Halbwegs gesicherter externer Zugriff

    Hallo,

    entsprechend der DHL Sendungsverfolgung erhalte ich Morgen mein QNAP-Nas :)

    Da ich dienstlich leider weltweit unterwegs bin, wird es relativ alleine Zuhause rumstehen und von remote bedient werden. Entsprechend dem Thema dieses Unterforums soll das relativ sicher erfolgen. Mein erster Gedanke war, nur per VPN zuzugreifen. Aber meine Freunde möchten die Backup, Fotostation, QMail etc. Dienste nutzen. Und auch ich möchte mal Bilder freigeben oder so.


    Deshalb muß eine rudimentäre Absicherung her. Die muß ja nicht gerade gegen die NSA, aber wenigstens gegen Sriptkiddies schützen.


    1. HTTPS Zertifikate von Lets'Encrypt einzurichten habe ich gefunden. Kann man die inzwischen automatisch verlängern lassen?

    2. Welche WAF-App gibt es und ist zu empfehlen? Welcher Regelsatz?

    3. Wo/Wie richte ich das IDS ein? Dazu habe ich leider noch gar nichts gefunden.

    4. Gibt es eine Firewall um IP-Blacklists oder so zu verwenden?

    5. Gibt es "intelligentere" Schutzmöglichkeiten wie Fail2Ban oder so für QNAPS's

    6. ein Log-Analysator der einen automatisch auf wichtige Einträge hinweist


    Naja und was man halt sonst noch für einen sicheren Betrieb so braucht. Ich komme aus der "normalen" LinuxServer Welt, falls es besondere Fallen bei QNAP gibt, bin ich für alle Hinweise sehr dankbar. Auch Verweise auf Blogs, Todos etc.


    Ich dachte ja das dies eigentlich fast jeden betreffen müßte der sein QNAP online hat, habe aber wenig im Netz gefunden.

    Danke im Voraus.


    LG

    Jens

    Warum richtest du deinen Freunden nicht einfach auch einen VPN Account ein?


    Oder lass mich raten, sie finden es zu kompliziert?


    Zitat von Finca Dela Vega

    Ich dachte ja das dies eigentlich fast jeden betreffen müßte der sein QNAP online hat, habe aber wenig im Netz gefunden.

    Danke im Voraus.

    Möglicherweise weil man das QNAP besser nicht online stellt. Es finden sich immer wieder Sicherheitslücken.

    Ja das scheint mir inzwischen auch so. Das Marketing von QNAP erweckte erstmal einen anderen Eindruck. :(


    Einige Dinge die ich gern genutzt hätte gehen halt nicht per VPN. Wie z.B. Mails anstelle mit großen Anhängen mit Links auf die Dateien auf dem NAS zu versenden. Dann müßte ich aber alle Mailempfänger kennen.


    Ich muß mal weiter forschen ob ich mit einem restriktiven ReverseProxy weiterkomme, erstmal schalte ich eine Linux VM davor und binde die Volumes das NAS per NFS dort ein. Da kenne ich mich sicherheitstechnisch wenigstens aus.


    Schade :cursing:


    Grüße jens

    Wäre natürlich auch wenig Werbewirksam wenn sie sagen würden kaufen Sie unsere Geräte, wir haben zwar gewisse Maßnahmen für die Sicherheit ergriffen, aber unterm Strich nützen die meistens nichts.

    Hallo angelluck!

    Zitat von angelluck

    Möglicherweise weil man das QNAP besser nicht online stellt. Es finden sich immer wieder Sicherheitslücken.

    Wenn Du so "argumentierst" solltest Du Deinen heimischen Rechner ebenfalls "nicht online stellen", sprich damit ins Internet gehen.


    Oder hast Du wirklich jederzeit ein vollkommen gepatchtes Betriebssystem einschließlich Spectre & Co BIOS-, Microcode-Update usw?

    Ganz zu schweigen von den ganzen Anwendungen, die Du Tag täglich verwendest - ist da auch alles auf dem neusten Stand und wirklich sicher?


    Falls nicht, solltest Du jetzt wohl besser den Rechner ausschalten... ;)


    Gruß!

    Tim

    Also gegen Spectre & Co sollte mein Rechner tatsächlich gepatcht sein.

    Mal ganz davon abgesehen, dürfte es winziger unterschied sein, ob der Rechner hinter einem Router mit geschlossenen Ports steht oder ob ich ein NAS mit naktem Hintern ins Netz hänge und letzteres wäre hier der Fall.

    Hallo Jens, grüß Dich!

    Zitat von Finca Dela Vega

    Deshalb muß eine rudimentäre Absicherung her. Die muß ja nicht gerade gegen die NSA, aber wenigstens gegen Sriptkiddies schützen.

    Wenn nicht alles per VPN geht...


    Was spricht erst einmal dagegen, mit Benutzer-Accounts mit sicheren Kennwörtern über 443 auf Dein NAS zuzugreifen?


    Für administrative Aufgaben richtest Du Dir einen Account mit den entsprechenden Rechten ein und verwendest nicht den Default-Admin-Account.

    Deinen Freunden richtest Du ebenfalls entsprechende Accounts ein und "zwingst" sie, sichere Kennwörter zu verwenden.


    Gruß!

    Tim

    Also wenn schon, dann wenigstens einen beliebig gewählten Port und den Intern auf 443 umleiten, ansonsten ist das ja schonmal grob fahrlässig.


    Dann bitte auch gleicheinen eigenen Admin machen und den Admin benannten deaktivieren, braucht man zwar manhcmal für SSH, etc, kann mna da aber wieder aktivieren.

    Und wenn du eine Fritz Box hast, kann du den VPN auf LAN 4 richten. Das NAS dann mit einem Bein ans LAN 4 anschließen. LAN 4 dann als Gastnetz deklarieren. Und dem Gastnetz das Internet sperren. :)

    Zitat von angelluck

    Mal ganz davon abgesehen, dürfte es winziger unterschied sein, ob der Rechner hinter einem Router mit geschlossenen Ports steht [...]

    Port 80 scheint bei Dir offen zu sein... :)


    Versteh' mich bitte nicht falsch, ich finde eben nur so pauschale Aussagen wie Du sie oben gemacht hast, unglücklich.

    Wir wissen nämlich nicht, wie es sich bei den Malware-Attacken, gekaperten NASen oder was auch immer, zugetragen hat und wie es dazu gekommen ist.

    Ich will damit sagen, dass nicht immer die Firmen und deren Software schuld ist sondern zu einem sicher recht großen Prozentsatz eben auch der - unwissende, weil nicht z. B. Netzwerktechniker - Anwender.


    Zitat von angelluck

    [...] oder ob ich ein NAS mit naktem Hintern ins Netz hänge und letzteres wäre hier der Fall.

    Wo steht das? Woraus schließt Du das?


    Zitat von Pfeiffer

    Also wenn schon, dann wenigstens einen beliebig gewählten Port und den Intern auf 443 umleiten, ansonsten ist das ja schonmal grob fahrlässig.

    Natürlich, das habe ich vorausgesetzt.

    Trotzdem guter Einwand!

    Zitat von Timpov

    Ich will damit sagen, dass nicht immer die Firmen und deren Software schuld ist sondern zu einem sicher recht großen Prozentsatz eben auch der - unwissende, weil nicht z. B. Netzwerktechniker - Anwender.

    Da gebe ich dir völlig recht, aber genau das wäre ein bedeutender Grund mehr, die Geräte eben nicht mit naktem Hintern ins Internet zu hängen.


    Zitat von Timpov

    Wo steht das? Woraus schließt Du das?

    Praktisch zwischen den Zeilen. @Finca Dela Vega möchte zwar genau das vermeiden, aber seine Wunschliste wird sich aus dem Standheraus mit dem NAS nicht umsetzten lassen.


    Soweit ich weiß gibt es da keine IDS, um die Firewall muss er sich selbst kümmern, gut eine blacklist gibts, bei Fail2Ban bin ich mir nicht sicher, ich vermute aber eher nicht. Also was passiert? er hängt sein NAS mit naktem Hintern ins Internet...

    Zitat von angelluck

    Praktisch zwischen den Zeilen. Finca Dela Vega möchte zwar genau das vermeiden, aber seine Wunschliste wird sich aus dem Standheraus mit dem NAS nicht umsetzten lassen.

    Ok, jetzt habe ich's verstanden. Danke :)

    Zitat von angelluck

    Also was passiert? er hängt sein NAS mit naktem Hintern ins Internet...

    Ich frage das eine Dame ja nur ungern... was meinst Du konkret mit nacktem Hintern?


    Was wäre schlimm daran, Port 443 von außen über z. B. Port 54871 verfügbar zu machen, den internen QTS Admin zu 'disablen', einen neuen Admin - mit sicherem Kennwort - zu erstellen und mit diesem von außerhalb auf das NAS zuzugreifen?

    Zitat von Timpov

    Ich frage das eine Dame ja nur ungern... was meinst Du konkret mit nacktem Hintern?

    Naja Schutzlos halt. Bei vielen dann auch gerne noch mit sämtlichen offenen Ports oder noch lieber mit der automatischen Routerkonfiguration, mir fällt gerade die Abkürzung nicht ein. Jedenfalls so das alles möglichst einfach ist. Wobei @Finca Dela Vega mir hier schon einen besseren Eindruck macht. :)

    Zitat von angelluck

    [...] oder noch lieber mit der automatischen Routerkonfiguration, mir fällt gerade die Abkürzung nicht ein. Jedenfalls so das alles möglichst einfach ist.

    Du meinst sicher die Konfiguration über UPnP...

    Ja, das ist dann in der Tat ziemlich nackt! :)

    Zitat von angelluck

    Wobei Finca Dela Vega mir hier schon einen besseren Eindruck macht. :)

    Yep. Mir auch!

    Das war humorvoll gemeint und zielte darauf ab, dass es ganz ohne erreichbare Ports nun einmal nicht geht.


    Dass sie Port 80 nicht veröffentlicht hat, ist mir schon klar. Ist nicht gut formuliert und man kann es falsch verstehen, da hast Du recht - falls Deine Frage so gemeint ist.

    Die Diskussion ist ja nicht neu und wird regelmäßig wieder aufgewärmt. Dazu ist eigentlich nur folgendes zu sagen:


    1.) Eine schöne Zusammenfassung zu den Do's and Dont's findet sich hier: Zugriffsschutz für QNAP Beginner

    2.) Jeder Hersteller (nicht nur QNAP) verspricht 1-klick Sicherheit, alle scheitern regelmäßig dran...

    3.) Eine kaputte Webanwendung kompromitiert meist gleich das ganze System. Eine Lösung wäre höchstens konsequente Virtualisierung auf dem NAS, ist aber zu CPU und Resourcenlastig auf den kleinen Kisten.

    3.1) Der letzte große Bug kam angeblich über die "MusicStation"

    4.) Wenn man ein QNAP oder sonstiges NAS ins Netz hängen will, dann am besten in einer DMZ, die den Server vom internen Netz isoliert. Dann ist der Schaden beim Hack wenigstens nicht so groß. Da könnte man bspw. ein billiges 1-bay NAS nehmen, auf das vom internen Netz synchronisiert wird, damit man leichter Freigaben verteilen kann. Zumindest hat man dann noch eine Absicherung, sollte dieses gehackt werden.

    5.) QNAP bietet inzwischen auch eine 2-Faktor Authentifizierung an, bei der bspw. zeitbasiert zusätzliche Passwörter generiert werden über eine App wie bspw. Google Authenticator. Soetwas sollte in jedem Fall zwingend sein, wenn man das Risiko eingeht.

    Das Problem ist eher weniger das jemand einen Account knackt, mit guten Kennwörtern kann man das verhindern, das Problem sind Programmierfehler in den Diensten oder der CPU.

    Intel hat da das nächste Problem:

    https://www.heise.de/security/…n-Intel-CPUs-4326566.html


    Wird also so ein Dienst direkt über das Internet erreichbar gemacht, der auch nur einen kleinen Programmfehler enthält, lässt sich dieser ausnutzen, da ich mit dem Dienst direkt interagieren kann.

    Sagen wir mal da geht die Webseite für Webdav auf, ich werde nach Anmeldedaten gefragt, ich übergebe da 2048bit, das Fehlt ist aber nur für 1024 Bit ausgelegt und wird nicht geprüft.

    Wird alles was ich in den zweiten 1024Bit an Infos übergebe ausgeführt, weil der Prozess die Daten aus dem Feld ja bearbeiten soll und muss.

    Also habe ich von dem Moment an einen Insider drin, der die Hintertür auf macht und die bösen Buben rein holt.

    Schon wechselt das System den Verwalter...

    Zitat von nasferatu

    Die Diskussion ist ja nicht neu und wird regelmäßig wieder aufgewärmt.

    Ja, und das ist auch gut so. Diskussionen über Sicherheit werden am besten jeden Tag wieder aufgewärmt!


    Zitat von Crazyhorse

    Wird also so ein Dienst direkt über das Internet erreichbar gemacht, der auch nur einen kleinen Programmfehler enthält, lässt sich dieser ausnutzen, da ich mit dem Dienst direkt interagieren kann.

    Crazyhorse: Dennis, ich will Dir nicht zu nahe treten, aber was soll diese Art Panikmache?


    Wenn es so einfach wäre, würde dauernd jeder jeden hacken.

    Passiert das? Nein, tut es nicht.

    Warum nicht? Weil es eben nicht so einfach ist.


    In Deinem Beispiel beschreibst Du einen "Buffer Overflow". Ein solcher lässt sich zu 99% sicher nicht zum Einschleusen von Schadcode nutzen. Und selbst wenn es im Falle des restlichen 1% zu einem Angriff kommen könnte, werden die Exploits in der Regel "im Labor" entwickelt und sind nur selten für die Praxis - und somit für uns Anwender - relevant und gefährlich.


    Noch ein Wort zu den Laborbedingungen. So steht z. B. auch in dem von Dir zitierten Heise-Artikel:

    Zitat von Heise-Artikel

    In ihrem Whitepaper [...] beschreiben die Forscher den – bislang lediglich im Rahmen ihrer Forschung ausgeführten – Angriff im Detail.

    Sprich, unter Laborbedingungen "geht da wohl 'was".

    Müssen wir nun sofort Angst haben? Nein, ich denke, das müssen wir nicht.


    Meiner Meinung nach kann man das Thema Sicherheit gar nicht hoch genug aufhängen.

    Nur sollte man es auch nicht übertreiben und die berühmte Kirche ab und an auch 'mal im Dorf lassen.


    Gruß!

    Tim

    2 Mal editiert, zuletzt von Timpov ()