- Mitglied seit
- 15. Mai 2008
- Beiträge
- 21.900
- Punkte für Reaktionen
- 14
- Punkte
- 0
Hier im Forum gibt es ab und an heftige Diskussionen über Sicherheitsprobleme und Sicherheitsvorkehrungen, wenn die DS im Internet ihre Dienste offeriert. Dazu mal ein paar Bemerkungen:
(1) Das Internet ist grundsätzlich 'unsicher'. Diese Aussage meint, dass wenn wir einen Rechner hin zum Internet öffnen (z. B. per Router), dann kann jeder per IP-Adresse des Routers oder dem Äquivalent dem DNS-Namen (DynDNS-Namen) und einer entsprechenden Portnummer einen Dienst (Server, Service, was auch immer) auf der DS anrufen und damit ist ein Zugang prinzipiell möglich. Ob der Dienst dann einfach antwortet (ohne Authentifizierung) oder sich verweigert, kann man entweder innerhalb der jeweiligen Dienste programmieren oder man benutzt 'Universalschweine' (Firewalls) dafür. Das ist auch auf der DiskStation so möglich. Allerdings nur in einem üblichen, begrenzten Umfang weist die Firewall dies auf der DiskStation ab (Schwarze oder weiße Liste mit IP/Teilnetzwerk-Adressen der Anrufer).
(2) Die Server selbst können weitere benutzerbezogene Authentifizierungen vornehmen. Das kann ein einfacher Forum durch einen Konfiguration z.B. innerhalb des Webservers erfolgen; bei anderen Diensten ist es zwingend vorgesehen (SSH). Die Authentifizierung kann in einfacher Form durch ein Tupel 'Username, Kennwort' erfolgen oder in komplexerer Form z. B. durch den Vergleich von Schlüsseln auf der Basis von Zertifikaten. Internetserver-Anwendungen z. B. können zusätzlich Penetrationsversuche protokollieren und/oder statistische Verfahren verwenden, um entsprechende Usernamen oder IP-Adressen zu sperren (wird auch im DS-Manager angeboten). Es gibt aber auch Dienste, bei denen das nicht vorgesehen ist (UPnP/DLNA) und diese sich deswegen dann nicht eignen ohne eine weitere Vorkehrung, z. B. durch VPN tunneln.
(3) Bei wichtigen (sensiblen) Daten, kann auch eine Session-Steuerung (z.B. innerhalb des Webservers) mit einer Glütigkeitsverweilzeit (Session-Token mit Verfallsdatum ... kennt ja jeder vom Online-Banking) zum Einsatz kommen. Meist wird das über Cookies im Browser realisiert. Auch das gibt es beim DiskStation-Manager (Benutzer-Anmeldung) und in vielen Webanwendungen. Allerdings fehlt bei bestimmtes Diensten diese Möglichkeit.
(4) Grundsätzlich sollte man davon ausgehen, dass ein zum Internet hin geöffneter Rechner auch 'gehackt' wird. Deswegen sollte man eine Bewertung vornehmen, ob sich sensible Daten auf dem Server befinden und welche Auswirkungen eine Down-Zeit des Servers oder gar der DiskStation hat (das wären ja die sichtbaren maximalen Ausfälle/Verluste der Integrität). Wenn man feststellt, dass dies zu größeren Problemen führen kann, sind Überlegungen zur Parzellierung (rein interner Server - reiner Internetserver - keine internen Netzverflechtungen zwischen diesen Servern) zu überlegen. Solange keine virtuellen Maschinen auf den DiskStations hier das Hardware-Problem abstrahieren, muss man in Geräte-Einheiten denken (zwei, drei, viele DiskStations). Wichtig ist bei jeder Bedrohungslage zu überlegen, wie man im Ernstfall damit umgeht (Desaster-Szenario) und das auch mal übt (ist wie ein Restore beim Backup-Konzept).
(5) Die Diskussion vom Wirken von Malware ist hier nicht vorgenommen worden, weil es sich noch nicht als Problem auf den DiskStation ergeben hat, ist aber prinzipiell natürlich auch wichtig.
Sicherlich ist das nicht alles zu dem Thema und vielleicht fallen euch noch weitere wichtige Dinge hierzu ein. Dann bitte, die Diskussion ist eröffnet.
Itari
(1) Das Internet ist grundsätzlich 'unsicher'. Diese Aussage meint, dass wenn wir einen Rechner hin zum Internet öffnen (z. B. per Router), dann kann jeder per IP-Adresse des Routers oder dem Äquivalent dem DNS-Namen (DynDNS-Namen) und einer entsprechenden Portnummer einen Dienst (Server, Service, was auch immer) auf der DS anrufen und damit ist ein Zugang prinzipiell möglich. Ob der Dienst dann einfach antwortet (ohne Authentifizierung) oder sich verweigert, kann man entweder innerhalb der jeweiligen Dienste programmieren oder man benutzt 'Universalschweine' (Firewalls) dafür. Das ist auch auf der DiskStation so möglich. Allerdings nur in einem üblichen, begrenzten Umfang weist die Firewall dies auf der DiskStation ab (Schwarze oder weiße Liste mit IP/Teilnetzwerk-Adressen der Anrufer).
(2) Die Server selbst können weitere benutzerbezogene Authentifizierungen vornehmen. Das kann ein einfacher Forum durch einen Konfiguration z.B. innerhalb des Webservers erfolgen; bei anderen Diensten ist es zwingend vorgesehen (SSH). Die Authentifizierung kann in einfacher Form durch ein Tupel 'Username, Kennwort' erfolgen oder in komplexerer Form z. B. durch den Vergleich von Schlüsseln auf der Basis von Zertifikaten. Internetserver-Anwendungen z. B. können zusätzlich Penetrationsversuche protokollieren und/oder statistische Verfahren verwenden, um entsprechende Usernamen oder IP-Adressen zu sperren (wird auch im DS-Manager angeboten). Es gibt aber auch Dienste, bei denen das nicht vorgesehen ist (UPnP/DLNA) und diese sich deswegen dann nicht eignen ohne eine weitere Vorkehrung, z. B. durch VPN tunneln.
(3) Bei wichtigen (sensiblen) Daten, kann auch eine Session-Steuerung (z.B. innerhalb des Webservers) mit einer Glütigkeitsverweilzeit (Session-Token mit Verfallsdatum ... kennt ja jeder vom Online-Banking) zum Einsatz kommen. Meist wird das über Cookies im Browser realisiert. Auch das gibt es beim DiskStation-Manager (Benutzer-Anmeldung) und in vielen Webanwendungen. Allerdings fehlt bei bestimmtes Diensten diese Möglichkeit.
(4) Grundsätzlich sollte man davon ausgehen, dass ein zum Internet hin geöffneter Rechner auch 'gehackt' wird. Deswegen sollte man eine Bewertung vornehmen, ob sich sensible Daten auf dem Server befinden und welche Auswirkungen eine Down-Zeit des Servers oder gar der DiskStation hat (das wären ja die sichtbaren maximalen Ausfälle/Verluste der Integrität). Wenn man feststellt, dass dies zu größeren Problemen führen kann, sind Überlegungen zur Parzellierung (rein interner Server - reiner Internetserver - keine internen Netzverflechtungen zwischen diesen Servern) zu überlegen. Solange keine virtuellen Maschinen auf den DiskStations hier das Hardware-Problem abstrahieren, muss man in Geräte-Einheiten denken (zwei, drei, viele DiskStations). Wichtig ist bei jeder Bedrohungslage zu überlegen, wie man im Ernstfall damit umgeht (Desaster-Szenario) und das auch mal übt (ist wie ein Restore beim Backup-Konzept).
(5) Die Diskussion vom Wirken von Malware ist hier nicht vorgenommen worden, weil es sich noch nicht als Problem auf den DiskStation ergeben hat, ist aber prinzipiell natürlich auch wichtig.
Sicherlich ist das nicht alles zu dem Thema und vielleicht fallen euch noch weitere wichtige Dinge hierzu ein. Dann bitte, die Diskussion ist eröffnet.
Itari
Zuletzt bearbeitet: