Безопасность и защита вашего VU+ Enigma 2 ресивера

[ooolexa]

Безопасность и защита вашего VU+ Enigma 2 ресивера

Как то выпустили из внимания очень важную тему о безопасности и защите вашего устройства в локальной сети , а так же во внешней , особенно если Вы используете возможности стриминга с приставки Enigma 2 или просто открываете доступ в сеть для удаленного редактирования и управления приставкой .

И так если Вы устанавливаете новый имидж в ресивер , то в большинстве случаев по умолчанию пароль к системе отсутствует , поэтому чтобы обезопасить себя стоит установить пароль доступа который будите знать только Вы и не кто другой , для этого Вам понадобиться :

Запускаем программу DCC ( DСC – Dreambox Control Center )
Открываем вкладку Telnet , пароль меняется командой passwd root (можно просто passwd).
Т.е. набираем passwd root и нажимаем «Enter». Дрим предупредит, что пароль должен содержать от 5 до 8 знаков.
Набираем новый пароль, нажимаем «Enter», затем повторяем пароль и еще раз нажимаем «Enter».
При наборе пароль (или звездочки) на экране не отображается.



Пароль хранится в файле по адресу /etc/passwd в зашифрованном виде:

root:RSJEnyD8:0:0::/:/bin/sh
sshd:*:65532:65534::/:/bin/false
ftp:*:65533:65534::/:/bin/false
nobody:*:65534:65534::/:/bin/false

тело пароля выделено красным цветом, у каждого ресивера содержимое может отличаться. В действительности пароль не выделен, выделен он здесь для наглядности восприятия.

Редактируем файл passwd.
Строка будет иметь вид:

root::0:0::/:/bin/sh

тоесть мы удаляем пароль, который выше выделен красным цветом.

После этого можно поменять пароль через телнет, как написано выше.
Не зная пароля, не возможно будет зайти ни по FTP, ни через Telnet, так что лучше его не терять.

[Kirillm]

Так как будет прописыватся теперь строка стрима внутри сети и во внешку.
А то на соседнем форуме у человека всё футбол смотрят и он не может их закрыть.

[ooolexa]

Kirillm, сегодня с человеком общался и работали над этим вопросом , скажу сразу что на данный  момент добился авторизации только по порту 8002 , с портом 8001 ничего не выходит , как бы не крутил все равно открывается поток  без проблем , подставляешь IP и смотришь без проблем .
Поэтому нужно что то решать своими силами , либо просить на форуме PLI консультации по решению данного вопроса .

[emerald74]

После этого можно поменять пароль через телнет, как написано выше.
Не зная пароля, не возможно будет зайти ни по FTP, ни через Telnet, так что лучше его не терять.

Зато можно зайти по САМБА - это не полная защита нужно еще закрыть ROOT через САМБА.

Код: [Выделить]

[Root]
  comment = Everything - take care!
  path = /
  read only = no
  public = yes
  guest ok = [color=red]yes [/color]


Kirillm, сегодня с человеком общался и работали над этим вопросом , скажу сразу что на данный  момент добился авторизации только по порту 8002 , с портом 8001 ничего не выходит , как бы не крутил все равно открывается поток  без проблем , подставляешь IP и смотришь без проблем .
Поэтому нужно что то решать своими силами , либо просить на форуме PLI консультации по решению данного вопроса .

Пароль на вебинтерфейс включить и при вставке линка в тот же VLC будет запрошен пароль на стрим.
С этим боретесь?

[ooolexa]

emerald74, Не запрашивает , включена авторизация и WebIf , и авторизация самого патока , в оконцовке везде авторизация активна кроме как на порт 8001 , если есть IP и референс канала , то открывается канал без каких либо проблем .

[emerald74]

Смотрю на работе поток с ЕТ-9000, даю ссылку товарищу, он на соседнем компе открывает эту прямую ссылку и у него запрашивает пароль.
Возможно сейчас что то намучено в вебинтерфейсе, буквально пару недель назад было как я и написал.
Закрой гостя через самбу и перепроверь.

[Макс]

Самое печальное что вне зависимо от настроек OpenWebif
На стриминг с порта 8001 невозможно поставить авторизацию
а на стриминге с порта 8002 невозможно снять авторизацию.

Даже если вы снесете OpenWebif, то стрим все равно будет доступен любому!!!

Сегодня еще выяснил что авторы ядра OpenPLi натворили чудес с транскодингом, убрали возможность смены настроек с пульта ресивера и сделали "удобно" настройкой конфига через ftp (долбленые дебилы)

Добавлено: 14 Апрель 2014, 14:49:47Что выяснилось:
На имиджах OpenPli вообще нет защиты на стрим.
По сути можно написать простого нетбота, который будет перебирать стандартный порт 8001 на наличие там стрима.

Код: [Выделить]

nmap 46.xx.246.xx
Starting Nmap 6.40 ( http://nmap.org ) at 2014-04-14 12:26 EEST
Nmap scan report for 110-246-172-46.ip.ru (46.xx.246.xx)
Host is up (0.016s latency).
Not shown: 994 closed ports
PORT     STATE    SERVICE
135/tcp  filtered msrpc
139/tcp  filtered netbios-ssn
8001/tcp open     vcom-tunnel
8008/tcp open     http
8888/tcp open     sun-answerbook
9898/tcp open     monkeycom
получаем открытый порт
vcom-tunnel

или так еще проще

Код: [Выделить]

nmap 46.xx.246.xx -p 8001
Starting Nmap 5.51 ( http://nmap.org ) at 2014-04-14 14:42 EEST
Nmap scan report for 110-246-172-46.ip.ru (46.xx.246.xx)
Host is up (0.018s latency).
PORT     STATE SERVICE
8001/tcp open  vcom-tunnel

Nmap done: 1 IP address (1 host up) scanned in 0.22 secondsРезультат в пол секунды.
После чего просто подставляем рефер канала 1:0:19:4E89:14:70:1680000:0:0:0: и смотрите, точнее вас смотрят.

На BH имидже ситуация несколько краше.
Но нужно закинуть туда файл /usr/lib/enigma2/python/Plugins/Extensions/OpenWebif/plugin.py с имиджа OpenPli, чтобы появился пункт Enable Authentication for streaming
После чего при открытии потока нужно будет вводить логин и пароль.
Но такая конфигурация убивает стрим транскодинга.

Необходимо решение от пианистов, по решению данного вопроса.
Как-то так... 

[ooolexa]

Продолжаем тему о защите доступа : Настройка и запуск ssh (dropbear)

Если я правильно помню, то пакет dropbear по умолчанию установлен уже в image и его процесс должен быть в списке действующих

Код: [Выделить]

ps
мне пришлось инсталлировать

opkg update

opkg install dropbear

Остановка, запуск или перезапуск мы сделаем в сессии telnet командой:

/etc/init.d/dropbear start|stop|restart

Вообще-то ssh можно использовать сразу после установки, войдите, используя логин и пароль для тв-тюнера и, собственно, можно было бы на этом закончить, но цель этого описания показать, как настроить ssh с закрытым ключом и отключение входа под паролем.
Почему?
Поскольку вход в систему пароль не безопасно. Методом brute-force  можно пароль взломать если порт 22 остается слишком долго открыт снаружи и не контролируем журнал.

В связи с этим, в первую очередь, необходимо сгенерировать себе новый ключ rsa, потому что содержащийся в image есть у каждого, и лучше иметь свой, уникальный.
Останавливаемся dropbear и мы генерируем ключ:

Код: [Выделить]

dropbearkey -t rsa -f /home/root/dropbear_rsa_host_key
Пример:

root@et9x00:~# dropbearkey -t rsa -f /home/root/dropbear_rsa_host_key
Generating key, this may take a while...
Public key portion is:
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC8rmFrh4ZA5jcxtv7pPZksZ6Uuf/TiKKZnzIWTMxxH+CIb9AKMLMNCN8zcS6otlglcykfYkD3mz2Iz6rJUg2f2mkDB1Ap0ExGpPZalsAZGjGiyRLHXEm/tRaJQTyn15GR4UxdREQJca9n1SHXjISvCEIDDX6lS4OYZjIGhTM0h1bwMWzLpaEl1oDyЕTOH4/E/p2Vworxq2DKauAQLKDQwg0v9oMELo0A7B01+BOvX1iglFRcbuH10K82vg4BTvrexDtPuZVGYtz5wP/V06+/K/kaGFAEPXhBbkOnZvd5AxC9lEJW5pBMv2J204zN6f/ZZcFbukGtSKVyI9VE5Nesw3 root@et9x00
Fingerprint: md5 e4:96:63:eb:ad:0e:4e:70:8a:8b:38:3c:c7:89:af:f8

или

Код: [Выделить]

dropbearkey -t rsa 2048-f /home/root/dropbear_rsa_host_key
если кто-то желает ключа 2048 бит.

Сгенерированный ключ rsa переносим в /etc/dropbear/ поверх существующего. Стоит сохранить себе копию ключа , чтобы проверить на себе или при подключении в первый раз, к вашему серверу по ssh. Копия останется в нашей памяти в клиенте ssh (Putty) и в случае его несанкционированной 'замещения' Putty выдаст нам такой факт и спросит , есть ли это на самом деле наш сервер.





Следующим шагом является отключение входа паролем. Для этого вам необходимо создать файл с именем 'dropbear' ниже содержимым:

DROPBEAR_EXTRA_ARGS="-s-a"

где опция-s выключает использование пароля. Вариант-а, кроме того, для целей туннелирования соединения, но не об этом здесь буду писать, так что не должна она быть и у Вас. Давайте сосредоточимся только на опцию-s.

Так готовый файл (в приложении), мы помещаем в /etc/default/. Достаточно права 600, поэтому мы не должны ничего менять.

Затем нужно подготовить публичный ключ и приватный файл authorized_keys. Мы будем использовать программу Putty Key Generator ( прикрепил в аттаче ):

1. Мы генерируем ключ - сила ключа 1024 или 2048 для выбора, а не она зависит от силы ключа rsa, который ранее определение.





2. Записываем оба ключи где-то на жесткий диск компьютера (при записи необходимо решить, что ключ будет закодирован или нет - выбираем " нет").
3. Копируем ключ в буфер обмена.



4. Создаем файл с именем 'authorized_keys' и помещаем туда заранее скопированный ключ:



ВАЖНО: ключ должен быть на одной строке .  В ключе есть только 2 пробела: при первом слове rsa и перед вторым. Если всё сделали правильно то не должно быть проблем. Ключ может иметь различную продолжительность в зависимости от выбранной силы его при сборке.

5. Созданный файл authorized_keys' помещаем в /home/root/.shh/ то есть, в папке которого по умолчанию нет, нужно её создать. Как видите, папка должна иметь точку спереди в названии . Для удобства можно сначала создать без точки, добавить к нему файл authorized_keys и потом изменить на имя с точкой.



Генерация ключей у нас есть, поэтому мы открываем Putty (в приложении) и настроим сеанс ssh , но для того, чтобы использовать наш ключ, мы должны его указать в программе:





Настроенный и сохраненного сеанс Putty мы можем использовать для подключения.
Стартуете dropbear и создаете подключение.



Внешний вид процесса dropbear после изменения:

0:00 /usr/sbin/dropbear-r /etc/dropbear/dropbear_rsa_host_key-p 22-s-a

Помните, что с этого момента не залогиниться через ssh, без наличия закрытого ключа, поэтому, если вы планируете подключаться удаленно, необходимо взять с собой ключ , и, конечно, защищать перед другими!

[Microniks]

Подскажите почему новый пароль не создается?
Присутствуют две копии зачем то.
passwd-
passwd
По умолчанию было root:x:0:0::/:/bin/sh
Командой passwd в телнет ввожу новый пароль 3 раза, 6 значный  сначала пишет простой... Не смотря на то, что минимум 5 требуется, остальное не имеет значение. Телнет пишет пароль создан.В результате root::0:0::/:/bin/sh в обоих файлах ничего не появляется,  а в DCC можно войти как по умолчанию, так и по новому пароль непонятно где прописанному..

[ooolexa]

Microniks, после перезагрузки так же? Вообще должно доступ закрывать сразу после смены.

[Ednaz]

ooolexa, я удаленно помог ему решить вопрос.

[pim]

Чтобы еще немного повысить безопасность своего спутникового ресивера стоит сменить shell у всех пользователей, которые не должны подключаться удаленно.
Смотрим наличие таких пользователей:
# cat /etc/passwd
root:x:0:0:root:/home/root:/bin/sh
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
...
У root shell /bin/sh оставляем, чтобы была возможность подключиться для настройки ресивера, только обязательно меняем пароль на надежный:
# passwd root

Теперь меняем shell у пользователей:
# usermod -s /bin/false daemon
# usermod -s /bin/false bin
# usermod -s /bin/false sys
...

Не всегда пользовательский пароль хранится в /etc/passwd, в некоторых дистрибутивах он находится в /etc/shadow
Даже если у пользователя нет пароля, и теоретически он не может зайти в систему удаленно, не стоит оставлять таким пользователям рабочий шел /bin/sh - это потенциальная дыра в безопасности.

Заходить в ресивер по Telnet - ОЧЕНЬ НЕ БЕЗОПАСНО. Telnet передает логины и пароли в открытом виде, поэтому удаленно подключаться желательно только по SSH. Если пользуетесь Windows - для работы по SSH качаем и устанавливаем Putty, в Linux (тот же Ubuntu) подключение по SSH доступно из "коробки". После удачного подключения по SSH telnet в ресивере отключаем и забываем про его существование, точнее, про его использование в качестве доступа к управлению ресивером.

P.S. Если Ваш маршрутизатор (прошивка) позволяет настраивать правила для каждого физического входа/выхода, лучший вариант обезопасить ресивер от сети и внутреннюю сеть от ресивера - это обособить сетевое подключение ресивера в отдельную локальную сеть, а для доступа к нему - прописать соответствующие разрешения и маршруты (занятие только для опытных пользователей, которые знают, что делают, иначе можно сделать еще хуже, чем было).

[pim]

Обнаружена уязвимость в Samba

В сетевом программном обеспечении Samba обнаружена критическая уязвимость https://www.samba.org/samba/security/CVE-2017-7494.html, обеспечивающая возможность удалённого выполнение кода. Эта брешь может позволить злоумышленнику взять под контроль уязвимые машины Linux и Unix. Даже если ваш ресивер не выставлен наружу своим сетевым интерфейсом, не думайте, что вы в безопасности!

Поскольку Samba установлена на всех ресиверх по умолчанию, это весьма серьёзная угроза для пользователей. Несмотря на то, что в новых версиях
 4.6.4/4.5.10/4.4.14 https://www.samba.org/samba/history/security.html, эта уязвимость уже исправлена, когда будут обновлены пакеты для Enigma 2 - неизвестно. Поэтому, на данный момент: "Спасение утопающих - дело рук самих утопающих".

Первым делом нужно узнать версию Samba, для чего нужно подключиться к устройству по SSH и ввести:
# smbd --version
Если версия ниже 4.6.4/4.5.10/4.4.14, значит угроза взлома - высока, и нужно предпринять действия по защите.

Как защититься

Полностью отключить Samba (это можно сделать с пульта через настройки), или:

Отключить права записи для всех пользователей, ну или хотя бы для неавторизованных - уязвимость сработает, только если есть права на запись (по умолчанию есть для всех, даже неавторизированных пользователей). Или:

Отредактировать конфиг Самбы через SSH:
# mcedit /etc/samba/smb.conf
В секции [global] добавить строку:
nt pipe support = no
Записать файл (F2 + Enter) и перегрузить ресивер:
# reboot

[krycek]

Как защититься:
Полностью отключить Samba (это можно сделать с пульта через настройки)

На VU+ UNO c OpenPli такой настройки увы не нашёл

или:
Отредактировать конфиг Самбы через SSH:
# mcedit /etc/samba/smb.conf
В секции [global] добавить строку:
nt pipe support = no
Записать файл (F2 + Enter) и перегрузить ресивер:
# reboot

Тоже никакого эффекта не возымело Версия самбы - 3.0.37

[sergei115]

как зайти через телнет или тотал если при воде пароля пишет что он неправильный.я уже всевозможные комбинации испробывал не помогает .может что посоветуете?