Vlákno názorů k článku
Zyxel má pevně zabudované přihlašovací údaje ve 100 000 zařízeních
od cziss - Tak to je síla, myslel jsem, že je...
-
No to gratuluji k rozhodnuti. A ted dalsi pravda. ZyNOS se pouziva i mimo zarizeni zyxelu.
Zyxel pronajima nebo pronajimal licence a devkit tretim stranam takze jsem zvedav nakolik bude ta kompilace OS na jinych zarizenich natolik jina ze tam ten ucet nebude.
Zyxel ma dlouhodobe bordel v security a LTS podpore zarizeni. Ani kdyz si koupite drazsi zarizeni nebo nedejboze DSLAM (pred cimz varuji, je lepsi vzit nejakou proverenou cinu).
Na tom je nejhorsi to ze ta zarizeni jsou svymi schopnostmi celkem dobre a stabilni produkty - vyjma tech dslamu. Dost veci se da nakonfigurovat. Jen kdyby ta podpora byla. Resil jsem i CPE provisioning a taky to byla bida kdyz nenahrajete zakosum ani novy firmware protoze je tam buga jak vysusena bazina na jizni morave...8. 1. 2021, 16:02 editováno autorem komentáře
-
To mi přijde jako diletantsví, jakkoliv mohl být původní záměr myšlen v dobrém (ehm). U takového řešení je jen otázkou času, kdy ten účet/heslo někdo objeví a pak z toho bude kolosální průser. Když automatický update FW přímo od výrobce, tak jedině ze strany zařízení a rozhodně ne naopak, a pokud se používá controller, tak bych to řešil za pomoci klíčů nastavených explicitně správcem sítě.
-
Tak jasně, pak bych to ale řešil tím kontrolerem a ručně nastavenými klíči. Možná by se dalo polemizovat o tom, jestli by ještě bylo v pořádku tam ve výchozím nastavení mít nějaký výchozí účet pro hromadnou vzdálenou konfiguraci. Pokud by se to vhodně implementovalo, tak asi proč ne, ale podmínil bych to třeba tím, že dokud se ten účet nepřekonfiguruje, tak nepůjde zařízení dál konfigurovat, jinak by to byla zase jen bezpečnostní díra.
-
Nahodou - je to spis systemove selhani Linuxu.
Jsem pred tydnem instaloval pure-ftpd, protoze APC UPS dokaze nahravat logy o provozu na FTP. Vse nastavim - a nejede to. Az pote, co jsem zmenil shell, z /bin/false, na /bin/bash, se dalo prihlasit na FTP.
Takze se ptam - jak udelat ucet, vuci kteremu pujde unix-auth (passwd/shadow), ale nepujde se tam prihlasit skrze SSH ? Jedu na Linuxu 13+ let, ale rizeni tech zakladnich prav ohledne prihlasovani a autentifikaci sluzeb to ma dost marnou (ve stylu - vsechno anebo nic).
-
Je fakt, že tenhle problém asi nemá úplně pěkné řešení. Co jako shell v takovém případě nastavit třeba /bin/cat? Domnívám se, že by to bylo z hlediska bezpečnosti podstatně lepší než bash (pokud by náhodou heslo k účtu padlo do nesprávných rukou), ale i tak by mě celkem zajímalo, jestli by tam byla nějaká možnost zneužití (ponechme stranou potenciální zneužitelnost typu buffer overflow přímo v té binárce).
EDIT: nebo existuje něco jako nologin, ale tak, aby místo skončení nenulou hned po spuštění třeba jen čekal v nekonečné smyčce?
7. 1. 2021, 14:51 editováno autorem komentáře
-
Ani /bin/cat by nefungoval. Musel by být zapsán v /etc/shells.
Z hlediska bezpečnosti je nesmysl používat FTP, zvlášť když existující daemoni jsou navrženi pro sítě devadesátých let. Když už je to potřeba, tak není nic jednoduššího, než vytvořit docker image, provozovat to v kontejneru a namountovat tam potřebné adresáře.
-
J ouda (neregistrovaný)
Jsou appliance, které jinak backupovat neumějí (alespoň ne podporovaným způsobem, a nepodporovaný může způsobit problém u prvního tiketu na vendora, kromě toho se to nejspíš stejně po prvním upgrade rozbije, takže nikdo příčetný to ani nezkouší).
Každopádně best practices říkají něco na téma oddělená O&M síť.
