keenet07

Сегодня внезапно во время просмотра тяжелого фильма через DLNA (не роутера) отвалились все устройства 2.4Ghz диапазона, при том что весь трафик DLNA шел по 5Ghz. Странный глюк. Они просто отключились с событием had been aged-out and disassociated (idle silence) и больше не могли подключиться. Работали по WPA3. В общем понадобилось поизучать системный журнал. Сохранил его в файл и открыл в своей оболочке. Как же удобно было осуществлять поиск по MAC, просматривать всю историю именно по нему. Отсортировать по Errors и Warning. Переходить к ближайшим событиям в логе. Очень хочется подобного функционала в журнале роутера.

@D_K_ В таком случае суперадмин не должен быть обычным пользователем с логином и паролем. Заходить в админку любой админ должен исключительно под логином и паролем с правами простого админа. Так уменьшается вероятность перехватить пароль суперадмина через браузеры, через их формы сохранения, через куки и всё прочее. Специальный пароль повышения прав должен вводиться исключительно отдельной командой в консоли или в веб. Но тут сложности, как бы это могло выглядеть в мобильном приложении. Там бы его тоже не желательно бы светить.

Это не для облегчения удаленной работы админа, а для увеличения уровня защищенности, когда это требуется. Удаленный админ вынесет на этот защищенный уровень, только то что не имеет для него необходимости в постоянном удаленном управлении, но минимизирует потенциальный ущерб для системы в случае компрометации доступа. А может и вообще не пользоваться этим функционалом. Но всё же наряду с тем что я предлагаю, можно конечно и ваш способ идентификации включить. Опционально. Он конечно менее безопасный, но всё же два разных пароля это уже какая-то защита. В этой системе должен быть выбор физический PIN-код или суперпароль для повышения привилегий удаленного администрирования.

Предлагаю внедрить систему защиты привилегированных команд путем ввода секретного pin-кода на аппаратном уровне одной из кнопок устройства. Для этого потребуется: 1) Ввести новый привилегированный уровень доступа для пользователя, условно назвать его режим sudo. В этом режиме работали бы те команды которые должны быть защищены особым образом. Сюда можно отнести в том числе команду для включения/отключения удаленного обновления прошивки кем бы то ни было кроме владельца устройства. Как это работает? Для повышения уровня доступа до sudo необходимо будет ввести секретный pin-код с помощью одной из физических кнопок на роутере. Это может быть любая кнопка, например та, что отключает WIFI. Таким образом система должна удостовериться, что владелец действует целенаправленно физически присутствуя рядом с устройством. Данный режим может быть активен в течение определенного заданного времени, а затем отключается. Сам pin-код устанавливается при первоначальной настройке устройства и сохраняется в защищенном месте в виде хэш. Сочетание физический доступ и знание секретного pin-кода защитит от некоторых способов неправомерного физического доступа к устройству третьих лиц. Исключит воздействия методами социальной инженерии. Т.е. злоумышленник получивший удаленный доступ не сможет кого-то попросить нажать что-то на устройстве для перехода в защищенный режим, т.к. потребуется pin-код. Пример: pin-код 324 это три быстрых нажатия на кнопку, пауза, два быстрых, пауза, четыре быстрых. Переход в режим ввода pin-кода может инициироваться, например командой sudo и сопровождаться какой-либо индикацией с помощью светодиодов устройства. 2) Добавить функционал назначения повышенных привилегий выполнения для определенного перечня команд который пользователь выберет самостоятельно. (крайне желательно). Либо только что-то из предложенного перечня команд, которые производитель предпочтет защитить таким образом. В этот перечень можно включить: непосредственно редактирование этого списка, функцию удаленного обновления, включая ручное, смену различных паролей на устройстве (админа, wifi и прочего), запуск/остановка определенных служб (FTP, VPN, SSH и прочее), обновление прошивки и всё остальное, что может быть критично в плане безопасности при удаленном доступе. Что это даст? Во-первых, сами выбираем что и от чего защищаем. Ограничиваем возможности, если требуется, для удаленного изменения выбранных настроек. Например, нельзя будет удаленно включить возможность принудительного обновления. Это из насущного. ) Дальше, можно будет запретить определенные действия или изменения при любом виде удаленного доступа, будь то web, SSH, telnet или облачный доступ через приложение мобильного устройства. Выбрать команды (каждый для себя сам определит, что для него критично) которые сработают только при физическом доступе к устройству. Получаем полный контроль доступа. Невозможность изменить удаленно, что-то лишнее. Иногда конечно требуется полный удаленный доступ, вот для этого и нужно, чтоб можно было выбрать что именно включить в этот защищенный режим. Всё это создаст более доверительную модель управления устройством, в том числе не жертвуя функциями удаленного доступа полностью. Даже если кто-то завладеет паролем админа или облачным доступом, он не сможет нанести большого вреда. Получается защита в том числе и от потенциально новых не известных ещё уязвимостей. Конечно здесь ещё многое нужно предусмотреть. Ведь такого решения на рынке ещё нет.

@Queesesto Не должно такого быть. Это либо глюк измерений с вашей стороны, либо какой-то баг в прошивке.

Пароль суперадмина он конечно практичен. Но его можно украсть, перехаватить, и использовать. Но ваше предложение о защищенном супер-пароле можно применить в качестве дополнительной защиты в предложенном мной выше методе. Это послужит дополнительной защитой от некоторых видов атак путем социальной инженерии. Нужно будет знать и этот пароль и нажать комбинацию на устройстве. Суть такова, что этот пароль может быть использован только при физическом доступе. Если подумать, то сам этот защищенный пароль вообще можно упростить до трех, четырехзначного цифрового кода, который можно было бы набрать с помощью кнопки, например код 324 это три быстрых нажатия, пауза, два быстрых, пауза, четыре быстрых. Это супер круто (снимает задачу ввода суперпароля где-то в интерфейсе), но да, сложновато для простого обывателя в использовании. В другой стороны, зачем вообще домохозяйка полезет в настройку такой функции.

Я бы предложил следующую концепцию. Ввести новый привилегированный уровень доступа для пользователя, условно назвать его режим sudo. В этом режиме работали бы те команды которые должны быть защищены особым образом. Сюда можно отнести в том числе команду для включения/отключения удаленного обновления прошивки кем бы то ни было кроме владельца устройства. Как это работает. Для повышения уровня доступа до sudo необходимо при входе в него зажать определенную физическую кнопку на роутере или нажать её определенное количество раз с определенным интервалом. Это может быть любая кнопка, например та что отключает WIFI. Таким образом система должна удостовериться, что владелец действует целенаправленно физически присутствуя рядом с устройством. Добавить функционал по назначения повышенных привилегий выполнения для определенного перечня команд который пользователь выберет сам, желательно. В него можно включить: само назначение и изменение этого списка, функцию удаленного обновления, включая ручное, смену различных паролей на устройстве, админа, wifi и прочего, запуск/остановка определенных служб, обновления и всё остальное, что может быть критично в плане безопасности при удаленном доступе. Что это даст? Во первых, сами выбираем что и от чего защищаем. Ограничиваем возможности, если требуется, для удаленного изменения выбранных настроек. Например, нельзя будет удаленно включить возможность принудительного обновления. Это из насущного. ) Дальше, можно будет запретить определенные действия или изменения при любом виде удаленного доступа, будь то web, SSH, telnet или облачный доступ через приложение мобильного устройства. Выбрать команды, каждый для себя сам определит, что для него критично, которые сработают только при физическом доступе. Получаем полный контроль доступа. Невозможность что-то лишнее изменить удаленно. Иногда конечно нужен полный удаленный доступ, вот для этого и нужно чтоб можно было выбрать что именно включить в этот режим. Всё это создаст более доверительную модель управления устройством, в том числе не жертвуя функциями удаленного доступа полностью. Даже если кто-то завладеет паролем админа или облачным доступом, он не сможет нанести большого вреда. Конечно здесь ещё многое нужно предусмотреть. Ведь такого решения на рынке ещё нет.

Именно.

Если нет бэкапов, то значит нет. Но и переходить на старую прошивку смысла практически никакого. В доступе только базовые версии прошивок с неполным набором компонентов. Сейчас на новой у вас что-то не работает?

Если у вас конфиг старый сохранен, то всё у вас останется. Вы ведь полный сброс устройства делать не собираетесь. В общем-то даже если и нет, то и текущим конфигом в большой долей вероятности ничего не пострадает при откате.

Думаю, что там давно уже всё почитали, плюс своё что-то обдумали. И вероятно уже даже реализовали. Я жду уже в ближайшее время что-то в новой прошивке. Вот только не известно что вперед выйдет, какая-нибудь 4.x или это только в 5.x появится. Я пятерку жду.

Вообще-то можно. Это не проблема.

Да нет, 10. Ограничение в сутки есть. Видимо 10. Я тоже попадал под него.

Какую ещё инструкцию, я не сотрудник компании. Кто хотел, тот давно всё сделал. Описывать не очень полезную инструкцию в публичном пространстве, такое себе. Весь инструментал доступен на самом устройстве, просто подумайте и сделайте. В ЛС писать мне за этим не нужно.

Никакого не вольют, если вы позаботитесь об этом. У вас наверняка есть все бэкапы, раз вы сознательно выбрали какую-то конкретную версию. Вернитесь на неё, восстановите настройки. И сделайте так чтобы больше никакие обновления к вам не приходили совсем. Всё остальное уже случилось. По поводу что будет дальше. Сказали же что услышали нас и всё сообщат. Ждать никто не хочет.