[Thread Ufficiale] TP-Link TD-W8970v1 - Firmware OpenWRT

[matteo85]

Originariamente inviato da Shamrogue

Sto cazzeggiando un po' con l'hardening
In generale non mi piacciono le password in chiaro e mi sono chiesto come mai questa password non venga salvata cifrata.
Tra l'altro di default quel file ha permessi 644, che non è proprio bellissimo, ma cambiandolo a 600 comunque il wifi funziona lo stesso

Il punto è: se riesco a loggarmi in SSH sul modem probabilmente posso fotterti (o l'ho già fatto) in mille altri modi, quindi in chiaro o offuscata (perchè se la cifri poi non parte il WiFi) cambia poco

[Nativoz]

i risultati sono questi:

openwrt no debug
Velocità corrente 8,46 MB/s
Velocità media 9,29 MB/s
Velocità massima 10,3 MB/s
Velocità corrente 218 KB/s
Velocità media 238 KB/s
Velocità massima 271 KB/s
Ricevuti 557 MB
Inviati 13,9 MB
Quantità dati trasferiti 571 MB
Dal 30/04/2015 00:24:00

openwrt versione debug - ani 1
Velocità corrente 8,92 MB/s
Velocità media 8,99 MB/s
Velocità massima 9,71 MB/s
Velocità corrente 228 KB/s
Velocità media 229 KB/s
Velocità massima 247 KB/s
Ricevuti 539 MB
Inviati 13,4 MB
Quantità dati trasferiti 553 MB
Dal 01/05/2015 00:01:10

openwrt versione debug - ani 0
Velocità corrente 8,70 MB/s
Velocità media 8,92 MB/s
Velocità massima 9,42 MB/s
Velocità corrente 222 KB/s
Velocità media 228 KB/s
Velocità massima 243 KB/s
Ricevuti 535 MB
Inviati 13,3 MB
Quantità dati trasferiti 549 MB
Dal 01/05/2015 00:03:35

Le interferenze durante le prove non erano tante


Non so se ho sbagliato qualcosa, ma la differenza tra ani 1/0 non sembra molta. Delle due il firmware senza il debug abilitato raggiunge risultati migliori

[Shamrogue]

Originariamente inviato da matteo85

Il punto è: se riesco a loggarmi in SSH sul modem probabilmente posso fotterti (o l'ho già fatto) in mille altri modi, quindi in chiaro o offuscata (perchè se la cifri poi non parte il WiFi) cambia poco

Se sei loggato come root senza dubbio
Per eventuali utenti non-root basta cambiare i permessi a 600 sul file e non lo leggono più.
Era più una curiosità che altro, ma questa cosa della password in chiaro vale per Linux in genere, non solo per OpenWRT...

[ambrosa]

Originariamente inviato da Nativoz

i risultati sono questi:
Non so se ho sbagliato qualcosa, ma la differenza tra ani 1/0 non sembra molta. Delle due il firmware senza il debug abilitato raggiunge risultati migliori

Beh, è quasi da ridere !
Vabbè, allora lasciamo il debug non abilitato: firmware più leggero.

Comunque la 45583 gira veramente bene, veloce e reattiva.
"Oserei" dire che sinora è la migliore tra tutte quelle da me compilate

Dimenticavo: spazio libero sulla flash dopo installazione circa 1880 KB , non è tantissimo ma meglio che niente.

[ambrosa]

I più esperti già lo sanno da moooolto tempo, ma volevo suggerire un eccellente client SSH per Windows (e Linux) totalmente gratuito e OpenSource: PuTTY !
http://www.chiark.greenend.org.uk/~sgtatham/putty/

Basta scaricare putty.exe (non necessita di alcuna installazione) e si è già pronti all'uso.
http://www.chiark.greenend.org.uk/~s.../download.html

Supporta SSH , seriale, Telnet e altri protocolli con una marea di opzioni.



Un vero "must"

[ambrosa]

Originariamente inviato da Shamrogue

Se sei loggato come root senza dubbio
Per eventuali utenti non-root basta cambiare i permessi a 600 sul file e non lo leggono più.
Era più una curiosità che altro, ma questa cosa della password in chiaro vale per Linux in genere, non solo per OpenWRT...

Si, ma su un router difficilmente è un oggetto che si presta alla multiutenza.
Quindi se ti bucano il router ed entrano, entrano come root.
E quindi a quel punto ....

[blackhole00]

Originariamente inviato da ambrosa

Comunque la 45583 gira veramente bene, veloce e reattiva.
"Oserei" dire che sinora è la migliore tra tutte quelle da me compilate

Dimenticavo: spazio libero sulla flash dopo installazione circa 1880 KB , non è tantissimo ma meglio che niente.

E' la sensazione che ho avuto dopo averla caricata ieri...Non posso che confermare il piccolo capolavoro: reattiva in tutto, snella, si nota un gran salto di qualità, complimenti ambrosa

[lcapriotti]

Originariamente inviato da ambrosa

Un vero "must"

mi permetto di replicare con un fork molto più completo - e non solo perchè ho contribuito a qualche riga di codice per il port knocking...

Kitty

[nebbia88]

Originariamente inviato da Shamrogue

Tra l'altro di default quel file ha permessi 644, che non è proprio bellissimo, ma cambiandolo a 600 comunque il wifi funziona lo stesso

utile in un sistema mono-utente (root..)

EDIT: sorry era già stato fatto notare...........

[alfonsor]

openwrt non è monoutente, ci sono diversi utenti e ciascuna applicazione gira come un utente specifico

questa faccenda che un router non ha questi problemi è una sottovalutazione del problema che nasce dal fatto che tanto un router casalingo non è sicuro; se uno che sa quello che fa vuole entrare, entra, per cui queste inezie del tipo permessi file, utenti e password scritte in chiaro sono quisquilie

per esempio se un programma che gira come root ha qualche bug che può essere esploitato, si potrebbe da di fuori leggere la password wireless senza entrare nel router con la password di root e quindi fare quello che ci pare

il fatto è che se un programma che gira come root ha bug del genere, quel bug può essere usato per entrare nel router come root, quindi diventa la di cui sopra quisquilia che la password wifi sia in chiaro

ovviamente programmi del genere con bug del genere ne esistono in quantità industriale in tutti i sistemi operativi, nei router casalinghi di più perché nessuno se ne importa più di tanto (come se non ci passassero miliardi di password di conti in banca in ogni momento, ma di nuovo che fa?)

[matteo85]

Originariamente inviato da alfonsor

openwrt non è monoutente, ci sono diversi utenti e ciascuna applicazione gira come un utente specifico

questa faccenda che un router non ha questi problemi è una sottovalutazione del problema che nasce dal fatto che tanto un router casalingo non è sicuro; se uno che sa quello che fa vuole entrare, entra, per cui queste inezie del tipo permessi file, utenti e password scritte in chiaro sono quisquilie

per esempio se un programma che gira come root ha qualche bug che può essere esploitato, si potrebbe da di fuori leggere la password wireless senza entrare nel router con la password di root e quindi fare quello che ci pare

il fatto è che se un programma che gira come root ha bug del genere, quel bug può essere usato per entrare nel router come root, quindi diventa la di cui sopra quisquilia che la password wifi sia in chiaro

ovviamente programmi del genere con bug del genere ne esistono in quantità industriale in tutti i sistemi operativi, nei router casalinghi di più perché nessuno se ne importa più di tanto (come se non ci passassero miliardi di password di conti in banca in ogni momento, ma di nuovo che fa?)

Non puoi cifrare una password, altrimenti come fa a decifrarla quando deve settare l'accesspoint?

[alfonsor]

come si cifrano le password utente su qualsiasi os

[sunvit]

A non quella per wifi

Inviato dal mio JY-G5S utilizzando Tapatalk

[Shamrogue]

Domanda (temo OT): la password di accesso al wifi non viene verificata con lo stesso meccanismo delle password di sistema?

Per quanto riguarda la sicurezza, il router casalingo non deve essere per forza un colabrodo, ma può essere reso ragionevolmente sicuro con i soliti metodi: aggiornamento dei pacchetti, disattivazione di ciò che non serve, accessi amministrativi solo da rete privata (meglio ancora solo da ethernet), se possibile far girare programmi come utente senza privilegi, uso di certificati per l'autenticazione, esporre su internet solo quello che serve, password wifi complessa, ecc.

[matteo85]

Originariamente inviato da alfonsor

come si cifrano le password utente su qualsiasi os

Nessun OS infatti cifra le password, perché se la cifri poi non la sai

[ambrosa]

Originariamente inviato da lcapriotti

mi permetto di replicare con un fork molto più completo - e non solo perchè ho contribuito a qualche riga di codice per il port knocking...

Kitty

Ma grazie per la segnalazione.
Peccato non sia disponibile per Linux e Mac.

BTW io uso solo Linux da anni e quindi uso SSH command-line.
Ma trovo Putty comodissimo per il collegamento via seriale ttyUSB con il router. I vari 'screen' e compagni sono un pò carenti.

[Nativoz]

Originariamente inviato da matteo85

Nessun OS infatti cifra le password, perché se la cifri poi non la sai

Stiamo andando OT, ma non è così

Se l'OS deve saperla usa una criptografia reversibile
Se l'OS non deve saperla una criptografia non reversibile
Se l'OS non usa criptografia mi chiedo il perchè
- la password di accesso al sistema per esempio non deve saperla l'OS, gli basta avere l'hash
Almeno sotto Windows

L'unico sistema dove trovo password in chiaro nei vari file in etc è Linux, ma tutti quelli che lavorano sotto Linux mi hanno sempre detto che tanto è sicuro lo stesso. Non ho ragioni per dubitarne, ma spesso le motivazioni che mi portano sono poco convincenti. Soprattutto quando mi dicono che non ci sono virus per Linux,e poi quando vai a vedere, la lista degli exploit 'pubblici' utilizzabili diventa sempre più lunga

valgono per ogni SO le solite regole che limitano la superfice d'attacco, e descritte poco più sopra da un altro utente, ma lasciare le password in un file di testo mi è sempre sembrato un rischio inutile. Spero prima o poi di riuscirne a capire il motivo

[matteo85]

Originariamente inviato da Nativoz

Stiamo andando OT, ma non è così

Se l'OS deve saperla usa una criptografia reversibile
Se l'OS non deve saperla una criptografia non reversibile
Se l'OS non usa criptografia mi chiedo il perchè
- la password di accesso al sistema per esempio non deve saperla l'OS, gli basta avere l'hash
Almeno sotto Windows

L'unico sistema dove trovo password in chiaro nei vari file in etc è Linux, ma tutti quelli che lavorano sotto Linux mi hanno sempre detto che tanto è sicuro lo stesso. Non ho ragioni per dubitarne, ma spesso le motivazioni che mi portano sono poco convincenti. Soprattutto quando mi dicono che non ci sono virus per Linux,e poi quando vai a vedere, la lista degli exploit 'pubblici' utilizzabili diventa sempre più lunga

valgono per ogni SO le solite regole che limitano la superfice d'attacco, e descritte poco più sopra da un altro utente, ma lasciare le password in un file di testo mi è sempre sembrato un rischio inutile. Spero prima o poi di riuscirne a capire il motivo

"criptografia reversibile" = offuscamento.
Non è crittografia, infatti

[matteo85]

Originariamente inviato da ambrosa

Ma grazie per la segnalazione.
Peccato non sia disponibile per Linux e Mac.

BTW io uso solo Linux da anni e quindi uso SSH command-line.
Ma trovo Putty comodissimo per il collegamento via seriale ttyUSB con il router. I vari 'screen' e compagni sono un pò carenti.

Li trovo tutti terribili.
Ma picocom?

[Totix92]

ma nessuno sa se c'è stato anche qualche piccolo sviluppo per quanto riguarda l'installazione diretta dalla pagina web del firmware originale?