[Hinweis] Gefahren durch Port-Freischaltungen

[Spawnsen]

Hallo zusammen,

ich habe bei mir einen ReverseProxy laufen um aus dem Internet auf meine lokale Nextcloud & Grafana zugreifen zu können.
Die ganzen Dienste wie ioBroker, Nextcloud, ReverseProxy, Grafana laufen alle über proxmox und die ReverseProxy Einträge sind alle mit Zertifikaten und HTTPS gesichert. Die Container bei proxmox sind alle einzeln angelegt und haben separate IP-Adressen.

Den Zugriff auf Grafana nutze ich, um in der VIS die Energiewerte anzeigen zu lassen. Habe dort noch keine andere Möglichkeit für gefunden.
Könnte höchstens ne Subdomian auf meinen Grafana Server leiten und diese dann in die vis einbinden.

Meint Ihr hier besteht irgendwo Handlungsbedarf Sicherheitstechnisch?

Gruß
Spawnsen

[OliverIO]

@spawnsen

es ist relativ aufwändig eine Software zu erstellen die einigermaßen safe ist, das sie öffentlich im internet steht.
bei grafana habe ich jetzt nichts explizit gesehen, das man das machen kann oder auch nicht machen soll.
lese diese punkte durch (falls noch nicht geschehen) und mach dich mit den einzelnen punkten und deren auswirkungen vertraut
https://grafana.com/docs/grafana/latest/administration/security/

selbst wenn zum aktuellen zeitpunkt alles sicher ist, musst du für jegliche software die im internet steht, maßnahmen ergreifen damit du so schnell als möglich über die security fixes informiert wirst und du die dann installierst.

angriffsvektoren sind ja (am beispiel von grafana) nicht nur die regulär vorgesehenen funktionen wie web gui und api zugriff, sondern auch alle funktionen des bereitgestellten softwarestacks (also grafana, programmiersprache in der grafana programmiert ist, der webserver im container, das betriebssystem im container, docker, das betriebssystem des host systems, router).

in jeder dieser, nennen wir es mal schichten, kann es fehler geben oder sicherheitslücken existieren (und mit jedem patch ggfs sogar ganz neue aufgemacht werden), die ausgenutzt werden können.
klar muss man sich von schicht zu schicht durchkämpfen und immer wieder andere lücken ausnutzen, aber komplett sicher ist es dann dennoch nicht

firmen machen hier einen enormen aufwand um einigermaßen safe zu sein. sobald irgendwo eine nachricht kommt, das es da was gibt (bspw bei log4shell vor kurzem) werden ganze teams aktiviert (CERTs, spezialisten bei den virenherstellern mit denen man einen vertrag hat, etc.) um risiken abzuschätzen, maßnahmen zu ergreifen, etc.

den aufwand können viele Hobbyisten nicht machen, ganz geschweige vom Wissen durchführen.

Daher muss man da sehr sorgsam sein und sich überlegen ob ein vpn zugriff nicht besser ist.
Auch die VPN-Software steht im Internet. Auch hier gibt es diese Gefahren. Aber diese Software ist extra dafür gemacht das sie im Internet steht und hier ist auf Sicherheit ein spezieller Augenmerk durch den hersteller/Community gegeben. aber rechtzeitig aktualisieren muss man da auch (siehe heartbleed)

Was mir noch einfällt, wäre zusätzlich noch die Standard-Ports der Weiterleitung im Router noch ändern, so das bei einem Scan man nicht schon anhand der Portnummer weiß um was es sich da handelt.

[Tom_W]

Hi,

sorry, dass ist nun vermutlich eine sehr dumme Frage, aber da ich mich nicht wirklich gut auskenne:
Man liest hier immer wieder, es soll in der Fritzbox gar keine Portweiterleitung eingerichtet sein, da dies immer gefährlich ist.

Nun ist es aber bei mir so, dass ich den Port von WireGuard in der Fritzbox freigegeben habe, da ich sonst keine Verbindung zustande brachte.
Ist dies nun so richtig oder gibt es da auch sicherere Möglichkeiten?

Vielen Dank

Gruß

[astrakid]

@tom_w nein, der port muss auf den wireguard serivice weitergeleitet werden. nur dort können pakete auf den port ankommen, sollten also auf dem wireguard server eintreffen. das ist technisch gar nicht anders möglich, es sei denn, die verbindung wird in die andere richtung aufgebaut, was z.b. für mobilgeräte unsinnig wäre, da die sich zum server verbinden sollen. also a.m.s. alles ok soweit.

[OliverIO]

@tom_w sagte in [Hinweis] Gefahren durch Port-Freischaltungen:

Hi,

sorry, dass ist nun vermutlich eine sehr dumme Frage, aber da ich mich nicht wirklich gut auskenne:
Man liest hier immer wieder, es soll in der Fritzbox gar keine Portweiterleitung eingerichtet sein, da dies immer gefährlich ist.

Nun ist es aber bei mir so, dass ich den Port von WireGuard in der Fritzbox freigegeben habe, da ich sonst keine Verbindung zustande brachte.
Ist dies nun so richtig oder gibt es da auch sicherere Möglichkeiten?

Vielen Dank

Gruß

Für software die extra dafür gemacht wurde im internet zu stehen ist es in ordnung. wie oben schon mal geschrieben, muss aber jeder selbst danach schauen und regelmäßig updaten. dadurch werden sicherheitslücken behoben. wenn mal eine sicherheitslücke bekannt ist, wird die auch ausgenutzt

[A Former User]

@tom_w
Hallo,

es gibt jetzt einen Adapter, der ein WireGuard VPN einrichten lässt ohne dass die Ports in der Fritzbox weitergeleitet werden müssen. Die Verbindung wird vom Adapter zum Server aufgebaut, solange der Adapter läuft.

Hier ist die Beschreibung: https://htmlpreview.github.io/?https://github.com/iwg-vpn/iobroker.iwg-vpn/blob/main/howto/read-me.html

[Homoran]

@Tom_W
die Diskussion dazu befindet sich hier:
https://forum.iobroker.net/topic/52487/adapter-für-einen-sicheren-remote-zugriff-auf-iobroker

[OliverIO]

der adapter kann noch nicht funktionieren.
da fehlt bspw das erwähnte skript.
ist aber auch ziemlich neu

[Homoran]

@oliverio hast du eine Ahnung, was der Adapter alles macht?
@apollon77 hatte um Einsicht in den Code gebeten.

[apollon77]

@oliverio Das Skriptwelches erwähnt wird (also genau zwei) sind auf dem Rechner wenn der Adaoter installiert wird/wurde.

[wendy2702]

@apollon77 Hast du den Adapter installiert und getestet?

[apollon77]

@wendy2702 Trocketn isnstalliert weil ich in die Dateien schauen wollte, getestet und sowas NEIN

[MathiasJ]

@iwg
Die Fritzbox unterstützt ab der Version 7.50 wireguard.
Ich habe seit ein paar Wochen die Laborversion 7.39 drauf. Kann ich nur empfehlen

[Sokomoto]

@mathiasj sagte in [Hinweis] Gefahren durch Port-Freischaltungen:

Die Fritzbox unterstützt ab der Version 7.50 wireguard.
Ich habe seit ein paar Wochen die Laborversion 7.39 drauf. Kann ich nur empfehlen

https://www.netzwelt.de/news/197094-avm-zuendet-vpn-turbo-wireguard-bald-fritzbox.html

Zitat:
SlurfyYT hat eine entsprechende AVM-Firmware in die Hände bekommen und konnte damit schon Geräte verbinden und erste Geschwindigkeitstests durchführen. Diese erbrachten folgende Ergebnisse:

Ohne VPN: 100 Mbit/s im Downstream 40 Mbit/s im Upstream
Fritz!VPN: 54 Mbit/s im Downstream 30 Mbit/s im Upstream
WireGuard: 60 Mbit/s im Downstream 36 Mbit/s im Upstream

An dem Geschwindigkeitsvorteil müssen sie aber noch basteln, das Ergebnis haut mich nicht um.

tschuess

[cbrocker]

Hallo,
ich nutze iobroker bzw. die VIS nur per VPN von extern.
Bin also gut abgesichert.

Jetzt aber noch diese Frage, selbst wenn jemand meine Portweiterleitung findet, muß er ja erst noch meine Logindaten herausfinden.
Wie kann das möglich sein?

Grüße
Christoph

[apollon77]

@cbrocker Naja, also

1.) Musst Du auch Authentication für Deinen ioBroker aktiviert haben, was man ja nicht nutzen muss. Lso ja, WENN Du es an hast bietet das Sicherheit
2.) je nachdem was Du erreichbar machst (zb Web Adapter) gibt es vllt dennoch Visualisierungen oder Tools die rreichbar sind, wenn da nicht auch Authentication aktiv ist
3.) Wir können nicht alle Adapter auf Ihre Sicherheit prüfen, von daher kann niemand dir die Garantie geben das nicht Adapter "löcher bieten". Auch wenn die Core-Adapter msiet geprüft werden bevor Dinge geändert werden machen wir keine Penetration-tests. Also efektiv kann nkeiner sagen ob nicht vllt doch irgendwo etwas ist - auch ggf basierend auf der vom jeweiligen User genutzen Node-js Version oder so ...

[OliverIO]

@cbrocker
deinen offenen Port finden die Leute im Internet zu 100% und meist schon innerhalb wenigen Minuten.
Wenn du das testen willst, kannst du ja einmal auf Basis von docker selbst einen ssh-honeypot mit cowrie aufsetzen und selbst beobachen wer da so alles kommt
https://hub.docker.com/r/cowrie/cowrie

Hacker verwenden passwörter nur wenn sie diese per social engineering erhalten haben oder über einen brute force angriff. daher sollte man auch entsprechend komplexe passwörter verwenden die nicht in irgendwelchen wörterbücher stehen oder aus teilen daraus sich zusammensetzen.

die größte gefahr, wie apollon schön sagte, sind die existierenden software fehler, welche entweder entdeckt worden sind oder von den meisten noch unentdeckt schlummern aber von einzelnen schon ausgenutzt werden.
diese fehler existieren nicht nur auf ebene iobroker-adapter, sondern auch im iobroker selbst, oder auch dem betriebssystem.
Auch in deiner vpn-software können sich noch fehler befinden. Allerdings ist diese software ja speziell dazu gedacht im internet zu stehen und dort werden neue fehler meist auch schnell behoben.

[Thomas Braun]

@oliverio sagte in [Hinweis] Gefahren durch Port-Freischaltungen:

Allerdings ist diese software ja speziell dazu gedacht im internet zu stehen und dort werden neue fehler meist auch schnell behoben.

Und die aktuelle Software muss auch installiert sein. Deswegen auch hier nochmal der Hinweis auf: Haltet die Systeme auf aktuellem Stand. Und zwar alle und immer und regelmäßig.

[Fred Freund]

@thomas-braun Danke!

also eigentlich sollte das Ding ja am Guest LAN laufen, aber dann hab ich wieder meine wichtigen Sachen die ich ueberwachen /testen moechte nicht in Sichtweite

[cbrocker]

@apollon77
@OliverIO
Hallo ihr beiden,
vielen Dank für die Hinweise. Ja, stimmt, natürlich sollte das ganze System immer aktuell sein. Da bin ich schon immer sehr penibel hinterher.
Kennwörter habe ich auch überall unterschiedliche.
Grüße und ein schönes WE