Beveiliging

Beheerderswachtwoord

De webinterface en de API van Phaeton zijn beveiligd met één lokaal beheerdersaccount. Je maakt het aan in de setupwizard; een setupcode is niet nodig.

• Rond de setupwizard direct na de installatie af. Bij een nieuwe installatie maakt degene die Phaeton als eerste opent het beheerdersaccount aan.
• Kies een uniek wachtwoord dat je nergens anders gebruikt. Een oudere installatie die nog het voormalige standaardwachtwoord gebruikt, opent de wizard, zodat je een echt wachtwoord kiest.
• Wil je het wachtwoord wijzigen, open dan Settings → System → Access, vul het nieuwe wachtwoord in bij Admin password en kies Apply changes. Laat het veld leeg om het huidige wachtwoord te houden; het opgeslagen wachtwoord wordt nooit getoond.
• Laat Require sign-in aan staan. Staat het uit, dan kan iedereen die Phaeton bereikt het laden bedienen en instellingen wijzigen.
• Na vijf verkeerde wachtwoorden achter elkaar laat Phaeton elke volgende poging langer wachten, tot 32 seconden.
• Het account blijft bewaard bij herstarts, updates en beschadigde instellingen. Ben je het wachtwoord vergeten, dan stel je via SSH op de GX een nieuw in.

Beheerderswachtwoord vergeten

Bereikbaarheid in het netwerk

Phaeton is bedoeld voor een vertrouwd lokaal netwerk. Het luistert op deze poorten:

Via MQTT opent Phaeton geen poort voor de GX: Phaeton maakt zelf verbinding met de GX, en op een andere computer gebruikt het na het koppelen de versleutelde poort van de GX.

• Maak poort 8088 en de EVCS-Modbuspoort niet bereikbaar vanaf internet en stel er geen poortdoorsturing voor in op je router.
• Via Legacy Modbus kan elk apparaat dat de EVCS-Modbuspoort bereikt de laadmodus, de laadstroom, Start/Stop en de instellingen van het laadstation wijzigen. Een Victron-laadstation kan dit beperken tot opgegeven IP-adressen; Phaeton kan dat niet. Laat alleen de GX die poort bereiken, bijvoorbeeld met een firewall op de computer waarop Phaeton draait, en gebruik bij voorkeur MQTT.
• Andere websites kunnen via je browser geen instellingen van Phaeton wijzigen, ook niet als de browser het Phaeton-wachtwoord heeft opgeslagen. Phaeton accepteert wijzigingen alleen vanaf zijn eigen pagina's en vanaf de adressen in Allowed CORS origins.
• Laat Allowed CORS origins (Settings → System → Access, bij Advanced) leeg, tenzij een specifieke vertrouwde koppeling het nodig heeft.
• Een koppeling die de API gebruikt, logt in met HTTP Basic-authenticatie via HTTPS, met de gebruikersnaam en het wachtwoord van de beheerder.

HTTPS-certificaat

Phaeton maakt bij de eerste start zijn eigen HTTPS-certificaat aan. Daarom waarschuwt je browser bij het eerste bezoek. Een gewoon http-adres op de poort van Phaeton gaat vanzelf over naar https.

• Vergelijk voordat je het certificaat accepteert de vingerafdruk in de browser met die in PHAETON-RESULT.html op de USB-installatiestick of in de uitvoer van de SSH-installatie. Ook het log van Phaeton noemt hem, na certificate SHA-256, telkens als de webserver start.
• Het certificaat blijft gelijk na herstarts en updates. Het staat in de gegevensmap, dus een back-up bewaart het.
• VRM Control Panel gebruikt een eigen HTTPS-certificaat; de vingerafdruk van Phaeton geldt daar niet.

Toegang op afstand via VRM

• Gebruik voor toegang van buiten je huis VRM Control Panel. Dat loopt via de eigen verbinding van de GX met VRM en vraagt geen poortdoorsturing, geen SSH en geen Remote Support.
• Control Panel werkt alleen als de instelling VRM Portal op de GX op Full staat, en VRM bepaalt wie het mag openen. Phaeton vraagt daarna nog steeds om zijn eigen beheerderswachtwoord.
• Heb je toegang op afstand zonder VRM nodig, gebruik dan een vertrouwde reverse proxy met HTTPS van begin tot eind. Maak poort 8088 nooit bereikbaar vanaf internet.

VRM Control Panel

Ondertekende updates

• Phaeton installeert alleen releases die met de releasesleutel van Phaeton zijn ondertekend. Voor de installatie controleert het de handtekening, het controlegetal en het platform, zowel bij releases uit een releaserepository als bij een geüpload .phaeton-update-pakket. Een pakket dat een controle niet doorstaat, wordt niet geïnstalleerd.
• Download pakketten alleen van de downloadsite van Phaeton.
• Een pakket dat ouder is dan de geïnstalleerde versie vraagt een tweede bevestiging, zodat je niet per ongeluk een oudere release installeert.
• Een toegangstoken voor een privé releaserepository gaat alleen via HTTPS naar de server van die repository, nooit naar een server waar een download naar doorverwijst.

BijwerkenDownloads van Phaeton

Back-ups en toegang tot de GX

• Een back-up van de gegevensmap bevat het beheerderswachtwoord, de inloggegevens van de laadpaal, de licentie en de privésleutel van het certificaat. Bewaar hem net zo zorgvuldig als een wachtwoord.
• Phaeton draait op de GX met volledige rechten. Daarom bewaart het zijn statusbestand en logs alleen in zijn eigen gegevensmap en weigert het andere locaties.
• Zet SSH-toegang op de GX uit als je die niet meer nodig hebt.

Back-up en herstel