Medio januari verschenen in de media berichten over een datalek in de wifi-verbinding van omvormers. “Het blijkt redelijk eenvoudig om via de kastjes in te loggen op onbeveiligde thuisnetwerken en zo privacygevoelige informatie te achterhalen.” volgens rtv Drenthe. Dit leidt tot nogal wat vragen bij huurders, verhuurders en installateurs. 8 augustus kwam hier nog een bericht bij van de Volkskrant dat ict-lek zonnepanelen een mogelijke bedreiging was voor de Europese Stroomvoorziening.
In dit artikel een voorzet om de vragen en problemen voor te zijn: wanneer gaat het mis, hoe kunt u dit nagaan, hoe kunt u dit voorkomen?
Wanneer gaat het (hoe erg) mis?
Het gaat mis bij de volgende stappen als deze in combinatie met elkaar optreden (zie figuur en toelichting):
stap 1. Het betreft een omvormer met wifi-uitrusting die niet automatisch “dichtgaat” na maken van contact met de router; het “accesspoint” blijft een wifi-signaal uitzenden. Het gaat volgens diverse bronnen goed bij Solaredge, Enphase, SMA nieuwere modellen** , Mastervolt, Goodwe. Niet duidelijk nog is Zeversolar. Fout gaat het volgens bronnen bij Omnik, Hosola en oudere omvormers van Growatt. Onderaan dit artikel een volledig overzicht van onze informatie over verschillende vormen omvormers. Hieraan zijn geen rechten te ontlenen. Als een leverancier vindt dat zijn product niet goed verwoord is, houden we ons aanbevolen voor informatie en zullen we deze snel verwerken op deze pagina.
stap 2. De installateur laat twee dingen na:
- A. Hij verandert het default-wachtwoord van de omvormer niet. In de handleiding van omnik, hosala en growatt is het defaultinlog admin en defaultwachtwoord ook admin. De installatieprocedure verplicht naar het lijkt niet om het wachtwoord aan te passen. Bij bijvoorbeeld Sma is dit wel zo. In de handleiding van Omnik wordt genoemd dat veranderen wachtwoord optioneel is, ik schat in dat het bij de andere twee ook kan. NB Dit wachtwoord heeft niks te maken met het wachtwoord waarmee de huurder inlogt op de site om zijn opbrengsten te zien; het gaat om het wachtwoord waarmee de omvormer verbinding maakt met de router.
- B. de installateur zet ook het uitsturen van het ssid/wifi-accespoint niet uit. Dit gebeurt bij deze merken dus niet standaard, wat je wel zou verwachten na verbinding met de router (zie 1).
stap 3. De omvormer wordt verbonden met het netwerk van bewoner via wifi. Pm of je bij bedrade verbinding (vaste kabel, geen wifi) ook risico loopt. Bij een bedrade verbinding of bij een andere manier van uitlezen (bijvoorbeeld een eigen productiemeter met simcard, zie dit blog onder variant X) ontstaat dit probleem niet.
stap 4. Buiten staat een indringer die weet welke omvormer er hangt, wat het standaard wachtwoord is, en hij staat dichtbij genoeg om het wifi-signaal op te pikken. Bij een corporatie die hele wijken gratis panelen geeft met dezelfde omvormer is dit best eenvoudig. En dan….? Op basis van stap 1 t/m 3 kan de indringer inloggen op de omvormer en daarmee het ip-adres van de woning achterhalen. Vooralsnog kan hij alleen de omvormer configureren, dus nog niet zo erg. Echter, nu komt het aan op de beveiliging van het thuisnetwerk van de huurder:
- Met het ip-adres van de woning kan de indringer op het inlogscherm van de router komen. Helaas hebben veel mensen hun router niet beveiligd, of is het wachtwoord welkom/wifi/admin/… Dan is ook deze stap snel genomen voor de indringer. Als de indringer “door de router” heenkomt kan hij in ieder geval het WiFi wachtwoord misbruiken voor allerlei strafbare zaken, zoals up- en downloaden van illegale content.
- De indringer kan waarschijnlijk ook inloggen als beheerder op de router, want het beheerwachtwoord wordt vaak niet aangepast. Dan is nog veel meer mogelijk: je kunt bijvoorbeeld laten bijhouden welke websites worden bezocht, je kunt het telefoonverkeer bestuderen en je kunt netwerkapparaten uitschakelen (zoals beveiligingscamera’s). De mogelijkheden hangen af van de mogelijkheden van de router.”
- Mij is niet duidelijk of je als je “in de router zit”, ook toegang kunt krijgen tot bestanden op computers, nas, e.d. oftewel de in het artikel genoemde “gegevens die op straat liggen, voordeur open e.d.”. Dat zal waarschijnlijk per woning verschillen.
Stap 5: stroomvoorziening in problemen?
De Volkskrant stelde een probleem dat 17 GW omvormervermogen van SMA in één keer zou kunnen worden afgeschakeld, waardoor de stroomvoorziening in problemen zou kunnen komen. SMA geeft aan dat “het vermogen dat wordt geproduceerd wordt met de omvormers die kwetsbaar zijn voor een aanval, is slechts een kleine fractie hiervan”. Daarnaast zijn de omvormers wereldwijd geïnstalleerd en weet zelfs SMA zelf niet waar. Hackers zouden alle omvormers moeten vinden, de omvormers aan moeten vallen (voor zover ik begrijp vanaf de stoep), malware moeten installeren, en dan alles uitzetten. Dan nog is de impact beperkt.
Hoe kunt u nagaan of dit bij uw woning(en) waar al zonnepanelen op zitten, misgaat?
Zijn de omvormers verbonden met de router van de bewoners en staan de omvormers niet in het “goed-“rijtje? Dan is er mogelijk een probleem.
Het makkelijkst is om voor de woning te gaan staan en te kijken of de omvormer een draadloos signaal uitzendt (stap 1). Als dit zo is, en het wachtwoord is niet veranderd (stap 2), kunt u waarschijnlijk inloggen vanaf buiten. Als u een ip-adres ziet, dan is de omvormer ook verbonden met de router (stap 3). We houden ons aanbevolen voor uw bevindingen.
Hoe kunt u dit voorkomen in nieuwe projecten?
- Vraag aan de beoogde leverancier om overtuigend aan te tonen dat de door hen aangeboden omvormers “automatisch dichtgaan” nadat connectie is gemaakt met router van bewoner (stap 1). Dit moet staan in de installatiehandleiding. Bijvoorbeeld door middel van een veldtest of verwijzing naar andere projecten waar deze omvormers al staan kan dit zonodig gecontroleerd worden.Ik schat overigens in, maar dat zal de komende weken blijken, dat omvormer-leveranciers hier snel voor gaan zorgen. Solarmagazine noemt dat deze fout bij Holesta-omvormers geleverd vanaf mei niet meer voorkomt.
- Kan dit niet (omdat de omvormer dit niet kan), dan wordt geëist dat installateurs hierboven onder 2 genoemde stappen (veranderen login en wachtwoord, handmatig uitzetten van rondzenden wifi-signaal) sowieso te zetten bij elke woning. De installateur dient een screenshot te overleggen van de mogelijkheden van de omvormer waaruit blijkt dat dit kan, en te bevestigen dat hij dit zal doen, en dit op te nemen in de checklist bij oplevering van een woning. Dit zou maximaal 5 minuten werk per woning moeten zijn.
- Opdrachtgever kan dit simpel steekproefsgewijs controleren (zie hierboven).
Andere vormen van monitoring?
Het gebruik van internet van de huurder heeft meerdere nadelen. Het is er niet altijd, en het is vaak niet stabiel en dus bewerkelijk (wachtwoorden worden veranderd, stekkers eruit getrokken, …). In steeds meer projecten zie ik dat monitoring niet gaat via de omvormer, maar via een brutoproductiemeter met eigen simcard (cast4all of vergelijkbaar). Nadeel hiervan is een aanschaf van +- 100 euro en jaarlijkse kosten van +- 20 euro.
Overzicht omvormers goed/vraagteken/fout
Het onderstaande overzicht is opgesteld o.b.v. informatie van derden of eigen onderzoek o.b.v. door derden aangeleverde bestanden. Hieraan zijn geen rechten te ontlenen. Als een leverancier vindt dat zijn product niet goed verwoord is, houden we ons aanbevolen voor informatie en zullen we deze snel verwerken op deze pagina.
- goed volgens corporatie Domesta: Solaredge en Mastervolt. Bij Mastervolt staat in de handleiding dat de omvormer maximaal 30 minuten een wifi-signaal uitzendt (6.2).
- goed volgens eigen onderzoek: SMA, Enphase en Goodwe. Zie voor SMA hier de installatiehandleiding van Sunny Boy onder 8.1.1. Enphase werkt volgens hun accountmanager met een WPS-knop die na indrukken tijdelijk het signaal uitzendt. Bij Goodwe geeft de installateur van een project van woonstichting Hulst per email aan dat de wifi-hotspot verdwijnt zodra de omvormer verbonden is met het netwerk van de klant.
- vraagteken: Zeversolar accountmanager meldt begin februari dat onderzoek loopt, maar dat “het in beginsel niet mogelijk om vanuit een Zeversolar omvormer de toegangsinformatie tot het aangesloten WiFi netwerk uit te lezen of om over de omvormer toegang te krijgen tot andere apparaten of gegevens in het thuisnetwerk”.
- fout: Corporatie Domesta, waar het probleem in de media kwam, noemt op solarmagazine.nl dat dit gebeurt bij Omnik, Hosola en oudere omvormers van Growatt. Klaas Kregel, woordvoerder bij de corporatie: ‘Maar de Hosola is het meest kwetsbaar. Zodra je de Accespoint benadert, kom je in het inlogscherm van de omvormer. Bij Growatt en Omnik is dat niet het geval’. Van Omnik Solar heb ik geen reactie ontvangen op mijn vraag om uitleg. Growatt stuurt bijgevoegd document waaruit blijkt dat nieuwe omvormers geen wifi-signaal meer uitzenden, hoe oude en nieuwe omvormers herkend kunnen worden, en hoe eventuele datalekken bij de oude omvormers kunnen worden opgelost.
** SMA geeft in deze brief aan dat het misgaat bij Sunny BOy TLST-21 en TL-21, Sunny Tripower TL-10 en TL-30
