DSM 6.x und darunter Sicherheit der Diskstation 3 (heute Signaturen)

[süno42]

Hallo Leute,

ich setze heute mal wieder meine Themenreihe fort …

Ich habe mich mal dem Thema der Paketverwaltung gewidmet und kann wieder mal nur den Kopf schütteln. Nutzern lassen sich über die Paketverwaltung gefälschte Applikationspakete unterjubeln. Diese werden dann je nach Inhalt mit Root-Rechten gestartet. So ist es auf einfache Weise möglich, die Diskstation zu kapern und bis hin zum Datendiebstahl alles mögliche damit anzustellen.

Gründe:

1. Die Verbindung zum Paketserver ist nicht authentifiziert, d.h. fremde können sich theoretisch als Paketserver ausgeben
2. Die einzelnen Pakete sind anscheinend nicht signiert (ich konnte weder eine Paketsignatur noch eine innerhalb des Pakets entdecken).

Ein beispielhaft installiertes Paket (Directory Server) lädt die DS von http://global.download.synology.com/ herunter. Der Domainname verweist derzeit auf Amazons Cloudfront.


Viele Grüße
Süno42

 

[bishop2k]

u.a. deswegen hab ich bei der umfrage auch den haken bei "sicherheit" gesetzt.
TNX 4 input!

 

[süno42]

Dieses Thema scheint im Vergleich zu den anderen Sicherheitsthemen wohl nicht so von Interesse zu sein. Ich habe auf meiner DS-213+ mittlerweile die neueste DSM (4.3-3776-2) drauf. Das Problem besteht immer noch. Jetzt wird es Zeit, daß der Support mal wieder Rede und Antwort stehen sollte. Mal sehen, was sie mir dieses mal auftischen…

Viele Grüße
Süno42