Sicherheitslücken melden, Updates bekommen
RealMote ist ein Gerät im Heimnetz: ein Hub für Infrarot, Funk und WLAN, eine Fernbedienung, keine Cloud und kein Konto. Nach draußen holt der Hub nur etwas ab: die Uhrzeit, Updates und Codes aus einer öffentlichen Infrarot-Datenbank. Trotzdem gilt: Wer eine Schwachstelle findet, soll uns erreichen können, und wer ein Gerät kauft, soll wissen, wie lange es Sicherheitsupdates bekommt.
Eine Lücke gefunden?
Schreib an info@realmote.net.
Bitte beschreibe, was du gesehen hast und wie es sich nachstellen lässt.
Maschinenlesbar nach RFC 9116: /.well-known/security.txt
Wir bitten um koordinierte Offenlegung: nichts veröffentlichen, bevor ein Update bereitsteht. Wer möchte, wird in den Versionshinweisen genannt.
Sicherheitsupdates
Für verkaufte Geräte gilt: Sicherheitsupdates für mindestens fünf Jahre nach dem Verkaufsende, signiert und über den eingebauten Update-Kanal des Hubs. Der Hub prüft jedes Update anhand einer Signatur und lehnt alles andere ab.
Derzeit ist RealMote ein Prototyp, es wird nichts verkauft. Diese Zusage gilt ab dem ersten verkauften Gerät.
Was das Gerät von sich aus tut
- Jeder Hub hat einen eigenen, zufälligen Werksschlüssel auf dem Etikett. Es gibt keinen Zustand, in dem er ohne Passwort bedienbar wäre, auch nicht bei der Einrichtung.
- Das Passwort geht nie im Klartext über die Leitung.
- Firmware für Hub, Matter-Beiboot und Fernbedienung ist signiert; der Hub prüft die Signatur und verhindert Rückschritte auf ältere Stände.
- Keine Cloud, kein Konto, keine Datenweitergabe. Der Hub ist nur im eigenen Netz erreichbar.