Wie sicher ist das Webinterface ? (VDR LIVE)

Auf jeden Fall nur per SSL ansprechen, nicht plain HTTP.
Ansonsten ist natürlich eine "Lücke" nicht per Portscan auffindbar, sondern nur der offene Port.
Um dann einzudringen bedarf es eines Fehlers in der Authentifizierung um die Benutzername/Passwort-Kontrolle zu überwinden. Da der Webserver recht rudimentär implementiert ist, ist das nicht ganz auszuschließen, erfordert aber schon ein gewisses Know-How. Bekannte Schwachstellen in diese Richtung gibt es jedenfalls m.W. nicht, so dass zumindestens mit automatisierten Methoden nichts feststellbar sein dürfte.

Wenn Du es noch weiter absichern willst, wäre ein reverse proxy mit separater Authentifizierung denkbar (z.B. Apache, obwohl das sicher ein overkill wäre nur für live).

Hallo,

wie wäre es, wenn man bei VDR-Live die Möglichkeit schaffen würde, dass fehlgeschlagene Loginversuche geloggt werden. Oder gibt es diese Möglichkeit bereits?

Dann könnte man Beispielsweise nach drei fehlgeschlagenen Loginversuchen mittels fail2ban (http://fail2ban.sourceforge.net/) die IP-Adresse des Angreifers blocken.

Schöne Grüße

Ich habe da eigentlich keine großen Bedenken... wenn du aber ganz sicher gehen möchtest, dann könntest du dir z. B. auch einen SSH Port (nicht unbedingt den Standard 22er) für einen bestimmten User freigeben und dann einen Tunnel zum Server aufbauen... Anleitungen gibts hier genug... und wäre nicht schwierig einzurichten! So wäre alles sicher verschlüsselt...

Ich hab da recht wenig bedenken.

Was kann denn ein Angreifer auf dem VDR-live tun? Ihn lahmlegen? Meine Timer löschen? Alle Aufnahmen löschen?!
Würde mich echt interessieren.

SSh Tunnel zum gescheiten Router und dann getunnelt webIFace vom router zum Wecken nutzen bzw. getunnelt live oder was Du möchtest.
SSh muss auch nicht außen auf dem Standard Port erreicht werden können

Also bei mir weckt die Fritzbox über eine unbenutzte Voip nummer und WOL.

Nach außen forgewarded ist nur der SSH-Port und IP bekomm ich über no-ip.com account(managed auch fritzbox).

Wenn ich aufs webinterface will, wird dann einfach der entsprechende port über ssh forgewarded, entweder per linuxbordmittel oder halt putty, wenns sein muss

gruß red

hi

die sicherste methode den zugriff auf die admin oberflaeche ( oder jeden anderen port ) zu realisieren , ohne den riesen aufwand ssl oder ssh etc zu betreiben ist per fw regel zu begrenzen von wo zu gegriffen wird.

da du ja scheinbar weisst wie man den port nach aussen zu verfuegung stellst solltest du
entpsrechend auch deien firewall auf dem router anpassen.

somit kann kommen wer will der port ( wo auch immer der ist ) ist nicht sichtbar
es seiden man kommt von der vordefinieren ip.

ich kenne die fritzbox leider nicht so genau , aber da dort ein linux mit iptables laeuft sollte das
machbar sein.

holger

vdr-live aus dem snapshot bereich kann schon seit einiger Zeit https://

man muss sich nur selbst ein cert erstellen,

tntnet muss mit ssl übersetzt werden, usw.

steht alles in der README/HOWTO/INSTALL in den sourcen.

Zitat

Original von m. keller
Ich hab da recht wenig bedenken.

Was kann denn ein Angreifer auf dem VDR-live tun? Ihn lahmlegen? Meine Timer löschen? Alle Aufnahmen löschen?!
Würde mich echt interessieren.

Ja. Auch.

Wie irgendwo oben schon geschrieben weiß man nicht, wie sicher der Webserver implementiert ist. Es könnten da Schwachstellen existieren die man ausnutzen könnte um z.B. einen Buffer Overflow durch manipulierte Eingaben zu bewirken und so Schadcode in das System einzuschleusen. Im schlimmsten Fall könnte der Angreifer eine root-Konsole bekommen und kann damit machen was er will.

Das Schlimmste wäre wohl wenn ein Eindringling neue Timer anlegt :

- Traumschiff
- Big Brother
- Dschungelcamp

Grüße Bernd

Also ich würde den VDR nicht direkt ins Inet hängen.
Sicherste Methode dürfte ein VPN sein.
Ich hab eh mein Laptop überall dabei (ist auch mein Geschäftsnotebook). Dann per VPN auf die Fritz und schon habe ich zugriff auf mein gesamtes Netz.

Problem stellt sich nur dort, wenn man in einem IT-Unternehmen arbeitet die etwas von Unternehmenssicherheit hält und weder SSH noch andere liebliche Ports frei sind.
Einen VPN aus dem Firmennetz ins Inet aufzubauen ist da auch nicht möglich.

von daher meist bleibt einem nur die Möglichkeit den VDR direkt ins netz zu hängen,

man könnte jedoch einem Angreifer eine Falle bauen mittels der Honeypott methode;)

Ich mache es über den Apache mit Reverse Proxy:

http://www.vdr-portal.de/board/thread.php?threadid=79996

Da die meisten Zugriffsversuche ehe automatisiert ablaufen, sollten halt keine Standardports verwendet werden, gerade ssh auf port 22 wird gerne gescannt. Wenn man kein sicheres Passwort bzw. Key einsetzt, ist die ganze Sicherheit ehe für die Katz. Da hilft auch kein VPN.

Gegen derartige brute force Angriffe hilft aber Software a'la fail2ban

Auch ganz interessant empfinde ich übrigens Skipfish, welches die Frage beantworten könnte wie sicher vdr-live ist.

Zitat

Original von master_red
Also bei mir weckt die Fritzbox über eine unbenutzte Voip nummer und WOL.

Da würde mich doch mal interessieren, wie Du die Verknüpfung hinbekommen hast?

Zitat

Original von Hulk
Da die meisten Zugriffsversuche ehe automatisiert ablaufen

Eben und die meisten automatisierten Scans gehen dann kaum über den Port 12000 hinaus ...

Erstmal den Port, dann erstmal die Lücke und Zugriff finden und dann weiter? Timer manipulieren, Sexy Sport Clips löschen ... ?

Gruß
Frank