News Trojaner verschlüsselt Synology-NAS-Systeme

[Applied]

Obendrein wartet und administriert sich nen Linux auch net von allein. Wenn da Lücken auftauchen muss ein update ebenso eingespielt werden.

Wobei das wesentlich (!) aufwendiger sein dürfte, als ein mit (wortwörtlich) nur ein paar Klicks installierbares Synology-Update.

Spätestens auf mittelfristige bis lange Sicht, wenn bei Linux mal was nicht wie gewünscht beim Update funktioniert.

 

[Euphoria]

Na da bin ich mal beruhigt. Aber gute Arbeit von Synology, die haben sich direkt dran gemacht den Auslöser zu finden.

 

[stbufraba]

versuchmal neben einem normalen PC zu schlafen...
bei einem NAS geht das

Selten so gelacht.

Nicht umsonst steht meine DS214 (darin 2 WD Red 3 TB in Raid 1) mitsamt einem WD Book 3 TB fürs tägliche Backup im Keller beim Kabelanschluss und dem ganzen LAN-Geraffel.

NAS und gedämmter PC mit SSD geben sich nicht viel bezüglich der Lautstärke. Schlafen kann man neben beiden nicht wirklich gut.

 

[fuyuhasugu]

Du machst es dir aber ein bisschen sehr einfach... worauf sichert denn der durchschnittliche Privtanwender seine Daten, wenn die ... schon jenseits der 6TB liegt, so dass man eben nicht mehr ... auf eine einfach Festplatte sichern kann? Mit einem weiteren NAS... oder man hat so viel Kohle, um sich ein Bandlaufwerk im vierstelligen Bereich zu kaufen und dann zu sichern.

Erstens tun es zwei einfache bei Bedarf per USB angeschlossene HDDs auch. Die sind also im Normalfall gar nicht in Betrieb. Zweitens würde als Backup ein Billig-NAS vollkommen ausreichen (weniger Funktionen -> weniger Einfallstore). Außerdem würde auch dieses NAS nur zur Backupaufnahme eingeschaltet werden (alles automatisch möglich). Von außen erreichbar muss so ein NAS schon gar nicht sein (sicherste Netz-Umsetzung wäre der zweite, dritte oder vierte LAN-Port des ersten NAS in einem eigenen Netzwerk). Irgendein tausende kostendes Bandlaufwerk wäre im Privatbereich vollkommen fehl am Platze.

 

[mgutt]

Finde es teilweise eh dumm dass manche Leute anfangen alles selber zu hosten. Die eigene Cloud, den eigenen Server für Kalender und Kontakte.

Man bin ich dumm, dass ich meine Cloud selbst hoste. Warum zahle ich stattdessen keine x-tausend EUR pro Jahr für 4 TB Speicherplatz.

Mal im Ernst. Meine lokale Cloud ist lokal, d.h. 100x schneller angebunden und unterwegs bietet sie den gleichen Komfort bei weit aus größerem Speicherplatz. 50 GB bei Dropbox.. wow mit direktem NSA Zugang oder wie. Nein danke.

Natürlich sollte man vor dem NAS einen Router mit Firewall haben und möglichst im NAS die Firewall aktivieren, um ausländische IPs grundsätzlich auszuschließen. Da gebe ich Dir also recht. Man muss schon wissen was man tut, aber so schwer ist das ja auch nicht. Bestes Beispiel sind hier die Opfer, die nicht mal Updates installiert haben.

Mein NAS schickt mir jedenfalls frühzeitig eine E-Mail, dass ich das neue Update installieren soll. Im Grunde ist genau das kritisch bei Synology. Warum muss der Nutzer selbst aktualisieren. Das könnte genauso gut automatisch ablaufen.

 

[fuyuhasugu]

Update ... ist genau das kritisch bei Synology. Warum muss der Nutzer selbst aktualisieren. Das könnte genauso gut automatisch ablaufen.

Automatismen, die ein System unbenutzbar machen können, und sei es nur zeitweise, sind als vielleicht auch noch unveränderbare (Vor)Einstellung nie eine gute Idee.

 

[Luxuspur]

Mein NAS schickt mir jedenfalls frühzeitig eine E-Mail, dass ich das neue Update installieren soll. Im Grunde ist genau das kritisch bei Synology. Warum muss der Nutzer selbst aktualisieren. Das könnte genauso gut automatisch ablaufen.

Na was glaubst du wohl warum in den meisten Firmen nichtmal ein Windowsupdate ungeprüft auf Clients eingespielt wird ?
Und dann sollte man automatische (ungeprüfte) Updates auf die Serverinfrastruktur einspielen ? Was für Firmen gilt gilt grundsätzlich auch für Privatpersonen und sry wer zuhause mit Netzwerktechnik rumspielt, sollte eben auch etwas Ahnung davon haben oder hinterher eben nicht rumflennen!

Du operierst dir ja auch nicht den Blinddarm zuhause alleine raus obwohl das durchaus (naja zumindest für einige) möglich wäre ;p

 

[Ash-Zayr]

Ich wundere mich bei diesen Diskussionen immer über Leute, die hier vehement für Drop-Box und clouds eintreten; für das backup seiner Daten oder auch für die Erreichbarkeit im www von überall....all diese Leute scheinen eine 100gbit Standleitung mit einem upload von mindestens 1gbit zu haben...herzlichen Glückwunsch jenen...alle anderen wie z.B. ich mit DSL16000 und 1 mbit upload kann dann ja meinen Rechner erstemal 14 Tage laufen lassen, bis ich dann meine lokalen Inhalte erstmalig auf so einen online Speicher transferriert habe....Datenpflege und Abgleich fortan mal ganz zu schweigen.
DAS ist keine Alternative, das ist ein Übel....sowas hat man damals einfach "webspace" genannt...hatte jeder ein paar hundert mb im Rahmen seiner email Adresse und gut. Dieser online cloud Wahn nevrt mich extrem. Wer seine Daten komplett online backuped, gibt auch seine Kinder ins Heim.

Ich habe seit einem halben Jahr eine DS214. Ich hatte mich 2 Wochen intensiv eingearbeitet ohne tiefergehendes Vorwissen. Gekauft habe ich sie extra, damit wir unterwegs, sei es von Rechnern oder über Smartphone, mal an Daten rankommen. Zu dem Zweck habe ich bei selfhost. de eine Dyndns, habe diverese Sicherheitseinstellungen gesetzt, in der Fritzbox nur ein paar benötigte Ports weitergeleitet.
Nun dient mir die Diskstation...ja, irgendwie als im LAN befüllte cloud (aber ohne Synchronisierung!), als Medienserver für meine TV und als zusätzliches Backup-Ziel für wichtige ordner, die ich aber auch noch auf externer HDD sichere.

Hexenwerk ist das alles nicht, und eigentlich läuft dieses Diskussion nur, weil einige Honks nicht ein essentielles Firmware-Generations-upgrade auf DSM 5 einspielen wollten...weil sie ja die ach so coolen "ich weiss schon was ich brauche oder nicht IT Rebellen sind". Wegen ein paar dieser Spinner braucht man nicht das gesamte System in Frage zu stellen oder anderen Leuten wie mich, die doch gar nicht betroffen sind, "Fehlnutzung" ihrer Geräte vorwerfen...ja, meine DS ist aus dem Internet erreichbar...was bin ich für ein Vollpfosten...tja, aber meine Daten sind keine Geisel....scheint ja also nicht so wild zu sein...

Ash

 

[Cool Master]

Nun, synology verfährt aber da ja recht gut und zwingt dich keineswegs auf DSM 5 (aka klickibunti) umzusteigen, sondern veröffentlicht Sicherheitsrelevante Updates nach wie vor auch für DSM 4.3, 4.2 und 4.0. sehr Vorbildlich wie ich finde!

Das ist mir klar. Trotzdem ist man halt mit dem neusten Software meist immer sicherer als mit "alter" Software auch wenn diese Updates bekommt. Da die alte Version schon länger draußen ist haben Hacken/Cracker natürlich auch mehr Zeit sich damit auseinander zu setzen um Bugs zu finden. Bei neuen Versionen dauert es etwas länger und idR gibt es da schneller mal ein Update.

Wobei das wesentlich (!) aufwendiger sein dürfte, als ein mit (wortwörtlich) nur ein paar Klicks installierbares Synology-Update.

Spätestens auf mittelfristige bis lange Sicht, wenn bei Linux mal was nicht wie gewünscht beim Update funktioniert.

Als jemand der nun 5 Linux Server hat mit einer Nutzerbasis von ca. 5K Usern kann ich dir sagen so schwer ist das nicht.

Auf Debian basierten Systemen macht man einfach ein "apt-get update && apt-get upgrade" und man sucht nach neuen updates und installiert sie auch gleich. Updates unter Linux sind also nicht schwer. Dazu kommt die DS muss nach jedem update neu starten ein Linux Server bzw. System nicht. Das mache ich nur bei Kernel Updates.

 

[mgutt]

Automatismen, die ein System unbenutzbar machen können, und sei es nur zeitweise, sind als vielleicht auch noch unveränderbare (Vor)Einstellung nie eine gute Idee.

Änderbar sollte das natürlich sein. Und man kann auch dabei zusätzlich Kategorien anbieten, so dass nur Sicherheitsupdates installiert werden. Um einen Supergau durch fehlerhafte Updates (sowie eine Update-Server und Synology-Support Überlastung) zu verhindern, macht man immer nur x Updates pro Tag.

Das Verfahren wenden auch andere an und z.B. bald auch AVM bei den Fritz!Box'en. Chrome gilt unter anderem genau deswegen als sicherster Browser und viele ahmten das nicht ohne Grund nach.

@luxuspur
Deswegen ja abschaltbar.

 

[Helge01]

Ein SoHo-NAS, egal von welchem Hersteller, gehört nicht an das Internet. Sie sind für Heimanwender sehr gut (geringe Stromkosten, gute Leistung) aber für die Anbindung an das Internet nicht geeignet.

Wenn ein Zugriff von außen erfolgen muss, dann nur über eine gesicherte VPN Verbindung. Die Kombination von Sicherheitslücken in der Firmware und der installierten Apps würde zur Behebung wöchentliches patchen voraussetzen.
Das wäre für den Hersteller ein nicht vertretbarer Aufwand und würde die Kosten in die Höhe treiben. Des weiteren müsste der Anwender sich regelmäßig um sein NAS kümmern, was gerade Nutzer von NAS Geräten meist überfordert.

Der Sinn eines NAS besteht ja gerade darin, das der Anwender ein einfach zu bedienendes Gerät mit vielen Funktionen, bei gleichzeitigen geringem Konfigurations- und Wartungsaufwand in die Hand bekommt.

 

[Cool Master]

Ein NAS, egal von welchem Hersteller, gehört nicht an das Internet. Sie sind für Heimanwender sehr gut (geringe Stromkosten, gute Leistung) aber für die Anbindung an das Internet nicht geeignet.

So ein Nonsens... 1. Wie willst du Updates einspielen? Alles auf ein USB Stick, am besten in keller laufen, wieder nach oben, Browser starten und update machen, wieder runter gehen USB Stick holen und wieder hoch gehen?

Na viel Spaß...

Ich kann nicht für andere Hersteller sprechen aber bei Synology ist es Kinderleicht eine sichere Verbindung zu seinem NAS aufzubauen.

Der Sinn eines NAS besteht ja gerade darin, das der Anwender ein einfach zu bedienendes Gerät mit vielen Funktionen, bei gleichzeitigen geringem Konfigurations- und Wartungsaufwand in die Hand bekommt.

Und was spricht dagegen wenn das Teil im Internet ist?

 

[fuyuhasugu]

Ein SoHo-NAS, egal von welchem Hersteller, gehört nicht an das Internet. ... Wenn ein Zugriff von außen erfolgen muss, dann nur über eine gesicherte VPN Verbindung.

Das widerspricht sich zumindest tlw., denn z.B. Synology und auch QNAP haben sehr gute Open-VPN-Server. Ein selbst zusammengebauter VPN-Server ist nicht immer besser, den Router kann man sich nicht immer aussuchen und vor allem ist da i.a. immer noch nur PPTP integriert. Und selbst mit kommerziellen VPNs ist bei Multi-OS-Unterstützung ganz schnell Ende Gelände.

 

[Helge01]

@Cool Master
War eventuell missverständlich ausgedrückt. Mit "gehört nicht an das Internet" war der Zugriff vom Internet aus auf das NAS gemeint und nicht vom NAS zum Internet. Aber auch diesen Zugriff sollte man soweit wie möglich einschränken, Updates sollten natürlich immer möglich sein!

@fuyuhasugu
Der OpenVPN Server vom NAS wäre immer noch die bessere Lösung als eine einfache Portweiterleitung.

Wenn der Router die Möglichkeit besitzt, wäre das meist die bessere Alternative.

 

[Cool Master]

@Helge01

War mir schon klar Wie gesagt mit einem Synology ist es Kinderleicht sein NAS sicher im Internet verfügbar zu machen. Man muss halt wissen was man macht. Sprich einstellen das nach 3 Fehleingaben die IP gebannt wird und so ein Spaß aber wenn man schon so weit denkt sein NAS ins Internet zu setzen wird man es schon wissen.

 

[Helge01]

...NAS ins Internet zu setzen wird man es schon wissen.

Tja das ist leider nicht so, ich werde ja oft angegangen wenn ich "ahnungslosen" abrate, dass sie ihr NAS vom Internet aus erreichbar einrichten wollen.
z.B.
Klick
Klick

Das ein Trojaner Synology-NAS verschlüsselt, obwohl für diese Lücke schon lange ein Update gab, zeigt es ja auch.

 

[G-Power]

Labbere nicht so einen Müll ,damit machst du ein Opfer zu einem Täter (im übertragenen Sinn). Stell dir mal vor dich schlägt einer zusammen ,warst du dann auch selber schuld das du auf die Strasse geangen bist?

Zusammenschlagen ist eine ganz andere Sache.
Aber ich denke ich muss das erklären 1. welche Daten haben den überhaupt ein WERT ( Filme und Spiele nicht, Bilder auch nicht, Dokumente ok da lass ich mit mir reden aber hat man die nicht normalerweise in Papierform Versicherungen usw. ) was bleibt dann noch über an Daten die ein physischen realen Nachteil nach sich ziehen wie z. B. ein Faustschlag ? 2. Wenn dann noch Daten überbleiben und wer die dann noch mitnehmen möchte in Urlaub ja dem ist nicht zu Helfen. Wäre eine Kleine ext. HDD wahrscheinlich sinnvoller als sie der WELT ins NETZ zu stellen.
Zum Tema Müll, Nenne mir doch mal Deine Daten die für dich eine existenzielle Bedrohung darstellen.

 

[-=]ZeroCool[=-]

Na was glaubst du wohl warum in den meisten Firmen nichtmal ein Windowsupdate ungeprüft auf Clients eingespielt wird ?
Und dann sollte man automatische (ungeprüfte) Updates auf die Serverinfrastruktur einspielen ? Was für Firmen gilt gilt grundsätzlich auch für Privatpersonen und sry wer zuhause mit Netzwerktechnik rumspielt, sollte eben auch etwas Ahnung davon haben oder hinterher eben nicht rumflennen!

Sorry aber wie prüfst du eigentlich das Synology Update? Der Vergleich mit einem Windows PC hinkt auch. Hier reicht ja schon ein Java Update und spezielle Software läuft nicht mehr. Ich kann aber von Synology, QNAP, Netapp, HP usw erwarten, dass auf einem geschlossenen Storage Betriebssystem die Grundfunktionen nach einem Update wieder laufen und kein Gerätestillstand eintritt.

 

[crazy_tomcat]

Zitat
Selbst schuld ich hoffe alle Daten sind verloren

Diese Aussage war Müll

 

[Cool Master]

Das ein Trojaner Synology-NAS verschlüsselt, obwohl für diese Lücke schon lange ein Update gab, zeigt es ja auch.

Tja da kann man aber nur einem die Schuld geben:

Dem Admin des NAS.

Ich bekomme immer eine Mail bzw. Push Nachricht wenn es ein Update gibt und das wird gleich installiert.