Sicherheit

Administratorpasswort

Die Weboberfläche von Phaeton und ihre API sind durch ein einziges lokales Administratorkonto geschützt. Sie legen es im Einrichtungsassistenten an; ein Einrichtungscode ist nicht nötig.

• Schließen Sie den Einrichtungsassistenten direkt nach der Installation ab. Bei einer neuen Installation legt derjenige das Administratorkonto an, der Phaeton zuerst öffnet.
• Wählen Sie ein einzigartiges Passwort, das Sie nirgendwo sonst verwenden. Eine ältere Installation, die noch das frühere Standardpasswort nutzt, öffnet den Assistenten, damit Sie ein echtes Passwort wählen können.
• Um das Passwort zu ändern, öffnen Sie Settings → System → Access, geben das neue Passwort unter Admin password ein und wählen Apply changes. Lassen Sie das Feld leer, um das aktuelle Passwort zu behalten; das gespeicherte Passwort wird nie angezeigt.
• Lassen Sie Require sign-in eingeschaltet. Ist es ausgeschaltet, kann jeder, der Phaeton erreicht, das Laden steuern und Einstellungen ändern.
• Nach fünf falschen Passwörtern in Folge lässt Phaeton jeden weiteren Versuch länger warten, bis zu 32 Sekunden.
• Das Konto bleibt bei Neustarts, Updates und beschädigten Einstellungen erhalten. Wenn Sie das Passwort vergessen haben, können Sie per SSH auf dem GX ein neues festlegen.

Administratorpasswort vergessen

Erreichbarkeit im Netzwerk

Phaeton ist für ein vertrauenswürdiges lokales Netzwerk gedacht. Es ist über diese Ports erreichbar:

Über MQTT öffnet Phaeton keinen Port für den GX: Es verbindet sich selbst mit dem GX und nutzt auf einem anderen Computer nach der Kopplung den verschlüsselten Port des GX.

• Machen Sie Port 8088 und den EVCS-Modbus-Port nicht aus dem Internet erreichbar und richten Sie an Ihrem Router keine Portweiterleitung für sie ein.
• Über Legacy Modbus kann jedes Gerät, das den EVCS-Modbus-Port erreicht, den Lademodus, den Strom, Start/Stop und die Einstellungen der Ladestation ändern. Eine Victron-Ladestation kann das auf eingetragene IP-Adressen beschränken; Phaeton kann das nicht. Lassen Sie nur den GX diesen Port erreichen, zum Beispiel mit einer Firewall auf dem Computer, auf dem Phaeton läuft, und nutzen Sie bevorzugt MQTT.
• Andere Websites können die Einstellungen von Phaeton nicht über Ihren Browser ändern, auch wenn der Browser das Phaeton-Passwort gespeichert hat. Phaeton nimmt Änderungen nur von seinen eigenen Seiten und von den Adressen in Allowed CORS origins an.
• Lassen Sie Allowed CORS origins (Settings → System → Access, unter Advanced) leer, sofern nicht eine bestimmte vertrauenswürdige Anbindung es braucht.
• Eine Anbindung, die die API nutzt, meldet sich per HTTP-Basic-Authentifizierung über HTTPS mit dem Benutzernamen und dem Passwort des Administrators an.

HTTPS-Zertifikat

Phaeton erstellt beim ersten Start sein eigenes HTTPS-Zertifikat, deshalb warnt Ihr Browser beim ersten Besuch davor. Eine einfache http-Adresse auf dem Port von Phaeton wechselt von selbst zu https.

• Bevor Sie das Zertifikat akzeptieren, vergleichen Sie den Fingerabdruck, den der Browser zeigt, mit dem in PHAETON-RESULT.html auf dem USB-Stick mit dem Installationsprogramm oder in der Ausgabe des SSH-Installationsprogramms. Auch das Protokoll von Phaeton nennt ihn bei jedem Start des Webservers, nach certificate SHA-256.
• Das Zertifikat bleibt nach Neustarts und Updates gleich. Es gehört zum Datenverzeichnis, eine Sicherung enthält es also.
• Das VRM Control Panel verwendet ein eigenes HTTPS-Zertifikat; der Fingerabdruck von Phaeton gilt dort nicht.

Fernzugriff über VRM

• Für den Zugriff von außerhalb Ihres Hauses nutzen Sie das VRM Control Panel. Es läuft über die eigene Verbindung des GX zu VRM und braucht keine Portweiterleitung, kein SSH und keinen Remote Support.
• Das Control Panel funktioniert nur, wenn die Einstellung VRM Portal des GX auf Full steht, und VRM entscheidet, wer es öffnen darf. Phaeton fragt trotzdem nach seinem eigenen Administratorpasswort.
• Wenn Sie Fernzugriff ohne VRM brauchen, nutzen Sie einen vertrauenswürdigen Reverse Proxy mit durchgehendem HTTPS. Machen Sie Port 8088 nie aus dem Internet erreichbar.

VRM Control Panel verwenden

Signierte Updates

• Phaeton installiert nur Versionen, die mit dem Release-Schlüssel von Phaeton signiert sind. Vor der Installation prüft es die Signatur, die Prüfsumme und die Plattform, sowohl bei Versionen aus einem Release-Repository als auch bei einem hochgeladenen .phaeton-update-Paket. Ein Paket, das eine Prüfung nicht besteht, wird nicht installiert.
• Laden Sie Pakete nur von der Download-Website von Phaeton herunter.
• Ein Paket, das älter ist als die installierte Version, braucht eine zweite Bestätigung, damit eine ältere Version nicht versehentlich installiert wird.
• Ein Zugriffstoken für ein privates Release-Repository wird nur über HTTPS an den Server dieses Repositorys gesendet, nie an einen Server, auf den ein Download weiterleitet.

UpdatesPhaeton-Downloads

Sicherungen und Zugriff auf den GX

• Eine Sicherung des Datenverzeichnisses enthält das Administratorpasswort, die Zugangsdaten der Wallbox, die Lizenz und den privaten Schlüssel des Zertifikats. Bewahren Sie sie so vertraulich auf wie ein Passwort.
• Phaeton läuft auf dem GX mit vollen Rechten. Deshalb hält es seine Zustandsdatei und Protokolle in seinem eigenen Datenverzeichnis und lehnt andere Speicherorte ab.
• Schalten Sie den SSH-Zugang auf dem GX aus, wenn Sie ihn nicht mehr brauchen.

Sicherung und Wiederherstellung