firmware v4.15.206 vermeiden!

[einfachich]

wie es ausschaut verhindert der neueste firmware update auf version v4.15.206 den zugriff auf port 5222 und somit die steuerung durch alle 3rd party software. d.h. auch die Integrationen mit home automation systemen wie fhem, home assistant, homebridge, ... funktioniert damit nicht mehr.

jeder der eine solche integration verwendet sollte updates vermeiden und dem hub den internet zugang verwehren. dieses update scheint zum teil automatisch eingespielt zu werden.

auch wenn eine beschwerde bei logitech vermutlich nicht erfolgreich sein wird wäre es trotzdem schön wenn so viele anwender wie möglich die dies betrifft sich dort melden.

[Fonzo]

Meinst Du die v4.15.206 oder gibt es schon irgendwo eine .216?

[einfachich]

ja. sorry. das muss 206 heissen. habe es oben korrigiert.

[DVDWolf]

Hi,
Danke für die Info. Ich habe sie leider zu spät gelesen. Heute Abend wurde mein HUB zwangsaktualisiert! Schöne Sauerei.
Kann man irgendwie wieder auf eine ältere Firmware downgraden?

Edit:
Ob das wohl damit zu tun hat...?
https://www.myharmony.com/de-de/harmony-api

[Fonzo]

Ob das wohl damit zu tun hat...?
https://www.myharmony.com/de-de/harmony-api

Theoretisch ja, aber die API gibt es schon seit zwei Jahren. Das Problem ist aber das die API nichts kann außer Aktionen schalten, dies ist also leider zur Zeit keine Alternative, sonst könnte man ja einfach auf die API umstellen. Wenn also jetzt jede Software, die mehr steuern kann als die API hergibt, versucht wird zu beschränken, dann heist das für ein Teil der Nutzer Logitech eben nicht mehr einzusetzten und Alternativen zu suchen, weil man den Logitech Hub zur Zeit nicht mehr vollständig sinnvoll nutzten kann.

[einfachich]

man kann über die app die firmware downgraden. zumindest aktuell bekommt man noch eine version bei der alles geht.
am besten danach den internet zugang für den hub sperren und hoffen das er weiter funktioniert.

zum api: das gibt es nicht wirklich. zum einen ist es lachhaft unvollständig zum anderen geht es nur über den cloud umweg.
ausserdem ist es nicht offen, sondern man muss sich dafür bewerben. trotz mehrfacher versuche habe ich noch nicht mal eine antwort darauf bekommen.

[Schlonzo]

jeder der eine solche integration verwendet sollte updates vermeiden und dem hub den internet zugang verwehren. dieses update scheint zum teil automatisch eingespielt zu werden.

Wenn man dem Hub den Internet Zugang sperrt, kann man aber auch nicht mehr konfigurieren? Oder irre ich mich da?

[marvin78]

So ist das.

[Fonzo]

Firmware update blocked API access

Mal sehen wie groß der Druck auf Logitech wird, zumindest sollte sich Logitech dessen bewust sein, das sie so zumindest einen Teil ihrer Kunden auf Dauer verlieren wird.

Harmony Hub FW 4.15.206

[Kat-CeDe]

Hi,
da ist mal wieder was los im Board:-) Ist aber schon ein starkes Stück so eine heftige Einschränkung und dann noch über Weihnachten wo viele Leute sich was neues gönnen und spielen wollen. Ich habe mir wieder die Neeo angesehen aber sie gefällt mir immer noch nicht. Da ist mir negativ aufgefallen das mehrere Brains an einer Fernbedienung wohl von Anfang an versprochen worden sind und jetzt kommt es für die Pro und dann gnädigerweise auch für die nicht Pro. Es fehlen hier noch 1-2 Jahre Entwicklung finde ich. Mir fehlt auch eine Lite die einer Companion entsprechen sollte.

4 meiner 5 hubs sind zum Glück noch auf 201 und der 5. hat zwar 206 aber da benutze ich den Logitech skill. Bei mir also noch alles ziemlich im grünen Bereich da ich nicht viel über den Hub mache sondern andere direkte Methoden.

Ralf

[Fonzo]

da ist mal wieder was los im Board:-)

Ich glaube die Leute, die das bei Logitech entschieden haben werden noch nicht realisiert haben was das an Folgen haben wird, wenn die nicht innerhalb der nächsten Tage reagieren. Die Nutzer, die eine Harmony Remote umfassend nutzten, sind auch die Nutzer die Harmony bei Bedarf weiterempfehlen oder sogar bei anderen Usern einrichten. Wenn Logitech die alle gegen sich aufbringen will, auch wenn das nur wenige sind, im Vergleich zur Masse, wird Logitech wohl noch spüren, dass dies im Internet zumindest folgen haben wird.

Ich habe mir wieder die Neeo angesehen aber sie gefällt mir immer noch nicht.

Was da fehlt ist Bluetooth, wenn das mal endlich kommt, ist das eine passende Alternative für eine Logitech Remote. Ist zwar ein bischen teurer, aber kann auch gerade im Bereich der Hausautomation besser benutzt werden, gerade jetzt wo Logitech diesen brillianten Schachzug gemacht hat.
Aber anscheinend will man sich bei Logitech absichtlich von allen Nutzern trennen, die eine Hausautomation betreiben.

Da ist mir negativ aufgefallen das mehrere Brains an einer Fernbedienung wohl von Anfang an versprochen worden sind und jetzt kommt es für die Pro und dann gnädigerweise auch für die nicht Pro.

Und wozu brauchst Du das? Denn Sinn von mehreren Brains habe ich selber noch nicht verstanden. Gerade in Kombination mit einer Hausautomation brauchst Du nur einen Brain und kannst alles im Haus steuern was Du willst.

Es fehlen hier noch 1-2 Jahre Entwicklung finde ich.

Die Entwicklung ist leider so scheppend lamgsam, da fällt einem nichts mehr dazu ein.

Mir fehlt auch eine Lite die einer Companion entsprechen sollte.

Und wozu, die NEEO hat doch so oder so ganz wenige Tasten im Vergleich zu einer Harmony, oder geht es Dir um den Preis für eine zweite Remote?

Bei mir also noch alles ziemlich im grünen Bereich da ich nicht viel über den Hub mache sondern andere direkte Methoden.

So lange Du nicht den Internetzugang für die Harmony sperrst, bekommst Du dann spätestens bei der nächsten Synchronisierung ein Problem, daher würde ich da vorsorgen wenn Du Dir nicht diese "nette" Firmware einspielen willst ohne einen Vorteil für den Kunden sondern nur Nachteile.

[einfachich]

zumindest das fhem modul wird demnächst auch mit der neuen firmware klar kommen. erste tests mit der websocket schnittstelle schauen gut aus. mal sehen wie lange die offen bleibt.

was die sicherheit angeht: die ist genau so offen und ungeschützt wie der alte port 5222...

[Fonzo]

erste tests mit der websocket schnittstelle schauen gut aus. mal sehen wie lange die offen bleibt.

Ist das alles nur ws nicht wss? Habt ihr schon geschaut ob sich alles nachbilden lässt was bisher mit XMPP ging? Das sollte ja theoretisch gehen, weil die Harmony App ja auch nichts an Funktionen verloren hat durch die Umstellung auf Websocket. Das wichtigste wäre mir persönlich erst mal das reagieren auf Harmony Aktionen wie ich das bisher auch gemacht habe. Die XMPP Schnittstelle abzuschalten war schon vor zwei Jahren im Gespräch als die Harmony API eingeführt worden ist, genau auch wegen dem Argument der Sicherheit. Wenn Logitech jetzt zwei Jahre gebraucht hat um dann doch mal XMPP abzuschalten und alles auf Websocket umzustellen, kannst Du Dir persönlich ausmalen wie lange Logitech braucht um die komplette Kommunikation umzustellen, das diese komplett sicher ist. Schließlich soll ja die Harmony App auch noch mit dem Hub sprechen können. Was Logitech auch nach Jahren noch nicht kapiert hat, das man wenigstens eine richtige lokale API einführt, weil diese einfach von vielen Leuten genutzt wird. Das hat selbst Sonos irgendwann mal kapiert, das es keinen Sinn die ganzen Lösungen zu ignorieren die Sonos steuern, statt dessen führt man halt selber eine API als Hersteller ein.

was die sicherheit angeht: die ist genau so offen und ungeschützt wie der alte port 5222...

Sicherheit ist der größte Quatsch das Update so zu begründen. Was Logitech in dem Zusammenhang wurmt, dass so Software wie FHEM, IP-Symcon usw. seit über 5 Jahren mehr können als die Harmony API und was die Steuerung anbelangt immer einen Schritt vorraus sind. Ich steuere meine Harmony auch über Siri, wenn ich dazu nicht eine Hausautomationssoftware nutzten würde, könnte ich da wohl noch Jahre auf Logitech warten, bis das mal funktioniert. Und wie soll man bitte eine PS4 einschalten ohne eine Hausautomationssoftware? Dazu ist ja Logitech alleine auch nach Jahren immer noch nicht in der Lage. Die Liste könnte man endlos fortführen was alles nicht geht ohne zusätzliche Hausautmomationsoftware bzw. Zugang zur lokalen Steuerung des Harmony Hub. Die Harmony API wird aber auch nicht so von Logitech angepasst, dass diese endlich mal mehr kann als einfach nur Logitech Aktionen auszulösen. Alles im Allem bringt das an Sicherheit null, nur wieder Arbeit für die User, die eine Hausautomation nutzten und jetzt alles auf Websocket umstellen müssen.

[Wolfram]

Wird sich wohl auf die Schnelle nichts ändern
Zitat:

Hallo allerseits,
Teilen Sie unsere Aussage hier - und veröffentlichen Sie sie in anderen Bereichen.
Vielen Dank.

Logitech hat kürzlich ein Firmware-Update für Harmony-Hub-basierte Fernbedienungen veröffentlicht, das einige Sicherheitslücken behebt, auf die uns ein Cyber-Security-Unternehmen eines Drittanbieters aufmerksam macht. Logitech nimmt die Sicherheit unserer Kunden ernst und wir arbeiten sorgfältig daran, diese Art von Problemen zu beheben, sobald sie entdeckt werden.

Letzte Woche haben wir mit dem Update dieses Updates begonnen. Wir sind uns bewusst, dass einige Kunden, die nicht dokumentierte Harmony-APIs zur lokalen Heimsteuerung verwenden, als Nebeneffekt davon betroffen waren, dass wir diese Sicherheitsanfälligkeiten geschlossen haben. Diese privaten lokalen Steuerungs-APIs wurden nie mit Harmony-Funktionen unterstützt. Es ist zwar bedauerlich, dass Kunden, die diese nicht unterstützten Funktionen verwenden, von diesem Fix betroffen sind, aber die allgemeine Sicherheit unserer Produkte und aller unserer Kunden hat für uns Priorität.

Wir bitten unsere Kunden dringend, auf diese neueste Firmware, Version 4.15.206, zu aktualisieren.

[Fonzo]

Wird sich wohl auf die Schnelle nichts ändern

Das einzige was sich ändert ist das es einerseits viel Resosanz nach diesem Statement im Internet geben wird. Weiterhin wird dann auf Websocket umgestellt. Mal sehen ob das dann Logitech sicher genug ist, wenn nicht kann Logitech dann auch gleich die eigene App Steuerung abschaffen. Sicherer ist dadurch gar nichts geworden das ist der größte Unsinn an den Statement von Logitech überhaupt.

Auf gut Deutsch heist das ganz einfach in dem Moment in dem die Logitech Server down sind ist die Remote ein Stück unbrauchbares Plastik. Vielen Dank für diese Abhängigkeit bei einem Produkt das lokal im Netzwerk bzw. zu Hause etwas schalten soll.

Das Sicherheitsrisiko sehe ich vielmehr darin warum es notwendig ist einen Server in der USA zu kontaktieren nur um mein TV einschalten zu können.