http/https-Login von Ext. ->Möglichkeit der Gestaltung

filou · Beitrag von **filou** » 10 Jul 2005, 11:29

Hallo,

Ich würde mir wünschen, das Login-Interface so zugestalten (Option ein/aus),
dass man bei einem Zugriff von extern nicht gleich erkennt, welcher Router mit welcher Firmware erreichbar ist.

In LCOS sollte es die Option geben, diese Webseite abzuschalten aber dennoch den Zugriff über http zu ermöglichen.
Es würde doch langen, wenn sofort ein Login käme, d.h. die Aufforderung zur Eingabe des PW.

Desweiteren sollte die Seriennummer beim Login/Passworteingabe nicht erscheinen, sondern vielmehr bei Verwaltung mehrerer Router eine intern vergebene Bezeichnung oder Standort.

Das würde sicher nicht viel Arbeit machen, dies in die LCOS einzuarbeiten und würde den Sec-Level der Geräte weiter erhöhen

alf29 · Beitrag von **alf29** » 10 Jul 2005, 12:20

Moin,

inwiefern sollte das die Sicherheit erhöhen? 'Security by Obscurity' ist
keine wirkliche Sicherheit...

Gruß Alfred

filou · Beitrag von **filou** » 10 Jul 2005, 12:28

.....Obscurity' ist keine wirkliche Sicherheit...

Aber mein Anrufbeantworter sagt doch auch nicht, wann und wo ich geboren wurde und meine Rentennummer ...wenn ich das nicht will

Beitrag von **LoUiS** » 10 Jul 2005, 13:02

Hi,

lol, der Vergleich ist ja nun etwas an den Haaren herbeigezogen. Realistisch wuerde Dein AB in diesem Vergleich seine Modellnummer und seinen FW-Stand ansagen, was aber natuerlich eine Einschraenkung in seiner Funktion bedeuten wuerde, also ist das Beispiel hier nicht wirklich anwendbar.
Die Seriennummer des Router ist voellig unkritisch, damit kann von Aussen niemand wirklich etwas anfangen und das der Router sein Modell und die FW Version verraet ist in meinen Augen auch nicht kritisch.

Ciao
LoUiS

filou · Beitrag von **filou** » 10 Jul 2005, 13:14

der Vergleich ist ja nun etwas an den Haaren herbeigezogen.

Ich fand den Vergleich OK

Wann=Firmware Wo=Lancom Rentennummer=Seriennummer/Modell

Kritisch ist es momentan nicht, denn wie ihr selber schon geäußert habt, gibt es keine Hintertürchen und Möglichkeiten...
Aber was ist, wenn´s doch mal passiert?
Ein Hacker würde sich freuen, wenn er gleich weiss, wo er anpacken muss

...Deshalb eigentlich der ganze Hintergedanke!

alf29 · Beitrag von **alf29** » 10 Jul 2005, 13:44

Kritisch ist es momentan nicht, denn wie ihr selber schon geäußert habt, gibt es keine Hintertürchen und Möglichkeiten...
Aber was ist, wenn´s doch mal passiert?
Ein Hacker würde sich freuen, wenn er gleich weiss, wo er anpacken muss Wink ...Deshalb eigentlich der ganze Hintergedanke!

Um ein Gerät als solches zu identifizieren, gibt es genug andere
Möglichkeiten - z.B. TCP-Fingerprints von nmap...

Gruß Alfred

filou · Beitrag von **filou** » 10 Jul 2005, 14:11

mmmmmh ....na gut überzeugt ...ihr seit in der Übermacht

Aber ich wäre trotzdem beruhigter, wenn ich nur das nackige Login sehen würde

telekomisbesser · Beitrag von **telekomisbesser** » 21 Nov 2005, 16:38

da kann ich nur zustimmen!!

cu
Bastian

filou · Beitrag von **filou** » 21 Nov 2005, 18:58

Hi Bastian!

Wozu? ...Bin ich doch nicht mehr allein?

langewiesche · Beitrag von **langewiesche** » 22 Nov 2005, 18:09

eine nette sache waere das .....

User / Passwort login reicht doch ..... man muss ja nicht direkt alles zeigen ... falls es doch mal was gegen das lcos gibt reicht dann google ... und alles die eine router per namen ans inet angebunden haben sind am ***

eddia · Beitrag von **eddia** » 22 Nov 2005, 18:28

Hallo Lars,

man muss ja nicht direkt alles zeigen ... falls es doch mal was gegen das lcos gibt reicht dann google ... und alles die eine router per namen ans inet angebunden haben sind am ***

security by obscurity hat noch nie gut funktioniert...

Gruß

Mario

andreas · Beitrag von **andreas** » 22 Nov 2005, 20:14

Bei der ganzen Diskussion hier frage ich mich, worin der Sinn liegt die Daten auf der Webseite anzuzeigen.

Auch wenn "security by obscurity" nicht die alleinige Lösung ist, finde ich dennoch, das mehr Punkte gegen die Anzeige von Typ und Firmwarelease sprechen und kein einziger dafür.

Weiterhin denke ich schlicht und ergreifend, es geht niemanden etwas an, was für Hardware sich hinter einer IP verbirgt, auch wenn es zunächst m.E. keine Sicherheitslücke ist oder zum ausnutzen einer dienen würde.

Aber das "Problem" lässt sich ja einfach lösen:
Alle Configmöglichkeiten bis auf SSH aus und gut ist

eddia · Beitrag von **eddia** » 22 Nov 2005, 20:41

Hallo andreas,

Auch wenn "security by obscurity" nicht die alleinige Lösung ist, finde ich dennoch, das mehr Punkte gegen die Anzeige von Typ und Firmwarelease sprechen und kein einziger dafür.

es ist eine Konvention der RFCs, den Produktnamen und die Version des Webservers zu übermitteln. Ok - da muss keine Seriennummer und der Name des Lancomproduktes drinstehen. Minimal wäre aber LANCOM/<Versionsnummer> erforderlich. Und die Versionsnummer entspricht nun mal der Firmwareversion.

Gruß

Mario

andreas · Beitrag von **andreas** » 22 Nov 2005, 21:28

Hallo Mario,

eddia hat geschrieben: es ist eine Konvention der RFCs, den Produktnamen und die Version des Webservers zu übermitteln.

Ein "get" auf den "Webserver" des Lancom ergibt:

Code: Alles auswählen

<HTML><HEAD>
<TITLE>404 Not Found</TITLE>
</HEAD>
<BODY BGCOLOR="#000099" TEXT="#FFFFFF" LINK="#FFFFFF" VLINK="#FFFFFF">
<DIV ALIGN=CENTER><TABLE BORDER=0 COLS=1 WIDTH="1%" BGCOLOR="#c0c0c0">
<TR><TD><TT><FONT COLOR="#330033">WEBconfig</FONT></TT></TD></TR>
</TABLE></DIV>
<P><DIV ALIGN=CENTER><TT>An exception 404 has occurred at 0:001d9550 in Job H1.<
/TT></DIV>
<DIV ALIGN=CENTER><TT>This was called from 192.168.1.36 in 'UUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU
UUUUUUUUUUUUUUUU'.</TT></DIV>
<DIV ALIGN=CENTER><TT>It is possible to continue normally.</TT></DIV><P><DIV ALI
GN=CENTER><TABLE WIDTH="90%">
<TR><TD VALIGN=TOP><TT>* </TT><TD VALIGN=TOP><TT>Press your browser's 'Back' but
ton to attempt to continue normally.</TT></TR><TR><TD VALIGN=TOP><TT>* </TT><TD
VALIGN=TOP><TT><A HREF="/">Return to the entry page</A> to restart your WEBconfi
g session.  You will loose any information entered in a wizard up to this point.
</TT></TR>
</TABLE></DIV>
<P><DIV ALIGN=CENTER><TT>Press your browser's 'Back' button to continue.</TT></D
IV>
</BODY></HTML>

Ich finde da keine Versionsnummer

aber ok, das wird jetzt OT und ich muß gestehen ich kenne die RFC für Webserver überhaupt nicht, ich dachte beim get, sollte es angezeigt werden.

Im übrigen, gibt es aber glaube ich viele Hersteller, die gegen die RFC verstoßen und z.B. nicht das Build angeben.

Sei mir nicht böse, aber das ist m.E. kein wirklich guter Grund auf der Einstiegsseite diverse Informationen auszuplaudern. Ich vermute (mehr nicht) eher das Lancom gerne zeigen möchte, das es ein Geräte von Ihnen ist, was ja völlig ok ist, wenn es so wäre...

Ansonsten ist das eben meine Meinung zum Thema "Datensparsamkeit", wie ich es umsetze: siehe oben.

Viele Grüße
Andreas

eddia · Beitrag von **eddia** » 22 Nov 2005, 21:56

Hallo andreas,

Ich finde da keine Versionsnummer Wink aber ok, das wird jetzt OT und ich muß gestehen ich kenne die RFC für Webserver überhaupt nicht, ich dachte beim get, sollte es angezeigt werden.

Versuchs mal mit : GET / HTTP/1.0

Im übrigen, gibt es aber glaube ich viele Hersteller, die gegen die RFC verstoßen und z.B. nicht das Build angeben.

Also ich kenne eigentlich keinen, der das nicht angibt - ob das nun der Apache, IIS, Notes oder irgendetwas anderes ist.

Sei mir nicht böse, aber das ist m.E. kein wirklich guter Grund auf der Einstiegsseite diverse Informationen auszuplaudern.

Ich wüsste nicht, was die Angabe des Produktes und der Versionsnummer mit dem 'Ausplaudern' von Informationen zu tun haben.

Gruß

Mario