Nem gondolnám, aki nem ért hozzá, ahhoz nem jut el ez az információ. Aki pedig ért hozzá, az már 3rd-party firmwarrel használja és röhög az egészen. Tömegével biztosan nem lesz lecserélve itthon ez a "néprúter".
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Gyári TP-Link szoftver helyett például az OpenWRT megoldás rá.
A gyári szoftverrel egyébként sem vagyok ennél a típusnál (WR841N) elégedett, mert a LAN csatlakozó <--> WiFi közötti L2 bridzsing során blokkolja az IPv6 átjutását.
Mindenképp érdemes lecserélni a gyári szoftverét.
Miért van kiemelve, hogy Magyarországon?
Ha elviszem Szlovákiába akkor már jó lesz? :)
-- Tertilla; Tisztelem a botladozó embert és nem rokonszenvezem a tökéletessel! Hagyd már abba!; DropBox
MERT MAGYARORSZÁGON MINDEN SZAR! Szlovákiában már majdnem jó, de ha Ausztria felé mész ott gyorsabb is lesz és biztonságosabb is, sőt még figyelmeztet is a haxolják, és ha lerakod a földre robotporszívóként is működik !! NÉGY!!! és még többet is fizet neked!!! De csak akkor ha már svédországban jársz! Ott érvényes bankjegyeket is nyomtat!!! Hát még ámerikába'! Ott aztán.. Csoki,Sör, ez aztán nem dől fel többet!!!! A szappantartót ott szappantartónak nézik, de cserébe mindenki másnak is ugyanolyan szar sávszélt nyújt a comcast meg az AT&T szóval a szappantartód is a szélsebes kategóriában süvít majd!!! !!!
szerintem ebben semmi meglepo nincs, filleres eszkozoktol ne varjunk mar sec patcheket, sem nagy odafigyelest a firmware osszepakolasanal, ez feltehetoen csak 1db critical issue a tobbi mellett, ami meg benne van.
Ilyenkor lehet pl. EU szinten fellépni és olyasmiket mondani, mint pl.
(1) kötelező minimum életciklus és szoftver követés: 3 év
(2) ha ez alatt az idő alatt sechole derül ki, akkor azt T időn belül kötelező javítani
(3) ha a fentiek nem teljesülnek, akkor import tilalom, befosatós büntetések, stb. stb.
BTW simán be lehetne vezetni, hogy az extrém időjárás riasztások mintájára a bizonyos látogatottság feletti online oldalak kötelezően fenntartsanak jól láthatóan egy olyan szekciót, amiben 3 érthető mondatban le van írva, hogy éppen milyen gáz van (router exploitok, zsaroló vírus, stb. és ugyancsak 3 mondatban, hogy mit kell ellene éppen tenni).
"BTW simán be lehetne vezetni, hogy az extrém időjárás riasztások mintájára a bizonyos látogatottság feletti online oldalak kötelezően fenntartsanak jól láthatóan egy olyan szekciót, amiben 3 érthető mondatban le van írva, hogy éppen milyen gáz van (router exploitok, zsaroló vírus, stb. és ugyancsak 3 mondatban, hogy mit kell ellene éppen tenni)."
- nem a közútkezelő feladata megakadályozni, ha valaki hibás fékberendezéssel vesz részt a forgalomban.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
> - nem a közútkezelő feladata megakadályozni, ha valaki hibás fékberendezéssel vesz részt a forgalomban.
Namost ugye autóval való elindulás előtt pár dolgot illene csekkolni, mint pl.a fék működése.
De egy routernél r=1 állampolgár valszeg azt se tudja, hogy abban szoftver van, azt meg pláne nem, hogy azt még akár fel is törhetik.
Viszont ha az index/origó/nőklapja/randomakármi egy piros keretesben az arcába tolja, hogy már megint gáz van (neadj isten fénykép az eszközről, hogy rájöjjön, ugyanilyen villog a szekrény tetején), akkor nem mondhatja, hogy neki nem szóltak, hogy rossz lehet a fék.
Egy ilyen riasztás hatására talán-talán kicsit tudatosabbá válnának a júzerek és talán-talán megpróbálnának tenni valamit (szomszéd vérpistike feltolja az upgrade-et vagy ilyesmi).
Bizonyos tekintetben ez már nemzetbiztonsági kérdés is lehet (akárcsak majd az önvezető autók megvédése attól, hogy vki egy szobában ülve hülyén vihogva egy ország összes autóját egy joystick-kel rángassa egy remote sechole-on keresztül.)
Akkor egyszerűsítem: a biztonságos közlekedés minden esetben az abban résztvevők felelőssége (a felelősségi szintek nyilván arányosan megoszlanak), de ha valaki részegen, kormánykerék nélkül indul el a setét éjszakába és balesetet okozva fejre áll a körforgalomban, akkor azért nem a körforgalmat tervezőket, vagy azt kivitelezőket szokás a böribe küldeni.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Nem egyszerűsítetted. Ha az a nyomorult doboz *magától* és *jól* frissítené a szoftverét, akkor lehetne a felhasználó felelőssége a dolog, hogyha direkt nem engedi frissíteni.
Bakker, a Linksys (is a Cisco Company - vagy mi a szar volt a szlogen) képes volt arra, hogy épp az EU-ban nem volt elérhető az új fw, és úgy kellett kézzel végigmazsolázni egy halom helyi support oldalát (linksys USA, linksys Japan, stb), hogy megleld - no azok után mégis mit vársz? Honnan a francból kéne ezt tudnia átlagjózsinak???
Most direkt megkérdeztem, a kolléganőmnek eszébe se jutott, hogy a mosógépén FW-t frissítsen (sőt az se, hogy az képes netes kommunikációra - pedig tudatosan ilyen távolról vezérelhető mosogépet vett). Szerinted hány otthoni felhasználó fogja megnézni hetente, hogy van-e újabb szoftver a mosógéphez, porszívóhoz, wifis fényképezőgéphez, okoslámpához és távolról vezérelhető garázskapuhoz. Jelzem - egy sem, és ha ezeket a szarokat a gyártó megalkotja, akkor legyen már a az is a gyártó felelőssége, hogy X ideig legyen hozzá FW-frissítés. Mivel a szoftver is része a gépnek, legalább annyi ideig biztosítania kellene szoftver javításokat, mint amennyi ideig alkatrészt kell biztosítania. Ha valamelyik cég 1 évre tervezi a szarjait és 3 év alkatrész utánpótlást igér, akkor 3 évig. Ha meg 10 évig, akkor 10 évig.
(Kéretik nem elvinni a beszélgetést az "agyhalott", "sznob", "mesterségesen generált igény" és "first word problem" irányába. Köszönöm.)
egy 5e Ft-os, fél év alatt avuló termékről szerinted meddig és milyen mértékben kellene gondoskodnia a gyártónak? Felelős-e a gyártó 5 év múlva a szaráért ha maga a user felelőtlen és könnyelmű a saját védelmével kapcsolatban? Felelős-e a tuto-lakat gyártója azért, mert a zárnyitási technikák 50 éve meghaladták a tuto-lakat védelmi képességeit, de ezt a felhasználója nem tudomásul véve napjainkban is hatásos védelmi eszköznek látja?!...
"(Kéretik nem elvinni a beszélgetést az "agyhalott", "sznob", "mesterségesen generált igény" és "first word problem" irányába. Köszönöm.)"
- már elvitted. Szívesen.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Azért avul fél év alatt, mert nem kap sw-es support. Maga a hw simán évekig megy.
Egyébként meg be kell vezetni az EU-ban, hogy tilos olyan hálózatra csatlakozó eszközt forgalomba hozni, amire nincs legalább X év sw support a forgalomba hozás napjától számítva, default bekapcsolt automata frissítéssel. Megszegése esetén óriásbünti, kötelező garanciális csere, apámfasza bármi.
Mert nem csak az 5e Ft-os szappantartó ilyen, hanem az 50-150e Ft-os telefon, mosógép, hűtő, klíma, minden szar is, sw support szempontból legalábbis. És akkor lehet hogy az 5e Ft-os szappantartó mondjuk 6e Ft-ba fog kerülni az EU-ban, de ez van.
nem, azért avul el, mert elmegy mellette a technológia.
"Egyébként meg be kell vezetni az EU-ban, hogy tilos olyan hálózatra csatlakozó eszközt forgalomba hozni, amire nincs legalább X év sw support a forgalomba hozás napjától számítva, default bekapcsolt automata frissítéssel. Megszegése esetén óriásbünti, kötelező garanciális csere, apámfasza bármi."
- szerintem te lennél a legjobban felháborodva, ha emiatt 10-szeres (nem, nem egy ezressel lesz drágább az az eszköz, amelyhez komplett security support részleget kell fenntartani!) áron kapnád meg ugyanazt a szappantartót, aminek a megbízhatósága továbbra is csak annyi, amennyi.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Csak a fentiből van 10+ fajta verzió 2007 óta. Hány évre kellene supportáltni? Ha az automatikus frissítés közben elmegy az áram akkor az mehet vissza gariba? :D
Ki mondta, hogy hozzon ki a gyártó 10+ fajtát, ha nem tudja támogatni? (Ja, a "frissítés közben elmegy az áram" ellen már kitalálták az ellenszert. Dupla memória, ellenőrzőösszeg, stb.)
"dupla memória" - az pont kétszer annyiba kerül, mint a szimpla! :)
Lehet itt igényeket, elvárásokat támasztani, csak amikor ki kell csengetni az árát, akkor meg csak pislogás lesz. Most is vannak évekig supportált, megbízható hardverrel, elegendő memóriával szerelt hálózati eszközök, de érdekes módon páran mégis inkább ebben a topicban rágják a cuccost... :)
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Így van. De mivel a router a flash memórián túlmenően áll még pár egyéb alkatrészből, valószínűleg a 15 ezres router max 18-ba kellene hogy fájjon (bár szerintem nem), ennyit meg röhögve megérne az, hogy nem kell vásárlás után fél évvel már elavultnak minősíteni és alternatív FW után nézni.
Nézd meg, hogy mondjuk egy ötszázezeres gyártási tételnél ez mennyivel emeli meg a költségeket és vesd össze azzal, hogy azon az áron már mekkora lehet a piacvesztés - ergo megéri-e baszódni vele, vagy jó van ez így a kedves vevőnek. Szerintem kijön, hogy piacilag a jelen állapot a nyerő.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ha van rá pénzed, ez a készüléke rendszeresen, automatikusan frissül, nincs semmi tennivalód vele. Fel van készítve arra is, hogy frissülés közben áramszünet lehet, vagy hogy ne akkor vágjon le a netről, amikor eszébe jut frissülni. (meg van benne oldva, hogy frissítés közben nem szakad meg a hálózati kapcsolat)
Van még pár másik készülék is, ami tudja ugyanezt, de egyiket sem találtam 40 ezer alatt, valószínűleg ennek ez az ára.
Láttam, meg vettem is belőle már vagy lassan egy éve. Beüzemelése óta nem kellett újraindítani, sosem szakadt meg a kapcsolat. Volt itthon már több 20-30 ezres router is, egyikkel sem volt stabil a wifi. Ezzel tökéletes.
Még jó hogy lehet kapni :)
Alapvetően tudja ezt pl. a mikrotik hap ac lite/hap ac 2 is a bruttó 15-20 ezres árkategóriában, még 4 LAN port is van rajta, csak nem néz ki ilyen csicsán.
Szóval nem hiszem hogy csak 40 fölött kezdődne, és a 40-50 ezres kütyük - esetleges - többlet tudását amúgy se nagyon lehet kihasználni.
Az emberek meg nem tudják, hogy lehet ilyet kapni, pl. én se tudtam, pedig elvileg szakmabeli lennék.
A dupla flash nem biztos, hogy csak egy ezressel dobja meg a szappantartó árát (egyedül Telekomos DSL dobozban láttam eddig, az spec egy dev firmwarere failbackelt volna úgyhogy teljesen megérte :)).
És nem a nem tudja támogatnira értettem, hanem , hogy a fenti első verzióját vesszük akkor 11 éve piacon van.
Egy válasszal ezelőtt max 3e-t írtam (és erősen fölé van az becsülve). Ennyit érne. Nekem mondjuk szimplán annyi jutott eszembe, hogy a letöltött, digitálisan aláírt FW tartalmát belenyomjuk az A-slotba, ellenőrizzük a memória csekszamot, és ha OK, ugyanezt megteszem a B memória-slottal. A bootolásnál pedig szintén ellenőrzőösszeg után butulom A-t netán B-t. De nyilván ebben is van hibalehetőség. (Nekem eszembe nem jutna, hogy a backup flash tartalma valami állandó akármi amit nem frissítünk, de nyilván lehet úgy is. Ellenben ha olyan lenne, akkor nem ugyanolyan funkciójú valamit tennék oda, hanem egy garantáltan működő izét, ami a Fül Elise elvillogtatásával világosan elmagyarázná, hogy te most itt megszoptad, battyogj el a szervízbe, vagy pedig tedd ezt-és-ezt.)
...és ez még csak az ellen véd, hogy átlagjóska nehogy téglásítsa az eszközt (bár valószínűleg a tftp-ig már ő sem fog eljutni - megy vissza gariba) - és hol van még a rendszeresen frissülő, sechole-okat foltozó firmware-k támogatása?!..
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
A szervízben ne hogy már ne tudják 10 perc alatt visszaflesselni.
És amennyiben nem újabb és újabb HW-t terveznek hetente, akkor az így felszabaduló emberi és anyagi erőforrás máris használható lenne jobb FW előállítására. OK, 10 hw-mérnök helyett 10 sw-mérnök kellene.
A szerviz munkaidő nagy részét arra fordítani, hogy reflasheljék a mikulások által elbarkácsolt eszközöket, ráadásul lesz egy szállítási, raktározási, logisztikai költség is (csak azért, hogy nehogymá'), egyáltalán nem bagatell.
Egyebkent pedig a fejlesztés fogja a forgalmat generálni, nem a szervizelés!
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Én a két flash-t nem tartanám azonos verzión, a bootot intéző akár beégetett kód feladata lenne választani a két flash közül a verziószám és az utolsó boot állapotjelzője alapján. (Ha a felhasználó nem nyomja a megfelelő gombot a boot során, mert ha igen, akkor a boot során, ha a régebbinek "sikeres" a boot-flagje, akkor az újnál beállít egy "sikertelen"-t, és elindítja a régit.)
A frissebbet bootolja, ha annak az utolsó boot állapotjelzője "új", vagy "sikeres". A frissítés "új"-ra állítja az állapotot, a bootot intéző kód a kiválasztás után "sikertelen"-re billenti, amikor a rendszer sikeresen elindult, az indulási folyamat végén a futó rendszer billenti tovább "sikeres"-re.
A frissítésnél meg csak anniy van, hogy a nem használt flash-területet kell írni, elsőként a boot-flaget "sikertelen"-re állítani, majd a sikeres frissítés után mehet tovább "új" állapotra, és utána jöhet a bootolás re.
Lehet ezekkel a dupla flash-es megoldásokkal szórakozni, de azért alaposan át kell gondolni a folyamatokat/állapotokat/átmeneteket, hogy korrekten működjön minden. Ja, és persze azt is meg kell oldani, hogy a konfiguráció verziótól függetlenül rátölthető legyen az eszközre...
A dupla flash nem biztos, hogy csak egy ezressel dobja meg a szappantartó árát
Az a 8MB-os flash IC, ami egy ilyen TP-Link szarban van, Budapesten, 1 darab kisker vétele esetén max. 400 Ft. Na Sencsenben, milliós tételben nem lesz az több 150-200 Ft-nál se.
Ha Pesten 1 darabra kisker bruttó 400, akkor az a kereskedőnek itthon kerül kb. 200 Ft-ba, és nem milliós tételben. Sanszos hogy inkább 50-100 Ft körüli összegbe kerülne ez Shenzenben...
Oké, belerak egy másik flash chipet, plusz a szükséges körítést (mert nem csak annyi, hogy plusz egy IC...), szoftvert úgy megcsinálni, hogy hiba esetén a tartalékról bootoljon a régi firmware, és másolja vissza magát a másik chipbe (ha megnincs hiba a frissítés utáni (első) boot során, akkor az új firmware-t tolja bele a backup flash-be...).
Szemét dög vagyok, én úgy gondolom, hogy letöltődik valahova az imidzs, megtörténik a sértetlenség ellenőrzése, és beleíródik flash1-be. Annak is megtörténik a sértetlenség ellenőrzése, és ha OK, akkor máris folytatja flash2-n. A boot pedig hasonlóan. Esetleg be lehet vetni még 2 dirty flag-et a két flash-hez (amelyeket írás előtt és ellenőrzés után kell átbillenteni, szigorúan csak azt, amelyiket épp piszkálni fogom), és 1-2 sorrendben butulni arról, amelyiknél clean-ben van. Ez annyit jelet, hogy a már meglevő fleshelős részt csak egy kicsit kell kibővíteni, és semmi plusz extra hű de okosság nem kell.
Hm. Hol ment el a technológia a TP-link 1043 mellett? A családban januárban jelent meg az első 5 GHz-et tudó eszköz, és 2 hete a párja, amelyik huzamosabb ideig ezen az eszközön keresztül kommunikál. A jelenlegi uplinket röhögve bírja - persze ha majd lecseréli a szolgáltató Gigabitre, akkor majd érdekes lesz a váltás. Amúgy én is úgy gondolom, hogy a szoftvere avult el, maga az eszköz nem.
Nem mindenhol veszik meg a legújabb eszközöket azért, mert megjelentek.
A TP-Link 1043 jó kis doboz, itt is van kettő. De eszembe nem jutna gyári firmware-el használni (igazából azért esett arra a választás mert volt rá OpenWRT). Arról nem beszélve, hogy lehet a gyártó se tudná támogatni mert a legtöbb firmware a SoC vendor "Development Kit"-ének a tákolásával születik (és néha ugye már az is sz*r). :)
Mármint van ahol dobálnak gigás netet, és van ahol kell az 5 GHz. Mint említettem, nálunk pl. egyik sem áll fenn, pedig nem az alföldi tanyavilágból fórumozok egy C64-en keresztül SLIP-pel. Ma valószínűleg nem ezt venném meg, hogy a következő 5-10 évre is jó legyen, de nehezen hiszem el, hogy amikor vettem már akkor sem ezt kellett volna. OK, 3 napig sem működött a gyári FW-ével, de én pont ezt ragozom, hogy ott kellene egy kicsit jobban beleerősíteniük.
Hogy menne már el mellette a technológia? Nézzük a 802.11 utáni betűk évét:
b - 1999
g - 2003, ez még ma is elég ha nincs 20 méteren belül 10 másik eszköz
n - 2007, 11 éve, ez még relatív gyors is tud lenni
ac - 2013, sok ma is használt eszköz se támogatja
ax - 2019-ben jön majd valamikor, talán.
Ma az eszközök szinte 100%-a támogatja a 11 éves n szabványt, és elég kevés eszköz az 5 éves ac-t. Hogy avulna már el fél év alatt bármi is?
++ a 10x-es ár. TFH egy ilyen szappantartó 10 dodóért ad el a gyártó, évente 1 milliót. Rádobnak az árra még 1 dodót, és ezzel a millával odabattyognak az openwrt alapítványhoz (?), akik amúgy is támogatják (ingyen!) a dobozkát, hogy ennyiből tudnátok-e 3 évre egy normális support mellétenni? Ennyiből azért kijön 1-2 ember 3 évi bére...
"Hogy avulna már el fél év alatt bármi is?"
- számold össze mondjuk a tl-wr1043 életciklusa alatt hányféle hardverváltozat készült belőle és gondold végig, hogy ennek vajon mi lehet az oka!.. :)
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ha csak a gyári firmware verziók számát nézzük, már indokolt a gyanú, hogy sűrűn történt egyazon termekvonalon belüli hardver áttervezés. Ez azt jelzi, hogy tarthatatlanná vált az addigi állapot további gyártása, lépni kellett, át kellett tervezni a terméket, mert pl az adott alkatrészeket már abban a formában nem gyártották tovább, elokerultek tervezési, konstrukciós hibák, modernizalni kellett az áramkört, mert korszerűtlen lett - egyszóval elavult a technológia, méghozzá elég gyorsan, pár hónap alatt. Gondolj csak a mobiltelefonok életciklusára. Ez természetes folyamat, a fejlődést követi minden műszaki fejlesztés az élet minden területén.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
És miért fontos az, hogy hány csillió féle hw változatot csinálnak?
X évben legyártanak és eladnak hasra ütve 1 millió Y verziójú eszközt 1 dollárral drágábban, abból az 1 millából kényelmesen elsupportálgatja főállásként egy openwrt-s arc 3-4 évig. Még a tizedéért is szerintem, főleg hogy most is csinálják, 0 gyártói támogatással.
Hát azért pár hónap volt edddig, most már pár év lett belőle. Értem én hogy trollkodásnál nem számít, de akkor azt is mondhatnád, hogy amíg a boltban kiállítják a számlát addig hirtelen elavul ez a vacak egy szempillantás alatt. Számítani ez se számítana, hülységnek pont ugyanolyan hülyeség, de legalább elmosolyodik rajta az ember :)
Ha 10x-es áron tudják csak összehozni, akkor nézzék meg, hogy csinálja a Mikrotik, mert ott a pár ezer Ft-os routerek is kapnak frissítést, nem egyszer.
Se a terméktervezés, se a fröccsöntőszerszám készítés. se a CE és stb. audit se olcsó, ezt is teríteni kell az eladott termékeken. Ellenben a sw, az menjen csak úgy-ahogy, onnan kezdve simán leszarható.
Jellemzően így gondolkodnak a gyártók akkor is, ha nagyon viszik a cuccot, és akkor is ha alig. És szerintem ez így kurvára nincs rendben.
Ez viszont már inkább cégfilozófia kérdése - mi a cél? A profit, vagy a lassú brand-építkezés, megbízható márka felépítése. Mindent ennek kell alarendelni, és nyilván ennek megfelelően más és más lesz a produktum.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Cégfilozófia az autógyártóknál is van, de az állam mégis előírja bizonyos kibocsátási normák teljesítését a autógyártóknak, még ha ez költségnövekedést is jelent a végfelhasználónál. És az autóvezetőknek is elő van írva, hogy pl. a guminak milyen profilmélységgel kell rendelkeznie, mert senki se szeretné hogy egy felelőtlen fillérbaszó "álampógár" ölje meg az úton.
(És ezen szabályok betartatásába ne menjünk bele, hagyjuk a csalós botrányt is ennek megfelelően, ezeket _elvileg_ be kell tartani.)
Szóval vannak dolgok, amiket szabályozni kell. És lassan az internet is olyan kritikus infrastruktúra lesz, mint pl. a közúthálózat. Sajnos az ezt használó eszközök állapota is olyan mint amit a magyar utakon látsz, de azzal ellentétben nevetséges összegből rendbe lehetne tenni.
Nem érzem azonos súlyúnak az összehasonlítást, az autók esetében a forgalomban való biztonságos (ön -és közbiztonsági elvárás) közlekedés feltétele egy alapvető műszaki és személyi felkészültségi minimum, ugyanakkor azzal, hogy wifi-frici otthon alul/felül áteresztő kínai routert üzemeltet, maximum a saját adataira jelent veszélyt (és minimalisan az internetre, ha időnként botnetként is üzemel), de nem okoz közbiztonsági káoszt. Az sem szabályozott államilag, hogy milyen biztonsági megoldásokat kell alkalmazzon az egyén az otthona védelmében.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ma még talán nem az.
De ha pl. az ő gépén keresztül borítják meg a lámpákat egy kereszteződésben, és a balesetben lesz pár súlyos sérült? Ha rajta keresztül nyomják fel egy kórház rendszerét és állítanak le műtét közben egy lélegeztetőgépet? Vagy épp csak egy olyan támadásra használják, amivel a szüleid bankszámláját nullázzák le?
Persze értem én, ezek eléggé elméleti veszélynek tűnnek, és a kritikus rendszereket csinálják meg jól hozzáértő szakemberek, persze. De azért a támadókat se kellene segíteni az internetre kötött milliárdnyi sebezhető eszközzel...
"maximum a saját adataira jelent veszélyt (és minimalisan az internetre, ha időnként botnetként is üzemel)"
Nope, folyamatosan veszélyt jelent az internetre is, az internetre csatlakoztatott egyéb eszközökre is, nem csak a saját adataira.
"Az sem szabályozott államilag, hogy milyen biztonsági megoldásokat kell alkalmazzon az egyén az otthona védelmében."
Már hogy milyen zárat, arra nyilván nincs szabály, mert ott _tényleg_ csak a saját értékeit veszélyezteti. De pl. a földgázzal kapcsolatban már vannak államilag előírt szabályok, ugye.
Nem lehet a mozgólépcső uzemeltetoje felelős azért, mert a lépcsőkorlaton nem kapaszkodva valaki fejreallt, vagy egy zsebtolvaj rajta futva menekült el az üldözik elol. Idehaza pedig még arra sincsenek szabályok, hogy milyen mértékben szennyezheti valaki a környezete levegőjét a futessel, mekkora zajterhelest okozhat az eletvitelevel, mostmár a kéményseprés se kötelező, stbstb.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Lényegtelen.
Az hogy valami szarul van szabályozva, nem jelenti azt, hogy mást is szarul kellene szabályozni, vagy hogy a hülye szabályokat ne lehetne megjavítani.
Biztos az elgondolás.
Mert nyilván teljesen jó dolog az, hogy évek óra ismert hibákat tartalmazó, lyukakkal teli eszközök vannak az nagy internetre kötve. Nagyon sok érv szól mellette, de most hirtelen egy se jut eszembe. Tudnál segíteni?
Egy ezer Ft-os elektromos alkatrésztől is elvárom, hogy legyen biztonságos, tehát ha a felhasználó rendeltetésszerűen használja, akkor ne rázza meg, ne gyulladjon ki, stb. A frissítés elmaradása - főleg, ha a frissítés nem elérhető, vagy bonyolult - nem a user felelőtlensége. Ha jól rémlik, a kérdéses esetben egy autentikáció nélkül elérhető funkcióról van szó, ez bizony a gyári hiba kategóriája, nem pedig a tudo lakat védelmi képességének problémája.
Amelyik termékbe gyárilag veszélyes hiba kerül, azokat jobb helyeken visszahívják és kijavítják, illetve kicserélik. Software esetében a dolog egyszerűbb, nem kell kicserélni, csak frissíteni. De ha a felahsználó nem is értesül róla, hogy mit kéne tennie, akkor ezt a dolgot nem kéne rá kenni.
Időjárásos analógia: te elvárod, hogy mindenki maga számítsa ki a következő órák várható időjárását és ha erre nem képes, vagy nem is tudja, hogy ilyet lehet csinálni, akkor az ő baja, hogy megázott és kész.
Én viszont azt mondom, ezért van az OMSZ, hogy tájékoztasson és ha ezután megázik, akkor tényleg az ő baja.
két külön dologról beszélünk, nem jó az analógiád, hiszen míg a felhasználó általában nem tudja megjósolni az időjárást (nincs rá beépített szenzora), addig a közlekedésben való részvételre az alkalmassága és a képzettsége többnyire megvan (vagy legalább is elvárható, és büntetőjogi felelőssége is kimutatható - károkozás esetén felelősségre vonható). Egy weboldal, ami színes kis gumilófaszokat árul, ne legyen már felelős azért, mert a user egy hálózatra kötött szappantartón keresztül nézegeti a termékeket.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Jól hangzik. Akkor már csak az EU-ban ülő képviselőinket kell meggyőzni arról, hogy adjanak be erre vonatkozó javaslatot. Csak hogy valami haszna is legyen annak a sok ott ülő léhűtőnek.
1) a termék forgalmazásának megkezdésétől számított 3 év vagy a forgalmazás befejezésekor a legutolsó vásárlótól számított 3 év? Kisker vásárló vagy nagyker? ezeket ki tartja nyilván, ki tartatja be és ki szankcionál? Mi a helyzet pl egy 841N -el, aminek 13 darab revíziója született meg? Mindegyik külön terméknek minősül, vagy csak azok amik identikus szoftvert futtatnak? Ki ellenőrzi, hogy identikus a szoftver? Mi van akkor ha az EU egyes országaiban nem egyszerre kezdik meg a forgalmazást? Minden országra külön számláló lesz?
2) ki az aki a tplink szoftverében azonosít, osztályoz és ellenőriz sechole-okat? A tplink? Vagy egy független szervezet? Ki pénzeli ezt a szervezetet? Ki az aki ellenőrzi hogy megtörtént a javítás, a javítás megjavítja a sechole-t?
Szóval jó ötlet ez, de szerintem nemigen megvalósítható.
1. a végfelhasználó vásárlásától számított, a gyártó köteles a termék dobozán feltüntetni a "supported until 202x.y.z" szövegecskét. Amennyiben a feltüntetett "202x.y.z" és a vásárlás napja között nincs meg az előírt kötelező X év, akkor a termék nem hozható forgalomba.
A revíziókat, a sec/support mérnököket, hasonló dolgokat meg oldja meg a gyártó, ez az ő dolga, nem a mienk.
2. mindenféle "cert" rövidítést viselő cégecskék? Ahogy tették eddig is, teszik most is, és gondolom ugyanaz fizeti aki eddig is.
Szóval szépen összeszedted a kifogásokat, értjük mi hogy "nem volt közgyűlés", de azért minimális szándék esetén eléggé könnyen meg lehetne csinálni.
És az ugye meg van, hogy ezzel nem csak a TP-Linket köteleznél dolgokra, hanem az ő teljes beszállítói láncát: innentől kezdve mondjuk az Atherosnak, Broadcomnak, ... is addig kell támogatni az eszközeit, amíg a _legutolsó_ közvetlen vásárlójának van aktívan támogatandó eszköze. Nem lenne baj, megoldható lenne (bár, nem lennék meglepve, ha a teljes ipar [akik megtehetik, mert _terméket_ ők nem hoznak forgalomba az EU-ban] elzárkózna ettől és mindenki ott állna, ahol a part szakad), de rendesen megdobná az árakat, mert a láncban _mindenki_ minden beszállítójától elvárná ugyanezt és mindenki beárazná a plusz támogatást.
Másrészt meg nagyon fekete-fehérben gondolkodsz: mi minősül biztonságosnak? Mire mondod, hogy biztonságos? Egészen más feltételeknek kell megfelelni a különböző felhasználási területeken. Az pedig, hogy úgy definiáld a biztonságosság fogalmát és a kötelezően javítandó biztonsági hibák körét, hogy egyrészt az ne legyen _mindenre_ ráhúzható (jé, JTAG-gel hozzáférsz a bootloaderhez és olyan kódot injektálsz, amit nem szégyellsz... otthoni környezetben vállalható veszélyforrás, egy kutatóintézet kültéri [így a fizikai biztonsága nem garantálható] eszközénél már nem), másrészt tényleg minden komoly belekerüljön (és ne kelljen utána módosítani, mert akkor kezdődik az, hogy [ugye nincs visszamenőleges törvénykezés jobb helyeken] X gyártási időpont utáni eszközöknél kell csak patchelnünk ezt a sebezhetőséget...)
Van valahol egy arany középút, de lehet, hogy biztosabb lenne a végfelhasználókra tolni a felelősséget (mert amit a megtört eszközük csinál, az az ő felelősségük, tehát nekik kéne rendben tartani), a gyártókat meg csak arra kötelezni, hogy erre felhívják a figyelmet (pl. a setup wizardba építsenek egy e-mail cím bekérő formot, és ha secu bug van [vagy amikor az eszközük támogatása lejár], értesítse a usereket, hogy ez és ez a teendőd).
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Lassan már úgy beszélünk erről a sw support-ról, mintha akkora kihívás lenne, mint elutaznia Marsra.
Közben pl. van egy kis lett cég, a Mikrotik, amelyik érdekes módon tudja támogatni a saját cuccait, pedig ők is ott vannak a (bruttó magyar kisker) 20-30 dolláros szegmensben is, és szerintem jóval kisebb eladással, mint a nagy kínai fröccsöntők. És szerintem ők is az Atheros, Broadcom, stb. gyártóktól veszik a cumót, nem hiszem hogy sajátot gyártatnának. Az openwrt is meg tudja csinálni amúgy...
Szóval jelenleg is megoldható, már _ha_ van rá szándék, de amíg ezt a hatóságok elő nem írják, addig a legtöbb gyártó nem fog erre egy fillért se költeni.
A scope: nyilván nem a jtag téma, hanem minden olyan "remote" kihasználható sebezhetőség, ami akár wan, akár lan, akár wifi irányból kihasználható. Az ilyen "erre írom a referrer-t és bent vagyok" is, a predictable default password is, minden ilyesmi.
Arany középút: vásárlástól számított X év garantált támogatás, default on autoupdate. A végfelhasználótól nem várhatod el hogy értsen hozzá, hogy utánanézzen, stb. Aki ért hozzá az persze kikapcsolhatja, tehet rá openwrt-t, akármi, de ők (mi vagyunk) a hozzáértő(bb) kisebbség. Ennek az intézkedésnek a célcsoportja viszont az r=1 többség, akinek fogalma sincs a dologról, neki ez háztartási elektronika, mint pl. egy rádió. Megveszi, bedugja, megy, aztán ha egyszer nem megy akkor elmegy megint a boltba aztán vesz egy másikat.
Az szerintem nem ér semmit, ha az r=1 user kap egy emailt a sebezhetőségről, EOL-ról, stb. Az összes gyártó szépen évente elküldené, hogy EOL, vegyél légyszi újat, itt van 20% discount a webshop-unkban mert hűséges vásárlónk vagy, köszi.
Hát, leszámítva, hogy a legolcsóbb RouterOS licenc 45 USD: https://wiki.mikrotik.com/wiki/Manual:License
Ok, persze a saját eszközeikhez adják a valamilyen szintű licenc-t, de...
És az upgrade-k se voltak _mindig_ ingyen.
jóval kisebb eladással, mint a nagy kínai fröccsöntők
És pont egy nagyságrenddel komolyabb HW-n (nem ok nélkül nem tudsz OpenWRT-t tenni nagyon sok kínai fröccsre).
Az openwrt is meg tudja csinálni amúgy...
Az OpenWRT-nek semmit nem _kell_ garantálnia és a felhasználói alapvetően komolyabb ismeretekkel rendelkeznek (ha már OpenWRT-t telepítgetnek).
vásárlástól számított X év garantált támogatás, default on autoupdate.
A default autoupdate-re nagy büdös lófaszt, már bocs. Az az eszköz, ami ha kinyírja magát (és lássuk be, egész jó track recordja van ebben mindenkinek, aki auto update-t csinált), nincs hozzáférésed a nethez, lesz szíves felhasználói beavatkozás nélkül nem kinyírni magát. A másik része meg tisztán technikai oldal: kell hozzá egy működő NTP kliens az eszközre [nézd anyu, újabb attack vector], kell egy _teljes_ SSL/TLS kliens könyvtár (nem elég az, hogy néhány 1800-ból ránk maradt ciphert belefordítunk mert azzal is elfut, kliensként minden az akkori állás szerint biztonságosnak ítélt cipher támogatnod kell, a szerver meg majd válogat), természetesen nem árt, ha a frissítő csomagok aláírva vannak [vagy-vagy, bár a legjobb, ha SSL/TLS _és_ aláírt csomagok vannak, mert így egy MITM-t is megkerültél], oh, egyébként innentől kezdve teljes csomagkezelés kell, ha csak nem akarsz minden release-nél teljes firmware-t cserélni stb. Mindezt egy olyan eszközkategóriában, ahol a mai napig gyártanak 4 mega flashel eszközt.
Az szerintem nem ér semmit, ha az r=1 user kap egy emailt a sebezhetőségről, EOL-ról, stb.
De, mert így legalább tudja, hogy érintett az eszköze.
Az összes gyártó szépen évente elküldené, hogy EOL, vegyél légyszi újat, itt van 20% discount a webshop-unkban mert hűséges vásárlónk vagy, köszi.
Amivel elérnénk, hogy végre a gyártók adnának egy explicit EOL dátumot (legalábbis nehéz megtalálni, aztán időnként van egy-egy ilyen, mint ez a topic, akkor hirtelen lesz új firmware az egyébként évek óta nem frissített dobozokhoz is).
---
De az alapkérdést, hogy milyen biztonsági vállalásokat kellene tennie a gyártóknak, mik azok a sebezhetőségek, amiket meg kell szüntetniük, továbbra sem válaszoltad meg.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
"Az OpenWRT-nek semmit nem _kell_ garantálnia és a felhasználói alapvetően komolyabb ismeretekkel rendelkeznek (ha már OpenWRT-t telepítgetnek)."
A felhasználót hagyjuk, az owrt alapvetően next-next-finish módon is tud működni, pont mint egy gyári sw. És a lényeg nem az, hogy mit garantál az owrt, hanem hogy ők ingyen meg tudják csinálni azt, aminek a költségvonzatától szerintetek a gyártók fejre állnának...
"A default autoupdate-re nagy büdös lófaszt, már bocs. Az az eszköz, ami ha kinyírja magát (és lássuk be, egész jó track recordja van ebben mindenkinek, aki auto update-t csinált)"
Szép rizsa, de kevés a hús.
Vegyük észre: a win10 autoupdate kivételével szinte minden tök jól működik. Sokszor Frissítettem rengeteg BIOS-t, netes dobozkát, TV-t, médialejátszót, minden nyavalyát, sose volt vele bajom.
Ha a frissítés elhal akkor két lehetőség van:
1. a gyártó elkúrt valamit, ez garanciális probléma.
2. áramszünet, node mondjuk havonta frissül, ez tart 2 percig, vajon mennyi annak az esélye, hogy pont közben lesz áramszünet? Pláne hogy ezt is simán meg lehet oldani 2 flash chippel, minimális plusz költséggel...
"kell hozzá egy működő NTP kliens az eszközre [nézd anyu, újabb attack vector]"
Én még nem láttam olyan dobozkát amiben ne lenne [és igen, azt is frissíteni kell].
"kell egy _teljes_ SSL/TLS kliens könyvtár"
Egyrészt kell a fenét, másrészt meg nehogy már 2018-ban problémát okozzon a TLS...
"természetesen nem árt, ha a frissítő csomagok aláírva vannak [vagy-vagy, bár a legjobb, ha SSL/TLS _és_ aláírt csomagok vannak, mert így egy MITM-t is megkerültél]"
Igen, így a legjobb.
"egyébként innentől kezdve teljes csomagkezelés kell"
nem kell, de kétségkívül elegánsabb
"ha csak nem akarsz minden release-nél teljes firmware-t cserélni stb."
jelenleg így van.
"Mindezt egy olyan eszközkategóriában, ahol a mai napig gyártanak 4 mega flashel eszközt."
Ami nagyjából 20 cent árkülönbséget jelenthet mondjuk egy 16 MB vagy 32 MB flash-hez képest...
Sokszor Frissítettem rengeteg BIOS-t, netes dobozkát, TV-t, médialejátszót, minden nyavalyát, sose volt vele bajom.
De mindig _te_ frissítetted, most mondod - az meg nem automatikus frissítés.
És nem csak a Windows update-re mehet ki rossz frissítés, változatos Linux disztróknál is volt, hogy "hupsz, frissítettél, itt a lista, hogy mi tört el" [és még csak nem is dist-upgrade!] - ha ezt a gép automatikusan tette [volna... mert van, aki úgy használja... jézusom], akkor még csak időben se tudtad a frissítéshez kötni.
Ha a frissítés elhal akkor két lehetőség van:
1. a gyártó elkúrt valamit, ez garanciális probléma.
És szerinted a gyártó nem fogja beárazni az _esélyét_ annak, hogy elkúr valamit és cserélnie kell százezres nagyságrendben az eszközt?
Egyrészt kell a fenét, másrészt meg nehogy már 2018-ban problémát okozzon a TLS...
De, kell, amibe bele kell fordítanod minden a fordítás pillanatában megfelelően biztonságosnak [btw., ezt még mindig nem definiáltad!] ciphert, protokollt stb., különben az lesz az attack vectorod (a közismert frissítő szerverre érkező forgalmat eltérítve egy frissen megtört cipher/protokoll [mert azért időnként megtörik őket...] miatt ipari nagyságrendben kaptál RCE-t...)
meg lehet oldani 2 flash chippel, minimális plusz költséggel...
...
20 cent árkülönbséget jelenthet mondjuk
...
jelenleg így van.
És mégis rengeteg eszköz 4MB flash-el megy és nincs tükrözve... tök jó, hogy mindenre azt mondod, hogy "csak pár cent", csak azok a "pár centek" nagyon hirtelen össze tudnak adódni... és persze onnantól, hogy kötelezően és azonnal _bármilyen_ sebezhetőség miatt firmware csere, jóval több írásra kell méretezned ezeket a chipeket.
De ami a legfontosabb: még mindig nem definiáltad, hogy mi az a sebezhetőség, amit a gyártóknak patchelnie kellene és mi az, amit nem feltétlenül.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
"De mindig _te_ frissítetted, most mondod - az meg nem automatikus frissítés."
True, de áramszünet mindig jöhet, és az a fő probléma. Nem az volt, hogy előtte szóltam az áramszolgáltatónak, hogy _most_ nehogy elcsesszétek mert frissítek :)
És egy ilyen natolós dobozkát ne hasonlítsunk már egy full, univerzális OS-hez.
"És szerinted a gyártó nem fogja beárazni az _esélyét_ annak, hogy elkúr valamit és cserélnie kell százezres nagyságrendben az eszközt?"
De, pont mint ahogy a hw elkúrást is beárazza. Valamint ha kötelező, akkor minden gyártó be fogja árazni, szóval a piacon nagy felzúdulást nem fog okozni. És simán lehet azt csinálni, hogy egyik nap kitolják a frissítést random 1000 eszközre, ha nincs hiba akkor 24 óra múlva 1%-ra, aztán +4%, +9%, +49%, majd a maradékra, kb. mint ahogy a google csinálja az androidnál. Ezzel jelentősen le lehet csökkenteni a sw-es elkúrás által érintett eszközöket.
"...különben az lesz az attack vectorod..."
Ez egyrészt módosulhat a frissítésekkkel, másrészt ezen attack vector kihasználása messze nem triviális, mondhatni elhanyagolható a gyakorlatban.
"És mégis rengeteg eszköz 4MB flash-el megy és nincs tükrözve... tök jó, hogy mindenre azt mondod, hogy "csak pár cent", csak azok a "pár centek" nagyon hirtelen össze tudnak adódni..."
Persze, ha meg tudnak spórolni 10 centet akkor megspórolják.
És igen, minden csak pár cent, csak ti ezt mindig mindenre túllihegitek, ezért írom mindig hogy csak pár cent
Rakjuk össze, per has:
- 4 helyett 16 MB +20 cent
- mindez még egyszer +50 cent
- drágább nyák+beültetés +30 cent
- hw áttervezés +10 cent
- sw áttervezés +40 cent
- sw support 4 évre +1 USD
Szumma 2,5 USD, bruttó kiskerben jelentsen 8-at, 2200 Ft, 3 év élettartammal számolva havi 60 Ft. Belehalunk mind, kenyérre se fog telni...
"és persze onnantól, hogy kötelezően és azonnal _bármilyen_ sebezhetőség miatt firmware csere, jóval több írásra kell méretezned ezeket a chipeket."
Lol, ne nevettess már. Nincs olyan chip, ami ne bírna párszáz újraírást, az meg kb. azt jelenti, hogy hetente is biztonságosan lehet újraírni.
"De ami a legfontosabb: még mindig nem definiáltad, hogy mi az a sebezhetőség, amit a gyártóknak patchelnie kellene és mi az, amit nem feltétlenül."
Szerintem az lenne logikus, hogy a hálózaton keresztül (LAN, WAN, wifi), a router fölötti irányítás átvételével járó sebezhetőségeket javítsák.
Nyilván lehetne erre valami konkrétabb elvárásokat kitalálni, de ez nem az én dolgom, vannak erre ún. szakemberek.
Erről eszembe jut a régi szép freelanceres idő, amikor meghalt az embedded kínai médiadoboz fejlesztője (a projektleírás alapján) és módosítani kellett volna a szoftveren, hogy az új ausztrál szerverrel működjön. :D Aztán persze ki kellett volna cserélni a cég logóját is a blob-ba. Van az a pénz de nem 100 usd. :D
A Microsoft is hasonló szituációba futott bele 1 éve:
> The way Microsoft patched a recent security bug has made several security and software experts believe the company might have lost the source code to one of its Office components.
> The only way the new EQNEDT32.EXE stayed so similar to its previous version was if Microsoft engineers manually edited the binary itself.
"Kurt was a prolific writer and one that I worked with a great deal while I was at Microsoft. His reach and breadth was hands above any other writer I ever worked with at Microsoft. In fact, he was so effective that there are many blogs and articles that only his account has access to. As a result, Microsoft is still struggling to not only find a replacement writer but also to figure out how to access his TechNet account. When I was there, the number of us that could post to the PKI blog was shrinking as Kurt's account was the only one that could add new contributors."
Röviden azt mondja, h. még házon belül sem voltak képesek hozzáférni egy már nem élő alkalmazottjuk munkahelyi adataihoz, fájljaihoz. Azért ez sok mindent elmond arról a káoszról ami redmondban a kerítésen belül mehet.
Eleve mint kűlsős, a szolgáltatásukat használó user, én sem tudom megoldani megnyugtatóan, mi történjen az MS akkountom mögött levő rengeteg adattal, ha velem történik valami. Van ez a "next to kin process": hivatalos MSFT support oldalon lófszt nem lehet róla találni. Az answers.microsoft-on kérdezgetik tucatjával a szerencsétlenek gyakorlatilag egymástól, akiknek meghalt hozzátartozójuk, h. halotti anyakönyvi kivonattal sem kapnak hozzáférést szüleik, gyerekük fontos fájljaihoz. Vagy akárcsak a laptophoz, amibe a rokon Live ID-val lépett be, köszi Win8+ (és ugye mint tudjuk az answers oldalon nem-MSFT-alkalmazott önkéntesek válaszolgatnak, változó hatékonysággal és értelmi szinttel).
MSFT-éknál meg a halotti bizonyítvánnyal futhatja a szerencsétlen hozzátartozó a köröket évekig. Ha meg nem tud valami hülye biztonsági v. személyes kérdésre helyesen válaszolni, amit az eredeti akkount tulaj esetleg rosszul állított be, nem jut semmire.
A feladat csak addig tűnik komplikáltnak, amíg meg nem találják a kiskaput, onnantól viszont már gyerekjáték kihasznalni, és nyilván nagyobb hozadéka van egy sechole-os globális fertozesnek, mint vegigszkennelni az internetet backdoorok után kutatva.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Két lehetőség van erre:
1. felnyomni a gyártó belső rendszerét (webserver, signing cuccok, stb.), de ez nyilván atól függetlenül működik, hogy autoupdate van-e - noha nyilván kisebb az érintett eszközök köre. Ezt csak úgy lehet kiiktatni, hogy megtiltjuk a gyártóknak a sw supportot...
2. valahogy rá kell venni a dobozkákat arra, hogy ne az eredeti helyről töltsék le a cuccot. Ehhez vagy a user DNS szolgáltatását kell hozzá korrumpálni, vagy az ISP-je routing dolgait. Mi sem egyszerűbb ennél, ez sokkal könnyebb mint 2 dolláros exploit-tal törhető dobozkákat keresni a netre kötött százmilliókból...
Vagy csak a dns-szervereket kell elteritenj, mint ahogy erre már volt példa nem is olyan régen, és már meg is van etetve minden autoupdateos eszköz a preparalt kis firmware csomaggal...
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Azért egy TLS-es kapcsolatnál, ahol a kliens ellenőrzi, hogy a szerver certje megfelel-e annak, amit ő vár... Nos, nem biztos, hogy elég csak a dns-t meghákolni hozzá...
Attól még másik IP-n lévő fake szerver nem fogja tudni magát azzal a certtel azonosítani, ami az eredeti site-on van, és amit a kliens szépen ellenőriz is, hogy azt tartalmazza-e, ami neki elfogadható, és ha nem, akkor nyom egy tcp-resetet, oszt' jónapot.
Mint ahogy írtam is, a dns egy járható út, főleg hogy ennek van a legnagyobb "hozama", megéri foglalkozni vele, ehhez csak az kell, hogy bevezessék az autoupdate-featuret a hulladékszektorban is.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ember, mint ahogy én is írtam, járható út a DNS, mint ahogy a BGP alapú támadás is.
De nem triviális. Ez nem olyan, hogy megveszed 20 dollárért a tool-t, aztán meg kiadod a "spoof-dns fwdownload.tp-link.com 123.234.1.2" parancsot.
Egyébként kihasználható rengeteg más dologra is, pl. a böngészők alapban 6 hetente jönnek ki, nyilván ez idő alatt azért elég sok sebezhetőség nyilvánosságra kerül, és "simán" kihasználható DNS támadással arra, hogy néhány gyakran látogatott oldalt átirányíts és végigfertőzd a látogatókat. A PC-k is pont olyan jók mindenféle masszív támadásra, mint a routerek.
Ember, mint ahogy irtam is, ha valami kivitelezhető, akkor csak a haszon mértéke hatarozza meg, hogy meg is csinálják, vagy inkabb ejtik az ügyet. Már pedig pár millió gagyi router lerablása és botnetté alakítása már megéri a befektetett munkát. Triviális vagy sem...
Jobb egy hardvert megmérgezni, mint egy szoftvert, amit frissitessel javithatnak. Lasd pl lojax.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ezek nem kifogások, csak elkezdtem játszani a gondolattal, és az első ~1percben ezek a kérdések jutottak szembe, de gondolom többet is fel lehetne tenni.
Várj itt már ISP-ről van szó ami megvesz egy rakat CPE-t kínából amire rárakja a saját custom firmwaret (ami általában lyukasabb mint az eredeti.). Ez esetben kinek kellene supportálni? :D (Ráadásul a GPL-t is viccnek nézik)
Ennek semmi értelme. Tudom sokan vannak, akik mindig azt várják, hogy saját maguk helyett az állam döntsön mindenről, s persze ne is legyen saját felelősségük. Van ahol igény van a diktatúrára.
A vásárlók szavaznak, hogy mit akarnak. A szavazatok alapján az olcsóság az elsődleges. Ha valaki hajlandó többet fizetni, akkor kaphat olyat, amire teljesülhet a több éves támogatás. Ha az állam fogja oszotogatni a piros lapokat, akkor a szar ezután drága is lesz, de nem szakmai indokok hanem korrupció és lobbi alapján erősködnek.
Szóval akkor szerinted töröljünk el mindenféle hülye állami szabályozást, majd az emberek maguktól megoldják. Nincs semmi szükség pl. KRESZ-re, hiszen hogyan képzeli az állam, hogy eldönti a zemberek helyett azt, hogy hogyan közlekedjenek.
Valójában nincs szükség semmilyen előírásra és képesítésre villanyszereléshez se, ne pofázzon ebbe az állam, majd a vásárlók eldöntik, nem azt a szakit választják majd aki már túl sok vevőjét megölte.
Igazából mindenféle élelmiszeripari előírás csak a terméket megdrágító, hülye állami beavatkozás, majd a vásárlók eldöntik hogy mit akarnak, nyilván nem oda mennek majd ahol túl gyakran kapnak szalmonellát.
Stb.
ps.: én se vagyok híve az állami túlszabályozásnak, de ha egy veszélyes területen láthatóan nem működik a piaci önszabályozás, ott hibás a laissez-faire hozzállás.
És még mindig egy fokkal rosszabb, mint az összes a témában felsorolt másik lehetőség, ami jóval kisebb eséllyel tenné tönkre a piacot (kötelező subscribe értesítésekre, EOL kötelező bejelentése, a felhasználó felelősségének nem a gyártóra hárítása stb.).
Azzal, hogy a vásárlás pillanatában elérhető (és akár a dobozon feltüntetett legyen) a _várható_ EOL (amitől mondjuk legfeljebb későbbi időpontra lehet eltérni) időpont, teljesen egyet tudok érteni.
Azzal, hogy az előre bejelentett EOL-ig a távolról kihasználható kódfuttatási, privilégium-emelési és hálózat-hozzáférési hibákra [az ésszerűség határain belül...] adjanak javítást, teljesen egyet tudok érteni.
Azzal, hogy _minden_ legyen a gyártó felelőssége, hogy alapbeállításon automatikusan frissüljön az eszköz, hogy "az utolsó vásárlástól számított örökélet plusz egy napig" legyen support (ja, a raktárban van még egy WRT54G v1, egy ezresért a tied Béla, és így még nyócév support van rá), semmiképp.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Egész sok dologban egyetértünk akkor, azokat akkor hagyjuk is.
Az "az utolsó vásárlástól számított örökélet plusz egy napig" legyen support témában pedig én azt mondom, hogy ne lehessen olyan terméket forgalomba hozni, amin nincs legalább X idő sw support. Legyen ez olyan, mint a hw garancia, hogy ha nem garantálsz rá legalább X időt, akkor nem adhatod el.
Itt most egyetértek xclusive-al, ne a szoftverre adjanak garanciát (nem is nagyon lehetne definiálni, hogy mit garantálsz), hanem garantáljanak annyit, hogy egy előre rögzített támogatási időn belül néhány sebezhetőség kategóriát kerüljenek el. Vagy legalább tegyék lehetővé az elkerülését (<- ha ezt hozzáteszed, akkor szvsz. rövid úton minden gyártó elkezdené nagyon imádni az OpenWRT-t, mindenki platina támogató akarna lenni és persze nagyon készségesen segítenének az új eszközeikről szóló doksikkal - egyszerűen azért, mert ha egy nem gyártói firmware-rel egy (egyébként drága) jogi kötelezettségüknek eleget tesznek, ők jól jönnek ki és moshatják a kezeiket)
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
"...egy előre rögzített támogatási időn belül néhány sebezhetőség kategóriát kerüljenek el. Vagy legalább tegyék lehetővé az elkerülését..."
- meg josoljak meg az otos lotto eheti nyeroszamait.... :)
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
"Amire ad ki patchet az upstream" :) Pl. OpenSSL-ék nem fogják megpatchelni, ha (elvi szinten) megtörik az RSA-t, ill. csak annyira, hogy letiltják a francba. Implementációs hiba (pl. Heartbleed) miatt meg patcheljék csak az SSL libjüket.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Tehat magyaran szerinted elvarhato, hogy tartson fenn x ideig egy support teamet a filleres vackaihoz is a gyarto, csak mert barmikor kijohet barmi, ami ellen fel kell vertezni az adott eszkozt - de kozben maradjon is a low budget ar, hiszen ezt az arat szereti az egyszeri lakossagi vasarlo. Ez az, ami nem megy. Ez nem "esszeru", vagy az arat kell novelni, vagy az elvarasokbol kelk engedni, mert a gazdasagi torvenyszerusegeket nem lehet tartosag megkerulni.
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Erre mondtam azt, hogy úgy fogalmazod meg, hogy _lehetővé teszed_ a biztonságos használatot, valszeg. mindenki elkezdené nagyon imádni az OpenWRT-t és kb. minden filléres vacakot úgy raknának össze, hogy OpenWRT kompatibilis legyen (értelmes méretű RAM/flash). A gyártó örül, mert ott a céglogója az OpenWRT támogatók oldalon és az összes Device-a a kompatibilis HW listán és egyébként semmit nem kell csinálnia [esetleg a luxus szappantartó kategóriában saját, rebrandelt Lucival érkező owrt imageket raknak össze...], az OpenWRT jól jár, mert hirtelen kapnak raklap lóvét, a felhasználó pedig esélyt kap arra, hogy biztonságban tudhassa magát.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
MIben nyújt komolyabb/megbízhatóbb/garantáltabb támogatást az openvéerté, mint egy gyári firmware? A gyártónak ráadásul marhára mindegy/nem érdeki, hogy egy 3rd party firmware megy-e a dobozán, vagy sem. Ha érdekelné, akkor lenne gyártói support például abban, hogy az openvéerté és társai ne csak távolról (vagy egyedi hákolt-tákolt, copyright szempontból a jó ég se' tudja, mennyire tiszta firmwarrel) legyenek képesek szemlélni a gigabites forgalom natolását, mint felhasználói igényt. Jó, tudom, van olyan eszköz+hivatalos openwrt kombináció, ami már megugorja ezt a szintet, és tán akad olyan routergyártó is, aki gyakorlatilag maga is egy saját openwrt-re alapuló firmware-t használ.
Kimaradt a "ha" az úgy fogalmazod meg elől, és onnantól kezdve minden ige feltételes volt: "elkezdené", "raknának" stb.
Most nem érdekli, mert számára semmi különbség nincs aközött, hogy nem fut és aközött, hogy fut. Ha kötelessége lenne vagy saját maga javítani a sebezhetőségeket vagy _lehetővé tenni, hogy biztonsági rés nélkül használható legyen_ (ennek az egyik módja egy alternatív firmware, ha szoftveres a hiba), akkor már érdekelt lenne abban, hogy elinduljon/rendesen működjön rajta az owrt, mert megúszná, hogy neki kelljen támogatnia.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Nehogy már minden kis dobozkához külön sec. team-et kelljen fenntartania a gyártónak, mert mindjárt megsajnálom.
Már egyszer leírtam: 1 millió eladott dobozka, 1 USD/dobozka árral magasabban eladva, ebből azért csak kijön már 3-4 évnyi sw support ára.
Valamint: lehet hogy ezzel együtt már változna a matek is. Mert ma ha kijön valami olcsóbb SoC, switch chip, eprom vagy a fele tudja mi, akkor már megéri a gyártónak egy új revíziót tervezni, csinálni rá a működőképesség minimumát teljesítő sw-t aztán a régit meg elfelejteni, mert még ezen plusz költséggel együtt is fognak dobozonként mondjuk 15 centet _tehát_ megéri.
De ha lenne kötelező sw support 3-4 évre, akkor lehet hogy jobban megérné a sw költségen spórolni mint az n+1. hw revízión, aztán máris nem kellene egy dobozkára 1 dodó plusz költséget tenni, csak mondjuk 30 vagy 40 centet.
Te talan routergyar tulajdonos vagy, hogy ennyire vagod, mit es hogyan kellene csinalniuk, mert siman megeri meg ugy is nekik, ahogy te azt elkepzeled? :)
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
'Alapveto matematikai muveleteket' (barmit is jelentsen ebben a kontextusban) csak az osszes szukseges konkret tenyezo ismeretenek birtokaban lehet vegezni (legalabbis a vegkovetkeztetes pontossagara erosen hatassal van). Ha ezt te mind pontosan tudod, akkor routergyar tulajdonosnak kell lenned - akkor meg mit szivatsz itt minket? :)
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Mondod te, aki innen magyarpusztarol kapasbol okosabb vagy a tp-link mernokeinel, es azt is jobban tudod, hogyan kellene a vilag egyik legnagyobb szappantartogyaranak az uzletpolitikat csinalnia, mint maga a cég - es meg a masik mond ostobasagokat... Fo a magabiztossag! :)
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Mondom én, eddig igazad van. A többi a szokásos ostobaságod. :)
Ugyanis a sw témában döntést hozni (akár support, akár általános minőségbeli dolgok, lásd a referreres ostobaság) nem mérnöki feladat, hanem menedzseri. Márpedig ha itt meg tudnak fogni 5-10-50 centet, akkor azt nem fogja erre elkölteni, már egészen addig amíg a szabályozás erre rá nem kényszeríti. Innen kezdve pedig loop.
Mit nem gondolnak így? Hogy ha nem muszáj termékenként 10-20-50 centet elkölteni sw támogatásra, akkor azt inkább megspórolják? Hát nem ezt írtam, okoska? Miért, szerinted erre elköltik csak basznak kiadni a friss sw-t, mert gecik? Vagy mire gondoltál, szakértő úr?
Persze mindjárt más lenne a helyzet, ha egy 500 milliós piacról kiszorulnának ezzel hozzáállással, akkor ők is máshogy látják kicsit. Ott van pl. a CE vagy az FCC megfelelőség, az se olcsó, és tutira tudnának pár centet spórolni ha ezeket nem tartanák be. Aztán mégis mindenki betartja, mert ellenkező esetben kiszorulnának a világ két legnagyobb piacáról. Medzsik bazmeg.
Azt nem és nem úgy, ahogy te gondolod - csakhogy amíg te itt okoskodsz, addig ők meg ott keresnek milliókat abból, hogy ezt valahogy csak jobban tudják nálad!.. :)
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Én is így számoltam, nagyjából 250-300e dodót számoltam/mérnök éves teljes költsége, az usák bérekből kiindulva, szóval kb. 1 ember 3-4 évnyi munkáját számoltam egy 1 milliós példányban eladott dobozkára. De:
1. Nem csak az usákban lehet az a mérnök, lehet hogy mondjuk oroszt vagy lengyelt találsz sokkal olcsóbban. Ott az iroda is olcsóbb, nem feltétlenül kell puccos iroda San Fran legdrágább környékén, pláne ha távmunka. De az ottani mérnöknek se kell a havi 3-5 ezer dodót kifizetni egy albérletért, ez önmagában éves 25-50e dodóval emeli a mérnök _nettó_ bérét.
2. Nem hiszem, hogy tényleg szükséges egy dedikált ember minden 1 millió példányban eladott dobozka mellé. Nézzük pl. a címbeli tplinket, azt írják magukról, hogy 2016-ban 161 millió eszközt adtak el. 1 sec.eng./1 millió dobozka árral 161 security szakit jelentene, ami azért már egy elég szép szám, simán kijönne mindez eszközönként 1 USD-vel nagyobb árból 3-4 évre a sw támogatás. És ha a dobozkák normálisan vannak tervezve, és jelentős részben közös kódbázisra épülnek, akkor már feleennyi emberrel is csodát lehetne tenni...
Nem csak mérnökre van szükség, a support case-eket valamilyen módon fogadni,kezelni kell, a felmerülő firmware hibákat javítani, tesztelni kell, végig kell tolni a release-folyamaton - ha mindezt automatizálod is, akor is kell alá eszköz (nem is kevés), emberi munka (hotfixet csinálni, code review, doksiírás, egyebek) mindenképp kell mellé - úgy fejlesztői, mint üzemeltetői.
"És ha a dobozkák normálisan vannak tervezve, és jelentős részben közös kódbázisra épülnek" - csak azt felejted el, hogy a hardver is fejlődik, változik, és nem biztos, hogy amit Q1-ben beraktak a dobozba, az, vagy vele bitre kompatibilis eszköz kapható lesz.
Szerintem te abból indulsz ki h. a TPlink kókánycégnek nincs ma 2018 okt 16-án semmiféle support-szerű rendszere, és azt ma kéne a 0-ról felépíteni. Mondjuk ha nagyon rosszmájú akarnék lenni, azt mondanám ez TPlinkéknél pont így is van: az új szappantartódoboz szoftvert reszelik, amíg kernel pánik nélkül képes bebootolni. Onnantól többet ahhoz a szoftverhez a büdös életben nem nyúl CsingCsangCsung. Azaz nincs szupport, nincs költség.
--
Van support, csak jóval kisebb méretben, mintha 2-3-5 évre kéne minden eszközt garantáltan frissítéssel ellátni.
Plusz tegyük mellé azt is, hogy az esetlegesen elfuserált frissítés során téglásodott eszközt a garanciális partnereknek kéne újraéleszteni, ami szintén a garanciakötelezett (gyártó) költsége.
A költségnövekedést senki se vitatja, a mértékén van köztünk vita. Szerintem bőven 1 dollár alatt kijönne az a plusz 1-2-4 év support, és a "téglásítás elleni" második flash chip se kerülne pártíz centnél többe.
Tervezéssel meg minden fityfenével együtt dobozkánként jelentene max 1 dodó költségnövekedést, a mi a végső kisker áron dobna mondjuk egy ezrest, nem 7 ezerbe kerülne hanem 8-ba.
De tudod mit, mondok valamit: évente itthon eladnak kb. 1 millió ilyen szappantartót, a vásárlóiknak nyilván nagyon fájna ez a havi 30 Ft, nem telne tőle kenyérre. Akkor a témagyar állam adjon minden ilyen dobozka mellé egy 1000 Ft-os kupont, szumma millárd. A legértelmesebben elköltött adóforintok közé tartozna. (Na jó, nyilván kellene ehhez egy Nemzeti Dobozka-supportügyi Kuponosztogató Főhatóság is, 2 milliárdos büdzsével, de még így is simán megérné.)
Persze, nem csak mérnökre van szükség, de ugye te se gondolod hogy párezer fős sec. szakosztályt kellene fenntartani a dobozkagyártóknak? Szerintem a csicsónak sincs ekkora, pedig ők azér más ligában játszanak.
És nyilván kellene mellé egy csomó dolog, mint ahogy minden normális sw esetén. Kellene oda is quality osztály (mint az ms-hez is), aztán máris megbukna a code review-n az a kód, amelyik referrer alapján autentikáltnak tekinti a session-t.
És nézd meg a mikrotikot: ők is gyártanak vagy 100 féle terméket, szerintem jóval kisebb volumenben értékesítenek, jelen vannak a lowcost piacon is, és jön rá frissítés. Ezt meg tudják oldani - a weblapjuk szerint - 140+ dolgozóval (ami gondolom < 150), és szerintem ebben már a sales, a marketing, a hw tervezés, és a nagyfőnök titkárnője is benne van.
Ugyanez a válaszom a hw fejlődés/változás témára: ha ők meg tudják csinálni, akkor a tőlük nagyságrenddel nagyobb piaci részesedésű dobozkagyártók is meg tudnák, csak ugye így egy kicsivel olcsóbb nekik. És megtehetik.
Dehogy látod, ha látnád, nem írtad volna ezt! "Egy tucatszor" lol. Szerintem meg te vagy a troll, de hidd el, nem sok vizet zavar hogy pont te mit gondolsz... :)
-- "Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Egyébként hiába a hiszti, ha neked olyan kell, amire van support, akkor van lehetőséged vásárolni. De nem kényszerítheted rá a többiekre azt, hogy ők is többet költsenek a kedvedért. És a többség fillérbaszó.
Múltkoriban volt hiszti, hogy az alaplapgyártók miért nem adnak ki bios frissítést az összes lapjukhoz, amibe a sebezhető intel procik valók. Erre szépen volt egy levezetés, hogy azért, mert az árverseny és fillérbaszó vásárlók határása nincsen elég kapacitásuk arra, hogy ezt megcsinálják. Aki drágább cuccokat vett, annak esélyesebb, hogy lesz javítás. A többségük már messze túl van a garancián.
Amit itt szál kibontásában pedzegettetek, hogy a garit mondjuk a szoftveres részre is ki kellene jobban terjeszteni, az végülis már egy használható gondolat. Viszont végülis talán most is lehetne gariztatni eszközt, ha sérülékeny és miatta ellophatják a felhasználó adatait (az adatvédelem szigordítása talán segít is ebben). Nade hogyan kényszeríted a vásárlókat arra, hogy 1 év után vegyenek másik routert, mert jelárt az előző garanciája? Igaz, a felhős megoldásoknál van úgy, hogy egy gombnyomásra brick-esíthető, ahogy például a gyártó megszüntetett támogatást néhány felhős eszközre. De tényleg, hogyan kényszeríted a felhasználót arra, hogy dobja ki és vegyen új eszközt? Azt hiába is várod, hogy örök élet ingyen sör járjon minden eszközhöz.
Teljesen igazad lenne, ha ezek a dobozkák a felhasználó lakásában mindentől függetlenül működnének, de sajnos az interneten vannak, és potenciálisan veszélyesek minden más internetre kötött eszközre, az internetes infrastruktúrára is.
Na ezért fasság az, hogy virágozzék minden virág, a fillérbaszó basszon csak fillért nyugodtan, a fosgyártó gyártson csak fost nyugodtan, és veszélyeztessék csak nyugodtan az egyre inkább alap infrastruktúrának számító internet.
Anno a gáz, vagy épp az elektromos berendezésekre, hálózatokra sem voltak szigorúan vett és betartatott előírások, szabványok, aztán idővel csak kialakult, hogy mit és hogyan szabad meg mit és hogyan kell. Az IT gyorsabban fejlődik, de azért még évek, ha nem évtizedek kellenek egy biztonsági célból hasonlóan szigorúan és részletesen szabályozott világig.
Igen, főleg hogy villany és gáz témában azért a temetések elég jól tudják mutatni a szabályozás hiányosságait. Netes biztonság szempontjából azért sokkal nehezebb a törvényhozónak elmagyarázni, hogy miért is lenne szükség változtatásra, szigorításra.
Nem olyan nehéz az... pár ellopott bankkártya adat, pár publikusan kiposztolt privát politikusi lebuktatós email, és máris érteni fogja ő is, mi forog kockán.
Akkor lenne bármi változás, ha emberek kezdenének el kb. ezrével meghalni naponta ilyen eszközök hibájából. Akkor TALÁN! Addig meg lófasz s esti fény.
--
Kérdést tettem fel, ahhoz nem paszol az igazam lenne válasz. Hogy kényszeríted a felhasználót, hogy dobja ki és vegyen újat?
Gondolom, azt szeretnéd, hogy a gyártókat törvény kötelezze arra, hogy a garancia lejártával brickelődjenek a hálózatra köthető eszközök. A garancia időre már van most is szabály, nem kell újat kitalálni. Örökös (5-10-20 év) támogatást pedig nem lehet a filléres otthoni eszközökre ígérni, mert senki sem fizet több száz vagy több ezer dollárt értük. A felhasználók pedig a végtelenségig és azon is túl használhatják az eszközeiket, nem pedig addig, amíg van rájuk garancia/támogatás.
Technikailag megoldható, például szolgáltatós set-top-boxoknál is alkalmaztak ilyet (smartcard helyett) néhány helyen, hogy például megbontáskor brickelje magát, de sok más titkosítást használó megoldáshoz tartozik ilyen. Egy rtc-vel és az üzembehelyezés idejének tárolásával máris indulhat a visszaszámlálás.
Esetleg jöjjön minden évben a jard és ha nincs kiváltva az éves megfelelőségi tanusítvány, amit certifikált szerelők adhatnak ki, hogy nem sérülékeny a hálózati eszközöd, akkor büntessenek meg és kobozák ez az eszközeidet? A törvény erejével...
Az teljesen hagymázas álom, hogy a gyártókra toljál minden felelősséget és költséget. Semmi sem garantálja, hogy nem szűnik-e meg jogutód nélkül és nem is kényszeríthetsz senkit arra, hogy ingyen dolgozzon ezen. Ezért gondolom, hogy nagyon rossz nyomon jársz. Ne az állam nevelje a gyereket, ne az állam akarjon mindent mikromenedzselni az életünkben csak azért, mert vannak felelőtlen és lusta emberek. A felhasználó felelős a saját eszközeiért, a hálózat veszélyeztetése most is tiltott dolog.
Ha most ddosol vagy támad valaki, akkor elvielg megvan annak az útja és módja, hogy a szolgáltató felé jelezzék ezt és a szolgáltató tegyen lépéseket. Érdekes módon ez működik például torrent esetén, anno kollégiumi rendszergazda koromban láttam is ilyen megkeresést és volt, hogy én kopogtam be az illetőhöz, hogy veszélyes vizeken evez. (Abuse címre írtak amcsi jogvédők -> központ továbbította a figyelmeztetést az egységhez -> helyiek kikeresték ki volt az -> az egyetemről elvileg fegyelmivel ki is vághatják, mivel az infrastruktúra használatának szabályzatát el kell fogadja. Az otthoni net ászf-je is biztosan tartalmaz fékeket, ha más nem felbonthatják a szerződését).
1. Gondolom valahogyan "rá van kényszerítve" a polgár arra is, hogy gumit cseréljen a kocsiján ha a régi már nem biztonságos. Van néha szúrópróbaszerű ellenőrzés, időnként műszaki, és ha az ilyen fillérfakkolás miatt balesetet történik, akkor meg leszen baszva.
2. Nem tudom, hogy hogyan kényszerítem rá. Valahogy csak meg lehet oldani, de ez jelenleg messze elméleti kérdés, ugyanis a fő probléma jelenleg az, hogy hiába lenne a felhasználónak igénye arra, hogy biztonságos eszközt használjon, egyszerűen lutri az egész. Ezen kellene először változtatni.
3. Mert itt azért nem nagy költségről beszélünk, ha 3 évente kell cserélni egy 10e Ft-os eszközt, akkor az havi 250 Ft, 1 gombóc fagyi ára, simán lehetne felvilágosító kampányt tartani, hogy Katika szart az egészre aztán hekker úr meg elvitte a csöcsös videóit.
4. Az "Örökös (5-10-20 év) támogatás" pedig HAZUGSÁG, KÉRLEK NE HAZUDJ!
Én soha nem írtam ilyen elvárást, nem is várok el ilyet. De egy pár éves "hibajavítási garancia" igenis elvárható lenne. Én azért mondom a 3-4 évet, mert ennyi garral lehet kapni általában ezeket az eszközöket, és amíg a hw-re van garancia addig legyen már a sw-re is.
5. Az szintén hazugság, hogy _minden_ felelősséget a gyártókra tolnék. Én csak azt követelném meg, hogy a termékük bizonyos biztonsági hibáit X évig javítsák, és ezt a határidőt jól láthatóan tüntessék is fel a terméken. És persze, megszűnhet jogutód nélkül meg minden, de azért nem ez a jellemző.
"hiába lenne a felhasználónak igénye arra, hogy biztonságos eszközt használjon"
Neked van csak agymenésed, a legtöbb felhasználó semmit nem tud ezekről és felháborodik, ha bármit tudnia kellene. Mert joga van nem érteni hozzá és butának maradni... még meg is indokolja azt, hogy ő nagyon is okos, mert egyébként mi lenne az ő munkája nélkül... naja csak kifizetni sem hajlandó azt, aki meg ehhez ért. Ezért is van olcsó, hülye által összedugható eszközből annyi.
1) abuse bejelentés jelenleg is lehetséges, nem kell újra feltalálni a spanyol viaszt, csak alkalmazni a meglévő szabályokat.
2) a kill-switch-en kívül nem nagyon fogsz erre megoldást találni. Azért pedig meglincselnének a vásárlók, te lennél az első sorban, ha a gyártó lekapcsolgatná a megvett készülékeidet. Sok más esetben is felháborodás van, hogyha a gyártónak kontrolja van a megvett cucc felett is, hogy akkor valójában ki a tulajdonos.
3) 300 forintért hamarabb lesz országos tüntetés, mint 35 ezer értelmetlenül meghalt ember miatt.
4) jelenleg is szabályozott a garancia, ha nem teljesíti, akkor vidd vissza. Ha lejárt, akkor elektronikai hulladák ezek szerint.
5) ó dehogy nem. A gyártó pélójával vernéd végig a csalánt, hogy mire költse a bevételét a te szakmai elemzésed alapján.
Na, úgy látszik a németeknél lassan lép a törvényhozó: link
És az egyik legfontosabb civil kritika a javaslattal szemben az, amit én is elvárnék: "a hatóság továbbra sem kötelezi a gyártókat, hogy már a vásárlás előtt egyértelműen tájékoztassák az ügyfeleket az egyes routerek támogatásának várható lejártáról ... a fenti tervezetet a hatóság még nem véglegesítette, így nem kizárt, hogy a közeljövőben a két kifogásolt pont is bekerül a szabályozásba."
filleres eszkozoktol ne varjunk mar sec patcheket,
Hozzátartozik, hogy a mocsok drága eszközöktől se várjunk már sec patcheket, amikor pl. a support célra fenntartott letilthatatlan backdoor fiók adatai elérhetővé válnak, vagy adnak ki javítást (többnyire: másik letilthatatlan backdoor fiók adatokat tartalmazó firmware-t), vagy nem.
Miközben kis odafigyeléssel nem lenne nehéz értelmes support backdoor-t beletenni (pl. erre a célra fenntartott CA által kiadott rövid ideig érvényes cert-el autholsz, a rendszer meg frissítgeti a jól ismert címről elérhető [így a support tudja mondani, hogy ok, erre az egy címre engedd ki] CRL-t, ha meg több, mint 24 órás a legfrissebb CRL, amit elért, akkor nem enged távoli support bejelentkezést)
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Van egy ilyen eszközünk, hetente 1x magától újraindul, 2x meg rá kell segíteni hogy újra kommunikáljon. Ráadásul egy korábbi vihar óra nem megy 1 LAN portja, és a WAN portja sem. Eddig is csak a lustaságom miatt nem lett lecserélve, de talán majd most.
Ja, addig, amíg a következő verzió valahogy ki nem találja hogy mi a default route. És az OpenWRT is csak akkor ér valamit, ha épp támogatott (és emellett még talán stabil is) az a hw. revízió.
Arra céloztam hogy a 841n gagyi, kevés rajta a tárhely, az openwrt maximum herélve fér el rajta, és amúgy is, megvenni is kár volt. 5000 ft-ért már elég sokféle olyan routert tudsz venni használtan, amikre elfér megfelelően az openwrt, és máris minden gond megoldódott. Tudom miről beszélek, kettő ilyenem is volt (v8 és v12), estek-keltek, felfordultak maguktól, stb. A kukában végezte mindkettő elég hamar.
Szar ez mind. Talán be kéne indítani egy petíciót az EU felé hogy kötelezzék a gyártókat 5 év biztonsági frissítésre?
TV-re mondjuk 10 évet kérnék. Még nagyobb befektetésre meg 30-at?
Ugyanilyen siralmas mondjuk az is ami az iparban megy. Legyen hálózatban, de nehogy patcheljük mert biztos elromlik.
Az EU a globális gyártók piacának csak egy része. Egy ilyen szabályozásra a gyártók egyik része kivonulna a francba, a másik része árat emelne, a felhasználók meg nem vennének új eszközt, hanem hasnzálnák a régieket, akár használtpiacról is, vagy ami még rosszabb (wifi csatornák és teljesítmény, illtve khm. speciális szoftverkomponensek okán) mondjuk a kínai piacra szánt darabokat.
És akkor mi van? Vonuljanak a francba felőlem.
Ha a Mikrotik meg tudja oldani hogy frissíti (mondjuk több kevesebb sikerrel) a százéves szappandobozait folyamatosan akkor a Dlink meg társai miért nem?
A mikrotyúk szoftvereit mostanság egy önkéntes frissíti/pacseli - kívülről, nem? :-D Egyébként meg az "ár", mint tényező azért eltérő a mikrotyúk meg a [d|tp]-link és társaik esetében.
Tény hogy nem annyi mint az Auchanban vesztegetett Tenda és egyéb szemétkupac. De drágának sem mondható.
Azt az ürgét simán le kéne csukni. Remélem feljelentették már párezren... Az meg a következő probléma hogy rá is kerüljön a frissítés vagy magától vagy a felhasználó által. Manapság még az sem nagyon érdekli őket hogy a hálószobában hallgatózik valamelyik nagy szolgáltató :)
Hozzászólások
Hátha elkezdik 500-1000 HUF ért árulni a vaterán. :P
Áhhh esélytelen! Szerinted érdekel valakit az ilyesmi? Főleg olyanokat, akik egy ilyen routert gyári firmware-rel használnak!?
Nem gondolnám, aki nem ért hozzá, ahhoz nem jut el ez az információ. Aki pedig ért hozzá, az már 3rd-party firmwarrel használja és röhög az egészen. Tömegével biztosan nem lesz lecserélve itthon ez a "néprúter".
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Gyári TP-Link szoftver helyett például az OpenWRT megoldás rá.
A gyári szoftverrel egyébként sem vagyok ennél a típusnál (WR841N) elégedett, mert a LAN csatlakozó <--> WiFi közötti L2 bridzsing során blokkolja az IPv6 átjutását.
Mindenképp érdemes lecserélni a gyári szoftverét.
"L2 bridzsing során blokkolja az IPv6 átjutását"
Hát azt meg hogyan? L2 bridge az L3 ipv6 protokollt hogyan képes blokkolni, hisz nem 1 rétegben vannak, nem dolguk egymással foglalkozni.
Lehet, valami olyat szűr, ami elcseszi az NDP-t.
Hát, nekem az első csúnya gondolatom a mesterséges avultatás volt.
Várom mások tapasztalatát is a TP-Link sima LAN-WiFi bridzsingjéről IPv6 esetén.
Ne várd, fel kell rakni az openWRT-t és csókolom, a gyárit szoftver kuka.
Miért van kiemelve, hogy Magyarországon?
Ha elviszem Szlovákiába akkor már jó lesz? :)
--
Tertilla; Tisztelem a botladozó embert és nem rokonszenvezem a tökéletessel! Hagyd már abba!; DropBox
Pláne többezer Magyarországon... (sub, mert egy kolléga valószínűleg beleszaladt ebbe).
gondolom szórendi hiba, helyesen így pl. le(het)ne: "Magyarországon is többezer működő TP-LINK router került veszélybe"
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
MERT MAGYARORSZÁGON MINDEN SZAR! Szlovákiában már majdnem jó, de ha Ausztria felé mész ott gyorsabb is lesz és biztonságosabb is, sőt még figyelmeztet is a haxolják, és ha lerakod a földre robotporszívóként is működik !! NÉGY!!! és még többet is fizet neked!!! De csak akkor ha már svédországban jársz! Ott érvényes bankjegyeket is nyomtat!!! Hát még ámerikába'! Ott aztán.. Csoki,Sör, ez aztán nem dől fel többet!!!! A szappantartót ott szappantartónak nézik, de cserébe mindenki másnak is ugyanolyan szar sávszélt nyújt a comcast meg az AT&T szóval a szappantartód is a szélsebes kategóriában süvít majd!!! !!!
szerintem ebben semmi meglepo nincs, filleres eszkozoktol ne varjunk mar sec patcheket, sem nagy odafigyelest a firmware osszepakolasanal, ez feltehetoen csak 1db critical issue a tobbi mellett, ami meg benne van.
majd epitenek tplink botnetet ^^
--
FBK
Ilyenkor lehet pl. EU szinten fellépni és olyasmiket mondani, mint pl.
(1) kötelező minimum életciklus és szoftver követés: 3 év
(2) ha ez alatt az idő alatt sechole derül ki, akkor azt T időn belül kötelező javítani
(3) ha a fentiek nem teljesülnek, akkor import tilalom, befosatós büntetések, stb. stb.
BTW simán be lehetne vezetni, hogy az extrém időjárás riasztások mintájára a bizonyos látogatottság feletti online oldalak kötelezően fenntartsanak jól láthatóan egy olyan szekciót, amiben 3 érthető mondatban le van írva, hogy éppen milyen gáz van (router exploitok, zsaroló vírus, stb. és ugyancsak 3 mondatban, hogy mit kell ellene éppen tenni).
"BTW simán be lehetne vezetni, hogy az extrém időjárás riasztások mintájára a bizonyos látogatottság feletti online oldalak kötelezően fenntartsanak jól láthatóan egy olyan szekciót, amiben 3 érthető mondatban le van írva, hogy éppen milyen gáz van (router exploitok, zsaroló vírus, stb. és ugyancsak 3 mondatban, hogy mit kell ellene éppen tenni)."
- nem a közútkezelő feladata megakadályozni, ha valaki hibás fékberendezéssel vesz részt a forgalomban.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
> - nem a közútkezelő feladata megakadályozni, ha valaki hibás fékberendezéssel vesz részt a forgalomban.
Namost ugye autóval való elindulás előtt pár dolgot illene csekkolni, mint pl.a fék működése.
De egy routernél r=1 állampolgár valszeg azt se tudja, hogy abban szoftver van, azt meg pláne nem, hogy azt még akár fel is törhetik.
Viszont ha az index/origó/nőklapja/randomakármi egy piros keretesben az arcába tolja, hogy már megint gáz van (neadj isten fénykép az eszközről, hogy rájöjjön, ugyanilyen villog a szekrény tetején), akkor nem mondhatja, hogy neki nem szóltak, hogy rossz lehet a fék.
Egy ilyen riasztás hatására talán-talán kicsit tudatosabbá válnának a júzerek és talán-talán megpróbálnának tenni valamit (szomszéd vérpistike feltolja az upgrade-et vagy ilyesmi).
Bizonyos tekintetben ez már nemzetbiztonsági kérdés is lehet (akárcsak majd az önvezető autók megvédése attól, hogy vki egy szobában ülve hülyén vihogva egy ország összes autóját egy joystick-kel rángassa egy remote sechole-on keresztül.)
Akkor egyszerűsítem: a biztonságos közlekedés minden esetben az abban résztvevők felelőssége (a felelősségi szintek nyilván arányosan megoszlanak), de ha valaki részegen, kormánykerék nélkül indul el a setét éjszakába és balesetet okozva fejre áll a körforgalomban, akkor azért nem a körforgalmat tervezőket, vagy azt kivitelezőket szokás a böribe küldeni.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Nem egyszerűsítetted. Ha az a nyomorult doboz *magától* és *jól* frissítené a szoftverét, akkor lehetne a felhasználó felelőssége a dolog, hogyha direkt nem engedi frissíteni.
Bakker, a Linksys (is a Cisco Company - vagy mi a szar volt a szlogen) képes volt arra, hogy épp az EU-ban nem volt elérhető az új fw, és úgy kellett kézzel végigmazsolázni egy halom helyi support oldalát (linksys USA, linksys Japan, stb), hogy megleld - no azok után mégis mit vársz? Honnan a francból kéne ezt tudnia átlagjózsinak???
Most direkt megkérdeztem, a kolléganőmnek eszébe se jutott, hogy a mosógépén FW-t frissítsen (sőt az se, hogy az képes netes kommunikációra - pedig tudatosan ilyen távolról vezérelhető mosogépet vett). Szerinted hány otthoni felhasználó fogja megnézni hetente, hogy van-e újabb szoftver a mosógéphez, porszívóhoz, wifis fényképezőgéphez, okoslámpához és távolról vezérelhető garázskapuhoz. Jelzem - egy sem, és ha ezeket a szarokat a gyártó megalkotja, akkor legyen már a az is a gyártó felelőssége, hogy X ideig legyen hozzá FW-frissítés. Mivel a szoftver is része a gépnek, legalább annyi ideig biztosítania kellene szoftver javításokat, mint amennyi ideig alkatrészt kell biztosítania. Ha valamelyik cég 1 évre tervezi a szarjait és 3 év alkatrész utánpótlást igér, akkor 3 évig. Ha meg 10 évig, akkor 10 évig.
(Kéretik nem elvinni a beszélgetést az "agyhalott", "sznob", "mesterségesen generált igény" és "first word problem" irányába. Köszönöm.)
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
egy 5e Ft-os, fél év alatt avuló termékről szerinted meddig és milyen mértékben kellene gondoskodnia a gyártónak? Felelős-e a gyártó 5 év múlva a szaráért ha maga a user felelőtlen és könnyelmű a saját védelmével kapcsolatban? Felelős-e a tuto-lakat gyártója azért, mert a zárnyitási technikák 50 éve meghaladták a tuto-lakat védelmi képességeit, de ezt a felhasználója nem tudomásul véve napjainkban is hatásos védelmi eszköznek látja?!...
"(Kéretik nem elvinni a beszélgetést az "agyhalott", "sznob", "mesterségesen generált igény" és "first word problem" irányába. Köszönöm.)"
- már elvitted. Szívesen.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Azért avul fél év alatt, mert nem kap sw-es support. Maga a hw simán évekig megy.
Egyébként meg be kell vezetni az EU-ban, hogy tilos olyan hálózatra csatlakozó eszközt forgalomba hozni, amire nincs legalább X év sw support a forgalomba hozás napjától számítva, default bekapcsolt automata frissítéssel. Megszegése esetén óriásbünti, kötelező garanciális csere, apámfasza bármi.
Mert nem csak az 5e Ft-os szappantartó ilyen, hanem az 50-150e Ft-os telefon, mosógép, hűtő, klíma, minden szar is, sw support szempontból legalábbis. És akkor lehet hogy az 5e Ft-os szappantartó mondjuk 6e Ft-ba fog kerülni az EU-ban, de ez van.
nem, azért avul el, mert elmegy mellette a technológia.
"Egyébként meg be kell vezetni az EU-ban, hogy tilos olyan hálózatra csatlakozó eszközt forgalomba hozni, amire nincs legalább X év sw support a forgalomba hozás napjától számítva, default bekapcsolt automata frissítéssel. Megszegése esetén óriásbünti, kötelező garanciális csere, apámfasza bármi."
- szerintem te lennél a legjobban felháborodva, ha emiatt 10-szeres (nem, nem egy ezressel lesz drágább az az eszköz, amelyhez komplett security support részleget kell fenntartani!) áron kapnád meg ugyanazt a szappantartót, aminek a megbízhatósága továbbra is csak annyi, amennyi.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
+1
Csak a fentiből van 10+ fajta verzió 2007 óta. Hány évre kellene supportáltni? Ha az automatikus frissítés közben elmegy az áram akkor az mehet vissza gariba? :D
Ki mondta, hogy hozzon ki a gyártó 10+ fajtát, ha nem tudja támogatni? (Ja, a "frissítés közben elmegy az áram" ellen már kitalálták az ellenszert. Dupla memória, ellenőrzőösszeg, stb.)
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
"dupla memória" - az pont kétszer annyiba kerül, mint a szimpla! :)
Lehet itt igényeket, elvárásokat támasztani, csak amikor ki kell csengetni az árát, akkor meg csak pislogás lesz. Most is vannak évekig supportált, megbízható hardverrel, elegendő memóriával szerelt hálózati eszközök, de érdekes módon páran mégis inkább ebben a topicban rágják a cuccost... :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Így van. De mivel a router a flash memórián túlmenően áll még pár egyéb alkatrészből, valószínűleg a 15 ezres router max 18-ba kellene hogy fájjon (bár szerintem nem), ennyit meg röhögve megérne az, hogy nem kell vásárlás után fél évvel már elavultnak minősíteni és alternatív FW után nézni.
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
Nézd meg, hogy mondjuk egy ötszázezeres gyártási tételnél ez mennyivel emeli meg a költségeket és vesd össze azzal, hogy azon az áron már mekkora lehet a piacvesztés - ergo megéri-e baszódni vele, vagy jó van ez így a kedves vevőnek. Szerintem kijön, hogy piacilag a jelen állapot a nyerő.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
You mean, profitilag a gyartonak.
Nagy cegeknek egyetlen feladatuk van, a nagy reszvenyeseket boldogsagban tartani. Ergo profit max.
Minden mas leszarhato kategoria.
Ez problema.
kis magyar kkv se lát sokszor előbbre ennél. A különbség, hogy a részvényest helyettesítheted a tulajdonossal :D
Most is kpaható olyan termék, ami automatikusan frissül, és gondoltak ezekre a funkciókra, ha lenne ilyenre igénye az embereknek, azt vennék.
pl.: https://www.alza.hu/google-wifi-d4507118.htm
Ha van rá pénzed, ez a készüléke rendszeresen, automatikusan frissül, nincs semmi tennivalód vele. Fel van készítve arra is, hogy frissülés közben áramszünet lehet, vagy hogy ne akkor vágjon le a netről, amikor eszébe jut frissülni. (meg van benne oldva, hogy frissítés közben nem szakad meg a hálózati kapcsolat)
Van még pár másik készülék is, ami tudja ugyanezt, de egyiket sem találtam 40 ezer alatt, valószínűleg ennek ez az ára.
Nicsak, az ára... Láttad ugye? :)
(Mondjuk nem tudom hirtelen mi a rosszabb, ha az orosz hackerek jarkalnak be, vagy ha maga a google?!)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Láttam, meg vettem is belőle már vagy lassan egy éve. Beüzemelése óta nem kellett újraindítani, sosem szakadt meg a kapcsolat. Volt itthon már több 20-30 ezres router is, egyikkel sem volt stabil a wifi. Ezzel tökéletes.
Jaa, ismerős jelenség. De az enyém csak 35e volt... :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Még jó hogy lehet kapni :)
Alapvetően tudja ezt pl. a mikrotik hap ac lite/hap ac 2 is a bruttó 15-20 ezres árkategóriában, még 4 LAN port is van rajta, csak nem néz ki ilyen csicsán.
Szóval nem hiszem hogy csak 40 fölött kezdődne, és a 40-50 ezres kütyük - esetleges - többlet tudását amúgy se nagyon lehet kihasználni.
Az emberek meg nem tudják, hogy lehet ilyet kapni, pl. én se tudtam, pedig elvileg szakmabeli lennék.
Én se tudtam, de most, hogy tudom se jutottam előrébb, inkább maradok a Mikrotik-nél, ennek az árából kijön 3-4 ugyanilyen tudású.
A dupla flash nem biztos, hogy csak egy ezressel dobja meg a szappantartó árát (egyedül Telekomos DSL dobozban láttam eddig, az spec egy dev firmwarere failbackelt volna úgyhogy teljesen megérte :)).
És nem a nem tudja támogatnira értettem, hanem , hogy a fenti első verzióját vesszük akkor 11 éve piacon van.
Egy válasszal ezelőtt max 3e-t írtam (és erősen fölé van az becsülve). Ennyit érne. Nekem mondjuk szimplán annyi jutott eszembe, hogy a letöltött, digitálisan aláírt FW tartalmát belenyomjuk az A-slotba, ellenőrizzük a memória csekszamot, és ha OK, ugyanezt megteszem a B memória-slottal. A bootolásnál pedig szintén ellenőrzőösszeg után butulom A-t netán B-t. De nyilván ebben is van hibalehetőség. (Nekem eszembe nem jutna, hogy a backup flash tartalma valami állandó akármi amit nem frissítünk, de nyilván lehet úgy is. Ellenben ha olyan lenne, akkor nem ugyanolyan funkciójú valamit tennék oda, hanem egy garantáltan működő izét, ami a Fül Elise elvillogtatásával világosan elmagyarázná, hogy te most itt megszoptad, battyogj el a szervízbe, vagy pedig tedd ezt-és-ezt.)
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
...és ez még csak az ellen véd, hogy átlagjóska nehogy téglásítsa az eszközt (bár valószínűleg a tftp-ig már ő sem fog eljutni - megy vissza gariba) - és hol van még a rendszeresen frissülő, sechole-okat foltozó firmware-k támogatása?!..
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
A szervízben ne hogy már ne tudják 10 perc alatt visszaflesselni.
És amennyiben nem újabb és újabb HW-t terveznek hetente, akkor az így felszabaduló emberi és anyagi erőforrás máris használható lenne jobb FW előállítására. OK, 10 hw-mérnök helyett 10 sw-mérnök kellene.
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
A szerviz munkaidő nagy részét arra fordítani, hogy reflasheljék a mikulások által elbarkácsolt eszközöket, ráadásul lesz egy szállítási, raktározási, logisztikai költség is (csak azért, hogy nehogymá'), egyáltalán nem bagatell.
Egyebkent pedig a fejlesztés fogja a forgalmat generálni, nem a szervizelés!
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Én a két flash-t nem tartanám azonos verzión, a bootot intéző akár beégetett kód feladata lenne választani a két flash közül a verziószám és az utolsó boot állapotjelzője alapján. (Ha a felhasználó nem nyomja a megfelelő gombot a boot során, mert ha igen, akkor a boot során, ha a régebbinek "sikeres" a boot-flagje, akkor az újnál beállít egy "sikertelen"-t, és elindítja a régit.)
A frissebbet bootolja, ha annak az utolsó boot állapotjelzője "új", vagy "sikeres". A frissítés "új"-ra állítja az állapotot, a bootot intéző kód a kiválasztás után "sikertelen"-re billenti, amikor a rendszer sikeresen elindult, az indulási folyamat végén a futó rendszer billenti tovább "sikeres"-re.
A frissítésnél meg csak anniy van, hogy a nem használt flash-területet kell írni, elsőként a boot-flaget "sikertelen"-re állítani, majd a sikeres frissítés után mehet tovább "új" állapotra, és utána jöhet a bootolás re.
Lehet ezekkel a dupla flash-es megoldásokkal szórakozni, de azért alaposan át kell gondolni a folyamatokat/állapotokat/átmeneteket, hogy korrekten működjön minden. Ja, és persze azt is meg kell oldani, hogy a konfiguráció verziótól függetlenül rátölthető legyen az eszközre...
A dupla flash nem biztos, hogy csak egy ezressel dobja meg a szappantartó árát
Az a 8MB-os flash IC, ami egy ilyen TP-Link szarban van, Budapesten, 1 darab kisker vétele esetén max. 400 Ft. Na Sencsenben, milliós tételben nem lesz az több 150-200 Ft-nál se.
Ha Pesten 1 darabra kisker bruttó 400, akkor az a kereskedőnek itthon kerül kb. 200 Ft-ba, és nem milliós tételben. Sanszos hogy inkább 50-100 Ft körüli összegbe kerülne ez Shenzenben...
Oké, belerak egy másik flash chipet, plusz a szükséges körítést (mert nem csak annyi, hogy plusz egy IC...), szoftvert úgy megcsinálni, hogy hiba esetén a tartalékról bootoljon a régi firmware, és másolja vissza magát a másik chipbe (ha megnincs hiba a frissítés utáni (első) boot során, akkor az új firmware-t tolja bele a backup flash-be...).
Szemét dög vagyok, én úgy gondolom, hogy letöltődik valahova az imidzs, megtörténik a sértetlenség ellenőrzése, és beleíródik flash1-be. Annak is megtörténik a sértetlenség ellenőrzése, és ha OK, akkor máris folytatja flash2-n. A boot pedig hasonlóan. Esetleg be lehet vetni még 2 dirty flag-et a két flash-hez (amelyeket írás előtt és ellenőrzés után kell átbillenteni, szigorúan csak azt, amelyiket épp piszkálni fogom), és 1-2 sorrendben butulni arról, amelyiknél clean-ben van. Ez annyit jelet, hogy a már meglevő fleshelős részt csak egy kicsit kell kibővíteni, és semmi plusz extra hű de okosság nem kell.
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
Hm. Hol ment el a technológia a TP-link 1043 mellett? A családban januárban jelent meg az első 5 GHz-et tudó eszköz, és 2 hete a párja, amelyik huzamosabb ideig ezen az eszközön keresztül kommunikál. A jelenlegi uplinket röhögve bírja - persze ha majd lecseréli a szolgáltató Gigabitre, akkor majd érdekes lesz a váltás. Amúgy én is úgy gondolom, hogy a szoftvere avult el, maga az eszköz nem.
Nem mindenhol veszik meg a legújabb eszközöket azért, mert megjelentek.
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
A TP-Link 1043 jó kis doboz, itt is van kettő. De eszembe nem jutna gyári firmware-el használni (igazából azért esett arra a választás mert volt rá OpenWRT). Arról nem beszélve, hogy lehet a gyártó se tudná támogatni mert a legtöbb firmware a SoC vendor "Development Kit"-ének a tákolásával születik (és néha ugye már az is sz*r). :)
Pl. ott hogy lassú már a gigás netekhez, amiket az előfizetők után dobálnak, nincs benne 5G, stb..
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Mármint van ahol dobálnak gigás netet, és van ahol kell az 5 GHz. Mint említettem, nálunk pl. egyik sem áll fenn, pedig nem az alföldi tanyavilágból fórumozok egy C64-en keresztül SLIP-pel. Ma valószínűleg nem ezt venném meg, hogy a következő 5-10 évre is jó legyen, de nehezen hiszem el, hogy amikor vettem már akkor sem ezt kellett volna. OK, 3 napig sem működött a gyári FW-ével, de én pont ezt ragozom, hogy ott kellene egy kicsit jobban beleerősíteniük.
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
Hogy menne már el mellette a technológia? Nézzük a 802.11 utáni betűk évét:
b - 1999
g - 2003, ez még ma is elég ha nincs 20 méteren belül 10 másik eszköz
n - 2007, 11 éve, ez még relatív gyors is tud lenni
ac - 2013, sok ma is használt eszköz se támogatja
ax - 2019-ben jön majd valamikor, talán.
Ma az eszközök szinte 100%-a támogatja a 11 éves n szabványt, és elég kevés eszköz az 5 éves ac-t. Hogy avulna már el fél év alatt bármi is?
++ a 10x-es ár. TFH egy ilyen szappantartó 10 dodóért ad el a gyártó, évente 1 milliót. Rádobnak az árra még 1 dodót, és ezzel a millával odabattyognak az openwrt alapítványhoz (?), akik amúgy is támogatják (ingyen!) a dobozkát, hogy ennyiből tudnátok-e 3 évre egy normális support mellétenni? Ennyiből azért kijön 1-2 ember 3 évi bére...
"Hogy avulna már el fél év alatt bármi is?"
- számold össze mondjuk a tl-wr1043 életciklusa alatt hányféle hardverváltozat készült belőle és gondold végig, hogy ennek vajon mi lehet az oka!.. :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Jobb híjján ránéztem az openwrt wikijére: összesen 4-féle főverzióról szól a fáma, volt egy dobozcsere, SoC-csere + procigyorsítás + wifi-csip váltás (HW1 -> HW2), SOC-csere + procigyorsítás + memóriabővítés + wifi-csip csere (HW3 -> HW4) . 2->3-t nem tudom értelmezni.
Tippre az egyre több szoftveres funkció beépítése.
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
Ha csak a gyári firmware verziók számát nézzük, már indokolt a gyanú, hogy sűrűn történt egyazon termekvonalon belüli hardver áttervezés. Ez azt jelzi, hogy tarthatatlanná vált az addigi állapot további gyártása, lépni kellett, át kellett tervezni a terméket, mert pl az adott alkatrészeket már abban a formában nem gyártották tovább, elokerultek tervezési, konstrukciós hibák, modernizalni kellett az áramkört, mert korszerűtlen lett - egyszóval elavult a technológia, méghozzá elég gyorsan, pár hónap alatt. Gondolj csak a mobiltelefonok életciklusára. Ez természetes folyamat, a fejlődést követi minden műszaki fejlesztés az élet minden területén.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
És miért fontos az, hogy hány csillió féle hw változatot csinálnak?
X évben legyártanak és eladnak hasra ütve 1 millió Y verziójú eszközt 1 dollárral drágábban, abból az 1 millából kényelmesen elsupportálgatja főállásként egy openwrt-s arc 3-4 évig. Még a tizedéért is szerintem, főleg hogy most is csinálják, 0 gyártói támogatással.
Szerintem nem fontos, de ti hozzátok fel, hogy nem avul az el pár év alatt.. :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Szál elején még fél év szerepelt ...
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
Szted számít? :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Hát azért pár hónap volt edddig, most már pár év lett belőle. Értem én hogy trollkodásnál nem számít, de akkor azt is mondhatnád, hogy amíg a boltban kiállítják a számlát addig hirtelen elavul ez a vacak egy szempillantás alatt. Számítani ez se számítana, hülységnek pont ugyanolyan hülyeség, de legalább elmosolyodik rajta az ember :)
Akkor már megérte, még ha a lényeg nem is ment át. :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Kihalna a Broadcom, mondjuk nem lenne kár érte. :P
Ha 10x-es áron tudják csak összehozni, akkor nézzék meg, hogy csinálja a Mikrotik, mert ott a pár ezer Ft-os routerek is kapnak frissítést, nem egyszer.
De nem is ad el annyit, mint mondjuk a tp-link. :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Jaja, kisebb eladással pedig fajlagosan olcsóbb a support is :)
A minimális eladási darabszám alatt is a supportot ugyanúgy fenn kell tartani, akkor az belathato, hogy úgy már nem annyira nagy biznisz.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Se a terméktervezés, se a fröccsöntőszerszám készítés. se a CE és stb. audit se olcsó, ezt is teríteni kell az eladott termékeken. Ellenben a sw, az menjen csak úgy-ahogy, onnan kezdve simán leszarható.
Jellemzően így gondolkodnak a gyártók akkor is, ha nagyon viszik a cuccot, és akkor is ha alig. És szerintem ez így kurvára nincs rendben.
Ez viszont már inkább cégfilozófia kérdése - mi a cél? A profit, vagy a lassú brand-építkezés, megbízható márka felépítése. Mindent ennek kell alarendelni, és nyilván ennek megfelelően más és más lesz a produktum.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Cégfilozófia az autógyártóknál is van, de az állam mégis előírja bizonyos kibocsátási normák teljesítését a autógyártóknak, még ha ez költségnövekedést is jelent a végfelhasználónál. És az autóvezetőknek is elő van írva, hogy pl. a guminak milyen profilmélységgel kell rendelkeznie, mert senki se szeretné hogy egy felelőtlen fillérbaszó "álampógár" ölje meg az úton.
(És ezen szabályok betartatásába ne menjünk bele, hagyjuk a csalós botrányt is ennek megfelelően, ezeket _elvileg_ be kell tartani.)
Szóval vannak dolgok, amiket szabályozni kell. És lassan az internet is olyan kritikus infrastruktúra lesz, mint pl. a közúthálózat. Sajnos az ezt használó eszközök állapota is olyan mint amit a magyar utakon látsz, de azzal ellentétben nevetséges összegből rendbe lehetne tenni.
Nem érzem azonos súlyúnak az összehasonlítást, az autók esetében a forgalomban való biztonságos (ön -és közbiztonsági elvárás) közlekedés feltétele egy alapvető műszaki és személyi felkészültségi minimum, ugyanakkor azzal, hogy wifi-frici otthon alul/felül áteresztő kínai routert üzemeltet, maximum a saját adataira jelent veszélyt (és minimalisan az internetre, ha időnként botnetként is üzemel), de nem okoz közbiztonsági káoszt. Az sem szabályozott államilag, hogy milyen biztonsági megoldásokat kell alkalmazzon az egyén az otthona védelmében.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
"Nem érzem azonos súlyúnak"
Ma még talán nem az.
De ha pl. az ő gépén keresztül borítják meg a lámpákat egy kereszteződésben, és a balesetben lesz pár súlyos sérült? Ha rajta keresztül nyomják fel egy kórház rendszerét és állítanak le műtét közben egy lélegeztetőgépet? Vagy épp csak egy olyan támadásra használják, amivel a szüleid bankszámláját nullázzák le?
Persze értem én, ezek eléggé elméleti veszélynek tűnnek, és a kritikus rendszereket csinálják meg jól hozzáértő szakemberek, persze. De azért a támadókat se kellene segíteni az internetre kötött milliárdnyi sebezhető eszközzel...
"maximum a saját adataira jelent veszélyt (és minimalisan az internetre, ha időnként botnetként is üzemel)"
Nope, folyamatosan veszélyt jelent az internetre is, az internetre csatlakoztatott egyéb eszközökre is, nem csak a saját adataira.
"Az sem szabályozott államilag, hogy milyen biztonsági megoldásokat kell alkalmazzon az egyén az otthona védelmében."
Már hogy milyen zárat, arra nyilván nincs szabály, mert ott _tényleg_ csak a saját értékeit veszélyezteti. De pl. a földgázzal kapcsolatban már vannak államilag előírt szabályok, ugye.
Nem lehet a mozgólépcső uzemeltetoje felelős azért, mert a lépcsőkorlaton nem kapaszkodva valaki fejreallt, vagy egy zsebtolvaj rajta futva menekült el az üldözik elol. Idehaza pedig még arra sincsenek szabályok, hogy milyen mértékben szennyezheti valaki a környezete levegőjét a futessel, mekkora zajterhelest okozhat az eletvitelevel, mostmár a kéményseprés se kötelező, stbstb.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Lényegtelen.
Az hogy valami szarul van szabályozva, nem jelenti azt, hogy mást is szarul kellene szabályozni, vagy hogy a hülye szabályokat ne lehetne megjavítani.
Már csak azt kell eldönteni, hogy a szabály a szar, vagy az elgondolás...
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Biztos az elgondolás.
Mert nyilván teljesen jó dolog az, hogy évek óra ismert hibákat tartalmazó, lyukakkal teli eszközök vannak az nagy internetre kötve. Nagyon sok érv szól mellette, de most hirtelen egy se jut eszembe. Tudnál segíteni?
Jonak nem jo, de nincs jobb megoldas. Ezt taglaltuk feljebb, de valahogy nem vagy kepes megerteni.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
De, van jobb megoldás, többen is leírtuk. Csak az neked valamiért nem tetszik, szóval faszkodsz ellene.
A plusz flash-chip 20 fillerert? Elmondtam, hogy mi lehet az oka annak hogy nincs, de valahogy nem tudtad befogadni.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Hogy mit csináltál?
Hol? Mikor?
A kérdés inkább az, hogy minek?.. :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Az nem számít automata frissítésnek, ha egy orosz hacker egy sebezhetőség kihasználásával csinálja. XD
Az nem számít megcsalásnak, ha különböző az irányítószámotok... XD
Egy ezer Ft-os elektromos alkatrésztől is elvárom, hogy legyen biztonságos, tehát ha a felhasználó rendeltetésszerűen használja, akkor ne rázza meg, ne gyulladjon ki, stb. A frissítés elmaradása - főleg, ha a frissítés nem elérhető, vagy bonyolult - nem a user felelőtlensége. Ha jól rémlik, a kérdéses esetben egy autentikáció nélkül elérhető funkcióról van szó, ez bizony a gyári hiba kategóriája, nem pedig a tudo lakat védelmi képességének problémája.
Amelyik termékbe gyárilag veszélyes hiba kerül, azokat jobb helyeken visszahívják és kijavítják, illetve kicserélik. Software esetében a dolog egyszerűbb, nem kell kicserélni, csak frissíteni. De ha a felahsználó nem is értesül róla, hogy mit kéne tennie, akkor ezt a dolgot nem kéne rá kenni.
Van ott egy kérdés, amit érdemes lenne átgondolni. Értem én, hogy vannak elvárásaid, de azért érdemes a lehetőségek és a realitás talaján maradni.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Időjárásos analógia: te elvárod, hogy mindenki maga számítsa ki a következő órák várható időjárását és ha erre nem képes, vagy nem is tudja, hogy ilyet lehet csinálni, akkor az ő baja, hogy megázott és kész.
Én viszont azt mondom, ezért van az OMSZ, hogy tájékoztasson és ha ezután megázik, akkor tényleg az ő baja.
két külön dologról beszélünk, nem jó az analógiád, hiszen míg a felhasználó általában nem tudja megjósolni az időjárást (nincs rá beépített szenzora), addig a közlekedésben való részvételre az alkalmassága és a képzettsége többnyire megvan (vagy legalább is elvárható, és büntetőjogi felelőssége is kimutatható - károkozás esetén felelősségre vonható). Egy weboldal, ami színes kis gumilófaszokat árul, ne legyen már felelős azért, mert a user egy hálózatra kötött szappantartón keresztül nézegeti a termékeket.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Jól hangzik. Akkor már csak az EU-ban ülő képviselőinket kell meggyőzni arról, hogy adjanak be erre vonatkozó javaslatot. Csak hogy valami haszna is legyen annak a sok ott ülő léhűtőnek.
=====
tl;dr
Egy-két mondatban leírnátok, hogy lehet ellopni egy bitcoin-t?
1) a termék forgalmazásának megkezdésétől számított 3 év vagy a forgalmazás befejezésekor a legutolsó vásárlótól számított 3 év? Kisker vásárló vagy nagyker? ezeket ki tartja nyilván, ki tartatja be és ki szankcionál? Mi a helyzet pl egy 841N -el, aminek 13 darab revíziója született meg? Mindegyik külön terméknek minősül, vagy csak azok amik identikus szoftvert futtatnak? Ki ellenőrzi, hogy identikus a szoftver? Mi van akkor ha az EU egyes országaiban nem egyszerre kezdik meg a forgalmazást? Minden országra külön számláló lesz?
2) ki az aki a tplink szoftverében azonosít, osztályoz és ellenőriz sechole-okat? A tplink? Vagy egy független szervezet? Ki pénzeli ezt a szervezetet? Ki az aki ellenőrzi hogy megtörtént a javítás, a javítás megjavítja a sechole-t?
Szóval jó ötlet ez, de szerintem nemigen megvalósítható.
--
debian,libreelec,openmediavault,ubuntu,windows,arch,lineageOS
zbook/elitebook/rpi3/nexus5_hammerhead
1. a végfelhasználó vásárlásától számított, a gyártó köteles a termék dobozán feltüntetni a "supported until 202x.y.z" szövegecskét. Amennyiben a feltüntetett "202x.y.z" és a vásárlás napja között nincs meg az előírt kötelező X év, akkor a termék nem hozható forgalomba.
A revíziókat, a sec/support mérnököket, hasonló dolgokat meg oldja meg a gyártó, ez az ő dolga, nem a mienk.
2. mindenféle "cert" rövidítést viselő cégecskék? Ahogy tették eddig is, teszik most is, és gondolom ugyanaz fizeti aki eddig is.
Szóval szépen összeszedted a kifogásokat, értjük mi hogy "nem volt közgyűlés", de azért minimális szándék esetén eléggé könnyen meg lehetne csinálni.
És az ugye meg van, hogy ezzel nem csak a TP-Linket köteleznél dolgokra, hanem az ő teljes beszállítói láncát: innentől kezdve mondjuk az Atherosnak, Broadcomnak, ... is addig kell támogatni az eszközeit, amíg a _legutolsó_ közvetlen vásárlójának van aktívan támogatandó eszköze. Nem lenne baj, megoldható lenne (bár, nem lennék meglepve, ha a teljes ipar [akik megtehetik, mert _terméket_ ők nem hoznak forgalomba az EU-ban] elzárkózna ettől és mindenki ott állna, ahol a part szakad), de rendesen megdobná az árakat, mert a láncban _mindenki_ minden beszállítójától elvárná ugyanezt és mindenki beárazná a plusz támogatást.
Másrészt meg nagyon fekete-fehérben gondolkodsz: mi minősül biztonságosnak? Mire mondod, hogy biztonságos? Egészen más feltételeknek kell megfelelni a különböző felhasználási területeken. Az pedig, hogy úgy definiáld a biztonságosság fogalmát és a kötelezően javítandó biztonsági hibák körét, hogy egyrészt az ne legyen _mindenre_ ráhúzható (jé, JTAG-gel hozzáférsz a bootloaderhez és olyan kódot injektálsz, amit nem szégyellsz... otthoni környezetben vállalható veszélyforrás, egy kutatóintézet kültéri [így a fizikai biztonsága nem garantálható] eszközénél már nem), másrészt tényleg minden komoly belekerüljön (és ne kelljen utána módosítani, mert akkor kezdődik az, hogy [ugye nincs visszamenőleges törvénykezés jobb helyeken] X gyártási időpont utáni eszközöknél kell csak patchelnünk ezt a sebezhetőséget...)
Van valahol egy arany középút, de lehet, hogy biztosabb lenne a végfelhasználókra tolni a felelősséget (mert amit a megtört eszközük csinál, az az ő felelősségük, tehát nekik kéne rendben tartani), a gyártókat meg csak arra kötelezni, hogy erre felhívják a figyelmet (pl. a setup wizardba építsenek egy e-mail cím bekérő formot, és ha secu bug van [vagy amikor az eszközük támogatása lejár], értesítse a usereket, hogy ez és ez a teendőd).
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Lassan már úgy beszélünk erről a sw support-ról, mintha akkora kihívás lenne, mint elutaznia Marsra.
Közben pl. van egy kis lett cég, a Mikrotik, amelyik érdekes módon tudja támogatni a saját cuccait, pedig ők is ott vannak a (bruttó magyar kisker) 20-30 dolláros szegmensben is, és szerintem jóval kisebb eladással, mint a nagy kínai fröccsöntők. És szerintem ők is az Atheros, Broadcom, stb. gyártóktól veszik a cumót, nem hiszem hogy sajátot gyártatnának. Az openwrt is meg tudja csinálni amúgy...
Szóval jelenleg is megoldható, már _ha_ van rá szándék, de amíg ezt a hatóságok elő nem írják, addig a legtöbb gyártó nem fog erre egy fillért se költeni.
A scope: nyilván nem a jtag téma, hanem minden olyan "remote" kihasználható sebezhetőség, ami akár wan, akár lan, akár wifi irányból kihasználható. Az ilyen "erre írom a referrer-t és bent vagyok" is, a predictable default password is, minden ilyesmi.
Arany középút: vásárlástól számított X év garantált támogatás, default on autoupdate. A végfelhasználótól nem várhatod el hogy értsen hozzá, hogy utánanézzen, stb. Aki ért hozzá az persze kikapcsolhatja, tehet rá openwrt-t, akármi, de ők (mi vagyunk) a hozzáértő(bb) kisebbség. Ennek az intézkedésnek a célcsoportja viszont az r=1 többség, akinek fogalma sincs a dologról, neki ez háztartási elektronika, mint pl. egy rádió. Megveszi, bedugja, megy, aztán ha egyszer nem megy akkor elmegy megint a boltba aztán vesz egy másikat.
Az szerintem nem ér semmit, ha az r=1 user kap egy emailt a sebezhetőségről, EOL-ról, stb. Az összes gyártó szépen évente elküldené, hogy EOL, vegyél légyszi újat, itt van 20% discount a webshop-unkban mert hűséges vásárlónk vagy, köszi.
Hát, leszámítva, hogy a legolcsóbb RouterOS licenc 45 USD: https://wiki.mikrotik.com/wiki/Manual:License
Ok, persze a saját eszközeikhez adják a valamilyen szintű licenc-t, de...
És az upgrade-k se voltak _mindig_ ingyen.
És pont egy nagyságrenddel komolyabb HW-n (nem ok nélkül nem tudsz OpenWRT-t tenni nagyon sok kínai fröccsre).
Az OpenWRT-nek semmit nem _kell_ garantálnia és a felhasználói alapvetően komolyabb ismeretekkel rendelkeznek (ha már OpenWRT-t telepítgetnek).
A default autoupdate-re nagy büdös lófaszt, már bocs. Az az eszköz, ami ha kinyírja magát (és lássuk be, egész jó track recordja van ebben mindenkinek, aki auto update-t csinált), nincs hozzáférésed a nethez, lesz szíves felhasználói beavatkozás nélkül nem kinyírni magát. A másik része meg tisztán technikai oldal: kell hozzá egy működő NTP kliens az eszközre [nézd anyu, újabb attack vector], kell egy _teljes_ SSL/TLS kliens könyvtár (nem elég az, hogy néhány 1800-ból ránk maradt ciphert belefordítunk mert azzal is elfut, kliensként minden az akkori állás szerint biztonságosnak ítélt cipher támogatnod kell, a szerver meg majd válogat), természetesen nem árt, ha a frissítő csomagok aláírva vannak [vagy-vagy, bár a legjobb, ha SSL/TLS _és_ aláírt csomagok vannak, mert így egy MITM-t is megkerültél], oh, egyébként innentől kezdve teljes csomagkezelés kell, ha csak nem akarsz minden release-nél teljes firmware-t cserélni stb. Mindezt egy olyan eszközkategóriában, ahol a mai napig gyártanak 4 mega flashel eszközt.
De, mert így legalább tudja, hogy érintett az eszköze.
Amivel elérnénk, hogy végre a gyártók adnának egy explicit EOL dátumot (legalábbis nehéz megtalálni, aztán időnként van egy-egy ilyen, mint ez a topic, akkor hirtelen lesz új firmware az egyébként évek óta nem frissített dobozokhoz is).
---
De az alapkérdést, hogy milyen biztonsági vállalásokat kellene tennie a gyártóknak, mik azok a sebezhetőségek, amiket meg kell szüntetniük, továbbra sem válaszoltad meg.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
hAP Lite kisker bruttó 6820 Ft, 24 dodó: http://www.wireless-bolt.hu/45876-mikrotik/633233-routerboard-hap-lite-…
"Az OpenWRT-nek semmit nem _kell_ garantálnia és a felhasználói alapvetően komolyabb ismeretekkel rendelkeznek (ha már OpenWRT-t telepítgetnek)."
A felhasználót hagyjuk, az owrt alapvetően next-next-finish módon is tud működni, pont mint egy gyári sw. És a lényeg nem az, hogy mit garantál az owrt, hanem hogy ők ingyen meg tudják csinálni azt, aminek a költségvonzatától szerintetek a gyártók fejre állnának...
"A default autoupdate-re nagy büdös lófaszt, már bocs. Az az eszköz, ami ha kinyírja magát (és lássuk be, egész jó track recordja van ebben mindenkinek, aki auto update-t csinált)"
Szép rizsa, de kevés a hús.
Vegyük észre: a win10 autoupdate kivételével szinte minden tök jól működik. Sokszor Frissítettem rengeteg BIOS-t, netes dobozkát, TV-t, médialejátszót, minden nyavalyát, sose volt vele bajom.
Ha a frissítés elhal akkor két lehetőség van:
1. a gyártó elkúrt valamit, ez garanciális probléma.
2. áramszünet, node mondjuk havonta frissül, ez tart 2 percig, vajon mennyi annak az esélye, hogy pont közben lesz áramszünet? Pláne hogy ezt is simán meg lehet oldani 2 flash chippel, minimális plusz költséggel...
"kell hozzá egy működő NTP kliens az eszközre [nézd anyu, újabb attack vector]"
Én még nem láttam olyan dobozkát amiben ne lenne [és igen, azt is frissíteni kell].
"kell egy _teljes_ SSL/TLS kliens könyvtár"
Egyrészt kell a fenét, másrészt meg nehogy már 2018-ban problémát okozzon a TLS...
"természetesen nem árt, ha a frissítő csomagok aláírva vannak [vagy-vagy, bár a legjobb, ha SSL/TLS _és_ aláírt csomagok vannak, mert így egy MITM-t is megkerültél]"
Igen, így a legjobb.
"egyébként innentől kezdve teljes csomagkezelés kell"
nem kell, de kétségkívül elegánsabb
"ha csak nem akarsz minden release-nél teljes firmware-t cserélni stb."
jelenleg így van.
"Mindezt egy olyan eszközkategóriában, ahol a mai napig gyártanak 4 mega flashel eszközt."
Ami nagyjából 20 cent árkülönbséget jelenthet mondjuk egy 16 MB vagy 32 MB flash-hez képest...
De mindig _te_ frissítetted, most mondod - az meg nem automatikus frissítés.
És nem csak a Windows update-re mehet ki rossz frissítés, változatos Linux disztróknál is volt, hogy "hupsz, frissítettél, itt a lista, hogy mi tört el" [és még csak nem is dist-upgrade!] - ha ezt a gép automatikusan tette [volna... mert van, aki úgy használja... jézusom], akkor még csak időben se tudtad a frissítéshez kötni.
És szerinted a gyártó nem fogja beárazni az _esélyét_ annak, hogy elkúr valamit és cserélnie kell százezres nagyságrendben az eszközt?
De, kell, amibe bele kell fordítanod minden a fordítás pillanatában megfelelően biztonságosnak [btw., ezt még mindig nem definiáltad!] ciphert, protokollt stb., különben az lesz az attack vectorod (a közismert frissítő szerverre érkező forgalmat eltérítve egy frissen megtört cipher/protokoll [mert azért időnként megtörik őket...] miatt ipari nagyságrendben kaptál RCE-t...)
És mégis rengeteg eszköz 4MB flash-el megy és nincs tükrözve... tök jó, hogy mindenre azt mondod, hogy "csak pár cent", csak azok a "pár centek" nagyon hirtelen össze tudnak adódni... és persze onnantól, hogy kötelezően és azonnal _bármilyen_ sebezhetőség miatt firmware csere, jóval több írásra kell méretezned ezeket a chipeket.
De ami a legfontosabb: még mindig nem definiáltad, hogy mi az a sebezhetőség, amit a gyártóknak patchelnie kellene és mi az, amit nem feltétlenül.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
"De mindig _te_ frissítetted, most mondod - az meg nem automatikus frissítés."
True, de áramszünet mindig jöhet, és az a fő probléma. Nem az volt, hogy előtte szóltam az áramszolgáltatónak, hogy _most_ nehogy elcsesszétek mert frissítek :)
És egy ilyen natolós dobozkát ne hasonlítsunk már egy full, univerzális OS-hez.
"És szerinted a gyártó nem fogja beárazni az _esélyét_ annak, hogy elkúr valamit és cserélnie kell százezres nagyságrendben az eszközt?"
De, pont mint ahogy a hw elkúrást is beárazza. Valamint ha kötelező, akkor minden gyártó be fogja árazni, szóval a piacon nagy felzúdulást nem fog okozni. És simán lehet azt csinálni, hogy egyik nap kitolják a frissítést random 1000 eszközre, ha nincs hiba akkor 24 óra múlva 1%-ra, aztán +4%, +9%, +49%, majd a maradékra, kb. mint ahogy a google csinálja az androidnál. Ezzel jelentősen le lehet csökkenteni a sw-es elkúrás által érintett eszközöket.
"...különben az lesz az attack vectorod..."
Ez egyrészt módosulhat a frissítésekkkel, másrészt ezen attack vector kihasználása messze nem triviális, mondhatni elhanyagolható a gyakorlatban.
"És mégis rengeteg eszköz 4MB flash-el megy és nincs tükrözve... tök jó, hogy mindenre azt mondod, hogy "csak pár cent", csak azok a "pár centek" nagyon hirtelen össze tudnak adódni..."
Persze, ha meg tudnak spórolni 10 centet akkor megspórolják.
És igen, minden csak pár cent, csak ti ezt mindig mindenre túllihegitek, ezért írom mindig hogy csak pár cent
Rakjuk össze, per has:
- 4 helyett 16 MB +20 cent
- mindez még egyszer +50 cent
- drágább nyák+beültetés +30 cent
- hw áttervezés +10 cent
- sw áttervezés +40 cent
- sw support 4 évre +1 USD
Szumma 2,5 USD, bruttó kiskerben jelentsen 8-at, 2200 Ft, 3 év élettartammal számolva havi 60 Ft. Belehalunk mind, kenyérre se fog telni...
"és persze onnantól, hogy kötelezően és azonnal _bármilyen_ sebezhetőség miatt firmware csere, jóval több írásra kell méretezned ezeket a chipeket."
Lol, ne nevettess már. Nincs olyan chip, ami ne bírna párszáz újraírást, az meg kb. azt jelenti, hogy hetente is biztonságosan lehet újraírni.
"De ami a legfontosabb: még mindig nem definiáltad, hogy mi az a sebezhetőség, amit a gyártóknak patchelnie kellene és mi az, amit nem feltétlenül."
Szerintem az lenne logikus, hogy a hálózaton keresztül (LAN, WAN, wifi), a router fölötti irányítás átvételével járó sebezhetőségeket javítsák.
Nyilván lehetne erre valami konkrétabb elvárásokat kitalálni, de ez nem az én dolgom, vannak erre ún. szakemberek.
"default on autoupdate."
- Botnet Boris like this.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Erről eszembe jut a régi szép freelanceres idő, amikor meghalt az embedded kínai médiadoboz fejlesztője (a projektleírás alapján) és módosítani kellett volna a szoftveren, hogy az új ausztrál szerverrel működjön. :D Aztán persze ki kellett volna cserélni a cég logóját is a blob-ba. Van az a pénz de nem 100 usd. :D
A Microsoft is hasonló szituációba futott bele 1 éve:
> The way Microsoft patched a recent security bug has made several security and software experts believe the company might have lost the source code to one of its Office components.
> The only way the new EQNEDT32.EXE stayed so similar to its previous version was if Microsoft engineers manually edited the binary itself.
https://www.bleepingcomputer.com/news/microsoft/microsoft-appears-to-ha…
Az semmi, korábban sem tudták megoldani az ilyesmit:
https://social.technet.microsoft.com/Forums/windowsserver/en-US/1fd27c3…
"Kurt was a prolific writer and one that I worked with a great deal while I was at Microsoft. His reach and breadth was hands above any other writer I ever worked with at Microsoft. In fact, he was so effective that there are many blogs and articles that only his account has access to. As a result, Microsoft is still struggling to not only find a replacement writer but also to figure out how to access his TechNet account. When I was there, the number of us that could post to the PKI blog was shrinking as Kurt's account was the only one that could add new contributors."
Röviden azt mondja, h. még házon belül sem voltak képesek hozzáférni egy már nem élő alkalmazottjuk munkahelyi adataihoz, fájljaihoz. Azért ez sok mindent elmond arról a káoszról ami redmondban a kerítésen belül mehet.
Eleve mint kűlsős, a szolgáltatásukat használó user, én sem tudom megoldani megnyugtatóan, mi történjen az MS akkountom mögött levő rengeteg adattal, ha velem történik valami. Van ez a "next to kin process": hivatalos MSFT support oldalon lófszt nem lehet róla találni. Az answers.microsoft-on kérdezgetik tucatjával a szerencsétlenek gyakorlatilag egymástól, akiknek meghalt hozzátartozójuk, h. halotti anyakönyvi kivonattal sem kapnak hozzáférést szüleik, gyerekük fontos fájljaihoz. Vagy akárcsak a laptophoz, amibe a rokon Live ID-val lépett be, köszi Win8+ (és ugye mint tudjuk az answers oldalon nem-MSFT-alkalmazott önkéntesek válaszolgatnak, változó hatékonysággal és értelmi szinttel).
Ehhez képest guglinál megadom, h. ha megtestálok, x idő elteltével ki férhet hozzá az összes gugli fiókban tárolt dolgomhoz:
https://support.google.com/accounts/answer/3036546?hl=en
Facebook detto. Bár nem pont erre a célra, de 3-5 ismerőst meg lehet adni, akik tudják unlockolni v. pwd resetelni az akkountodat:
https://m.facebook.com/help/213343062033160?helpref=faq_content
MSFT-éknál meg a halotti bizonyítvánnyal futhatja a szerencsétlen hozzátartozó a köröket évekig. Ha meg nem tud valami hülye biztonsági v. személyes kérdésre helyesen válaszolni, amit az eredeti akkount tulaj esetleg rosszul állított be, nem jut semmire.
Az összes botnet szereti a sose frissített, sokéves lyukakkal rendelkező eszközöket
Azt pláne, ha a frissítési folyamat sechole-jait kihasználva egy kontinensnyi eszközt lehet véglegesen eltéríteni és saját célra felhasználni.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ami nyilván sokkal egyszerűbb, mint scanner-rel keresni az évek óta kihasználható hibával rendelkező eszközök millióit.
Ja, nem.
A feladat csak addig tűnik komplikáltnak, amíg meg nem találják a kiskaput, onnantól viszont már gyerekjáték kihasznalni, és nyilván nagyobb hozadéka van egy sechole-os globális fertozesnek, mint vegigszkennelni az internetet backdoorok után kutatva.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Két lehetőség van erre:
1. felnyomni a gyártó belső rendszerét (webserver, signing cuccok, stb.), de ez nyilván atól függetlenül működik, hogy autoupdate van-e - noha nyilván kisebb az érintett eszközök köre. Ezt csak úgy lehet kiiktatni, hogy megtiltjuk a gyártóknak a sw supportot...
2. valahogy rá kell venni a dobozkákat arra, hogy ne az eredeti helyről töltsék le a cuccot. Ehhez vagy a user DNS szolgáltatását kell hozzá korrumpálni, vagy az ISP-je routing dolgait. Mi sem egyszerűbb ennél, ez sokkal könnyebb mint 2 dolláros exploit-tal törhető dobozkákat keresni a netre kötött százmilliókból...
Vagy csak a dns-szervereket kell elteritenj, mint ahogy erre már volt példa nem is olyan régen, és már meg is van etetve minden autoupdateos eszköz a preparalt kis firmware csomaggal...
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Azért egy TLS-es kapcsolatnál, ahol a kliens ellenőrzi, hogy a szerver certje megfelel-e annak, amit ő vár... Nos, nem biztos, hogy elég csak a dns-t meghákolni hozzá...
A támadás pontos menetét már nem tudom felidezni, de mivel megtörtént, ezért biztosan megoldották valahogy.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Szerintem meg nem ssl/tls kapcsolatot térítettek el, vagy ha igen, akkor nem volt szigorú kulcs alapú azonosítás.
Emlékeim szerint a 12 legfelső szintű dns egyikét mérgezték meg, aztán attól meg átvette a többi a fake infot.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Attól még másik IP-n lévő fake szerver nem fogja tudni magát azzal a certtel azonosítani, ami az eredeti site-on van, és amit a kliens szépen ellenőriz is, hogy azt tartalmazza-e, ami neki elfogadható, és ha nem, akkor nyom egy tcp-resetet, oszt' jónapot.
Let's Encrypt?
DNSSEC nélkül teljesen védtelen az egész DNS infra.
Ha az a szerver cert és CA-cert van a szappantartóban letárolva, amit a leccenkript ad, akkor igen :-P
Mint ahogy írtam is, vagy dns, vagy routing.
Egyik se triviális.
Mint ahogy írtam is, a dns egy járható út, főleg hogy ennek van a legnagyobb "hozama", megéri foglalkozni vele, ehhez csak az kell, hogy bevezessék az autoupdate-featuret a hulladékszektorban is.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ember, mint ahogy én is írtam, járható út a DNS, mint ahogy a BGP alapú támadás is.
De nem triviális. Ez nem olyan, hogy megveszed 20 dollárért a tool-t, aztán meg kiadod a "spoof-dns fwdownload.tp-link.com 123.234.1.2" parancsot.
Egyébként kihasználható rengeteg más dologra is, pl. a böngészők alapban 6 hetente jönnek ki, nyilván ez idő alatt azért elég sok sebezhetőség nyilvánosságra kerül, és "simán" kihasználható DNS támadással arra, hogy néhány gyakran látogatott oldalt átirányíts és végigfertőzd a látogatókat. A PC-k is pont olyan jók mindenféle masszív támadásra, mint a routerek.
Ember, mint ahogy irtam is, ha valami kivitelezhető, akkor csak a haszon mértéke hatarozza meg, hogy meg is csinálják, vagy inkabb ejtik az ügyet. Már pedig pár millió gagyi router lerablása és botnetté alakítása már megéri a befektetett munkát. Triviális vagy sem...
Jobb egy hardvert megmérgezni, mint egy szoftvert, amit frissitessel javithatnak. Lasd pl lojax.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ja, pármillió gagyi router lerablása megéri, pármillió sebezhető PC lerablása nem. Értem :D
Szerintem nem... :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ezek nem kifogások, csak elkezdtem játszani a gondolattal, és az első ~1percben ezek a kérdések jutottak szembe, de gondolom többet is fel lehetne tenni.
--
debian,libreelec,openmediavault,ubuntu,windows,arch,lineageOS
zbook/elitebook/rpi3/nexus5_hammerhead
Nyilván lehet többet is, de ezen kérdések jelentős része triviálisan tisztázható.
Szerintem nem :D Még a szolgáltatóknak se megy. :D
Ugye a CPE-t meg sajna nem cserélheted kényed kedved szerint. :P
Nem megy nekik, mert nem akarják csinálni, kötelezve pedig nincsenek rá.
Várj itt már ISP-ről van szó ami megvesz egy rakat CPE-t kínából amire rárakja a saját custom firmwaret (ami általában lyukasabb mint az eredeti.). Ez esetben kinek kellene supportálni? :D (Ráadásul a GPL-t is viccnek nézik)
Nyilván az ISP-nek, és nyilván őket is kötelezni kellene erre.
Ennek semmi értelme. Tudom sokan vannak, akik mindig azt várják, hogy saját maguk helyett az állam döntsön mindenről, s persze ne is legyen saját felelősségük. Van ahol igény van a diktatúrára.
A vásárlók szavaznak, hogy mit akarnak. A szavazatok alapján az olcsóság az elsődleges. Ha valaki hajlandó többet fizetni, akkor kaphat olyat, amire teljesülhet a több éves támogatás. Ha az állam fogja oszotogatni a piros lapokat, akkor a szar ezután drága is lesz, de nem szakmai indokok hanem korrupció és lobbi alapján erősködnek.
Szóval akkor szerinted töröljünk el mindenféle hülye állami szabályozást, majd az emberek maguktól megoldják. Nincs semmi szükség pl. KRESZ-re, hiszen hogyan képzeli az állam, hogy eldönti a zemberek helyett azt, hogy hogyan közlekedjenek.
Valójában nincs szükség semmilyen előírásra és képesítésre villanyszereléshez se, ne pofázzon ebbe az állam, majd a vásárlók eldöntik, nem azt a szakit választják majd aki már túl sok vevőjét megölte.
Igazából mindenféle élelmiszeripari előírás csak a terméket megdrágító, hülye állami beavatkozás, majd a vásárlók eldöntik hogy mit akarnak, nyilván nem oda mennek majd ahol túl gyakran kapnak szalmonellát.
Stb.
ps.: én se vagyok híve az állami túlszabályozásnak, de ha egy veszélyes területen láthatóan nem működik a piaci önszabályozás, ott hibás a laissez-faire hozzállás.
Tuldramatizalod.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Ami szerintem egy fokkal még mindig jobb, mint az "eddig is így volt, jó lesz ez így eztán is" jellegű leszarás.
És még mindig egy fokkal rosszabb, mint az összes a témában felsorolt másik lehetőség, ami jóval kisebb eséllyel tenné tönkre a piacot (kötelező subscribe értesítésekre, EOL kötelező bejelentése, a felhasználó felelősségének nem a gyártóra hárítása stb.).
Azzal, hogy a vásárlás pillanatában elérhető (és akár a dobozon feltüntetett legyen) a _várható_ EOL (amitől mondjuk legfeljebb későbbi időpontra lehet eltérni) időpont, teljesen egyet tudok érteni.
Azzal, hogy az előre bejelentett EOL-ig a távolról kihasználható kódfuttatási, privilégium-emelési és hálózat-hozzáférési hibákra [az ésszerűség határain belül...] adjanak javítást, teljesen egyet tudok érteni.
Azzal, hogy _minden_ legyen a gyártó felelőssége, hogy alapbeállításon automatikusan frissüljön az eszköz, hogy "az utolsó vásárlástól számított örökélet plusz egy napig" legyen support (ja, a raktárban van még egy WRT54G v1, egy ezresért a tied Béla, és így még nyócév support van rá), semmiképp.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Egész sok dologban egyetértünk akkor, azokat akkor hagyjuk is.
Az "az utolsó vásárlástól számított örökélet plusz egy napig" legyen support témában pedig én azt mondom, hogy ne lehessen olyan terméket forgalomba hozni, amin nincs legalább X idő sw support. Legyen ez olyan, mint a hw garancia, hogy ha nem garantálsz rá legalább X időt, akkor nem adhatod el.
Mivel szoftverre nincs garancia, ezért először ezt kéne rendbetenni, és elkezdődhetne vegre pl a Microsoft basztatasa.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Nem a sw-re kell garancia, hanem a hibajavításra kell egy vállalható határidejű garancia.
Ezt mondom. :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Itt most egyetértek xclusive-al, ne a szoftverre adjanak garanciát (nem is nagyon lehetne definiálni, hogy mit garantálsz), hanem garantáljanak annyit, hogy egy előre rögzített támogatási időn belül néhány sebezhetőség kategóriát kerüljenek el. Vagy legalább tegyék lehetővé az elkerülését (<- ha ezt hozzáteszed, akkor szvsz. rövid úton minden gyártó elkezdené nagyon imádni az OpenWRT-t, mindenki platina támogató akarna lenni és persze nagyon készségesen segítenének az új eszközeikről szóló doksikkal - egyszerűen azért, mert ha egy nem gyártói firmware-rel egy (egyébként drága) jogi kötelezettségüknek eleget tesznek, ők jól jönnek ki és moshatják a kezeiket)
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
"...egy előre rögzített támogatási időn belül néhány sebezhetőség kategóriát kerüljenek el. Vagy legalább tegyék lehetővé az elkerülését..."
- meg josoljak meg az otos lotto eheti nyeroszamait.... :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Nem akartam ismételni magam kettővel fentebbről, különösen az ésszerűség határain belül részt ;)
De egyébként jogos, és ha már ott tartanak a hatos lottóét is :)
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Azt hiszem ez nem elvarhato, lasd pl intel balhé. A jovobe senki sem lat.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
;)
_Pont_ az ilyenekre gondoltam. Meg ha valaki hirtelen megtöri az RSA-t, persze azzal sem fog egy random gyártó tudni mit kezdeni.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Define it "ésszerűség"...
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
"Amire ad ki patchet az upstream" :) Pl. OpenSSL-ék nem fogják megpatchelni, ha (elvi szinten) megtörik az RSA-t, ill. csak annyira, hogy letiltják a francba. Implementációs hiba (pl. Heartbleed) miatt meg patcheljék csak az SSL libjüket.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Tehat magyaran szerinted elvarhato, hogy tartson fenn x ideig egy support teamet a filleres vackaihoz is a gyarto, csak mert barmikor kijohet barmi, ami ellen fel kell vertezni az adott eszkozt - de kozben maradjon is a low budget ar, hiszen ezt az arat szereti az egyszeri lakossagi vasarlo. Ez az, ami nem megy. Ez nem "esszeru", vagy az arat kell novelni, vagy az elvarasokbol kelk engedni, mert a gazdasagi torvenyszerusegeket nem lehet tartosag megkerulni.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Erre mondtam azt, hogy úgy fogalmazod meg, hogy _lehetővé teszed_ a biztonságos használatot, valszeg. mindenki elkezdené nagyon imádni az OpenWRT-t és kb. minden filléres vacakot úgy raknának össze, hogy OpenWRT kompatibilis legyen (értelmes méretű RAM/flash). A gyártó örül, mert ott a céglogója az OpenWRT támogatók oldalon és az összes Device-a a kompatibilis HW listán és egyébként semmit nem kell csinálnia [esetleg a luxus szappantartó kategóriában saját, rebrandelt Lucival érkező owrt imageket raknak össze...], az OpenWRT jól jár, mert hirtelen kapnak raklap lóvét, a felhasználó pedig esélyt kap arra, hogy biztonságban tudhassa magát.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
MIben nyújt komolyabb/megbízhatóbb/garantáltabb támogatást az openvéerté, mint egy gyári firmware? A gyártónak ráadásul marhára mindegy/nem érdeki, hogy egy 3rd party firmware megy-e a dobozán, vagy sem. Ha érdekelné, akkor lenne gyártói support például abban, hogy az openvéerté és társai ne csak távolról (vagy egyedi hákolt-tákolt, copyright szempontból a jó ég se' tudja, mennyire tiszta firmwarrel) legyenek képesek szemlélni a gigabites forgalom natolását, mint felhasználói igényt. Jó, tudom, van olyan eszköz+hivatalos openwrt kombináció, ami már megugorja ezt a szintet, és tán akad olyan routergyártó is, aki gyakorlatilag maga is egy saját openwrt-re alapuló firmware-t használ.
+1, es minel homogenebb a firmware-kornyezet, annal konnyebb egy sechole-t kihasznalva vegigszantani...
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Így lenne, ha nem minden gyártó cucca a SoC gyártó SDK tákolásával épülne.
Kimaradt a "ha" az úgy fogalmazod meg elől, és onnantól kezdve minden ige feltételes volt: "elkezdené", "raknának" stb.
Most nem érdekli, mert számára semmi különbség nincs aközött, hogy nem fut és aközött, hogy fut. Ha kötelessége lenne vagy saját maga javítani a sebezhetőségeket vagy _lehetővé tenni, hogy biztonsági rés nélkül használható legyen_ (ennek az egyik módja egy alternatív firmware, ha szoftveres a hiba), akkor már érdekelt lenne abban, hogy elinduljon/rendesen működjön rajta az owrt, mert megúszná, hogy neki kelljen támogatnia.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Nehogy már minden kis dobozkához külön sec. team-et kelljen fenntartania a gyártónak, mert mindjárt megsajnálom.
Már egyszer leírtam: 1 millió eladott dobozka, 1 USD/dobozka árral magasabban eladva, ebből azért csak kijön már 3-4 évnyi sw support ára.
Valamint: lehet hogy ezzel együtt már változna a matek is. Mert ma ha kijön valami olcsóbb SoC, switch chip, eprom vagy a fele tudja mi, akkor már megéri a gyártónak egy új revíziót tervezni, csinálni rá a működőképesség minimumát teljesítő sw-t aztán a régit meg elfelejteni, mert még ezen plusz költséggel együtt is fognak dobozonként mondjuk 15 centet _tehát_ megéri.
De ha lenne kötelező sw support 3-4 évre, akkor lehet hogy jobban megérné a sw költségen spórolni mint az n+1. hw revízión, aztán máris nem kellene egy dobozkára 1 dodó plusz költséget tenni, csak mondjuk 30 vagy 40 centet.
Te talan routergyar tulajdonos vagy, hogy ennyire vagod, mit es hogyan kellene csinalniuk, mert siman megeri meg ugy is nekik, ahogy te azt elkepzeled? :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Szerintem az alapvető matematikai műveletek ismerete és alkalmazása nem csak a routergyár tulajdonosok kiváltsága. :)
'Alapveto matematikai muveleteket' (barmit is jelentsen ebben a kontextusban) csak az osszes szukseges konkret tenyezo ismeretenek birtokaban lehet vegezni (legalabbis a vegkovetkeztetes pontossagara erosen hatassal van). Ha ezt te mind pontosan tudod, akkor routergyar tulajdonosnak kell lenned - akkor meg mit szivatsz itt minket? :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Fájdalmas ostobaságokat hordasz össze.
Mondod te, aki innen magyarpusztarol kapasbol okosabb vagy a tp-link mernokeinel, es azt is jobban tudod, hogyan kellene a vilag egyik legnagyobb szappantartogyaranak az uzletpolitikat csinalnia, mint maga a cég - es meg a masik mond ostobasagokat... Fo a magabiztossag! :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Mondom én, eddig igazad van. A többi a szokásos ostobaságod. :)
Ugyanis a sw témában döntést hozni (akár support, akár általános minőségbeli dolgok, lásd a referreres ostobaság) nem mérnöki feladat, hanem menedzseri. Márpedig ha itt meg tudnak fogni 5-10-50 centet, akkor azt nem fogja erre elkölteni, már egészen addig amíg a szabályozás erre rá nem kényszeríti. Innen kezdve pedig loop.
Ahogy te ezt elkepzelted. Nagyon jo, csak a gyartocegek valahogy megse igy gondoljak. De hat ok a hulyek, te meg okos vagy. Ez a loop... :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Mit nem gondolnak így? Hogy ha nem muszáj termékenként 10-20-50 centet elkölteni sw támogatásra, akkor azt inkább megspórolják? Hát nem ezt írtam, okoska? Miért, szerinted erre elköltik csak basznak kiadni a friss sw-t, mert gecik? Vagy mire gondoltál, szakértő úr?
Persze mindjárt más lenne a helyzet, ha egy 500 milliós piacról kiszorulnának ezzel hozzáállással, akkor ők is máshogy látják kicsit. Ott van pl. a CE vagy az FCC megfelelőség, az se olcsó, és tutira tudnának pár centet spórolni ha ezeket nem tartanák be. Aztán mégis mindenki betartja, mert ellenkező esetben kiszorulnának a világ két legnagyobb piacáról. Medzsik bazmeg.
Azt nem és nem úgy, ahogy te gondolod - csakhogy amíg te itt okoskodsz, addig ők meg ott keresnek milliókat abból, hogy ezt valahogy csak jobban tudják nálad!.. :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
> ebből azért csak kijön már 3-4 évnyi sw support ára
Valóban kijön? Egy millió dollár az 3-8 mérnök költsége (bér, office rent, perks, adó, stb.) az USA-ban egy évre.
Én is így számoltam, nagyjából 250-300e dodót számoltam/mérnök éves teljes költsége, az usák bérekből kiindulva, szóval kb. 1 ember 3-4 évnyi munkáját számoltam egy 1 milliós példányban eladott dobozkára. De:
1. Nem csak az usákban lehet az a mérnök, lehet hogy mondjuk oroszt vagy lengyelt találsz sokkal olcsóbban. Ott az iroda is olcsóbb, nem feltétlenül kell puccos iroda San Fran legdrágább környékén, pláne ha távmunka. De az ottani mérnöknek se kell a havi 3-5 ezer dodót kifizetni egy albérletért, ez önmagában éves 25-50e dodóval emeli a mérnök _nettó_ bérét.
2. Nem hiszem, hogy tényleg szükséges egy dedikált ember minden 1 millió példányban eladott dobozka mellé. Nézzük pl. a címbeli tplinket, azt írják magukról, hogy 2016-ban 161 millió eszközt adtak el. 1 sec.eng./1 millió dobozka árral 161 security szakit jelentene, ami azért már egy elég szép szám, simán kijönne mindez eszközönként 1 USD-vel nagyobb árból 3-4 évre a sw támogatás. És ha a dobozkák normálisan vannak tervezve, és jelentős részben közös kódbázisra épülnek, akkor már feleennyi emberrel is csodát lehetne tenni...
Nem csak mérnökre van szükség, a support case-eket valamilyen módon fogadni,kezelni kell, a felmerülő firmware hibákat javítani, tesztelni kell, végig kell tolni a release-folyamaton - ha mindezt automatizálod is, akor is kell alá eszköz (nem is kevés), emberi munka (hotfixet csinálni, code review, doksiírás, egyebek) mindenképp kell mellé - úgy fejlesztői, mint üzemeltetői.
"És ha a dobozkák normálisan vannak tervezve, és jelentős részben közös kódbázisra épülnek" - csak azt felejted el, hogy a hardver is fejlődik, változik, és nem biztos, hogy amit Q1-ben beraktak a dobozba, az, vagy vele bitre kompatibilis eszköz kapható lesz.
Szerintem te abból indulsz ki h. a TPlink kókánycégnek nincs ma 2018 okt 16-án semmiféle support-szerű rendszere, és azt ma kéne a 0-ról felépíteni. Mondjuk ha nagyon rosszmájú akarnék lenni, azt mondanám ez TPlinkéknél pont így is van: az új szappantartódoboz szoftvert reszelik, amíg kernel pánik nélkül képes bebootolni. Onnantól többet ahhoz a szoftverhez a büdös életben nem nyúl CsingCsangCsung. Azaz nincs szupport, nincs költség.
--
Van support, csak jóval kisebb méretben, mintha 2-3-5 évre kéne minden eszközt garantáltan frissítéssel ellátni.
Plusz tegyük mellé azt is, hogy az esetlegesen elfuserált frissítés során téglásodott eszközt a garanciális partnereknek kéne újraéleszteni, ami szintén a garanciakötelezett (gyártó) költsége.
A költségnövekedést senki se vitatja, a mértékén van köztünk vita. Szerintem bőven 1 dollár alatt kijönne az a plusz 1-2-4 év support, és a "téglásítás elleni" második flash chip se kerülne pártíz centnél többe.
Tervezéssel meg minden fityfenével együtt dobozkánként jelentene max 1 dodó költségnövekedést, a mi a végső kisker áron dobna mondjuk egy ezrest, nem 7 ezerbe kerülne hanem 8-ba.
De tudod mit, mondok valamit: évente itthon eladnak kb. 1 millió ilyen szappantartót, a vásárlóiknak nyilván nagyon fájna ez a havi 30 Ft, nem telne tőle kenyérre. Akkor a témagyar állam adjon minden ilyen dobozka mellé egy 1000 Ft-os kupont, szumma millárd. A legértelmesebben elköltött adóforintok közé tartozna. (Na jó, nyilván kellene ehhez egy Nemzeti Dobozka-supportügyi Kuponosztogató Főhatóság is, 2 milliárdos büdzsével, de még így is simán megérné.)
Persze, nem csak mérnökre van szükség, de ugye te se gondolod hogy párezer fős sec. szakosztályt kellene fenntartani a dobozkagyártóknak? Szerintem a csicsónak sincs ekkora, pedig ők azér más ligában játszanak.
És nyilván kellene mellé egy csomó dolog, mint ahogy minden normális sw esetén. Kellene oda is quality osztály (mint az ms-hez is), aztán máris megbukna a code review-n az a kód, amelyik referrer alapján autentikáltnak tekinti a session-t.
És nézd meg a mikrotikot: ők is gyártanak vagy 100 féle terméket, szerintem jóval kisebb volumenben értékesítenek, jelen vannak a lowcost piacon is, és jön rá frissítés. Ezt meg tudják oldani - a weblapjuk szerint - 140+ dolgozóval (ami gondolom < 150), és szerintem ebben már a sales, a marketing, a hw tervezés, és a nagyfőnök titkárnője is benne van.
Ugyanez a válaszom a hw fejlődés/változás témára: ha ők meg tudják csinálni, akkor a tőlük nagyságrenddel nagyobb piaci részesedésű dobozkagyártók is meg tudnák, csak ugye így egy kicsivel olcsóbb nekik. És megtehetik.
"...csak ugye így egy kicsivel olcsóbb nekik. És megtehetik"
- na látod! :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Jaja, már tök régen látom, le is írtam itt talán egy tucatszor is.
Meg azt is látom, hogy egy bazári egyhurkapálcás troll vagy, szóval nem fogok veled többet foglalkozni.
Dehogy látod, ha látnád, nem írtad volna ezt! "Egy tucatszor" lol. Szerintem meg te vagy a troll, de hidd el, nem sok vizet zavar hogy pont te mit gondolsz... :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
A drog rossz, értem? :D
Egyébként hiába a hiszti, ha neked olyan kell, amire van support, akkor van lehetőséged vásárolni. De nem kényszerítheted rá a többiekre azt, hogy ők is többet költsenek a kedvedért. És a többség fillérbaszó.
Múltkoriban volt hiszti, hogy az alaplapgyártók miért nem adnak ki bios frissítést az összes lapjukhoz, amibe a sebezhető intel procik valók. Erre szépen volt egy levezetés, hogy azért, mert az árverseny és fillérbaszó vásárlók határása nincsen elég kapacitásuk arra, hogy ezt megcsinálják. Aki drágább cuccokat vett, annak esélyesebb, hogy lesz javítás. A többségük már messze túl van a garancián.
Amit itt szál kibontásában pedzegettetek, hogy a garit mondjuk a szoftveres részre is ki kellene jobban terjeszteni, az végülis már egy használható gondolat. Viszont végülis talán most is lehetne gariztatni eszközt, ha sérülékeny és miatta ellophatják a felhasználó adatait (az adatvédelem szigordítása talán segít is ebben). Nade hogyan kényszeríted a vásárlókat arra, hogy 1 év után vegyenek másik routert, mert jelárt az előző garanciája? Igaz, a felhős megoldásoknál van úgy, hogy egy gombnyomásra brick-esíthető, ahogy például a gyártó megszüntetett támogatást néhány felhős eszközre. De tényleg, hogyan kényszeríted a felhasználót arra, hogy dobja ki és vegyen új eszközt? Azt hiába is várod, hogy örök élet ingyen sör járjon minden eszközhöz.
Teljesen igazad lenne, ha ezek a dobozkák a felhasználó lakásában mindentől függetlenül működnének, de sajnos az interneten vannak, és potenciálisan veszélyesek minden más internetre kötött eszközre, az internetes infrastruktúrára is.
Na ezért fasság az, hogy virágozzék minden virág, a fillérbaszó basszon csak fillért nyugodtan, a fosgyártó gyártson csak fost nyugodtan, és veszélyeztessék csak nyugodtan az egyre inkább alap infrastruktúrának számító internet.
Anno a gáz, vagy épp az elektromos berendezésekre, hálózatokra sem voltak szigorúan vett és betartatott előírások, szabványok, aztán idővel csak kialakult, hogy mit és hogyan szabad meg mit és hogyan kell. Az IT gyorsabban fejlődik, de azért még évek, ha nem évtizedek kellenek egy biztonsági célból hasonlóan szigorúan és részletesen szabályozott világig.
Igen, főleg hogy villany és gáz témában azért a temetések elég jól tudják mutatni a szabályozás hiányosságait. Netes biztonság szempontjából azért sokkal nehezebb a törvényhozónak elmagyarázni, hogy miért is lenne szükség változtatásra, szigorításra.
a törvényhozónak elmagyarázni
Nem olyan nehéz az... pár ellopott bankkártya adat, pár publikusan kiposztolt privát politikusi lebuktatós email, és máris érteni fogja ő is, mi forog kockán.
Leszarják. Volt fappening, vannak milliárdos bankkártyás csalások, szezonja a van a telekomos phishing-nek, ez mindehhez kevés volt.
+1
Akkor lenne bármi változás, ha emberek kezdenének el kb. ezrével meghalni naponta ilyen eszközök hibájából. Akkor TALÁN! Addig meg lófasz s esti fény.
--
> Akkor lenne bármi változás, ha emberek kezdenének el kb. ezrével meghalni naponta ilyen eszközök hibájából.
Vagy ha nem menne 2 óráig a facebook.
+1 :D
Kérdést tettem fel, ahhoz nem paszol az igazam lenne válasz. Hogy kényszeríted a felhasználót, hogy dobja ki és vegyen újat?
Gondolom, azt szeretnéd, hogy a gyártókat törvény kötelezze arra, hogy a garancia lejártával brickelődjenek a hálózatra köthető eszközök. A garancia időre már van most is szabály, nem kell újat kitalálni. Örökös (5-10-20 év) támogatást pedig nem lehet a filléres otthoni eszközökre ígérni, mert senki sem fizet több száz vagy több ezer dollárt értük. A felhasználók pedig a végtelenségig és azon is túl használhatják az eszközeiket, nem pedig addig, amíg van rájuk garancia/támogatás.
Technikailag megoldható, például szolgáltatós set-top-boxoknál is alkalmaztak ilyet (smartcard helyett) néhány helyen, hogy például megbontáskor brickelje magát, de sok más titkosítást használó megoldáshoz tartozik ilyen. Egy rtc-vel és az üzembehelyezés idejének tárolásával máris indulhat a visszaszámlálás.
Esetleg jöjjön minden évben a jard és ha nincs kiváltva az éves megfelelőségi tanusítvány, amit certifikált szerelők adhatnak ki, hogy nem sérülékeny a hálózati eszközöd, akkor büntessenek meg és kobozák ez az eszközeidet? A törvény erejével...
Az teljesen hagymázas álom, hogy a gyártókra toljál minden felelősséget és költséget. Semmi sem garantálja, hogy nem szűnik-e meg jogutód nélkül és nem is kényszeríthetsz senkit arra, hogy ingyen dolgozzon ezen. Ezért gondolom, hogy nagyon rossz nyomon jársz. Ne az állam nevelje a gyereket, ne az állam akarjon mindent mikromenedzselni az életünkben csak azért, mert vannak felelőtlen és lusta emberek. A felhasználó felelős a saját eszközeiért, a hálózat veszélyeztetése most is tiltott dolog.
Ha most ddosol vagy támad valaki, akkor elvielg megvan annak az útja és módja, hogy a szolgáltató felé jelezzék ezt és a szolgáltató tegyen lépéseket. Érdekes módon ez működik például torrent esetén, anno kollégiumi rendszergazda koromban láttam is ilyen megkeresést és volt, hogy én kopogtam be az illetőhöz, hogy veszélyes vizeken evez. (Abuse címre írtak amcsi jogvédők -> központ továbbította a figyelmeztetést az egységhez -> helyiek kikeresték ki volt az -> az egyetemről elvileg fegyelmivel ki is vághatják, mivel az infrastruktúra használatának szabályzatát el kell fogadja. Az otthoni net ászf-je is biztosan tartalmaz fékeket, ha más nem felbonthatják a szerződését).
1. Gondolom valahogyan "rá van kényszerítve" a polgár arra is, hogy gumit cseréljen a kocsiján ha a régi már nem biztonságos. Van néha szúrópróbaszerű ellenőrzés, időnként műszaki, és ha az ilyen fillérfakkolás miatt balesetet történik, akkor meg leszen baszva.
2. Nem tudom, hogy hogyan kényszerítem rá. Valahogy csak meg lehet oldani, de ez jelenleg messze elméleti kérdés, ugyanis a fő probléma jelenleg az, hogy hiába lenne a felhasználónak igénye arra, hogy biztonságos eszközt használjon, egyszerűen lutri az egész. Ezen kellene először változtatni.
3. Mert itt azért nem nagy költségről beszélünk, ha 3 évente kell cserélni egy 10e Ft-os eszközt, akkor az havi 250 Ft, 1 gombóc fagyi ára, simán lehetne felvilágosító kampányt tartani, hogy Katika szart az egészre aztán hekker úr meg elvitte a csöcsös videóit.
4. Az "Örökös (5-10-20 év) támogatás" pedig HAZUGSÁG, KÉRLEK NE HAZUDJ!
Én soha nem írtam ilyen elvárást, nem is várok el ilyet. De egy pár éves "hibajavítási garancia" igenis elvárható lenne. Én azért mondom a 3-4 évet, mert ennyi garral lehet kapni általában ezeket az eszközöket, és amíg a hw-re van garancia addig legyen már a sw-re is.
5. Az szintén hazugság, hogy _minden_ felelősséget a gyártókra tolnék. Én csak azt követelném meg, hogy a termékük bizonyos biztonsági hibáit X évig javítsák, és ezt a határidőt jól láthatóan tüntessék is fel a terméken. És persze, megszűnhet jogutód nélkül meg minden, de azért nem ez a jellemző.
"hiába lenne a felhasználónak igénye arra, hogy biztonságos eszközt használjon"
Neked van csak agymenésed, a legtöbb felhasználó semmit nem tud ezekről és felháborodik, ha bármit tudnia kellene. Mert joga van nem érteni hozzá és butának maradni... még meg is indokolja azt, hogy ő nagyon is okos, mert egyébként mi lenne az ő munkája nélkül... naja csak kifizetni sem hajlandó azt, aki meg ehhez ért. Ezért is van olcsó, hülye által összedugható eszközből annyi.
1) abuse bejelentés jelenleg is lehetséges, nem kell újra feltalálni a spanyol viaszt, csak alkalmazni a meglévő szabályokat.
2) a kill-switch-en kívül nem nagyon fogsz erre megoldást találni. Azért pedig meglincselnének a vásárlók, te lennél az első sorban, ha a gyártó lekapcsolgatná a megvett készülékeidet. Sok más esetben is felháborodás van, hogyha a gyártónak kontrolja van a megvett cucc felett is, hogy akkor valójában ki a tulajdonos.
3) 300 forintért hamarabb lesz országos tüntetés, mint 35 ezer értelmetlenül meghalt ember miatt.
4) jelenleg is szabályozott a garancia, ha nem teljesíti, akkor vidd vissza. Ha lejárt, akkor elektronikai hulladák ezek szerint.
5) ó dehogy nem. A gyártó pélójával vernéd végig a csalánt, hogy mire költse a bevételét a te szakmai elemzésed alapján.
Na, úgy látszik a németeknél lassan lép a törvényhozó: link
És az egyik legfontosabb civil kritika a javaslattal szemben az, amit én is elvárnék: "a hatóság továbbra sem kötelezi a gyártókat, hogy már a vásárlás előtt egyértelműen tájékoztassák az ügyfeleket az egyes routerek támogatásának várható lejártáról ... a fenti tervezetet a hatóság még nem véglegesítette, így nem kizárt, hogy a közeljövőben a két kifogásolt pont is bekerül a szabályozásba."
Hülye németek, német hülyék...
+1
Ezek mellett még pár fontos dolgot jelölnek. Pl auto update vagy manual és hasonlók.
Hozzátartozik, hogy a mocsok drága eszközöktől se várjunk már sec patcheket, amikor pl. a support célra fenntartott letilthatatlan backdoor fiók adatai elérhetővé válnak, vagy adnak ki javítást (többnyire: másik letilthatatlan backdoor fiók adatokat tartalmazó firmware-t), vagy nem.
Pl.: https://www.bleepingcomputer.com/news/security/cisco-removes-backdoor-a…
De ha tőlük veszel egy biztonsági kamerát, abban pl. nem is tudod letiltani...
Miközben kis odafigyeléssel nem lenne nehéz értelmes support backdoor-t beletenni (pl. erre a célra fenntartott CA által kiadott rövid ideig érvényes cert-el autholsz, a rendszer meg frissítgeti a jól ismert címről elérhető [így a support tudja mondani, hogy ok, erre az egy címre engedd ki] CRL-t, ha meg több, mint 24 órás a legfrissebb CRL, amit elért, akkor nem enged távoli support bejelentkezést)
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
Már megint? Emlékeim szerint egyszer már végigszántotta a gonosz csoport a TP-Linkeket? Itt az ideje egy újabb szüretnek?
Ez most annyival rosszabb, hogy böngészőből is exploitolható. Így akkor is kihasználható, ha nincs public ip-re bindelve az eszköz.
Van egy ilyen eszközünk, hetente 1x magától újraindul, 2x meg rá kell segíteni hogy újra kommunikáljon. Ráadásul egy korábbi vihar óra nem megy 1 LAN portja, és a WAN portja sem. Eddig is csak a lustaságom miatt nem lett lecserélve, de talán majd most.
"Ráadásul egy korábbi vihar óra nem megy 1 LAN portja, és a WAN portja sem."
- akkor mit tud még, ami miatt rendszerben maradt? :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
wifi bridge :>
Fedora 27, Thinkpad x220
pontosan
Ó, hogy csaphatott volna egy kicsit nagyobbat az a villám!.. :D
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
És akkor merre van az előre? Pláne ha v13-as az érintett hw.
Ami segíthet, hogy nem default ip-re rakod az routert és persze wan felé nem bindeled a web felületet. Meg persze openwrt...
Ja, addig, amíg a következő verzió valahogy ki nem találja hogy mi a default route. És az OpenWRT is csak akkor ér valamit, ha épp támogatott (és emellett még talán stabil is) az a hw. revízió.
"...és persze wan felé nem bindeled a web felületet.."
- de ugye esetünkben most "ez az ellen nem véd".
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
A kuka megfelelő irány lesz
--
debian,libreelec,openmediavault,ubuntu,windows,arch,lineageOS
zbook/elitebook/rpi3/nexus5_hammerhead
Én sajnos nem tudok a kukából wifit csiholni.
Arra céloztam hogy a 841n gagyi, kevés rajta a tárhely, az openwrt maximum herélve fér el rajta, és amúgy is, megvenni is kár volt. 5000 ft-ért már elég sokféle olyan routert tudsz venni használtan, amikre elfér megfelelően az openwrt, és máris minden gond megoldódott. Tudom miről beszélek, kettő ilyenem is volt (v8 és v12), estek-keltek, felfordultak maguktól, stb. A kukában végezte mindkettő elég hamar.
--
debian,libreelec,openmediavault,ubuntu,windows,arch,lineageOS
zbook/elitebook/rpi3/nexus5_hammerhead
Alap IPv4/IPv6 routernek és n-es WiFi-nek a tiny-s OpenWRT-vel teljesen jó. Többet tényleg ne várj tőle.
https://lifehacker.com/5728827/build-a-cheap-wi-fi-extender-out-of-a-ti…
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
Hát ettől a 841n még vásári kacat marad, de az ötlet ügyes :)
--
debian,libreelec,openmediavault,ubuntu,windows,arch,lineageOS
zbook/elitebook/rpi3/nexus5_hammerhead
Viszont igy Fisher legalább már tud a kukából wifit csinálni... :)
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
D-Link-re is jött egy adag sebezhetőség: http://sploit.tech/2018/10/12/D-Link.html
TLDR:
-
curl http://routerip/uir//tmp/XXX/0-al authentikáció nélkül kiolvasható a router admin jelszava plaintext-ben- Majd bejelentkezés után
curl http://routerip/chkisg.htm%3FSip%3D1.1.1.1%20%7C%20cat%20%2Fetc%2Fpasswd-al tetszőleges parancs futtathatóMájusban jelentve lett a gyártónak, az megígérte a javítást a legújabb típusokra (DWR-116 and 111), de még nem történt meg.
További érintett EOL típusok, amik már így maradnak: DWRDWR-140, DWR-512, DWR-640, DWR-712, DWR-912, DWR-921. (+ valószínű még több)
Szar ez mind. Talán be kéne indítani egy petíciót az EU felé hogy kötelezzék a gyártókat 5 év biztonsági frissítésre?
TV-re mondjuk 10 évet kérnék. Még nagyobb befektetésre meg 30-at?
Ugyanilyen siralmas mondjuk az is ami az iparban megy. Legyen hálózatban, de nehogy patcheljük mert biztos elromlik.
Az EU a globális gyártók piacának csak egy része. Egy ilyen szabályozásra a gyártók egyik része kivonulna a francba, a másik része árat emelne, a felhasználók meg nem vennének új eszközt, hanem hasnzálnák a régieket, akár használtpiacról is, vagy ami még rosszabb (wifi csatornák és teljesítmény, illtve khm. speciális szoftverkomponensek okán) mondjuk a kínai piacra szánt darabokat.
És akkor mi van? Vonuljanak a francba felőlem.
Ha a Mikrotik meg tudja oldani hogy frissíti (mondjuk több kevesebb sikerrel) a százéves szappandobozait folyamatosan akkor a Dlink meg társai miért nem?
A mikrotyúk szoftvereit mostanság egy önkéntes frissíti/pacseli - kívülről, nem? :-D Egyébként meg az "ár", mint tényező azért eltérő a mikrotyúk meg a [d|tp]-link és társaik esetében.
Tény hogy nem annyi mint az Auchanban vesztegetett Tenda és egyéb szemétkupac. De drágának sem mondható.
Azt az ürgét simán le kéne csukni. Remélem feljelentették már párezren... Az meg a következő probléma hogy rá is kerüljön a frissítés vagy magától vagy a felhasználó által. Manapság még az sem nagyon érdekli őket hogy a hálószobában hallgatózik valamelyik nagy szolgáltató :)