Sind Synology Produkte wirklich sicher?

[Falkenfelser]

Hallo an alle Synology Freunde,

seit einigen Tagen kursieren ja Themen im Netz bzgl. NSA, Prism und diverse Firmen
die ja "wie immer" chronische Lügner sind.

Nun frag ich mich natürlich ob Synology Produkten wirklich so sauber sind wie ihre GUI.
Gibt es irgendwelche Informationen über Hintertüren oder Schwachstellen die erst sehr
spät gepatcht wurden? Hat jemand schon Erfahrungen mit unerwünschten Gästen auf
seiner DS gesammelt?

Gruß A.F.

 

[fpo4711]

Hallo Falkenfelser und herzlich Willkommen im Forum,

deine Frage kann sicherlich keiner so richtig beantworten. Prizipiell ist die Updatepolitik von Synology recht gut. Schwachstellen, sofern erkannt, werden relativ zügig beseitigt. Eine mir bekannte Schwachstelle wurde sofort mit dem nächsten Update beseitigt. Ansonsten sitzt die größte Sicherheitslücke meist vor der Machine selbst. Eine sauber konfigurierte DiscStation ist sicherlich auf der Höhe der Zeit und entsprechend Sicher.

Eine 100%tige Sicherheit wird es wohl nie geben. Ansonsten kannst Du ja auch den Zugriff auf die DS durch deinen Router regeln. Sowohl rein als auch raus. Dann müßtest Du aber auch Hier die Frage stellen:

Ist mein Router sicher?

Ansonsten bleibt Dir nur die Möglichkeit den Netzwerkverkehr selbst zu prüfen und das natürlich dann nach jedem Update. Denn hier begibt man sich ja in die vertrauensvollen Hände von Synology. Ich kann nur für mich beantworten. Ich habe Vertrauen zu Synology.

Gruß Frank

 

[itari]

Gibt es irgendwelche Informationen über Hintertüren oder Schwachstellen die erst sehr spät gepatcht wurden? Hat jemand schon Erfahrungen mit unerwünschten Gästen auf seiner DS gesammelt?

Synology baut keine 'sicheren' Systeme, sondern verwendet den üblichen Linux-Kram und das nicht unbedingt aktuell ... wenn du wichtige Daten auf deiner DS vorhalten willst, dann solltest diese DS nicht ins Internet lassen und/oder dir 2 Geräte anschaffen: die eine NAS für die wichtigen Dinge nur lokal laufen lassen und die andere kontrolliert ins Netz stellen (mit verschlüsselten Protokollen) und so einstellen, dass auch bei einem Angriff kein großer Schaden anfällt, wenn du gehackt wirst

Itari

 

[crick]

fpo und itari haben ja schon alles gesagt.. es sei jedoch erwähnt, dass ich bisher keinen hier im Forum gesehen habe, wo "gehackt" wurde. Wie man das Internet kennt, werden gerade negative Aspekte sofort groß rausgebracht. Daher denke ich sind die Daten schon sehr sicher.
Wenn du eine Privatperson bist, ist es ohnehin wie ein Sechser im Lotto, wenn bei dir aktiv Daten geklaut werden.

 

[jan_gagel]

Hallo,

vom Prinzip her gibt es ja zwei Möglichkeiten, wie Daten nach außen wandern können. Zum Einen durch einen Zugriff von außen, geregelt über Port-Weiterleitungen im Router. Je nach verwendetem Port und Dienst ist es teilweise total unsicher oder fast sicher. Zum Anderen können Daten durch entsprechende Software gesammelt und nach draußen weiter geleitet werden. Das funktioniert bei vielen Routern standardmäßig, weil von innen nach außen oft alles durchgelassen wird.

Für den Fall, daß Daten von außen durch einen gezielten Angriff abgerufen werden können, kann man einfach keine Ports von außen auf die DiskStation / entsprechenden Dienste weiterleiten. Für den Fall, daß du den Verdacht hast, daß eine Software (entweder im Betriebssystem integriert oder durch Schadsoftware nachträglich installiert) Daten sammelt und gezielt nach außen weiterleitet, kann man einfach das Gateway aus der DS oder jedem anderen betroffenen System raus nehmen. Denn ohne Gateway-Eintrag kommt dann das entsprechende System nicht mehr ins Internet. Folglich sind die Daten dann etwas mehr sicher.

Noch mehr Sicherheit kann man einrichten, indem man eine dedizierte Firewall aufbaut. Damit meine ich ein System wie IPFire beispielsweise. Da kann man in dessen Firewall-System gezielt Regeln einstellen, welcher PC wann und wie ins Internet darf. Damit kann man auch sehr gut überwachen, welches System wohin zugreift. Dann kann man noch Virenscanner und SPAM-Filter dort laufen lassen, ebenso einen Proxy (squid). (Läßt man das aber auf einer virtuellen Maschine laufen, führt man das Konzept ad absurdum und es ist dann wieder wirkungslos.)

Möchte man explizit Dienste (Homepage, PhotoStation, Webdav oder FTP) nach draußen anbieten, hat aber zugleich wichtige Daten, die keinesfalls nach draußen dürfen, kann man ja mit zwei DiskStations arbeiten. Eine stellt man ins LAN, trägt kein Gateway ein und leitet auch keine Port von außen dort hin. Die zweite, öffentliche DS, kann man in die DMZ stellen, das ist ein besonders abgeschottetes LAN, die o. g. IPFire z. B. zur Verfügung stellen kann. Das ist dann ein physikalisch getrenntes Netzwerk auch mit anderen IP-Adressen wie das LAN selbst. Zugriff kann man vom LAN in die DMZ durchaus einrichten, wenngleich ich das nicht tun würde. Denn die DMZ gilt als relativ unsicher, weil dort Zugriff aus dem Internet möglich ist.

Wie es aber bei allen Internet-fähigen Systemen so ist, 100%ige Sicherheit bekommt man nie. Wichtig ist auch, die Zugriffsrechte entsprechend immer zu prüfen. Alles immer wieder prüfen und durch schauen. Bei jeder Änderung konsequent erneut prüfen, ob das Sicherheitskonzept noch paßt. Sicherheit ist nicht einmal aktiviert und geht, sondern ist eine "Lebensaufgabe". Dazu zählt dann natürlich auch die Logfile-Überprüfung von den Systemen, die vom Internet aus erreichbar sind.

Ciao Jan

 

[raymond]

100%ige Sicherheit gibts nicht, aber wenn du 99%ige haben möchtest: nimm das Betriebssystem OpenBSD.

 

[Wolfman_II]

Hallo Falkenfelser,

Gibt es irgendwelche Informationen über Hintertüren oder Schwachstellen die erst sehr
spät gepatcht wurden?

Ich denke hier muss man zwei Dinge unterscheiden:

Hintertüren sind bewusst eingebaut, um unauthorisierten Personen einen Zutritt zu verschaffen. Dies Synology zu unterstellen dürfte in den Bereich der Paranoia fallen (wie so vieles was den pösen, pösen Überwachungsstaats betrifft).

Schwachstellen und/oder Sicherheitslücken sind unbewusste Lücken (Programmierfehler) bei denen kein böser Wille besteht und die in der Regel zügig nach Bekanntwerden durch die Entwickler geschlossen werden. Hier kommt nun zum Tragen was itari schrieb:

Synology baut keine 'sicheren' Systeme, sondern verwendet den üblichen Linux-Kram und das nicht unbedingt aktuell

Wenn der "übliche Linuxkram" aktuell gehalten wird und regelmäßig Sicherheitspatches eingespielt werden, so sind die Systeme hinreichend sicher. Genau das ist aber bei Synology leider nicht der Fall. Man ist immer darauf angewiesen zu warten bis eine neue Firmware herauskommt und muss dann hoffen, dass Synology neuere Programmpackete z.B. für Apache, php, MySQL, Perl usw. reingepackt hat. Aber selbst dann ist der Versionsstand der Pakete im Internet schon wieder wesentlich weiter.
Hinreichend sicher wären wir mit unseren Synologysystemen nur dann, wenn es eine direkte Updatemöglichkeit der einzelnen Dienste geben würde. Aber das wird bei Synology genausowenig wie bei anderen NAS-Herstellern wohl niemals kommen.

Wolle

 

[rauppe31]

100%ige Sicherheit gibts nicht, aber wenn du 99%ige haben möchtest: nimm das Betriebssystem OpenBSD.

Was ist denn bei OpenBSD so besonders? Ist es etwa sicherer als andere Linux-Distributionen?

 

[raymond]

Was ist denn bei OpenBSD so besonders? Ist es etwa sicherer als andere Linux-Distributionen?

http://openbsd.org/de/goals.html
http://de.wikipedia.org/wiki/OpenBSD

OpenBSD ist kein Linux!

 

[itari]

Hinreichend sicher wären wir mit unseren Synologysystemen nur dann, wenn es eine direkte Updatemöglichkeit der einzelnen Dienste geben würde

daran, dass Updates einzelner Dienste die Sicherheit erhöhen, muss man feste glauben, denn beweisen kann man das nicht. Ein Sicherheitslücke ist immer nur dann bekannt, wenn sie jemand gefunden hat und dann auch noch bekannt gibt. Selbst mit absolut aktuellen Software, kannst dein System scheunentorweit offen haben ... zum Beispiel dadurch, dass du zu kurze Kennworte zulässt (kleiner 100 Zeichen *gg*) und sie nicht häufig genug wechselst (also jede Stunde *gg*) ... das soll jetzt nicht gegen eine gute Update-Politik von Synology sprechen (die ich auch gerne sehen würde), aber ein wenig relativieren, als wenn es nur (!!!) darauf ankäme

Itari

 

[jan_gagel]

mal ne doofe Frage. Angenommen man würde ein System bauen, welches einzelne Dienste, möglicherweise nur Teile von Diensten ersetzt durch neuere Versionen und so Sicherheitslücken schließt. Das wäre dann ja so in etwa wie das Windows-Update, oder? Mit der Firmware-Politik von Synology ist das so, daß ich mir eine große Datei lade, die auf der DiskStation installiere (entweder über den Assistent oder aus durch den DSM selbst, je nachdem ob vorher schon ein System installiert wurde oder nicht). Würden einzelne Dienste / Teile separat upgedated werden, müßte man ja nach einer Grund-Installation erst eine Menge an Updates nachladen. Das schafft dann auch gewisse Abhängigkeiten, die eingehalten werden müssen. Dann das nächste Problem, die Benutzung. Ein IT-Mensch möchte wohl gerne einzelne Dienste (wie beispielsweise den Apache) manuell updaten können. Aber wie macht das ein IT-unversierter? Genau dort möchte eigentlich Synology hin, ein relativ einfach zu administrierendes System. Sonst könnte man sich ja gleich ein Linux, openBSD oder sonstwas installieren.

Bei Synology bekommt man halt ein "Ganzes" und kein halbes System. Ich könnte mir durchaus vorstellen, daß wenn man den Apache beispielsweise aktualisiert, dann vielleicht der DSM / die Verwaltungsoberfläche Probleme haben könnte, wenn eine genutzte Funktion dann plötzlich nicht mehr da ist. So wie mit dem IPKG damals beim Update.

 

[raymond]

Geht schlecht...einzelne Teilen wie Libraries hängen von anderen Sachen ab. Die Abhängigkeit ist somit sehr stark. Wenn man das möchte, kann man sich auch gleich einen Linux Rechner hinstellen. Das muss auch alles getestet werden. Man hat somit noch mehr Arbeit, als wenn ein Team wie jetzt das komplette System jeweils bereitstellt und updated (und es nur im Gesamtwerk testen muss).

Synology hat es doch schon mit dem Paketzentrum modularisiert (deswegen würde ich nicht sagen "Ganzes" System sondern eher doch "Halbes" welches von Anfang an installiert wird). Vielleicht geht das auch noch etwas weiter. Vorstellbar ist das. Aber alles darüber wäre wohl zu kompliziert für Synology und für den Endanwender, wenn essentielle Teile man zuvor im Paketzentrum erst heruntergeladet und gestartet werden muss.

Außerdem ist es doch schon sicher: einfach nicht alles von extern verfügbar machen, Autoblock, 2-Faktor Authentifizierung, Dienste erst gar nicht installieren, die man nicht braucht. Wenn man dem nicht vertraut: Portscanner, Bruteforce und Sniffer einsetzen und testen.

 

[Wolfman_II]

daran, dass Updates einzelner Dienste die Sicherheit erhöhen, muss man feste glauben, denn beweisen kann man das nicht. Ein Sicherheitslücke ist immer nur dann bekannt, wenn sie jemand gefunden hat und dann auch noch bekannt gibt. Selbst mit absolut aktuellen Software, kannst dein System scheunentorweit offen haben

Deswegen schrieb ich auch "hinreichend sicher" und nicht "absolut sicher".

Aber schön, dass du es relativiert hast

 

[Falkenfelser]

Gibt es irgendwie die Möglichkeit TrueCrypt auf der DiskStation zu verwenden?

 

[Puppetmaster]

TrueCrypt als Anwendung nicht, aber du kannst natürlich deine Container auf der DS speichern und auch vom Client aus öffnen.

 

[Falkenfelser]

Gute Idee. Danke.