Vera : chemins vers les fichiers et accès SSH

Note ajoutée depuis : premier billet d'une série de trois sur la box Vera, tous du printemps 2015. Le suivant traite du plantage sévère qu'on finit par rencontrer, et celui d'une semaine plus tard montre le code LUUP qui lisait les capteurs.

La box Vera utilise un système d'exploitation basé sur OpenWRT.

Vous pouvez affiner tous les paramètres réseau de votre Vera, mais vous pouvez également utiliser différents outils pour analyser le système (journal d'accès, charge du processeur, configuration des services).

Permet de voir certains paramètres réseau, etc. :

http://IP.de.votre.box.vera/cgi-bin/webif/info.sh

Il est également possible de vous connecter en SSH sur cette box :

ssh root@IP.de.votre.box.vera

Encore faut-il le mot de passe, et c'est là que le produit montre un défaut de conception. La sauvegarde téléchargeable depuis l'interface (SETUP → Backup → Télécharger un backup) contient le fichier /backup/etc/cmh/cmhf.conf, et ce fichier porte une ligne Password= : le mot de passe root de la box est stocké en clair dans sa propre sauvegarde. Autrement dit, la sauvegarde a la même valeur que l'accès administrateur, et personne ne la traite comme telle — on l'envoie par courriel au support, on la laisse dans son dossier de téléchargements. Un secret qui se promène en clair dans un fichier destiné à être copié ailleurs n'est plus un secret.

Afficher le fichier de log (pas très pratique) :

http://IP.de.votre.box.vera/cgi-bin/cmh/log.sh?Device=LuaUPnP

Si vous êtes connecté en SSH, le fichier de log se trouve ici :

/var/log/cmh/LuaUPnP.log

Il vous arrive de ne pas pouvoir supprimer un périphérique Z-Wave (par exemple parce qu'il est mort d'un point de vue matériel et que la Vera requiert son approbation). L'interface web est bloquée, mais l'API interne de la box accepte la même demande :

http://IP.de.votre.box.vera:3480/data_request?id=device&action=delete&device=IDDEVICE

IDDEVICE = numéro du device à supprimer.

Deuxième défaut de conception, du même ordre que le précédent : cette requête supprime un périphérique sans aucune authentification. Il n'y a pas de contrôle d'accès sur l'API — n'importe quoi de présent sur le réseau local peut donc modifier l'installation. La contourner pour se dépanner est commode ; s'en souvenir quand on décide ce qu'on laisse joindre la box l'est davantage.