Steht offen im Internet ???

[Homoran]

@chaot sagte in Steht offen im Internet ???:

Ob das dem Nutzer dabei bewusst wird wage ich in den meisten Fällen zu bezweifeln

Ich versuche mal die Aussage von @fastfoot hier mit einzubauen.

Vielleicht war es schon immer so, dass eine myFritz Freigabe eine allgemeine Portweiterleitung für die öffentliche IP anlegte (anders nutzt es ja auch nichts) und erst mit dem Update wird dieses deutlich sichtbar in der GUI(, damit es den Usern bewusst wird)

[hydrotec]

@chaot sagte in Steht offen im Internet ???:
..., aber es hilft ja auch nichts.

Stimmt, hilft dem eigentlichen Problem nicht wirklich weiter.

Generell würde ich jedem empfehlen, keine, oder nur wirklich benötigte Portfreigaben, an einem Router einzurichten.
Und wenn man wirklich eine Freigabe zu ioBroker benötigt, dann nur mit Https und echtem Zertifikat, user:password nicht zu vergessen.
Es wird leider immer schlimmer mit den scanbots.

Wenigstens war in dem hier genannten Fall der hacker ja so freundlich und hat nur einen Hinweis gestartet.

[Jan1]

@hydrotec
Das war kein Hacker, da ein Hacker keine Portfreigabe benötigt um Dein System zu entern

[hydrotec]

@jan1
"personmitadministrativemzugangaufdieheimischeiobrokersystemverwaltung"

Besser?

[Meister Mopper]

Es bleibt:

• VPN-Zugang oder

• reverse proxy mit echten Zertifikaten und zusätzlicher Authentifizierung und (wenn möglich) 2FA

[RMortan]

Hey... Gibt's ne möglichkeit zu test ob man offen ist... Habe mal de Port scann bei Heisse gemacht der sagt alles ist gut...

Habe auch keine Portfrei gabe in der Fritte an...

Allerdings nutze ich myfritz um per Fritz app zugreifen zu können..

Sonst nutze ich VPN um ins heim Netz zukommen..

Lieben Dank..

[Jan1]

@rmortan sagte in Steht offen im Internet ???:

Allerdings nutze ich myfritz um per Fritz app zugreifen zu können..

Die App hat ein eigenes VPN drin, somit ist das absolut überflüssig.

[Wildbill]

Vor Jahren, als ich noch eine Fritzbox hatte, war die myfritz-Freigabe nix anderes als ein simples Firewall hole punching. Die Box hat einen Kanal zum myfritz-Server geöffnet, dort hat man sich angemeldet und durch diesen Kanal lief dann der Verkehr. IMHO war das sogar sicher, da verschlüsselt und mit Benutzer und passwort. Ports wurden da keine geöffnet.
Wenn das Einrichten einer myfritz-Freigabe jetzt wirklich (zusätzlich?) den Port öffnet, dann kann das eigentlich nur ein Bug und nicht gewollt sein. Dann könnte man sich myfritz wirklich gleich sparen.
Gruß, Jürgen

[Jan1]

@wildbill sagte in Steht offen im Internet ???:

Wenn das Einrichten einer myfritz-Freigabe jetzt wirklich (zusätzlich?) den Port öffnet

Nicht zusätzlich, das macht sonst nix anderes mehr. Es gibt kein Link mit dem man dann über den myfritz Server auf die Box kommt.

[Chaot]

@wildbill sagte in Steht offen im Internet ???:

Vor Jahren, als ich noch eine Fritzbox hatte, war die myfritz-Freigabe nix anderes als ein simples Firewall hole punching. Die Box hat einen Kanal zum myfritz-Server geöffnet, dort hat man sich angemeldet und durch diesen Kanal lief dann der Verkehr. IMHO war das sogar sicher, da verschlüsselt und mit Benutzer und passwort. Ports wurden da keine geöffnet.
Wenn das Einrichten einer myfritz-Freigabe jetzt wirklich (zusätzlich?) den Port öffnet, dann kann das eigentlich nur ein Bug und nicht gewollt sein. Dann könnte man sich myfritz wirklich gleich sparen.
Gruß, Jürgen

Ist laut AVM kein Bug und wirklich nur als DynDNS Service zu verstehen.
Wie gesagt, war ich mir auch recht sicher das das früher anders war, aber auch das ist angeblich schon immer so gewesen.

Aber deine Folgerung ist Richtig. Hierfür kann man sich das MyFritz wirklich sparen.

[Jan1]

@chaot sagte in Steht offen im Internet ???:

Ist laut AVM kein Bug und wirklich nur als DynDNS Service zu verstehen

Das ist es eben nicht, da man so immer über ein und die selbe IP, oder Link auf die Box zugreifen könnte und hier wird schlicht ein Port geöffnet, mehr nicht. Wechselt Deine IP durch die Zwangstrennung, dann kommst auch nur mit der neuen wieder drauf und ein DynDNS Service macht eben nicht anderes, als den IP Wechsel wieder in eine quasi Feste IP über deren Server zu wandeln. Hier gehst ja nicht mal über den myfritz Server, sondern direkt rein in die Box

[Wildbill]

Wenn hier AVM behauptet, dass wäre gewollt beziehungsweise gar schon immer so (war es nicht), bekräftigt das zumindest meine Meinung, die ich im Lauf der letzten Jahre von dieser Firma gewonnen habe und bestätigt, dass es richtig war, um Fritzboxen einen Bogen zu machen.
Früher waren das mal Boxen, die für unbedarfte User sehr sicher und einfach einzurichten waren. Mit den Jahren häuften sich die Bugs, und jetzt jubelt man dem User sogar noch Sicherheitslücken (IMHO ist es genau das) als Feature unter?!
Gruß, Jürgen

[Jan1]

@wildbill
Na die sind immer noch gut, man sollte eben wissen was man tut und ich habe bis jetzt noch nichts offizielles von AVM dazu gelesen.
Wobei ich auch nicht verstehe, warum in der myfritz APP der kinderleichte Aufbau einer VPN Verbindung raus genommen wurde. Die Begründung dazu verstehe ich nicht wirklich, da einfach gesagt wird, dass der Zugriff über die APP auf das Fritz WebIf eh über ne VPN geht. OK, aber was wenn ich gar nicht da hin will, sondern einfach ne VPN vom Handy zur Fritz möchte um mein IOBroker zu bedienen?
Aber auch egal, habe mir dann eben manuell ne VPN mit der Fritz eingereichte, was ja auch kein Hexenwerk ist

Die myfritz Port Geschichte ist aber wirklich etwas seltsam, da wie ich schon mehrfach geschrieben habe, es so kein Sinn macht und außer brandgefährlich sonst nix ist.

[Chaot]

@jan1
Laut AVM war das noch nie anders.
Glücklicherweise scheine ich wirklich nicht der Einzige zu sein der das anders kennt.
Vielleicht wollen die ihren VPN vermarkten und haben das deshalb aus MyFritz ausgegliedert ...... oder was auch immer.
Da die die Einzigen sind die mir hier 50 MBit Upload liefern muß ich leider mit der Krüppelbox leben.

[Jan1]

@chaot
Ja aber das was sie da schreiben stimmt eben nicht da das eben kein DynDNS Service ist, aber genau das war es mal. Ich denke die wissen nicht was da gerade läuft. Der angesprochene Service müsste dann wie früher auch über den myfritz Server laufen und das tut er nicht.

Ok, Jungs das Thema ist seltsam und die Diskussion läuft etwas ins unendliche. Fakt, lasst den Mist einfach und richtet wenn gewünscht ne VPN ein um auf die Box vom Internet aus zu kommen. Ich konnte es zu Beginn ja auch nicht glauben und erst als Chaot mich mal zum Testen mit seiner IP tatsächlich auf sein IOBroker gelassen hat, habe ich es geglaubt.

[Thomas Braun]

Hat das Verhalten jetzt auch mal jemand verifiziert?

[Jan1]

@thomas-braun
Ja ich bei Chaot, er hats aktiviert und ich kam mit der IP und dem Port auf sein IOBroker. Normal wird ein Link generiert wenn über myfritz was freigegeben wird (zumindest war das mal so) und über den und den myfritz Server hatte man dann Zugriff auf die Box.
Ich habs bei mir mehrfach getestet und nun wird einfach stur eine Port geöffnet.

[Chaot]

@thomas-braun Welches Verhalten meinst du?
Das die MyFritz Freigabe einfach den Port öffnet? Das hat (siehe Screenshot) sogar AVM verifiziert und als normal behandelt.

[haselchen]

@chaot
@Jan1
@Thomas-Braun

Konnte es auch nachstellen.
Hatte MyFritz aktiv für meine Box.
Der Heise Scan gab sofort eine Warnung aus.
Port 80 und was mit WebServer.

Habe MyFritz deaktiviert und Scan verlief danach ohne Warnung

Als DAU vermute ich mal , dass es daran lag.

[apollon77]

@hydrotec Ein Besucher der zum Tag der offenen Tür vorbeikommt