ExeCRabLE

Es fällt mir wirklich schwer die Antworten zu lesen und dabei noch Objektiv zu antworten.

Beim hacken wird in der Regel nie ein Passwort geknackt, da es viel zu lange dauert (Wer macht so etwas noch ?). Wenn ich weis das sich hinter ein IP ein mir bekannter Dienst läuft, egal ob Updates oder FTP oder Wetterdaten oder EPG-Daten usw... dann kann ich die Dienste und Anfragen manipulieren und damit das Systemen kompromittieren, vor allem, wenn er die Daten wie bei dem OpenPli ungefilter nutzt und den Exploit dann sogar direkt als root ausführt. Ob man selbst die STB als Computer sieht oder nicht spielt doch für den Angreifer keine Rolle, für ihn ist das immer ein Computer auch wenn der Computer fürs Kaffekochen zu ständig ist.

Um das nochmals verständlich zu machen, wenn ein Hacker die STB unter Kontrolle hat - das wird keiner von euch merken - kann er alle eure Dienste inkl. euren Onlienbanking usw. ohne einen Aufwand mitschneiden und manipulieren, da er sich bei euch im Netz befindet. Das nennt man im übrigen "Men in the middle", da hilft kein Virenscanner und kein Sicherhesbetriebssystem mehr, damit ist alles im Netzwerk gefallen.

Ich möchte mit dem Thread _keinem_ ans Bein pinkeln Ich möchte eher erreichen, dass ein Gedankenprozess entsteht und man langsam aber sicher ein Umfeld schafft, das deutlich sicherer ist. Sobald sich herum gesprochen hat, dass das Image ein Sicherheitsproblem hat, wird das Projekt Probleme bekommen - damit ist wirklich keinem geholfen.

Ich arbeite als Sec-Admin in einer Firma, die ein weltweites Netzwerk hat und eine zentrale Funktion bietet und selbst da muss ich heute immer noch für jede Sicherheitsfunktion kämpfen. Wir segeln selbst in "unruhigen" Gewässern, was die Sicherheit angeht, aber wir kommen langsam voran und ich würde behaupten das wir die berühmte "Kuh vom Eis" haben. Ich erzähle das, weil ich hoffe das man versteht, das ich keine Erwartung haben ala "Nächstes Release muss aber sicher sein", sondern es mir sehr wohl bewusst ist, was es bedeutet etwas bestehendes in ein Sicherheit-Korsett zu drücken.

Es nützt nichts, wenn man Dienste blockt (Dann funktionieren sie meistens nicht ) oder wenn man Dienste in Netz hängt, die zum völligen Überfluss noch die ganze Versionierung angeben. Der Sprung zu den gängigen Exploit-DBs ist schnell gemacht und Passwörter helfen nur, wenn der Dienst keinen Fehler hat - haben Sie in der Regel aber nicht.

IMHO bleibt das Hauptproblem, das die Software im Root-Kontext läuft, inkl. der Plugins und das ist doch das das eigentliche Feature schlecht hin aber auch das absolut Tödlichste. Die Argumentation, dass es sich doch nur um eine STB handelt wäre die gleiche, wenn Google von Android behauptet, dass es sich bei einem Smartphone doch nur um ein Telefon handelt und wenn man die Apps installiert man schlicht selbst schuld ist. Ich denke das man die Argumentation definitiv nicht fahren sollte...

Wenn ich eine art "Blackbox" in meinem Netz stehen habe, die über eine andere Kiste oder sonst wie gehackt wurde und sich bei mir einnistet, habe ich doch im Moment keine Chance das zu erkennen, außer ich fahre regelmäßig ein TCPDump oder installiere mir ein IDS. Das schießt IMHO aber über das Ziel hinaus - auch wenn ich es allen grundsätzlich sehr Empfehlen würde.

Wenn OpenPLI die normalen Standards im Bereich Security und Layout umsetzen würde, hätte man kaum Probleme das System zu überwachen oder evtl. sogar eine Plugin zu schreiben, die die Box überwacht. Dazu müsste das Projekt aber das Image inkl. dem e2 straff ziehen, Dev-Richtlinien entwickeln und den Root-Kontext verlassen.

PS: Nur damit solch eine Diskussion nicht Port abhängig gefahren wird: Ein Port kann mehrere Dienste und damit auch alles erdenkliche Transportieren - die Nummerierung eines Ports sagt nichts aus und eine Firewallregel ala DROP mit IPTables hat keinerlei Sicherheitsfunktion.

Ich denke das Security nichts mit "Browsen" und "Emule" zu tun hat. IMHO geht es mir darum, dass die Box nun mal Dienste anbietet und diese nicht gesichert sind. Das absolut offensichtlichste ist, das alle Dienste im Root-Kontext laufen und die Dienste mit Versionsnummer Public sind, aber IMHO fehlt das Autoupdate, damit diese auch automatisiert eingespielt werden. Die Plugins werden nicht kontrolliert und können sich frei im System bewegen. Das Linuxsystem hält sich nicht an die Standardvorgaben, wie ein Filestruktur aufgebaut werden soll, das Logging ist IMHO nicht transparent usw.

Es ist ja alles da, nur nutzt man es nicht. Die Box ist bei fast allen Usern mit Netz versorgt, daher wäre "Sicherheit" ein Thema, der sich das Projekt schon etwas widmen könnte.