SSLv3: Abschalten ist angesagt...

[Frogman]

An diversen Stellen hier im Forum wurde ja auch immer mal wieder über die Feinkonfiguration der Verschlüsselung geschrieben, d.h. insbesondere um die Frage, inwieweit die diversen verfügbaren SSL-Ciphern genutzt werden sollen und in welcher Reihenfolge, beispielsweise um die Anwendung von Private Forward Secrecy zu erreichen, was die aktuell sicherste Variante einer SSL-verschlüsselten Verbindung darstellt, die auch im Nachhinein aus aufgezeichneten Verbindungsdaten nicht dekodiert werden kann (umfangreiche Posts dazu bspw. hier). Aktuell rückt das Thema vielleicht wieder etwas stärker in den Fokus, dann jüngst wurde von Google-Mitarbeitern (die zur Erhaltung ihres Geschäftsmodells offenbar auch ein spürbares Interesse an Verschlüsselungsthemen an den Tag legen) Details zu einem Angriffsszenario veröffentlicht ("Poodle"), was praktisch auf alle SSL-Verbindungen Auswirkungen zeigt - wenn sie denn SSLv3 zuläßt (Quelle). Dieses Protokoll wird aus Gründen der Kompatibilität seit Urzeiten mitgeschleppt (der IE6 aus Windows XP kennt nichts anderes), ist aber heutzutage praktisch bedeutungslos, wenngleich in den meisten Server- und Browserkonfigurationen noch verfügbar. Das knappe Resumee ist: SSLv3 sollte - falls noch nicht erfolgt - in der SSL-Konfiguration der DS komplett deaktiviert werden. Wie das geht, kann man bspw. in dem oben zitierten Forenthread nachlesen. Wie man darüber hinaus dem Browser seines Vertrauens die Verwendung von SSLv3 austreiben kann, findet man problemlos über die einschlägigen Suchmaschinen oder in ersten Ansätzen auch hier.

 

[jahlives]

da schreibt Heise wiedermal recht "unscharf" Poodle ist HTTP spezifisch. Andere Protokolle welche SSL nutzen z.B: IMAP oder SMTP sind davon nicht betroffen. Poodle setzt Javascript voraus auf dem Client

 

[Frogman]

...wobei diese Bedingungen nun nicht so exotisch sind. Bspw. ein User, der sich mit seinem Laptop in einem öffentlichen WLAN einbucht, um dann zu Hause seine DS anzusurfen. Zunächst öffnet sich eine (unverschlüsselte) Seite in seinem Browser, wo dann der Java-Code eingeschleust ist und auf zahlreichen Clients dann auch ausgeführt wird (Java ist eben immer noch bei vielen standardmäßig aktiviert). Auf diese Weise kann schon der Anmeldeaccount kompromittiert werden.

 

[jahlives]

Java ist aber nicht Javascript ;-)
Zudem empfehlen Banken beim Onlinebanking nicht umsonst keine andere Seite im Browser offen zu haben. Crossscripting Angriffe sind ja nichts neues.
Ich möchte nicht sagen man solle nicht dagegen machen. Nur sollte man sich durch deaktivieren von SSLv3 nicht zu sehr in Sicherheit wiegen: auch eine Runterhanldung auf TLSv1 kann gefährlich sein.

 

[Thorndike]

Schaden wird das Abschalten von SSLv3 sicherlich nicht. Ich habe es jetzt einmal für meinen SSL Proxy deaktiviert und dabei gleich einmal Perfect Foreward Security ermöglicht. Sicher ist im Netz eh nichts, aber so ist zumindest die Hürde etwas höher.

 

[Frogman]

Java ist aber nicht Javascript ;-)

ich meinte schon die Erlaubnis, Javascript ausführen zu können

Nur sollte man sich durch deaktivieren von SSLv3 nicht zu sehr in Sicherheit wiegen: auch eine Runterhanldung auf TLSv1 kann gefährlich sein.

Der Aspekt der unsicheren Ciphren kam ja auch in dem zitierten Forenthread ausreichend zur Diskussion... da bin ich auch voll bei Dir!

 

[raymond]

Habe schon Synology angeschrieben SSLv3 abzuschalten und eine neue OpenSSL Version zu installieren.

 

[jahlives]

@raymond
global deaktivieren (z.B. via Flag beim Bauen von openssl) kann auch nach hinten losgehen. Wenn man z.B. den Mailserver am laufen hat, dann werden einige Clients einfach unverschlüsselt übertragen. Outlook 2003 ist noch so ein Kandidat, der nur SSLv3 beim STARTTLS kann und der ist noch recht verbreitet. Zudem ist wirklich nur HTTP anfällig weil man bei SMTP kein Javascript einschleusen kann

 

[raymond]

@raymond
global deaktivieren (z.B. via Flag beim Bauen von openssl) kann auch nach hinten losgehen. Wenn man z.B. den Mailserver am laufen hat, dann werden einige Clients einfach unverschlüsselt übertragen. Outlook 2003 ist noch so ein Kandidat, der nur SSLv3 beim STARTTLS kann und der ist noch recht verbreitet. Zudem ist wirklich nur HTTP anfällig weil man bei SMTP kein Javascript einschleusen kann

Office 2003 Support wurde am 08.04.2014 eingestellt: http://www.microsoft.com/de-de/windows/xp/
Wer das noch verwendet, ist selbst schuld.

 

[Frogman]

Was einen markanten Punkt in vielen Sicherheitsdiskussionen offenbart - ein nicht zu unterschätzender Anteil an Sicherheitsproblemen ergibt sich aus der mehr oder weniger notwendigen Wahrung von Kompatibilität (oder gerne auch als Aktualisierungsträgheit bekannt, wofür dann auch immer der Spruch "never change a running..." herhalten muss)! Gerade das Unternehmensumfeld ist davon betroffen - und gerade dort machen Fischzüge richtig Ergebnis...

 

[jahlives]

@raymond
Outlook war nur ein Bsp. Was ist mit alten Mailservern/mailversendenden Anwendungen welche Dir Mails zustellen wollen und die nur SSLv3 (oder schlechter) können? Die zwingst du dann unverschlüsselt zu übermitteln. Wobei JEDE SSLv3 Verschlüsselung von der Sicherheit her der Plaintextübertragung vorzuziehen ist. SSLv3 zu deaktivieren ist gut bei Verbindungen welche nur verschlüsselt funzen (z.B. https oder IMAPS). Bei oportuinistischem SSL (z.B. STARTTLS bei SMTP) senkt das Deaktivieren von SSLv3 die Sicherheit aber

 

[mic_wag]

Moin!

Ich habe mir, nachdem der Blitz vor 4 Wochen meine (ur)alte Buffalo LinkStation gekillt hat (hing nur im LAN), vor kurzem eine DS214SE zuglegt und bereits viel Zeit mit ihr verbracht. Die meisten der Herausforderungen, die sich mir in der Zwischenzeit mit der neuen DiskStation gestellt hatten, konnte ich u.a. auch mit euren Beiträgen hier im Forum zu meiner zufriedenheit lösen. Dafür in meinem ersten Post hier allen, die Ihre Erfahrungen und Erkenntnisse teilen meinen Dank!
Nun habe ich gestern allerdings in einem der Techblogs, die ich verfolge, sowie später auch bei Heise über das SSLv3 Fallback/ Poodle Attack Problem gelesen und auch verstanden, dass ich da aktiv werden sollte. Als Nicht-Informatiker, der sich mit dieser Materie bisher nicht beschäftigen musste, ja schon mal garnicht schlecht, oder?! ;-)
Nun zu meinem Problem: Ich habe die ganze Diskussion und auch die diversen Querverweise dazu gelesen und konnte das meiste davon auch nachvollziehen, teils nachdem ich mir weitere Infos dazu gesucht hatte. Vom Umsetzen bin ich jedoch weit entfernt und stehe damit immer noch vor dem Problem, dass wenn ich bei https://www.ssllabs.com die DynDNS Adresse meiner DS angebe SSLv3 immer noch als insecure ausgewiesen wird.
Das mit dem Code und den Ciphern klingt alles richtig und nachvollziehbar, aber wo zum Teufel gebe ich das ein, was muss ich dazu öffnen oder installieren?! Worauf ist zu achten? Habe schon gesehen, dass es evtl. Sinn machen könnte den Inhalt der Dateien zu sichern, bevor ich ihn ändere. Aber den Punkt habe ich leider noch nicht erreicht.
Soviel vielleicht noch zu mir und meinem System:
Ich bin grundsätzlich kein DAU, sondern grundsätzlich bemüht, mich mit der Technik, die ich einsetze zu befassen und sie möglichst sicher zu betreiben. Ich arbeite hier primär mit Win7 und WinPhone 8.1 und auf der DS214SE läuft DSM 5-4493 Update 5. Habe für das ansprechen der DS von außen einen seperaten Benutzer ohne Adminrechte angelegt und nur für die Ports, die für mich erforderlich sind Portweiterleitungen eingerichtet. Das mit dem Zertifikat steht bei mir noch auf der ToDo ... ist durch die SSLv3 Meldung gerade etwas nach hinten gerutscht. Habe aber schon einige Infos dazu gesammelt ... denke das werde ich hinbekommen, wenn ich mir die Zeit dafür nehme.
Aber für das deaktivieren von SSLv3 und vieleicht auch für wesentliche Modifikationen der Ciphern fehlt mir der Anfang und auch eine verständliche Quelle wo ich Infos dazu nachlesen kann. Gibt es dazu irgendeine Art Anleitung oder ein Wiki?!
Sorry, dass das jetzt etwas länger wurde, aber ich habe mich bemüht - neben einer kurzen Vorstellung - mit einer möglichst konkreten Formulierung meines Problems auch maximal zu seiner Lösung beizutragen. ;-)

 

[mic_wag]

Ach ja, kurzer Nachtrag noch: Ich habe keinen Webserver und auch keinen Mailserver laufen und habe das in absehbarer Zeit auch nicht vor. Nutze eigentlich ausschließlich die File Station sowie die Audio Station, die Video Station und die PhotoStation. Von extern eigentlich nur die File Station und die Photo Station. Dachte, das könnte die Komplexität vielleicht noch etwas reduzieren, oder?!

 

[Thorndike]

Ach ja, kurzer Nachtrag noch: Ich habe keinen Webserver und auch keinen Mailserver laufen und habe das in absehbarer Zeit auch nicht vor. Nutze eigentlich ausschließlich die File Station sowie die Audio Station, die Video Station und die PhotoStation. Von extern eigentlich nur die File Station und die Photo Station. Dachte, das könnte die Komplexität vielleicht noch etwas reduzieren, oder?!

Leider benutzt du durch die PhotoStation auch den Webserver. Die PhotoStation ist ein PHP Programm das auf dem Webserver ausgeführt wird.

 

[Frogman]

Wie in dem anderen Thread zum Perfect Forward Secrecy auch umrissen, finden sich die SSL-Konfigurationen in Bezug auf Ciphren usw. in zwei Dateien - das sind httpd-alt-port-ssl-setting.conf und httpd-ssl.conf-common im Verzeichnis /etc/httpd/conf/extra (gilt jedenfalls ab DSM5).
Das Editieren kannst Du grünsätzlich auch mit dem Editor 'vi' auf der Konsole der DS vornehmen, doch der rudimentäre Charme des vi ist nicht jedermans Sache - daher kannst Du die Dateien auch auf der Konsole in ein anderes, per Webdienst zugängliches Verzeichnis kopieren (bspw. /volume1/public) und von dort auf den PC befördern. Mit einem Unix-kompatiblen Editor wie bspw. Notepad ++ kannst Du dann die Änderungen vornehmen und danach alles wieder zurückspielen.

Das Kopieren und die Navigation auf der Konsole kannst Du Dir auch mit dem 3rd-Party-Paket 'MidnightCommander' erleichtern - das ist ein Norton-Commander-Tool.
Wie Du dieses Paket installieren kannst und auch den Zugang zur Konsole, findest Du im Wiki beschrieben.

Hinweis: wenn Du die Dateien zurückkopierst, wirst Du zuvor gefragt, ob die jeweilige Datei überschrieben werden soll (siehe Screenshot). Die dort markierte Option (die standardmäßig aktiviert ist und die Rechte der zu kopierenden Datei erhält), solltest Du für das Zurückkopieren dieser beiden Dateien deaktivieren, damit die Rechte der Datei im Originalverzeichnis erhalten bleiben.

 

[mic_wag]

Leider benutzt du durch die PhotoStation auch den Webserver. Die PhotoStation ist ein PHP Programm das auf dem Webserver ausgeführt wird.

Ok, schon wieder was gelernt! Das behalte ich mal im Hinterkopf. Danke!

 

[mic_wag]

@Frogman:
Vielen Dank! Das sind soweit ich das sehen kann die wesentlichen Infos, die ich bisher nirgendwo gefunden habe. Habe das gerade mal überflogen und schaue ich mir das dann morgen mal in Ruhe an. Mal schauen wie weit ich komme, ohne mich wieder bei euch zu melden. ;-)

 

[mic_wag]

Da bin ich schon wieder! Mist, ich hänge fest und muss mich schneller als erwartet hier wieder melden.

Ich habe zuerst den Notepad++ Editor installiert - alles klar soweit!
Danach habe ich über den in Frogmans Link angegebenen Mirror den MC mit der Datei mc-4.7.5-001.spk heruntergeladen. Habe mich dann als Admin auf der DS angemeldet und bin im Paketzentrum auf manuelle Installation gegangen, dort die entsprechende Datei angewählt, die Lizenzbedingungen akzeptiert, Einstellungen bestätigt und dann kommt leider die Meldung Operation fehlgeschlagen!
Habe ich irgendetwas übersehen?! Fehlt noch was? Muss ich auf der DS noch was einstellen? Oder habe ich für die Installation den falschen Weg gewählt?!

 

[Frogman]

Das init_3rdparty-Paket von itari hast Du aber vorher installiert, oder? Ohne dieses kannst Du keine 3rd-Party-Pakete aufspielen.

 

[mic_wag]

Nö, hatte ja keine Ahnung. Habe das jetzt nachgeholt. Habe allerdings nicht das Paket von Itari installiert, sondern das von QTip (http://www.cphub.net/?id=40&pid=293), da mir das als das aktuellste erschien. Danach habe ich es dann mit der Installation des MC über die manuelle Installation erneut versucht, erhielt aber erneut die Meldung Operation fehlgeschlagen. Auch nach einem Neustart der DS und einem erneuten Versuch dieselbe Meldung.
Kann es sein, dass ich über den Bootstrap-Installer noch die IPKG installieren muss?! Habe dazu hier was gelesen: http://www.synology-wiki.de/index.php/Bootstrap_Installer
und das hat mich dann zu den Infos gebracht, wie die IPKG konfiguriert werden soll (http://www.synology-wiki.de/index.php/IPKG#Konfiguration). Muss ich da komplett durch nur um den MC zu installieren, damit ich SSLv3 installieren kann?!