[HWSW]

A Linuxot futtató különféle eszközökre specializálódott férget fedeztek fel a Symantec szakértõi. A kártevõ a PC-ken kívül olyan készülékeket is képes fertõzni, amelyeken Linux fut, ilyenek lehetnek például az otthoni hálózati berendezések, routerek, hálózati adattárolók vagy biztonsági kamerák.
https://www.hwsw.hu/hirek/51372/linux-php-sebezhetoseg-biztonsag-symantec.html

[kockulat]

"A gyártók pedig sokszor elhanyagolják a támogatást, néha egyáltalán nem is adnak ki új szoftvereket a beágyazott termékekhez"

Ez az egyetlen igazán nyomós ok. Egy otthoni átlagos felhasználótól egyszerûen nem várható el, hogy minden eszközt folyamatosan frissítsen. De egészen biztosan lehetne találni módot figyelmeztetésekre vagy automata frissítésre, mint a PC-ken futó oprendszerek esetében.

[sls]

@kockulat: OpenWRT
az frissíthetõ rendszeresen, akár automatikusan is. Az otthoni átlagos felhasználó megkérheti a hozzáértõ ismerõsét, fizethet is neki, vagy rendszeres idõközönként vásárolhat új routert.
Ha a frissítés annyira fontos lesz majd mérhetõ réteget képezõ vásárlóknak, hogy árprémiumot is fizetnek érte, akkor majd jön egy gyártó hosszú távon frissített router családdal.
IP kamerát, NAS-t, STB-t értelmes ember nem tesz elérhetõvé publikus neten keresztül.

Szerkesztette: sls 2013. 11. 28. 13:44 -kor

[Leni]

@sls: "Az otthoni átlagos felhasználó megkérheti a hozzáért ismersét"

Aha, persze.. Azt sem tudják, hogy meg kell kérni.
Az meg egy másik kérdés, hogy a "hozzáértõ" ismerõs miért kapcsolja ki mondjuk a windows updatet...

[Jahno]

Idézet: sls - Dátum: 2013. 11. 28. 13:43

IP kamerát, NAS-t, STB-t értelmes ember nem tesz elérhetõvé publikus neten keresztül.

Itt is vitatkozukn rajt, én júzernél be nem állítok ilyen portforwardot, de rendes VPN-es megoldást senki nem fizet ki, én meg nem mindig értem. Inkább kerülöm az ilyen témát, mert értelmesen megfejteni úgysem lehet, ezek közül még tán a DLink felhős csodacucca a jobbik, megy mindenféle mobilon, csak nagyon korlátozottak a képességei.

[kockulat]

Idézet: sls - Dátum: 2013. 11. 28. 13:43

Ha a frissítés annyira fontos lesz majd mérhetõ réteget képezõ vásárlóknak, hogy árprémiumot is fizetnek érte, akkor majd jön egy gyártó hosszú távon frissített router családdal.

Egyrészt a frissítés fontos most is, épp csak a gyártó nem hívja fel rá a figyelmet, átlag felhasználó meg nem tudja, hogy van ilyen, hogy fw frissítés. Másrészt ez nem egy prémium opció, hanem alapkövetelmény főleg úgy, hogy nem csak sebezhetőség, hanem kártevő is van már. Ha egy fényképezőgép tud "szólni", hogy frissítsd a fw-t (ld. Samsung SmartCamera), akkor ez talán elvárható egy kritikus szinten lévő routertől is.

['Geri']

ezt lehoztam kb 2-3 éve az akkori blogomban, konkrét támadási kísérlet leírásával, és a szakértők egyszerűen szó szerint kiröhögtek.

[YleGreg]

Hmm. Lehet, be kéne állítanom a routeremen, hogy a webadmint csak egy ip-rõl lehessen elérni.
Bár nagyon nem aggódok, mert kívülrõl nem érhetõ el a 80-as porton, belül meg minden lixux frissül magától. OpenWRT jó ötlet, lehetne is rá tenni, de jelenleg nincs rá idõm.

[YleGreg]

Geri: Link?

[Capri]

@"Geri": biztos karvalyorrú kapitalista tõkések szolgái voltak a züllõ nyugatról és izráelbõl...

[dikki]

az NSA-nek meg sokaig nem kell tartania töle, hogy "tultitkositjuk" az internetet.

[Ytse]

@YleGreg: Az OpenWRT jó megoldás lehet bizonyos routerekre, de sajnos a többi otthoni eszközre nemigen van még rendszeresen frissülõ Open*.*

[sls]

@YleGreg: Ha nem szabványos porton mûködnek a szolgáltatások az már jó kezdet, de Intrusion detection nélkül ez csak átmeneti védelem. Ha kihasználható sérülékenység van ott, akkor idõvel megtalálja a más porton is valamelyik kártevõ. Ha kívülrõl egyáltalán nem érhetõ el csak OpenVPN-en keresztül, az már jó védelem, de ahhoz kommersz routernél pont OpenWRT kellene ami pedig frissíthetõ is, de nincs rá idõd.

Eléggé gány megoldás de még az SSH tunnel is jobb mint a kívülrõl elérhetõ webadmin, lehetõleg egy belsõ rendszeresen frissített gépen keresztül.

[sls]

@Bodnár Ádám: Bõven lehet OpenWRT támogatott routert találni. http://wiki.openwrt.org/toh/start

[Ytse]

@sls: Nem azt mondtam hogy nem lehet vagy hogy kevés van, hanem hogy a routereken kívül bõven vannak még Linuxot meg PHP-t futtató eszközök akár a lakásokban, akár a cégeknél, amikre nincs az OpenWRT-hez hasonló univerzális, rendszeresen frissített firmware, ami megoldaná ezt a gondot.

[Jahno]

Idézet: 'Geri' - Dátum: 2013. 11. 28. 14:24

ezt lehoztam kb 2-3 éve az akkori blogomban, konkrét támadási kísérlet leírásával, és a szakértők egyszerűen szó szerint kiröhögtek.

Linkelhetnéd.

[Jahno]

Idézet: YleGreg - Dátum: 2013. 11. 28. 14:28

Hmm. Lehet, be kéne állítanom a routeremen, hogy a webadmint csak egy ip-rõl lehessen elérni.

Bár nagyon nem aggódok, mert kívülrõl nem érhetõ el a 80-as porton, belül meg minden lixux frissül magától. OpenWRT jó ötlet, lehetne is rá tenni, de jelenleg nincs rá idõm.

Kívülről nem kell elérhetőnek lenni. Minek? ÉN mondjuk belülről sem sokat adminolom. Főleg nem odahaza.

[YleGreg]

@sls: A routeren nincs kívülrõl elérhetõ port, csak egy port forward egy fix belsõ IP-re, hogy az idõnként ott futó gép képes legyen visszavinni a kikölcsönzött filmeket a torrent tékába.
A webadmin csak belülrõl van, de jó ötlet a más portra rakás, az pont semmibõl sem áll.

Egy openVPN port forward lesz még a hetekben, mert meg akarom osztani az otthoni NAS-nak használt gép tartalmát másokkal, de az már egy kevésbé támadható cucc.

[sls]

@YleGreg: Az OpenVPN már eléggé biztonságos, annál már csak a netrõl teljesen elérhetetlen rendszer biztonságosabb.
Egyetlen probléma, hogy hivatalos támogatás mobilon csak PPTP-hez van, ami közel sem olyan mint az OpenVPN. Szerencsére van külön alkalmazás, hozzá de csak a hivatalos http://openvpn.net/ mobil appot érdemes használni. A német csávó által írt mobil klienssel bajok vannak.

[sls]

@Bodnár Ádám: Errõl továbbra is az a véleményem, hogy IP kamerát, NAS-t, STB-t értelmes ember nem tesz elérhetvé publikus neten keresztül.
Ha szándékosan akarja valaki megosztani például IP kamerája képét az internetetes publikummal az ablaka elõtt fészkelõ Bögyögõ bankáról, akkor jobb ha inkább feltölti a kamera képét egy külsõ erre szakosodott szerverre, és onnan osztja meg a képet vagy videót.
Egyébként OpenVPN való ezen eszközök külsõ elérésére. NAS-ra, Sat-video szerverre és többi házi eszközre ugyanez vonatkozik.

Rosszul beállított IP kamerák egy Google kereséssel megtalálhatóak:
https://www.google.c...3D+&safe=active

És ehhez még távolról kihasználható sebezhetõség sem kell.

Szerkesztette: sls 2013. 11. 28. 18:34 -kor