Please add possibility to disable unprotected device warning

[mcm1957]

Shelly device

all

Protocol (CoAP / MQTT)

n/a

The problem

With release 6.2.1 a warning has been added if a shelly device is not setup to use restricted login:

This device is not protected via restricted login

This is a good idea to warn unexperienced users (Thanks!) to protect their devices. But it should be up to the user to decide whether he operates an environment where this kind of protection causes more troubles than it provides security (password entries when accessing via browser from local network, higher rest access efffort, ...)

So please add an option to disable this warning at ioBroker.shelly (per default the wanring should be enabled of course). In addition i.e. a warning banner could be displayed at config if the login protection warning is disabled if you feel this enhances security.

If there's not a technical reason, ioBroker should guide a user to enhanced security but it should not try to force it. The alternative option to simply ignore the warning leads to ignoring warnings in ioBroker log which in turn could cause other problems with long term.

Version of nodejs

n/a

Version of ioBroker js-controller

n/a

Version of Adapter

6.2.2

Operating system running ioBroker

n/a

Checklist of files to include below

• [X] iobroker.current.log (Please share the logs in debug mode)
• [ ] Contents of the JavaScript browser console (always include in cases of issues with the user interface)

Additional information & file uploads

No response

[klein0r]

Duplicate of #690

[mcm1957]

Sorry for dup. Should have checked better

[wschiro]

Sorry, it is not possible, to leave the password blank. It comes a errormessage, password must be between 1 to 50

[klein0r]

@wschiro Which admin version?

[wschiro]



Am 02.01.2023 um 09:17 schrieb Matthias Kleine @.***>:

@wschiro https://github.com/wschiro Which admin version?

— Reply to this email directly, view it on GitHub https://github.com/iobroker-community-adapters/ioBroker.shelly/issues/691#issuecomment-1368731654, or unsubscribe https://github.com/notifications/unsubscribe-auth/AS6DECG2MEGMHPVYONO4IRTWQKFLFANCNFSM6AAAAAARFIT7S4. You are receiving this because you were mentioned.

[klein0r]

❓

[wschiro]

Ich habe die Firmwareversion geschickt, das ist die aktuelle. Was meinst du sonst mit admin Version?

Am 02.01.2023 um 09:58 schrieb Matthias Kleine @.***>:

❓

— Reply to this email directly, view it on GitHub https://github.com/iobroker-community-adapters/ioBroker.shelly/issues/691#issuecomment-1368751500, or unsubscribe https://github.com/notifications/unsubscribe-auth/AS6DECBJD5RBVUKDZH6XYY3WQKKCXANCNFSM6AAAAAARFIT7S4. You are receiving this because you were mentioned.

[wschiro]

[klein0r]

Na die Version vom Admin-Adapter im ioBroker. Der rendert ja die Oberfläche. Wo man das Passwort nicht leer lassen kann. Die Shelly-Firmware entwickelt hier ja niemand 😄

PS: 2019 ist in jedem Fall veraltet! Da wird in einer Firmware kein Update angeboten. Bitte auf jeden Fall drum kümmern. Das ist uralt und voller Fehler...

[mcm1957]

@klein0r OK, kann ich mir ansehen wenn es dir recht ist. Hab das reopen allerdings nur gemacht damit @wschiro 's Maldung beim geclosten Issue nicht untergeht. Da ich noch eine ältere Adapterversion installiert habe muss ich zur Verifikation (und ggF. Behebung) zuerst mal upgraden.

[klein0r]

Ich denke, dass es hier ein generelles Missverständnis gibt. Man soll nicht das Passwort in der Shelly-Oberfläche leer lassen, sondern im ioBroker Adapter. Und das geht in jedem Fall. Mit der uralten Firmware gibts aber bestimmt noch andere Probleme 😄

Da ich nicht wusste, warum hier wieder aufgemacht wurde, habe ich Dich zugewiesen.

[mcm1957]

@klein0r Sorry, hätt ich erläutern sollen. Ich dachte dass in der gui config (json config) ein Längenbereich gesetzt wurde. Hab grad explizit nnachgesehen - ist nicht der Fall. Möglicherweise hast du recht und es geht um das Password im Shelly :-)

[mcm1957]

@wschiro Bitte stell klar bei welcher Eingabe die von dir genannte Fehlermeldung kommt. Ev. häng einen Screenshot an. Ansonsten gib bitte Rückmeldung, ob die Vermutung von klein0r ev. zutritt und du versucht hast das Passwort in der Konfigurationsseite des Shellies leer zu lassen. Um die Meldung im ioBroker Adapter zu unterdrücken ist das Passwort in der Konfiguration der Adapterinstanz leer zu lassen.

ABER BITTE BEACHTEN - Passwörter sind nicht zur Belästigung vorhanden. Wenn du nicht genau weißt was du tust und sicher bist dass dein Netzwerk gut geschützt ist verwende Passwörter bei den Shellies. Ich habe selbst schon mal im Urlaubsquartier zig ungeschütze Shellies (Solaranlage, Waschmaschaschine, Schwimmbadfilter, ...) am Handy gehabt - ohne was zu suchen! also nicht wundern wenn ohne Kennwort jemand dienen xyz ein- oder ausschaltet.

[wschiro]

admin hat 6.3.3 Ja, ich habe versucht, das Passwort in der shellykonfiguration rauszunehmen, was nicht geht. Ich habe nun das http-passwert im adapter leer gelassen, da mault der aber auch

[klein0r]

Ja, ich habe versucht, das Passwort in der shellykonfiguration rauszunehmen, was nicht geht.

Ein leeres Passwort kann man natürlich nicht konfigurieren bei dem Shelly. Restricted Login muss komplett ausgeschaltet werden. Bist Du bei dem Plug S denn mittlerweile auf einer aktuellen Firmware?

http://archive.shelly-tools.de

[wschiro]

Der Adapter funktioniert aber. Ich schalte von einer vis die Plug ein und aus, power wird auch angezeigt. ich nur eine plug jetzt in der Mache, bei allen anderen Shelly's (TRN, shelly1) ist es genau so. Wie das ganze reagiert, wenn der Tag vorbei ist, weiss ich nicht, ob er die Verbindung verliert

[klein0r]

Ich weiß ehrlich gesagt nicht, was wir hier machen 😄

• Entweder, Du konfigurierst auf jedem Shelly den Restricted Login und konfigurierst das Passwort in der Shelly Instanz
• oder Du lässt das Passwort in der Shelly-Instanz leer und aktivierst in der Shelly-Firmware den Restricted Login nicht.

Beide Varianten sorgen dafür, dass die Meldung nicht mehr auftaucht. Wenn Du ein falsches Passwort in der Instanz hinterlegst (oder gar keins), aber Restricted Login aktiviert ist, funktioniert eben nicht alles. Einige Informationen werden per HTTP ausgetauscht und dafür sind die Daten eben notwendig...

[wschiro]

letzteres, ich habs verkehrt gemacht gehabt, leer gelassen und restricted login nicht ausgeschaltet danke. Jetzt kommen auch keine Warnings mehr. Mein Netzwerk ist gut geschützt, von aussen geht nur VPN

[klein0r]

@wschiro Darf ich wissen, was in der Doku stehen müsste, damit das hier nicht alles nötig geworden wäre?

https://github.com/iobroker-community-adapters/ioBroker.shelly/blob/v6.3.0/docs/de/restricted-login.md

[wschiro]

Du lässt das Passwort in der Shelly-Instanz im iobroker leer und aktivierst in der Shelly-Firmware den Restricted Login nicht.

[x2on]

Ich weiß ehrlich gesagt nicht, was wir hier machen 😄

• Entweder, Du konfigurierst auf jedem Shelly den Restricted Login und konfigurierst das Passwort in der Shelly Instanz
• oder Du lässt das Passwort in der Shelly-Instanz leer und aktivierst in der Shelly-Firmware den Restricted Login nicht.

Beide Varianten sorgen dafür, dass die Meldung nicht mehr auftaucht. Wenn Du ein falsches Passwort in der Instanz hinterlegst (oder gar keins), aber Restricted Login aktiviert ist, funktioniert eben nicht alles. Einige Informationen werden per HTTP ausgetauscht und dafür sind die Daten eben notwendig...

Das Problem bei mir: Ich habe Shellys mit Restricted Login und manche Ohne - Je nach Use Case. Der Adapter spammt mir dadurch extrem das Log voll.

D.h. es gibt aktuell keine Möglichkeit das Warning rauszubringen, oder?

[derrapf]

Mir geht es ähnlich. Die Lösung von @klein0r umfasst nicht alle Usecases:

Usecase1: Nicht alle Shellys haben ein Password bekommen. Das Password ist also im Adapter eingetragen aber die Shellys ohne werden ständig angemeckert und das Log läuft voll. Ich brauche im Grunde auch kein Password für jeden Shelly ausser für Die die ich vor der eigene Familie schützen muss ;-) Die Shellys sind nicht in der Cloud und auch mein Netzwerk ist nicht von aussen zugänglich.

Usecase2: Was, wenn man - aus welchen Gründen auch immer (Familienmitglieder?) - unterschiedliche Passwörter für unterschiedliche Shellys vergeben muss? Was dann?

Gruss Ralf

[klein0r]

@derrapf Ich freue mich auf Deinen Konzept-Vorschlag und PR zum Thema

[derrapf]

aber die Shellys ohne werden ständig angemeckert und das Log läuft voll. Dafür würde ich mir einfach ein Setting wünschen mit dem man diese Warnmeldungen abschalten kann:

Ev. auch einen Datenpunkt für das Password. Pro Shelly.