[live] Authentifizierung

  • Danke für die Einordnung und das Update. Nachdem ich den Beitrag verfasst hatte, ist mir gestern Abend noch ein Aspekt eingefallen, den ich mir heute ansehen wollte. Aber du warst schneller… ;)

    Dennoch möchte ich diesen Aspekt noch kurz beleuchten: Sobald man die Authentifikation aktiviert, prüft Live nach Empfang der Daten, ob für den Admin-Account sowohl Benutzername als auch Passwort festgelegt wurden. Ist eines dieser Felder leer, wird zwar ein entsprechender Hinweis angezeigt, doch die bislang getätigten Einstellungen werden nicht gespeichert.

    Das empfinde ich als ziemlich unglücklich, und es entspricht auch nicht unserer üblichen Vorgehensweise. Besser wäre es, die Prüfung schon beim Absenden des Formulars durchzuführen und zur Eingabe fehlender Daten aufzufordern, wie wir das etwa auch bei den Suchtimern machen. Der folgende Patch:

    … legt fest, dass die beiden Felder nicht leer bleiben dürfen ("required"), standardmäßig aber nicht geprüft werden sollen ("disabled"). Die beiden Felder werden entsprechend der Checkbox "Authentifizierung verwenden" zusammen mit dem Auf- bzw. Einklappen des Abschnitts zur Eingabeprüfung aktiviert bzw. deaktiviert. Bleibt ein Feld leer, springt der Cursor beim Klick auf den Speichern-Button dorthin und zeigt einen entsprechenden Hinweis an.

    Ist das automatische Ausfüllen von Login-Daten eingestellt und ein Passwort für diese Felder gespeichert, zeigt der Firefox ein Auswahlfeld an; die Fehlermeldung erscheint erst beim Hover mit der Maus:

    The content cannot be displayed because you do not have authorisation to view this content.

    Bei Chrome-basierten Browsern ist dies wohl anders:

    The content cannot be displayed because you do not have authorisation to view this content.

    Aber nur wegen der Zicken von Firefox wollte ich nicht die ganze Mimik in Javascript programmieren, wenn das alles auch per HTML direkt geht… ;)

    PS: Da bei mir Linux mit englischem Sprachprofil läuft, erscheinen die obige Meldungen auf Englisch statt auf Deutsch.

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

  • Beim Anlagen bzw. Bearbeiten anderer Benutzer werden die Felder überhaupt nicht geprüft, was auch lustige Effekte mit sich bringt. Deshalb:

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

  • Sollen wir, wenn die Authentifizierung abgeschaltet wird:

    • die alten Login-Daten beibehalten, sprich: weiter in der setup.conf gespeichert halten?
    • die alten Daten explizit löschen, sprich: in Form leerer Strings in der setup.conf gespeichert halten?

    Derzeit:

    Code
    if (useauth) {
      LiveSetup().SetAdminLogin(login);
      if (pass != "")		// diese Abfrage ist eigentlich unnötig
        LiveSetup().SetAdminPassword(pass);

    … würden sie (Option 1) gespeichert bleiben, was aus Security-Aspekten schon etwas zweifelhaft ist.

    Was ist deine Meinung dazu?

    PS: Eigener Thread?

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

  • Sollen wir, wenn die Authentifizierung abgeschaltet wird:

    • die alten Login-Daten beibehalten, sprich: weiter in der setup.conf gespeichert halten?
    • die alten Daten explizit löschen, sprich: in Form leerer Strings in der setup.conf gespeichert halten?

    Derzeit würden sie (Option 1) gespeichert bleiben, was aus Security-Aspekten schon etwas zweifelhaft ist.

    Was ist deine Meinung dazu?

    Keine Änderung.

    Wenn jemand die Authentifizierung abschaltet und kurz danach wieder anschaltet, hat er noch die alten Daten.

    Wenn das Speichern der Informationen in setup.conf akzeptabel ist, so lange die Authentifizierung eingeschaltet ist, dann ist es auch akzeptabel sie dort zu speichern, wenn die Authentifizierung ausgeschaltet ist.

    Live sollte nur in einer Umgebung (internes Netz / VPN) verwendet werden, in der Family and Friends Zugriff haben. Und letztlich vertrauen wir Family and Friends.

    Für das öffentliche Internet ist die Security von Live sicher nicht gut genug. Da müsste man Passwörter in einer Datei analog zu /etc/shadow speichern, mit sehr eingeschränkten Leserechten. Und dann noch ganz viel mehr verbessern ...

  • Im git ist ein Update, mit #1 und #2 .

    Danach habe ich noch die id "login" geändert, weil die id "login" schon an anderer Stelle (im Menü) verwendet wurde.

    Und das "required" Attribut vom Passwort entfernt, sonst kann man Setup Änderungen nur machen, wenn man das Passwort eingibt. Das Passwort ist nicht required, ein leeres Passwort bedeutet, dass das Passwort nicht geändert wird.

  • Das Passwort ist nicht required, ein leeres Passwort bedeutet, dass das Passwort nicht geändert wird.

    Das bedeutet also, dass man initial zwar ein leeres Passwort eingeben, sprich: ungesetzt lassen, es später aber niemals löschen kann. Bug or feature?

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

  • Das bedeutet also, dass man initial zwar ein leeres Passwort eingeben, sprich: ungesetzt lassen, es später aber niemals löschen kann. Bug or feature?

    Na ja, live setzt ein default Passwort. Und so lange man da nichts eingibt, bleibt das default Passwort.

    Aus meiner Sicht ist das jetzige Verhalten besser als jedes mal wenn ich im Setup eine Änderung machen möchte zwingend das Passwort eingeben zu müssen.


    Und ja, man kann das besser machen (braucht das jemand?).

  • Mir war nicht klar, dass dies das beabsichtigte Verhalten ist. Denn deine Aussage passt nicht hierzu:

    Code
    if (authchanged && useauth && (login.empty() || pass.empty()))
      message = tr("Please set login and password!");

    Deshalb hatte ich das Passwort-Feld ja auch auf required gesetzt.

    Aber wenn du das von dir beschriebene Verhalten gerne haben möchtest, würde ich folgenden Patch samt Tooltip beisteuern:

    Den Text der Alert-Message habe ich wegen der Übersetzungen nicht eigens angepasst, denn grundsätzlich ist er ja in Ordnung.

    Damit:

    The content cannot be displayed because you do not have authorisation to view this content.

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

    Edited once, last by SHofmann (June 4, 2026 at 5:38 PM).

  • MarkusE: Obiger Beitrag aktualisiert.

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

  • Dann füge doch bitte wenigstens den Tooltip an. Sonst kennt doch keiner dein Spezialverhalten…

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

  • Dann füge doch bitte wenigstens den Tooltip an. Sonst kennt doch keiner dein Spezialverhalten…

    Würde ich jetzt nicht mein Spezialverhalten nennen. War schon so, bevor ich an live entwickelt habe.

  • ...

    Damit:

    The content cannot be displayed because you do not have authorisation to view this content.

    Klugscheiss-Modus-ein: Im Hover-Text bitte das "als" durch "das" ersetzen ;)

    MyVDR: yaVDR-Ansible (Ubuntu 20, VDR 2.4.8) - softhddevice-openglosd (ffmpeg 2.8) - epgd/epg2vdr (tvm) - skindesigner estuary4vdr (adaptiert) - 1920x1080@50 Hz | kodi 21 - xstream
    Aerocube M40 | 300W | ASRock H61M-GE | Intel G530 | Asus ENGT520 | 2 x TT-budget S2-3200 | ASRock Smart Remote (CIR) | 4 GB RAM | 120 GB SSD | 3 TB HDD

  • So kommt es, wenn man ein paar Mal hin und her ändert… 8|

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

  • Dann füge doch bitte wenigstens den Tooltip an. Sonst kennt doch keiner dein Spezialverhalten…

    Das wäre dann der Patch, der nur den Tooltip ergänzt:

    • The content cannot be displayed because you do not have authorisation to view this content.

    Das Standardpasswort wird nun zentral in setup.h definiert, sodass keine unnötige Redundanz entsteht.

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

    Edited once, last by SHofmann (June 5, 2026 at 3:29 PM).

  • MarkusE, kommt dieser Patch noch, bevor ich mit den "Sticky Recording Folders" weitermache?

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

  • Im git ist ein Update. Das Passwort wird jetzt verdeckt angezeigt, also als *** .

    Ich möchte das default Passwort nicht (in einem Tooltip) anzeigen:

    • Für einen Angreifer aus dem Internet ist es natürlich kein Problem, das default Passwort herauszufinden. Und er wird es auch immer ausprobieren.
    • Für "Family & Friends" ist das aber ev. schon eine Hürde. Und die "Security" in live ist für "Family & Friends" gedacht, nicht für das Internet.
  • Dann belassen wir halt den Text wie oben:

    The content cannot be displayed because you do not have authorisation to view this content.

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

  • Ich könnte auch schreiben:

    "Wenn du das (maskierte) Passwort nicht änderst, dann wird das Passwort nicht geändert. Das gilt auch für das Standardpasswort."

    Das Passwort Feld hat übrigens inzwischen das "required" Attribut. Also "empty" kann es nicht mehr werden.

  • Wenn das Feld inzwischen wieder, wie von mir ursprünglich vorgesehen, das Attribut required hat, brauchen wir den Tooltip doch überhaupt nicht. Den hatte ich ja nur vorgeschlagen, um die spezielle Bedeutung eines leeren Passwort-Feldes bekannt zu geben.

    Und die bereits in #8 angesprochene Abfrage auf !pass.empty() hat sich damit dann auch erübrigt. Sie schadet zwar nicht, hat aber keine Funktion. Ob du den Text der Alert-Message noch anpassen möchtest, überlasse ich dir. ;)

    Hardware: Antec NSK2480, Asus P8B75-M LX, Intel Core i5-3570T, 4 GB RAM, NVIDIA GT610, TT-Premium S2-6400, 128 GB SSD, 14 TB HDD, Pioneer BDR-207EBK
    Software: Ubuntu 22.04 LTS mit Kernel 6.8 und VDR 2.8.1 (mit offiziellen und eigenen Patches)
    Plugins: devstatus, dvbhddevice, dvd, dvdswitch, epgsearch, extrecmenu, recsearch, femon, live, markad, mlist, osdteletext, remote, satip, screenshot, skinnopacity, streamdev, systeminfo, undelete, xineliboutput
    Addons: VDR Convert 0.1.0 (angepasst)

Participate now!

Don’t have an account yet? Register yourself now and be a part of our community!