewaniem w Twoim domu, więc traktujemy jego bezpieczeństwo poważnie. Dokładamy wszelkich starań, żeby był możliwie najbezpieczniejszym sterownikiem, jaki możesz zamontować: bezpieczny od pierwszego uruchomienia, aktualizowany i otwarcie mówiący o swoich błędach.

Ta praca to część dostosowania boneIO Black do wymagań unijnego Aktu o cyberodporności (CRA). Zasady opisuje polityka bezpieczeństwa.

Co robimy po naszej stronie

• Bezpieczny od pierwszego uruchomienia. Panel działa tylko przez HTTPS, konto administratora zakładasz sam w kreatorze, a nowe sterowniki nie mają wspólnych haseł: hasło brokera MQTT jest losowe dla każdego urządzenia, a fabrycznego hasła SSH nie ma.
• Ochrona logowania. Limit prób logowania w panelu i po SSH, minimalna długość hasła, ochrona przed poleceniami wysyłanymi z obcych stron (CSRF) i przed osadzaniem panelu w ramce.
• Aktualizacje całego systemu. Debian, jądro i boneIO aktualizujesz z panelu, a poprawki bezpieczeństwa systemu instalują się same raz dziennie — System. Zmiany w systemie trafiają na sterownik przez podpisane migracje.
• Sterownik sam mówi, co jest otwarte. Strona Bezpieczeństwo w panelu wypisuje to, co na Twoim sterowniku warto poprawić, z przyciskiem Napraw. Te same informacje trafiają do Home Assistant.
• Niezależne przeglądy i jawność. Zgłoszenia od badaczy traktujemy jako pomoc. Każdą podatność, która dostała numer CVE, publikujemy niżej, razem z tym, co zrobić na swoim sterowniku.

Co zalecamy w Twojej sieci

Nawet najlepiej zabezpieczony sterownik jest tak bezpieczny, jak sieć, w której pracuje.

• Osobna sieć dla automatyki (VLAN). Umieść sterowniki boneIO i Home Assistant w osobnej sieci albo VLAN-ie, oddzielonej od komputerów, telefonów i gości. Z sieci domowej dopuść tylko to, czego potrzebujesz: panel (8443), a dla administratora SSH (22). Home Assistant łączy się z brokerem MQTT na sterowniku na porcie 1883 (8883 przy TLS). Skanowanie mDNS nie przechodzi przez VLAN-y, więc urządzenia zdalne dodaj wtedy z adresem IP.
• Nie wystawiaj sterownika do internetu. Żadnego przekierowania portów na routerze. Do zdalnego dostępu używaj Home Assistant albo VPN (np. WireGuard, Tailscale).
• Wyjście do internetu tylko dla aktualizacji. Sterownik działa bez internetu (czas może brać z serwera NTP w Twojej sieci), ale bez niego nie pobierze aktualizacji. Jeśli sieć automatyki ma zablokowany internet, pozwól sterownikowi wychodzić do internetu przynajmniej po aktualizacje albo odblokuj go na czas aktualizacji. W tym drugim przypadku automatyczne poprawki bezpieczeństwa nie przyjdą same, więc aktualizuj regularnie ręcznie.
• Zrób wszystko z listy „Do zrobienia”. W panelu: Ustawienia → Dostęp → Bezpieczeństwo.
• Aktualizuj. Zostaw włączone automatyczne poprawki bezpieczeństwa i instaluj nowe wersje boneIO z Ustawienia → Konserwacja. Przed aktualizacją zrób kopię zapasową.
• Osobne konta. Domownikom załóż konta tylko do odczytu: sterują instalacją, ale nie zmienią konfiguracji.
• Pozbądź się ostrzeżenia o certyfikacie. Kto co dzień klika „przejdź mimo to”, nie zauważy prawdziwego ataku. Zobacz Certyfikat HTTPS.
• Szyfruj MQTT poza sterownikiem. Jeśli boneIO łączy się z brokerem przez sieć współdzieloną, VPN albo internet, włącz TLS.

Biuletyny bezpieczeństwa

Tu publikujemy każdą podatność boneIO Black, która dostała numer CVE: której wersji dotyczy, w której ją naprawiono i czy poza aktualizacją trzeba coś zrobić samodzielnie. Najnowsze na górze.

Październik 2026 — przegląd wersji 1.5.0 (CERT Polska)

Niezależny przegląd bezpieczeństwa boneIO Black 1.5.0 ujawniliśmy wspólnie z CERT Polska 26 października 2026: komunikat CERT Polska. Wszystkie podatności są naprawione w 1.6.0. Za zgłoszenie dziękujemy Mateuszowi Włodarczakowi (s3ga).

Co zrobić

1. Zaktualizuj aplikację do najnowszej 1.6.x. Z 1.5 najpierw do 1.5.6, potem według listy kontrolnej.
2. Utwórz konto administratora w kreatorze, który pojawi się po aktualizacji. Do tego czasu sterownik odrzuca żądania API.
3. Zmień hasło brokera MQTT, jeśli sterownik był zaktualizowany, a nie wgrany od nowa. Aktualizacja celowo nie zmienia go sama, żeby nie zerwać połączenia z Home Assistant. Panel pokazuje to w Ustawienia → Dostęp → Bezpieczeństwo, a Napraw prowadzi do zmiany. Nowe hasło wpisz potem w Home Assistant.
4. Zmień hasło SSH, jeśli nadal jest fabryczne — Hasło logowania SSH.
5. Sterowniki z wersją starszą niż 1.2.0 (Debian 10) nie dają się zaktualizować. Wgraj na nie obraz systemu 1.6 — aktualizacja do Debiana 13.

Lista podatności

Poprawki dotyczące obrazu systemu (77055, 77056, 77060) trafiają na zaktualizowany sterownik przez podpisane migracje systemu — poza hasłem MQTT, które trzeba zmienić samodzielnie. Co dokładnie zmieniło się w 1.6.0: informacje o wydaniu.

Jak zgłosić podatność

Prosimy nie zakładać publicznego zgłoszenia. Użyj prywatnego zgłoszenia na GitHubie albo napisz na security@boneio.eu z SECURITY w temacie. Potwierdzamy odbiór w ciągu 5 dni roboczych. Zgłoszenie można też przekazać przez CERT Polska.