Poważny błąd w zabezpieczeniach

Cyberghost
Posty: 3
Rejestracja: ndz lip 24, 2016 9:13 pm

Poważny błąd w zabezpieczeniach

Postautor: Cyberghost » ndz lip 24, 2016 9:49 pm

Chciałbym opisać znaleziony błąd w tej aplikacji. Posiadam DS 210+ oraz DS 916+. Na jednym DSM w wersji 5 a na drugim w wersji 6. W obu przypadkach występuje ten sam błąd. Mianowicie, dostępem do katalogów w folderze "photo" zarządza się z pod poziomu pakietu photo station. Niestety nie działa to w przypadku serwera multimediów. Posiadam smart tv firmy samsung. Jest tam w menu opcja do przeglądania zawartości udostępnionych w sieci do mowej (DLNA/UnPnP). W momencie gdy w DSM uruchomimy serwer multimediów telewizor ten widzi tego typu katalogi jakie znajdują się na serwerze NAS. Czyli muzykę, video i zdjęcia. Wchodzę w katalogu muzyki i telewizor wyświetla napis brak zawartości. Wchodzę w katalog z video i jest podobnie. I tak powinno być gdyż nie mam tam publicznego dostępu. Tylko określone konta na DSM mają dostęp do tych katalogów. Niestety wchodzę do katalogu photo i wszystko jak na dłoni. Można przeglądać całą zawartość tego katalogu. Dodam iż w katalogu photo nie mam żadnego katalogu z dostępem publicznym. Wszystkie katalogi mają status prywatne. Z ciekawości utworzyłem nowy katalog, tylko tym razem zabezpieczony hasłem. Niestety skutek ten sam. Za pomocą telewizora mogę wejść do katalogu zabezpieczonego hasłem bez jego podawania i przeglądać całą jego zawartość. Dla mnie dość poważny błąd. Gdyż każdy kto się podepnie do sieci może przeglądać prywatne zdjęcia.

Nie mogłem poszukać na tym forum działu do zgłaszania błędów dlatego opisuję to tutaj. Wydaje mi się że jest to błąd w aplikacji photo station gdyż do katalogów zarządzanych bezpośrednio z DSM telewizor nie ma dostępu (myzka, video). Natomiast do katalogu photo nie można przypisać uprawnień spod poziomu DSM, trzeba zrobić to z aplikacji photo station. Stąd wnioskuję iż problem leży właśnie po stronie tej aplikacji.
DS916+ | DSM 6.1.2-15132 | 8GB RAM | 2x WD Red 3TB RAID0 ext4 / 2x WD Blue 1TB SHR btrfs |

Awatar użytkownika
mikhnal
Posty: 868
Rejestracja: pt gru 11, 2015 8:55 am
Lokalizacja: Warszawa

Re: Poważny błąd w zabezpieczeniach

Postautor: mikhnal » pn lip 25, 2016 12:14 am

Pisz do supportu, muszą się o tym dowiedzieć.
DS3018xs / DSM 6.2-22259 Beta / 5x WD Red 6TB RAID5 btrfs / 1x Samsung 840 EVO 120GB SSD Cache / 2x Noctua A9 FLX fan mod
RT2600ac / SRM 1.1.5-6542 Update 4 / 16GB Sandisk Extreme SDHC U3

Cyberghost
Posty: 3
Rejestracja: ndz lip 24, 2016 9:13 pm

Re: Poważny błąd w zabezpieczeniach

Postautor: Cyberghost » pn lip 25, 2016 11:03 am

Możesz mi powiedzieć jak mogę to zrobić bo nie miałem wcześniej okazji czegoś takiego robić.
DS916+ | DSM 6.1.2-15132 | 8GB RAM | 2x WD Red 3TB RAID0 ext4 / 2x WD Blue 1TB SHR btrfs |

Awatar użytkownika
mikhnal
Posty: 868
Rejestracja: pt gru 11, 2015 8:55 am
Lokalizacja: Warszawa

Re: Poważny błąd w zabezpieczeniach

Postautor: mikhnal » pn lip 25, 2016 1:09 pm

DS3018xs / DSM 6.2-22259 Beta / 5x WD Red 6TB RAID5 btrfs / 1x Samsung 840 EVO 120GB SSD Cache / 2x Noctua A9 FLX fan mod
RT2600ac / SRM 1.1.5-6542 Update 4 / 16GB Sandisk Extreme SDHC U3

stanley99
Posty: 96
Rejestracja: śr mar 30, 2016 7:22 am
Lokalizacja: Dolny Śląsk

Re: Poważny błąd w zabezpieczeniach

Postautor: stanley99 » pt lip 29, 2016 11:34 pm

Cyberghost pisze: Niestety nie działa to w przypadku serwera multimediów. <...> Za pomocą telewizora mogę wejść do katalogu zabezpieczonego hasłem bez jego podawania i przeglądać całą jego zawartość. Dla mnie dość poważny błąd. Gdyż każdy kto się podepnie do sieci może przeglądać prywatne zdjęcia.

Witam
Trochę odwrócę przedstawiony problem: a czy zaglądałeś do Panel sterowania->Indeksowanie multimedów->Indeksowany folder? Gdyż generalnie to tam ustala się, które foldery będą udostępniane przez Serwer multimediów (serwer DLNA by Synology), oraz jakiego typu pliki (video/muza/foto). Przynajmniej w DSM 5.x, 6 na razie nie używam (może się zmigruję w długie jesienne-zimowe wieczory, w środku lata szkoda mi dnia i pogody na ślęczenie nad Synkiem ;) )

Kolejna przy okazji na wszelki kwestia: w DLNA/uPnP nie ma (niestety) czegoś takiego, jak przyznawanie praw użytkownikom, np. aby użytkownik(grupa) Rodzice mieli dostęp do folderów Takich i Siakich, a użytkownik Dzieci tylko do Siakich. Jeśli jakiś zasób (folder) jest udostępniany przez DLNA - jest widziany przez wszystkie urządzenia DLNA w sieci. Bez podawania haseł. Można co najwyżej odciąć jakieś urz. po adresie MAC, ale przecież zazwyczaj nie o to chodzi.
DS214play | 6.1.4-15217 Update 1
Człowiek nabiera doświadczenia z wiekiem. Szkoda tylko, że jest to wieko od trumny.


Wróć do „Photo Station”

Kto jest online

Użytkownicy przeglądający to forum: Obecnie na forum nie ma żadnego zarejestrowanego użytkownika i 1 gość