Токены доступа в NDMS 5.2

[dimon27254]

@KoneTaH @admin @hlnw

В 5.2 появились токены доступа, которые, как я понимаю, в будущем станут одним единственным способом обращения к RCI из Entware.

Хотелось бы понять:

1. Как долго еще останется неавторизованный доступ к RCI по 127.0.0.1:79? На данный момент запросы без токена еще принимаются, хоть система и отправляет в лог предупреждения.

2. Как для пользователя или скриптов в Entware будет выглядеть переход на токены доступа в 127.0.0.1:79? После очередного обновления RCI будет просто возвращать HTTP-код 401 вместо успешной обработки запроса, или же как-то иначе?

3. Хотелось бы увидеть все возможные примеры применения токенов. Судя по всему, они будут полезны не только при обращении к 127.0.0.1:79, но и в каких-то иных сценариях.

4. Всегда ли токен, генерируемый пользователем, будет содержать 56 символов, а также латинские буквы и/или цифры?

5. Возможно ли будет создавать токены с readonly-доступом к RCI?

6. Планируется ли "прикрывать" ndmc -c ? На данный момент там никаких ограничений нет, и система каких-либо предупреждений не возвращает.

 

Изменено 18 июля пользователем dimon27254

[Ponywka]

Я не понимаю в чем смысл данного обновления? Тому же Docker, который крутится на миллионах серверах не мешает держать /var/run/docker.sock без авторизации, и ничего - все этим пользуются, и приложения (например Portainer), при желании, обращаются напрямую к /var/run/docker.sock для управления контейнерами внутри Docker.

Да, в данный момент у вас не UNIX сокет (как это сделано у Docker в примере выше) - у вас порт на 127.0.0.1:79, что подтвержается командой ниже, но тем не менее, он не открыт в сеть, и на него не достучаться из самой сети.

~ # netstat -tulpn | grep ":79"
tcp        0      0 127.0.0.1:79            0.0.0.0:*               LISTEN      773/null

Зачем усложнять и разработчикам, и пользователям OPKG пакетов жизнь? Пользователям и без того сложно бывает правильно отформатировать флешку, потому что (далее могу ошибаться, не пользуюсь активно Keenetic/Netcraze, чтобы знать о всех обновлениях) нет ни кнопки в интерфейсе Keenetic/Netcraze, ни команды RCI, которая бы позволяла вызвать форматирование раздела (Upd. Подсказали, что в версии 5.1 уже реализовано), чтобы упростить пользователям установку OPKG (даже если учитывать тот факт, что вы не готовы оказывать пользователям OPKG техническую поддержку, фактически большая часть пользователей приобретает вашу продукцию в том числе за возможность запускать на ней неподписанный сторонний код). Теперь пользователям также придётся объяснять как зайти туда-то, нажать туда-то, чтобы получить токен, а потом как этот токен прописать в стороннюю программу (а ведь для каждой программы это будет свой способ), хотя ранее это не требовалось. Автоматизировать это дело (чтобы упростить пользователям жизнь) не получится, если только не лезть в память системных процессов (что, к слову, Root'овый доступ на Entware позволяет делать), что будет сложно с привязкой к версии прошивки и архитектуре. 

Какую мнимую дыру в безопасности решают эти токены? У пользователя уже есть Root доступ, который он уже раздаёт всяким скриптам и т.п. Уже на этом моменте пользователь может сделать что-либо опасное на роутере, и ничего - пользователи всё ещё живут. Может ли быть это дело опциональным (например галочка "разрешить безтокенный доступ" в настройках)? Зачем ломать обратную совместимость с кучей уже написанного стороннего софта? Мне как разработчику и так приходится завязываться на ваш костыль под названием /opt/etc/ndm/..., хотя ни для любого другого роутера я не завязывался на подобные платформо-зависимые особенности. Почему конкретно для Keenetic/Netcraze мне постоянно приходится адаптироваться под ваш API?

Изменено 18 июля пользователем Ponywka
Поправка про форматирование раздела

[hoaxisr]

Я искренне не понимаю смысла всех этих токенов для доступа локально к localhost'y,  пользовательские программы и скрипты в Entware совершенно свободно могут делать любые изменения мимо RCI. Это лишь имитация безопасности, и создание дополнительного действия со стороны пользователя с 0 полезностью. 

Получить токен, который гарантировано можно хранить как угодно небезопасно, что означает создание ещё одного вектора для атаки. 

 

 

Изменено Воскресенье в 16:40 пользователем hoaxisr
тавтология

[krass]

А есть шанс,что после критики форумчан эти токены или уберут вовсе или сделают их применение не строго обязательным?
 

Или быть может создать Тему в Развитии с просьбой об отмене ( вообще или ,например, через консольную команду) такого функционала...?

[Ground_Zerro]

RCI-авторизация в KeeneticOS 5.2: ответы разработчиков NDMS

Материал подготовлен по итогам прямого диалога с командой разработки NDMS. Публикуется в формате Q&A. Информация актуальна на момент публичной альфы KeeneticOS 5.2 и может уточняться.

---

Контекст

В KeeneticOS появился новый механизм авторизации RCI — по токену, передаваемому в заголовке `X-NDMA-TKN`. Для сторонних пакетов (Entware/opkg), использующих RCI для настройки политик, маршрутизации и прочего, это ломает существующие сценарии работы.

---

Часть 1. Механизм авторизации

• В: Будет ли документация по новому механизму авторизации RCI — формат токена, заголовок передачи, коды ошибок, время жизни, отзыв, привязка к пользователю/роли/интерфейсу?
• О: Да, документация будет опубликована, ориентировочно в ближайшее время.

---

• В: Есть ли машиночитаемый способ определить, какую схему авторизации поддерживает конкретная прошивка? Пакету нужно поддерживать старые и новые версии одним бинарём, а детект по номеру версии — хрупкий.
• О: Признаком служит наличие `x-ndw4-authenticate` в ответе `/auth`. Появится только в 5.2.

---

• В: Судьба интерактивной авторизации `x-ndw2-interactive` — сохраняется ли она ради обратной совместимости?
• О: Нет. Планируется убрать как можно скорее.

---

• В: Предусматривается ли endpoint, обменивающий валидные логин/пароль на токен доступа (аналог OAuth2 Resource Owner Password Credentials)?
• О: Прямого обмена «логин/пароль → токен» не будет. Вместо этого вводится бутстрап авторизации через браузерный редирект — разработчики отметили, что именно этого звена в текущей схеме не хватало.

Схема бутстрапа:

1. Стороннее приложение делает редирект на `/auth`, передавая финальный URL возврата в одном из параметров.
2. Пользователь проходит обычную процедуру ввода логина и пароля. Дополнительно он предупреждается, что будет создан одноразовый токен, дающий доступ стороннему сервису.
3. При успешной аутентификации роутер создаёт одноразовый токен с временем жизни 1 минута и выполняет редирект на переданный URL, подставляя токен в параметр.
4. Приложение в течение минуты может ровно один раз авторизоваться по этому токену — то есть создать одну сессию. Уже внутри этой сессии выполняются нужные настройки, включая генерацию и сохранение постоянного токена.
   
   Технические детали бутстрапа будут описаны отдельно и пройдут ревью сообщества перед финальным утверждением.

---

• В: Есть ли более простой путь для случаев, когда браузерный редирект неприменим?
• О: Да, есть вариант проще, но менее безопасный — вызов `ndmc`, который всегда присутствует в прошивке в режиме выполнения команд. Важная оговорка: `ndmc` выполняет команды от имени `admin`, и полученный таким способом токен также будет только от `admin`.

---

• В: Формат токена уже утверждён и будет таким, каким он показан в публичной альфе 5.2?
• О: Формат будет утверждён. Предусмотрено три вида токенов: «навсегда», «с временем жизни» и «одноразовый». На текущий момент реализована возможность создать только токен «навсегда».

 

Часть 2. Вопросы сообщества

• В: Возможно ли сохранить — штатно или опционально, флагом в конфигурации NDMS — неаутентифицированный доступ к RCI с `127.0.0.1`? Процесс в Entware работает от root на том же устройстве и уже имеет полный контроль над системой вплоть до остановки NDMS; авторизация на loopback не создаёт границы доверия, но ломает локальные сервисы.
• О: Нет. Цель — удалить любой открытый доступ на маршрутизируемых интерфейсах. `127.0.0.1` очень легко открывается наружу пробросом порта.
  
  При этом `ndmc` работает через unix-domain-socket, который не маршрутизируется, — и его пока допустимо оставить неавторизованным.

---

• В: Планируется ли расширение лимита 8 + 8 DoH/DoT-серверов?
• О: Нет.

---

• В: Рассматривался ли переход на dnsmasq ради полноценных настроек DNS в прошивке?
• О: Точно нет.

---

• В: Существует ли штатный механизм учёта kernel-интерфейсов, созданных вне NDMS, — регистрации интерфейса, чтобы политики и маршрутизация видели его как обычный?
• О: Да — `OpkgTun` и `OpkgTap` делают ровно это.

 

О формате взаимодействия

Перед публикацией настоящего материала было получено разрешение на распространение приведенной в нем информации.

Также разработчики NDMS подтвердили готовность к прямому диалогу с авторами сторонних пакетов.

[Denis P]

20 часов назад, dimon27254 сказал:

@KoneTaH @admin @hlnw

В 5.2 появились токены доступа, которые, как я понимаю, в будущем станут одним единственным способом обращения к RCI из Entware.

Хотелось бы понять:

1. Как долго еще останется неавторизованный доступ к RCI по 127.0.0.1:79? На данный момент запросы без токена еще принимаются, хоть система и отправляет в лог предупреждения.

2. Как для пользователя или скриптов в Entware будет выглядеть переход на токены доступа в 127.0.0.1:79? После очередного обновления RCI будет просто возвращать HTTP-код 401 вместо успешной обработки запроса, или же как-то иначе?

3. Хотелось бы увидеть все возможные примеры применения токенов. Судя по всему, они будут полезны не только при обращении к 127.0.0.1:79, но и в каких-то иных сценариях.

4. Всегда ли токен, генерируемый пользователем, будет содержать 56 символов, а также латинские буквы и/или цифры?

5. Возможно ли будет создавать токены с readonly-доступом к RCI?

6. Планируется ли "прикрывать" ndmc -c ? На данный момент там никаких ограничений нет, и система каких-либо предупреждений не возвращает.

 

и сразу пожалуй стоит тэгнуть @TheBB и @Александр Рыжов
потому что в скрипте install в entware тоже используется rci без авторизации

Изменено 18 июля пользователем Denis P

[Ground_Zerro]

Присоединяюсь.

Тезисно
- порт не смотри во вне,
- у пользователя уже есть ROOT чтобы сделать что угодно.
Зачем??

[eralde]

В 18.07.2026 в 01:50, dimon27254 сказал:

3. Хотелось бы увидеть все возможные примеры применения токенов. Судя по всему, они будут полезны не только при обращении к 127.0.0.1:79, но и в каких-то иных сценариях.

Токены можно использовать для авторизации внешнего сервиса на вашем устройстве. Например, если хочется сделать свой мини-RMM без общения с нашими облачными серверам. Для полного исключения общения с ними придется, правда, получать самому в консоли сертификаты на какие-то свои доменные имена, но дальше все будет полностью под вашим контролем.
 

[Ground_Zerro]

22 минуты назад, krass сказал:

А есть шанс,что после критики форумчан эти токены или уберут вовсе или сделают их применение не строго обязательным?

Форум forum.keenetic.ru, согласно официальной позиции ООО «Неткрейз», является только площадкой сообщества, приёма багрепортов и не рассматривается как канал коммуникации с представителями компании. У небольшого сообщества разработчиков открытых пакетов для платформы нет даже минимального способа прямого технического диалога с брендом.

ИМХО

[mogaec]

1 час назад, eralde сказал:

Токены можно использовать для авторизации внешнего сервиса на вашем устройстве. Например, если хочется сделать свой мини-RMM без общения с нашими облачными серверам. Для полного исключения общения с ними придется, правда, получать самому в консоли сертификаты на какие-то свои доменные имена, но дальше все будет полностью под вашим контролем.
 

Кинетики берут из-за двух вещей. Первое-ваш облачный sstp, второе - возможность использования entware.

После релиза 4.3.2 стабильность прошивок перестала быть вашим претмуществом.

И тут вдруг два выстрела, и оба себе в ногу. Я в шоке.

[jinndi]

В 22.07.2026 в 08:50, Ground_Zerro сказал:

При этом `ndmc` работает через unix-domain-socket, который не маршрутизируется, — и его пока допустимо оставить неавторизованным.

Пока)  Интересно до какого времени/версии?

[liliput-liliout]

12 минут назад, jinndi сказал:

Пока)  Интересно до какого времени/версии?

Это мы узнаем по факту. Когда в какую-нибудь очередную предварительную версию без объявления войны, без отражения в публичном changelog его просто не отключат.