Poważny błąd w zabezpieczeniach

ODPOWIEDZ
Cyberghost
Początkujący
Posty: 3
Rejestracja: ndz lip 24, 2016 9:13 pm

Poważny błąd w zabezpieczeniach

Post autor: Cyberghost »

Chciałbym opisać znaleziony błąd w tej aplikacji. Posiadam DS 210+ oraz DS 916+. Na jednym DSM w wersji 5 a na drugim w wersji 6. W obu przypadkach występuje ten sam błąd. Mianowicie, dostępem do katalogów w folderze "photo" zarządza się z pod poziomu pakietu photo station. Niestety nie działa to w przypadku serwera multimediów. Posiadam smart tv firmy samsung. Jest tam w menu opcja do przeglądania zawartości udostępnionych w sieci do mowej (DLNA/UnPnP). W momencie gdy w DSM uruchomimy serwer multimediów telewizor ten widzi tego typu katalogi jakie znajdują się na serwerze NAS. Czyli muzykę, video i zdjęcia. Wchodzę w katalogu muzyki i telewizor wyświetla napis brak zawartości. Wchodzę w katalog z video i jest podobnie. I tak powinno być gdyż nie mam tam publicznego dostępu. Tylko określone konta na DSM mają dostęp do tych katalogów. Niestety wchodzę do katalogu photo i wszystko jak na dłoni. Można przeglądać całą zawartość tego katalogu. Dodam iż w katalogu photo nie mam żadnego katalogu z dostępem publicznym. Wszystkie katalogi mają status prywatne. Z ciekawości utworzyłem nowy katalog, tylko tym razem zabezpieczony hasłem. Niestety skutek ten sam. Za pomocą telewizora mogę wejść do katalogu zabezpieczonego hasłem bez jego podawania i przeglądać całą jego zawartość. Dla mnie dość poważny błąd. Gdyż każdy kto się podepnie do sieci może przeglądać prywatne zdjęcia.

Nie mogłem poszukać na tym forum działu do zgłaszania błędów dlatego opisuję to tutaj. Wydaje mi się że jest to błąd w aplikacji photo station gdyż do katalogów zarządzanych bezpośrednio z DSM telewizor nie ma dostępu (myzka, video). Natomiast do katalogu photo nie można przypisać uprawnień spod poziomu DSM, trzeba zrobić to z aplikacji photo station. Stąd wnioskuję iż problem leży właśnie po stronie tej aplikacji.
DS916+ | DSM 6.1.2-15132 | 8GB RAM | 2x WD Red 3TB RAID0 ext4 / 2x WD Blue 1TB SHR btrfs |
Awatar użytkownika
mikhnal
Darth Vader
Posty: 2728
Rejestracja: pt gru 11, 2015 8:55 am
Lokalizacja: Warszawa

Re: Poważny błąd w zabezpieczeniach

Post autor: mikhnal »

Pisz do supportu, muszą się o tym dowiedzieć.
DS3018xs
DSM 7.2.1-69057 Update 4
32GB RAM 2x KSM24SED8/16ME DDR4 2400 CL17 ECC mod
6x 10TB WD Red WD100EFAX RAID5 btrfs
2x SNV3500-400G read/write SSD cache @ E10M20-T1 + 10GbE LAN
2x Noctua NF-A9 fan mod
RT6600ax + WRX560
SRM 1.3.1-9346 Update 9
Cyberghost
Początkujący
Posty: 3
Rejestracja: ndz lip 24, 2016 9:13 pm

Re: Poważny błąd w zabezpieczeniach

Post autor: Cyberghost »

Możesz mi powiedzieć jak mogę to zrobić bo nie miałem wcześniej okazji czegoś takiego robić.
DS916+ | DSM 6.1.2-15132 | 8GB RAM | 2x WD Red 3TB RAID0 ext4 / 2x WD Blue 1TB SHR btrfs |
Awatar użytkownika
mikhnal
Darth Vader
Posty: 2728
Rejestracja: pt gru 11, 2015 8:55 am
Lokalizacja: Warszawa

Re: Poważny błąd w zabezpieczeniach

Post autor: mikhnal »

DS3018xs
DSM 7.2.1-69057 Update 4
32GB RAM 2x KSM24SED8/16ME DDR4 2400 CL17 ECC mod
6x 10TB WD Red WD100EFAX RAID5 btrfs
2x SNV3500-400G read/write SSD cache @ E10M20-T1 + 10GbE LAN
2x Noctua NF-A9 fan mod
RT6600ax + WRX560
SRM 1.3.1-9346 Update 9
stanley99
Zawsze On-Line
Posty: 430
Rejestracja: śr mar 30, 2016 7:22 am
Lokalizacja: Dolny Śląsk

Re: Poważny błąd w zabezpieczeniach

Post autor: stanley99 »

Cyberghost pisze: Niestety nie działa to w przypadku serwera multimediów. <...> Za pomocą telewizora mogę wejść do katalogu zabezpieczonego hasłem bez jego podawania i przeglądać całą jego zawartość. Dla mnie dość poważny błąd. Gdyż każdy kto się podepnie do sieci może przeglądać prywatne zdjęcia.
Witam
Trochę odwrócę przedstawiony problem: a czy zaglądałeś do Panel sterowania->Indeksowanie multimedów->Indeksowany folder? Gdyż generalnie to tam ustala się, które foldery będą udostępniane przez Serwer multimediów (serwer DLNA by Synology), oraz jakiego typu pliki (video/muza/foto). Przynajmniej w DSM 5.x, 6 na razie nie używam (może się zmigruję w długie jesienne-zimowe wieczory, w środku lata szkoda mi dnia i pogody na ślęczenie nad Synkiem ;) )

Kolejna przy okazji na wszelki kwestia: w DLNA/uPnP nie ma (niestety) czegoś takiego, jak przyznawanie praw użytkownikom, np. aby użytkownik(grupa) Rodzice mieli dostęp do folderów Takich i Siakich, a użytkownik Dzieci tylko do Siakich. Jeśli jakiś zasób (folder) jest udostępniany przez DLNA - jest widziany przez wszystkie urządzenia DLNA w sieci. Bez podawania haseł. Można co najwyżej odciąć jakieś urz. po adresie MAC, ale przecież zazwyczaj nie o to chodzi.
DS214play | DSM 6.2.4-2556 Update 5
RT2600ac
Człowiek nabiera doświadczenia z wiekiem. Szkoda tylko, że jest to wieko od trumny.
ODPOWIEDZ