Raspberry Pi (Musicbox Pi) im Heimnetzwerk, Sicherheitsbedenken

[Menoth]

Hallo liebe ComputerBase-Gemeinde,

ich bräuchte mal wieder euren fachlichen Rat.

Ich habe mir vor kurzen ein Spotify Account zugelegt und möchte die Musik natürlich gerne auf meine Anlage streamen (verwendeter AVR Pioneer VSX 921K). Eine direkte Integration des Spotify Accounts in der AVR-Software ist nicht möglich (leider ist dieser schon ein wenig älter).
Da mir die Sonos-Geräte einfach viel zu teuer sind, bin ich auf die Idee gekommen einen Raspberry Pi zu kaufen und diesen mit der Musicbox Pi auszustatten ( http://www.woutervanwijk.nl/pimusicbox/ für nähere Informationen). Der Raspberry wird dann einfach via HDMI an den AVR angeschlossen.
Vorteil der ganzen Sache ist, jedes Endgerät im selben Netzwerk kann über einen normalen Browser das Dingen steuern.

Nun kommen wir aber zum Knackpunkt.
Bezüglich der Netzwerksicherheit bin ich ein wenig vorsichtig.
Die oben genannte Distribution bietet im internen Netzwerk mindestens den Webserver nach Außen hin an (irgendwie muss man es ja steuern).
Sofern ich die Doku richtig verstanden habe, bietet es ansonsten keinerlei Sicherheitsfeatures ( http://www.woutervanwijk.nl/pimusicbox/MusicBox_Manual.pdf ) und es wird geraten den Server hinter einer Firewall zu betreiben.

Dementsprechend wäre das einzige Merkmal was den Pi/Webserver von der Außenwelt trennt mein NAT-Router.
NAT ist kein Sicherheitsmerkmal (lediglich ein Nebeneffekt der Adressumsetzungslogik) und nun stell ich mir die Frage, ob es wirklich so eine gute Idee ist den Pi im normalen Netzwerk zu betreiben.

Ich habe zwar ein paar Linux-Kenntnisse, an der Distribution möchte ich aber nicht unbedingt viel rum schrauben (Stichwort: IPtables).

Wie seht ihr das? Andere Lösungsvorschläge?

Danke und Gruß,
Menoth

 

[LifemyLive]

In der Regel hat dein Router eine integrierte Firewalll
Solange du nicht im Router unter "port mapping" oder "port forwarding" rum rührst, gibt es keine Probleme.

Willst du von außen auf dein Netzwerk zugreifen, machst du das idr. über ein VPN Gateway und machst keine anderen Ports nach außen auf - zu mindestens nicht der 0815 Heimanwender.

 

[Raijin]

Es ist nicht ungewöhnlich, dass solche Software keine besonderen Sicherheitsmechanismen hat. Um den Zugriff aus dem Internet oder allgemein von fremden Netzwerken zu blockieren, hat man eine Firewall. In deinem Falle ist das aber kein Problem, weil der Webserver (in der Regel über Port 80 erreichbar) von extern nicht sichtbar ist. Für Rechner aus dem Internet ist nur dein Router sichtbar und der hat nur offene Ports, wenn dort eine Portweiterleitung aktiv ist. Beispielsweise Port 80 an die LAN-IP des Pi weiterleiten. Dann und nur dann wäre der Webserver vom Pi auch von außen erreichbar.

 

[Menoth]

In der Regel hat dein Router eine integrierte Firewalll
Solange du nicht im Router unter "port mapping" oder "port forwarding" rum rührst, gibt es keine Probleme.

Willst du von außen auf dein Netzwerk zugreifen, machst du das idr. über ein VPN Gateway und machst keine anderen Ports nach außen auf - zu mindestens nicht der 0815 Heimanwender.

Du hast natürlich vollkommen recht!
Habe direkt mal nachgeguckt und mein Router hat neben der normalen NAT-Umsetzung auch eine SPI-Firewall. Danke für den Hinweis.

@Rajin,
Dieser Effekt wird ja schon durch NAT erzielt, wenn versucht wird eine Verbindung aufzubauen die nicht vorher intern "angefordert" worden ist. Es wird aber allgemein geraten dieses Feature nicht als Sicherheitsmerkmal zu missbrauchen bzw. zusätzlich eine normale Firewall einzusetzen, was ja anscheinend nun doch gegeben ist.

Sofern ich nicht irgendwas vergessen habe, hat sich das Thema damit eigentlich geklärt.
Danke nochmal für die Hinweise.

 

[Raijin]

@Rajin,
Dieser Effekt wird ja schon durch NAT erzielt, wenn versucht wird eine Verbindung aufzubauen die nicht vorher intern "angefordert" worden ist.

Naja, NAT passiert nur bei ausgehenden Verbindungen. Das bedeutet ja, wenn dein PC (sagen wir mal 192.168.1.2) google.de anpingt, dann ersetzt der Router die QuellIP (192.168.1.2) mit seiner eigenen (öffentliche IP) damit google.de überhaupt weiß wohin er antworten soll. Bei der eingehenden Verbindung, also der Antwort, macht der Router nix außer die Antwort durchzureichen. Sprich: google.de denkt der Ping kommt von deinem Router, dein PC sieht aber die Antwort kommt von google.de

Wenn dein Router keine Weiterleitung vornimmt (port forwarding), dann kann man deinen PI de facto aus dem Internet nicht erreichen. Wie auch? Der hat eine IP - sagen wir mal 192.168.1.5 - die es auf diesem Planeten vermutlich 76457876976453 Mal gibt. Das einzige was bekannt ist, ist deine Internet-IP und die greift bis zum Router und nicht weiter - es sei denn es gibt eine Portweiterleitung, die eben eingehende Verbindungen auf diesem Port an eine IP im LAN weiterleitet. Wenn dein Router keine offenen Ports hat, dann muss man schon einiges anstellen, um sich da reinzuhacken.

 

[Ovaron1]

Also ich sehe da durch die im Router integrierte Firewall überhaupt keine Sicherheitsrisiken. Im Normalfall haben solche Router die Standard-Einstellung dass zwar Verbindungs aus deinem LAN ins Internet erlaubt sind, umgekehrt werden Verbindungsanfragen jedoch abgelehnt. Außer du gibts einen Port explizit frei.

Du kannst am Raspberry jedoch sicher auch IPtables entsprechend konfigurieren, wenn du auf Nummer sicher gehen willst.
Da lässt sich dann explizit einstellen wer auf deinen Raspberry zugreifen darf.