# ninlight-Recovery-Station Ein Raspberry Pi spannt den Zugangspunkt `ninlight-recovery` auf und liefert unter `http://192.168.8.1/ninlight__ota.img` Firmware-Images aus. Jede ninlight-Lampe sucht beim Booten bis zu drei Sekunden nach dieser Station. Findet sie sie, lädt sie das Image für ihren Gerätetyp und flasht es — ohne dass die Lampe im WLAN erreichbar sein muss. Das ist der Rettungsweg für Lampen, an die man sonst nur noch mit dem Lötkolben käme. Trägt das angebotene Image dieselbe Version, die bereits läuft, lehnt die Lampe es ab und bootet normal weiter. Eine angelassene Station flasht also nicht in einer Endlosschleife. ## Bedienung tools/station/setup_pi.sh einmalig einrichten tools/station/deploy.sh [target] Images ausliefern ssh ninlight-station on einschalten ssh ninlight-station status Zustand und letzte Auslieferungen ssh ninlight-station off ausschalten SSID und Passwort stehen in `/etc/ninlight-station.conf` auf dem Pi und müssen zu den Build-Parametern `NINLIGHT_RECOVERY_SSID` und `NINLIGHT_RECOVERY_PASSWORD` aus `config.local.cmake` passen. Weicht eines ab, findet die Lampe die Station nicht. ## Vertrauensgrenze Der Trailer eines Images prüft Gerätetyp und SHA256. Er ist **keine** kryptografische Signatur, und der Download läuft über `http://` ohne TLS. Die Station schützt allein ein WPA2-Passwort, dessen Default im Repo steht. Wer in Funkreichweite ist und es kennt, kann jeder Lampe beim nächsten Boot beliebige Firmware unterschieben. Das ist gewollt: Die Signaturprüfung der alten Firmware auszuhebeln ist der Zweck dieses Projekts. Daraus folgen zwei Regeln. **Setz ein eigenes Passwort.** In `config.local.cmake` und in `/etc/ninlight-station.conf` — an beiden Stellen denselben Wert. **Lass die Station nur an, solange du sie brauchst.** Nicht nur wegen des Fremdzugriffs: Die Firmware löscht den Power-Cycle-Zähler, bevor sie einen Recovery-Versuch startet. Solange eine Station in Reichweite ist, funktioniert der Werksreset per fünf Stromzyklen bei **keiner** Lampe in Reichweite mehr.