Comments 103
UFO just landed and posted this here
Если winbox прикрыт firewall, то до него не дойдет трафик. Если бы не так, то это был бы атас полный.
UFO just landed and posted this here
Ошибаетесь. Запускаю винбокс и вижу открытые наружу микроты соседей по локалке.
Не факт, что вы можете на них войти, там есть отдельный протокол для discovery. Плюс он ещё и по l2 умеет и это тоже отдельно нужно блокировать.
По ssh нельзя сделать авторизацию только по ключу.
Можно, параметр always-allow-password-login (https://wiki.mikrotik.com/wiki/Manual:IP/SSH).
Это какой-то фундаментальный закон природы? Что мне помешает так сделать?
Если кому нужен winbox снаружи, то уж лучше VPN сделать и доступ к winbox только через него. Имхо, ssh не всем может заменить winbox.
С трудом представляются случаи, когда мышковозенье в управлении роутером может быть лучше чем SSH. Грепать GUI нельзя, скриптинг нельзя, работать с сотнями устройств через какой-нибудь ansible или на крайняк pssh нельзя. Да есть какой-то костыль The Dude, но он ни с чем кроме микроты не работает, а хочется универсальности. Да и вообще протокол проприетарный и что там у него внутри непонятно. И уже не первый раз его рекомендуют отключать из-за проблем с безопасностью. Ну и нафиг он нужен такой несовместимый и непонятный. К томуже Winbox это всего лишь враппер над ssh по сути.
Лучше мышкой или хуже — дело субъективное, зависящее от задачи, регулярности работы с устройствами (не всем нужно работать с сотнями, скриптить и т.п.). Это дело привычки и времени. Можно отключить, а можно ограничить доступ, вы же не браузер из winbox запускаете, здесь нет таких угроз, как при пользовании IE с контроллера домена Windows ;)
То что у вас нет навыков работы с консолью, совершенно не значит что вы сможете повторить все это мышкой, даже имея дофига времени и «опыта». Кому-то пешком ходить привычнее. Но добраться до места быстрее всего на машине/метро. И как бы вы ни были «привычны» и «опытны» к хождению пешком, эффективнее чем на машине у вас не получится.
Насчет субъективности. Функциональность вполне объективна. И ее можно и нужно сравнивать. Я вам привел пункты по которым winbox мягко говоря всасывает. Жду от вас описания преимуществ winbox по сравнению с cli.
По угрозам — ограничение доступа не обсуждается, это must have, но дыры в протоколе это не закроет.
В IT вообще нечего делать без навыков работы с консолью.
Насчет субъективности. Функциональность вполне объективна. И ее можно и нужно сравнивать. Я вам привел пункты по которым winbox мягко говоря всасывает. Жду от вас описания преимуществ winbox по сравнению с cli.
По угрозам — ограничение доступа не обсуждается, это must have, но дыры в протоколе это не закроет.
В IT вообще нечего делать без навыков работы с консолью.
Что касается меня, да, мне в Winbox удобнее, я настраиваю не так часто микротики. И чаще хвосты подметаю, winbox нагляднее. Хотя «export file» просто прекрасен и часто выручает, когда все-в-одном-файле. И в Windows удобнее графический интерфейс. А в Linux серверах мне графика не нужна, но я не говорю никому, что графика — отстой.
Конкретно по микротику: гуйня разнесенная по сотням разных разделов, вкладок, селекторов, выпадашек и кнопочек, по определению не может быть нагляднее чем полотно конфига /exp t. Который к тому-же упорядочен по разделам.
Про Windows и графический интерфейс вы расскажите создателям PowerShell, которые настолько устали от мышковозенья на своих серверах, что начали делать свою замену bash, чтобы выполнять нужные настройки единственным нажатием запуска скрипта.
Про Windows и графический интерфейс вы расскажите создателям PowerShell, которые настолько устали от мышковозенья на своих серверах, что начали делать свою замену bash, чтобы выполнять нужные настройки единственным нажатием запуска скрипта.
Иногда нужно перейти в соседний подъезд или дом, в пределах квартала. Можно конечно и через метро, но пешком удобнее. Так и с winbox. Настроить весь зоопарк удобнее через ssh, а выполнить какую-нибудь редкую команду — winbox.
Опять же не все сидят на linux и/или постоянно настраивают 100500 микротиков. Иногда люди работают (и даже не работают, а играют!) на windows, а на роутере настраивают только пароль для wifi. В этом случае winbox и даже web гораздо удобнее.
Опять же не все сидят на linux и/или постоянно настраивают 100500 микротиков. Иногда люди работают (и даже не работают, а играют!) на windows, а на роутере настраивают только пароль для wifi. В этом случае winbox и даже web гораздо удобнее.
То что работает для 100500 микротиков прекрасно работает и для одного. Редкая команда отлично выполняется через ssh. Причем, даже в разы быстрее чем через WinBox, если настроить авторизацию по ключам (а это best practices) ибо никакие логины пароли вводить не нужно. Вопрос всегда в развитии. Развиваясь, каждый ищет способ сэкономить самый ценный ресурс — время, даже на выполнение рутинной или даже редкой работы. Тут важно насколько человек ленив/туп, чтобы освоить что-то новое, малопонятно, пугающее сложностью.
Все таки, winbox намного быстрее, чем консоль. И удобнее. И проще.
Если Вы уже освоили управление 100500 микротиков — да.
Но что делать, если их у Вас <10 штук и больше ни когда еще не было? Вот прям серьезно нужно осваивать все примудрости тиковской консоли? Виндузятнику нужно осваивать работу с ssh?
Это в linux rsa генерируется за 5 секунд, а в windows это несколько не удобно! И да, копировать ключ в mikrotik одинаково не удобно, как из linux, так и из windows!
Но Вы так и не ответили: к соседу по лестничной площадке на бэхе поедете? Ведь это удобнее, чем пешком ходить!
Но что делать, если их у Вас <10 штук и больше ни когда еще не было? Вот прям серьезно нужно осваивать все примудрости тиковской консоли? Виндузятнику нужно осваивать работу с ssh?
Это в linux rsa генерируется за 5 секунд, а в windows это несколько не удобно! И да, копировать ключ в mikrotik одинаково не удобно, как из linux, так и из windows!
Но Вы так и не ответили: к соседу по лестничной площадке на бэхе поедете? Ведь это удобнее, чем пешком ходить!
UFO just landed and posted this here
Все проблемы данного диалога в том, что люди не умеют слушать других.
Вам говорят: у меня, например, менее 10 устройств, мне удобно.
А вы в ответ: рассмотрим, например, случай, где 100 клиентов и у каждого 3-4 микротика… это не может быть удобно!
Ну в самом деле!
Вам говорят: у меня, например, менее 10 устройств, мне удобно.
А вы в ответ: рассмотрим, например, случай, где 100 клиентов и у каждого 3-4 микротика… это не может быть удобно!
Ну в самом деле!
UFO just landed and posted this here
Блин, казалось бы — древовидные комментарии. А всё равно непонятно кто с кем спорит.
В целом это не «я за вас додумал», это я взял человека выше, взял его аргумент, спустился на комментарий ниже, прочитал ваши контраргументы и сделал вывод. То есть взять и эмпирически догадаться, что вы контраргументируете, при этом придерживаясь той же точки зрения, что и изначальный комментатор — нетривиальная задача.
В целом это не «я за вас додумал», это я взял человека выше, взял его аргумент, спустился на комментарий ниже, прочитал ваши контраргументы и сделал вывод. То есть взять и эмпирически догадаться, что вы контраргументируете, при этом придерживаясь той же точки зрения, что и изначальный комментатор — нетривиальная задача.
Человеку, который возомнил себя админом и собирается админить что-то большее чем 1 хост, нужно освоить консоль и средства автоматизации или валить из профессии, пока ссаными тряпками не закидали. Ибо консольный интерфейс и SSH в частности это железобетонный стандарт работающий еще с доGIU времен. И навык с ним должен быть иначе стыдно и приходиться придумывать глупости по GUI как «нашевсё». И ваше счастье что в микротике есть gui, и то не дай вам бох попадется коммутатор/роутер других известных и более крутых фирм, в которых голая консоль и ничего больше.
Насчет соседа: в моей аналогии, если до всех объектов включая соседа, другой конец города, другие города, есть удобная, качественная и прямая трасса ведущая прямо от дивана до места назначения, то естественно быстрее добраться на транспорте (SSH). А в вашей логике раз вам до соседа удобно дойти пешком (WinBox), то значит это вообще самый удобный способ перемещения, раз вы не осилили сдать на права или купить билет на сапсан.
SSH это инструмент вообще никак не коррелирующий с использованием ОС. Для всех ОС есть соответствующие клиенты ssh, которые неплохо было бы изучить.
вместо
Я повторюсь, на низком уровне, WinBox это враппер над ssh. При нажатии на соответствующие кнопки мышкой он по сути исполняет те же ssh команды. Вы попробуйте. Изучить что-то новое это всегда полезно.
Вообще не редкость наблюдать как адепты мифа о GUI как о якобы быстрой и удобной штуке, догло, муторно и с повторами водят мышкой в поисках нужно опции и не находят ее. В то время как с консоли тоже самое выполняется в разы быстрее за счет автодополнения табом и сокращений.
Насчет соседа: в моей аналогии, если до всех объектов включая соседа, другой конец города, другие города, есть удобная, качественная и прямая трасса ведущая прямо от дивана до места назначения, то естественно быстрее добраться на транспорте (SSH). А в вашей логике раз вам до соседа удобно дойти пешком (WinBox), то значит это вообще самый удобный способ перемещения, раз вы не осилили сдать на права или купить билет на сапсан.
SSH это инструмент вообще никак не коррелирующий с использованием ОС. Для всех ОС есть соответствующие клиенты ssh, которые неплохо было бы изучить.
Вот прям серьезно нужно осваивать все примудрости тиковской консоли?Там нет прЕмудростей. Все команды автодополняются по табу (одиночному Карл, даже не двойному как в линуксах), или вообще включаете режим автодополнения (Ctrl+V) и RouterOS сама будет за вас дополнять команды и параметры. Есть ? — выдающий справку по всему. Или ещё круче — сокращения, которые не ребуют полные названия команд, например:
/sy p up chвместо
/system package update check-for-updates
Я повторюсь, на низком уровне, WinBox это враппер над ssh. При нажатии на соответствующие кнопки мышкой он по сути исполняет те же ssh команды. Вы попробуйте. Изучить что-то новое это всегда полезно.
Это в linux rsa генерируется за 5 секунд, а в windows это несколько не удобно!Вранье. puttygen. Пара кликов вашей любимой мышкой и ключик готов. Время генерации зависит от длины ключа.
копировать ключ в mikrotik одинаково не удобно, как из linux, так и из windows!Опять вранье. pscp ./file mikrotik:. Или WinSCP для вашей любимой мышки.
Вообще не редкость наблюдать как адепты мифа о GUI как о якобы быстрой и удобной штуке, догло, муторно и с повторами водят мышкой в поисках нужно опции и не находят ее. В то время как с консоли тоже самое выполняется в разы быстрее за счет автодополнения табом и сокращений.
собирается админить что-то большее чем 1 хостА если он не возомнил себя админом? Если это одноразовое действие? У нас 90% оборудования настраивается 1, максимум 2 раза! Или для настройки интернета дома или в не_сетевом магазине нужно обязательно админа-сетевика нанимать?
Насчет соседа: в моей аналогииПовторюсь! По лестничной клетке! До него по ней идти 4 шага! А Вы опять меняете среду, под инструмент.
Для всех ОС есть соответствующие клиенты ssh, которые неплохо было бы изучить.Для всех видов транспорта есть соответствующие права, которые неплохо было бы получить,… но зачем?
которые не Требуют полные названия команд, например:А еще можно писать прямо в машинных кодах, и исполняется быстрее, и места меньше занимает… Только вот совершенно не читаемо. В отрыве от контекста вот это вот "/sy p up ch" — полная абракадабра!
Вранье. puttygen. Пара кликов вашей любимой мышкой и ключик готов.В linux мне достаточно ввести:
ssh-keygen, а в windows для начала нужно этот самый putty скачать, да еще и чтобы вместе с ним всякие допы прилетели, а не только сам голый putty. А потом еще «долго, муторно и с повторами водить мышкой в поисках нужной опции»…
Опять вранье. pscp ./file mikrotik:Или
ssh-copy-id username@linux_IPпоследнее, как мне кажется проще. Ну и скопированый на тик ключ нужно еще в учетку импортировать. Хотя и согласен, что по сертификату в ssh ходить правильнее и удобнее.
адепты мифа о GUI как о якобы быстрой и удобной штуке, догло, муторно и с повторами водят мышкой в поисках нужно опцииОни долго ищут мышкой не потому что GUI не удобный, а потому что не знают что искать! Отсутсвие знаний интерфейсом не исправишь!
Хотя могут быть исключения: в 2012-м (сейчас не знаю, не пользуюсь) в тиковский hotspot (непосредственно в сам генератор паролей) можно было попасть только через web или через ssh, но ни как не через winbox.
Вообще это чистокровный holyWar. Он не имеет вообще ни какого отношения к удобству, а лишь к принадлежности к адептам TUI/GUI. При этом разработчики routerOS поддерживают оба инструмента, за что им огромное спасибо.
Повторюсь! По лестничной клетке! До него по ней идти 4 шага! А Вы опять меняете среду, под инструмент.Вы сами извратили мою аналогию, введя расстояние и делая на нём акцент. Хорошо, вот вам другая. Что быстрее телепорт из вашей квартире в квартиру соседа и любую точку мира, или — 4 шага до своей двери, выход на лестничную клетку, звонок соседу, вход в его квартиру? Так то.
Для всех видов транспорта есть соответствующие права, которые неплохо было бы получить,… но зачем?Вам уже даны универсальные права на все виды транспорта включая телепорт, но вы продолжаете ходить везде пешком тратя время.
А еще можно писать прямо в машинных кодах, и исполняется быстрее, и места меньше занимаетДемагогический прием под названием «ложная альтернатива». Утрирование до крайности. Используется когда аргументов не осталось.
В linux мне достаточно ввести… да еще и чтобы вместе с ним всякие допы прилетели, а не только сам голый puttyСначала вы утверждаете что вам мышкой всё проще а потом сами же начинаете топить за консоль. Определитесь.
Вам уже даны универсальные права на все видыКак владелец водительского удостоверения на катер и авто скажу Вам следущее: это совсем не универсальные права. Аналогично и ssh — в mikrotik и в linux (я уже молчу про windows) они совсем разные. Да, утилита одна (на катере тоже руль), но вот шел за ssh совсем разный (одни габаритные огни чего стоят).
Утрирование до крайности. Используется когда аргументов не осталось.
Что быстрее телепорт из вашей квартире в квартиру соседа и любую точку мира, или — 4 шага до своей двери,Вот только у меня дома нет телепорта. Гипотетически конечно я когда-нибудь, может быть его поставлю, но сейчас у меня его нет. И места под него нет. И желания особого ставить его нет. И денег на его покупку тоже нет. А до двери 4 шага. Думаете стоит заморачиваться с телепортом или прямо сейчас сходить за солью к соседу?
а потом сами же начинаете топить за консоль. Определитесь.Зачем? В linux проще работать в shell, в windows GUI. Сотню mikrotik проще настроить скриптом через ssh, а домашний уж извините я настраиваю через winbox. Разные ситуации — разные инструменты. Я, как мне кажется, уже перерос тот возраст, когда ты людей делишь на своих и чужих (яблочники/андройдофилы/олды, линуксойды/виндузятники/яблочники/etc, интел/амд/извращенцы...), а инструменты на «те, которые знаю и неправильные».
Человеку, который возомнил себя админом и собирается админить что-то большее чем 1 хост, нужно освоить консоль и средства автоматизации или валить из профессии, пока ссаными тряпками не закидали. Ибо консольный интерфейс и SSH в частности это железобетонный стандарт работающий еще с доGIU времен.
Тому, кто админит что-то, нужны инструменты для работы с этим что-то. Если в хозяйстве 2-10 микротиков, к которым обращаются 1-2 раза в 6 месяцев, то зачем тратить свое время на то, чтобы привыкать к консоли? Консоль/терминал/winbox (не важно) — это инструмент. Надо выполнять поставленные задачи. Как-то давно мне пришлось настраивать Catalyst, 2950 вроде, давно уже. Ну да, там консоль, ну да, изучил команды, настроил и через пол-года зыбал команды, потому как разово работал с оборудованием. Был бы gui, не копался бы терминале.
Как я уже писал выше, если у вас более чем 1 устройство и вы продолжаете делать однотипные действия ручками на каждом, да еще и мышкой, то вы уже убиваете свое время.
Соглашусь, что каждый как хочет так и др… т, но я лучше освобожу время и уйду пораньше с работы за счет более эффективных методов работы.
Консоль/терминал/winbox (не важно) — это инструмент.У каждого инструмента есть показатель эффективности. Главные параметры эффективности — время выполнения и функциональность. WinBox проигрывает по обеим пунктам.
Соглашусь, что каждый как хочет так и др… т, но я лучше освобожу время и уйду пораньше с работы за счет более эффективных методов работы.
UFO just landed and posted this here
вы упускаете ключевой момент — с некоторых пор микротик выпускает оборудование и для дома тоже. и вот как раз домашним пользователям совсем не с руки использовать ssh.
тем более, свои тонкости там имеются. Насколько я помню, там не работают команды ls, cd, top итд.
и домашнему пользователю все-таки проще потратить 15-20 минут, настроив все один раз через гуй, чем потратить несколько часов на изучение микротивского терминала, только ради того, чтобы забыть это через два дня, т.к. роутер уже настроен и применять знания негде.
тем более, свои тонкости там имеются. Насколько я помню, там не работают команды ls, cd, top итд.
и домашнему пользователю все-таки проще потратить 15-20 минут, настроив все один раз через гуй, чем потратить несколько часов на изучение микротивского терминала, только ради того, чтобы забыть это через два дня, т.к. роутер уже настроен и применять знания негде.
Я повторюсь, на низком уровне, WinBox это враппер над ssh. При нажатии на соответствующие кнопки мышкой он по сути исполняет те же ssh команды. Вы попробуйте. Изучить что-то новое это всегда полезно.
Кстати, здорово бы было, если бы при исполнении команды в Winbox, она где-либо дублировалась в терминальном варианте, как будто ее из сессии ssh выполнили. Было бы супер полезно.
водят мышкой в поисках нужно опции
тоже самое выполняется в разы быстрее за счет автодополнения табом и сокращенийВы только забываете уточнить, что всё выполняется в разы быстрее в том и только том случае, когда человек знает наизусть все возможные варианты используемых команд и всю древовидную структуру настроек. Иначе все эти удобные сокращения и работа с клавиатурой в пять-шесь нажатий превращаются в постоянное табание, чтобы просмотреть правильно ли вводится команда, чтобы уточнить какие командлеты разрешены после уже введённого, что можно использовать как переменную, а что нельзя, вводится вообще значение или нет, есть ли опечатка в вводимом слове или нет и вот это вот всё.
А так, мышкой кликнул, увидел все возможные опции, запрещённое\недостающее автоматически подсветилось красненьким, изменённое синеньким, ок\отмена.
А можно настроить Port knocking
Я кроме Port knocking еще список разрешенных ip держу, которые резолвятся из ddns имен. У меня получается как бы приватная сеть доступа к маршрутизаторам, и все имеют ddns имена (я не использую статические ip как правило). И можно находясь за любым из этих маршрутизаторов подключать winbox к любому другому.
Но, если удаленная машина за NAT провайдера, то разрешенный ip — будет целым ip nat провайдера со множеством других клиентов. Но меня такой уровень надежности устраивает, т.к. у меня за nat только 1 маршрутизатор.
Но, если удаленная машина за NAT провайдера, то разрешенный ip — будет целым ip nat провайдера со множеством других клиентов. Но меня такой уровень надежности устраивает, т.к. у меня за nat только 1 маршрутизатор.
В смысле вы добавляете ddns микротиков в allow-list друг друга и свободно между ними гуляете в пределах сети под микротиком? Интересная задумка. Не думал, что так можно.
Подскажите, пожалуйста, как вы резолвите ip из ddns-имен? Скрипт, который периодически пытается резолвить? Или микротик сам умеет?
у вас еще одно уязвимое место — доменное имя, случись с ним что, либо с ddns сервисом (оба сервиса вне вашего контроля) и вся система ляжет после удаления dns записи из кеша микрота
Но бывают трудные случаи. Недавно заказчик настоял на открытии winbox наружу, хотя я до последнего упирался. Сейчас и pptp много где используется. Хорошо хоть провы этот траф часто блочат и народ порой вынужден соглашаться на ipsec или ovpn :)
L2TP/IPsec же.
Достаточно легко настраивается на самом Микротике. Особенно если не вдаваться в настройки шифрования и использовать дефолтные, то вообще элементарно.
Со стороны клиента есть поддержка из коробки в Windows, Android, iOS, Mac OS — точно. Кажется есть (но это не точно) в Chrome OS. Вот насчёт Линукса не знаю (не специалист). В Ubuntu кажется надо что-то руками доставить.
PPTP давно признан не надёжным в и той же iOS выпилен уже несколько лет назад.
А открывать что-то наружу без VPN это такое себе я считаю.
Достаточно легко настраивается на самом Микротике. Особенно если не вдаваться в настройки шифрования и использовать дефолтные, то вообще элементарно.
Со стороны клиента есть поддержка из коробки в Windows, Android, iOS, Mac OS — точно. Кажется есть (но это не точно) в Chrome OS. Вот насчёт Линукса не знаю (не специалист). В Ubuntu кажется надо что-то руками доставить.
PPTP давно признан не надёжным в и той же iOS выпилен уже несколько лет назад.
А открывать что-то наружу без VPN это такое себе я считаю.
Ovpn тоже блочат только в путь, считая его udp пакеты торрентами
Всё что нужно знать о защите от этой уязвимости это то, что вчера вышла ROS 6.45.7 где среди прочего:
!) package — accept only packages with original filenames (CVE-2019-3976);
!) package — improved package signature verification (CVE-2019-3977);
!) security — fixed improper handling of DNS responses (CVE-2019-3978, CVE-2019-3979);
PS И да, открыл напрямую WinBox наружу — жди что тебя поимеют.
PPS При этом конечно надо понимать, что и внутренняя сеть не всегда 100% доверенная.
!) package — accept only packages with original filenames (CVE-2019-3976);
!) package — improved package signature verification (CVE-2019-3977);
!) security — fixed improper handling of DNS responses (CVE-2019-3978, CVE-2019-3979);
PS И да, открыл напрямую WinBox наружу — жди что тебя поимеют.
PPS При этом конечно надо понимать, что и внутренняя сеть не всегда 100% доверенная.
… жди что тебя поимеют..
тысячи устройств «изнасилованных» более года назад, продолжают «радовать» публичными проксями (socks4 на порту 4145)
Переводить переменные в питоне на русские — сильно!
My bad, fixed :)
Ни номеров CVE, ни информации о том, что уязвимость закрыта, ни нормального совета по защите.
И я уже молчу, что на КДПВ изображён роутер TP-Link.
И я уже молчу, что на КДПВ изображён роутер TP-Link.
CVE-2019-3978, CVE-2019-3979 как я понял, в 6.45.7 закрыли
Там целая комбинация из 4-х уязвимостей. Отравление кеша и обход проверки подписи пакетов (либо вообще её там не было — проверки).
См. мой вчерашний комент.
См. мой вчерашний комент.
"!) security — fixed improper handling of DNS responses (CVE-2019-3978, CVE-2019-3979);"
Уже исправлено.
А шуму-то, шуму… Хайп — наше всё? :-)
Уже исправлено.
А шуму-то, шуму… Хайп — наше всё? :-)
А каким образом происходит отравление DNS-кэша?
Делается запрос имени у подставного сервера, потом поддельный ответ кэшируется на роутере.
Где это запрос делается? На сторонней машине или в консоле mikrotik?
Я так понимаю это только при отключеной опции remote requests происходит.
Я так понимаю это только при отключеной опции remote requests происходит.
Запрос делается на самом роутере через открытый порт WinBox без аутентификации, опция Allow remote requests ни на что не влияет.
Не совсем понял. Это выполняется часть api протокола связи между ПК и Winbox, в этом месте не требующая аутентификации? Вот winbox_dns_request — это что вообще такое?
Потому что в тексте приводится resolve в консоле микротика под учеткой admin. Но если вы уже admin, нафиг все остальное?
Потому что в тексте приводится resolve в консоле микротика под учеткой admin. Но если вы уже admin, нафиг все остальное?
Как я понял — winbox_dns_request какая-то штука, которая позволяла резолвнуть домен указав при этом DNS-сервер через который резолвить. И именно извне (а не с консоли устройства) через порт винбокса и не проходя авторизацию. И даже при выключенных внешних DNS запросах.
Как это работает хорошо видно на видео.
Номера CVE известны. Если нужны подробности можно почитать описание.
Как это работает хорошо видно на видео.
Номера CVE известны. Если нужны подробности можно почитать описание.
Т.е. если у меня в конфиге сервисов на винбокс повешены трастед нетворкс, то мне такое не грозит?
Лучше это всё же делать файрволом, а не через available from в сервисах.
И даже если у нас WinBox не торчит наружу, то надо понимать, что внутренняя сеть тоже не всегда доверенная. А в более общем смысле у нас может вообще не быть «внешних» и «внутренних» сетей. Поэтому уповать на какую-то доверенность не стоит.
А вообще набор уязвимостей, используемый в этой атаке, уже закрыт в последней прошивке. Всегда обновляйтесь и будем вам счастье. Загрузчик кстати тоже не забывайте обновлять при этом.
И даже если у нас WinBox не торчит наружу, то надо понимать, что внутренняя сеть тоже не всегда доверенная. А в более общем смысле у нас может вообще не быть «внешних» и «внутренних» сетей. Поэтому уповать на какую-то доверенность не стоит.
А вообще набор уязвимостей, используемый в этой атаке, уже закрыт в последней прошивке. Всегда обновляйтесь и будем вам счастье. Загрузчик кстати тоже не забывайте обновлять при этом.
так и есть — стоит ссr-1036 и по сути там нет внутренней и внешней сети, да и во внутренней «кулибиных» хватает. А почему лучше фаерволом, а не в сервисах?
Я вот прям железные аргументы не приведу. Вообще про это говорили на обучении, а вот чем мотивировали как-то подзабыл.
Но от себя могу сказать так:
Во-первых так советует сам MikroTik («As usual, we recommend to protect your router administration interface with VPN and firewall.»).
Во-вторых иметь всю конфигурацию в одном месте (т.е. в файрволе) это банально удобнее. Так файрвол открыл и всё перед глазами. А если в сервисах ограничение настроил, то скажем про это можно банально забыть. И если потом что-то поменяется, то может получится неприятный сюрприз.
В-третьих firewall filter банально раньше по traffic flow. Зачем нам не нужный трафик пускать дальше по цепочке аж до локальных процессов?
Но от себя могу сказать так:
Во-первых так советует сам MikroTik («As usual, we recommend to protect your router administration interface with VPN and firewall.»).
Во-вторых иметь всю конфигурацию в одном месте (т.е. в файрволе) это банально удобнее. Так файрвол открыл и всё перед глазами. А если в сервисах ограничение настроил, то скажем про это можно банально забыть. И если потом что-то поменяется, то может получится неприятный сюрприз.
В-третьих firewall filter банально раньше по traffic flow. Зачем нам не нужный трафик пускать дальше по цепочке аж до локальных процессов?
А почему лучше фаерволом, а не в сервисах?
Например, недавно здесь была статья, в которой упоминалось, что некоторые роутеры настроены отвечать на некоторые запросы только в "домашнююю" сеть… но для IPv6 такое ограничение для сервисов прописать забыли, и они бодро отвечают на внешнем интерфейсе. Думаю, можно придумать и иные сценарии...
С надеждами на файрволл надо быть аккуратнее, потому что он работает на L3, а winbox-mac живёт уровнем ниже. У микротика уже были моменты, когда часть вещей не блокировалась файрволлом, поскольку обрабатывалась до него (dhcp точно работал|работает так).
Да, Trusted Networks обрывают соединение сразу же, запросы делать нельзя, поэтому обсуждаемый эксплойт не сработает.
Обычно отравление хеша не требует запроса, достаточно просто прислать ответ на запрос (даже при отсутствии запроса) и не всегда даже надо соблюсти правильный IP отправителя ответа.
В редких случаях, когда алгоритм умеет проверять наличие запроса и соответствие характеристик при обработке ответа (реализации можно пересчитать по пальцам одной руки электрика), злоумышленникам приходится постоянно бомбить ответами в надежде что когда-нибудь произойдёт запрос и их ответ придёт раньше чем легитимный.
Как от этого уберечься?
Использовать (где это возможно) TCP транспорт для DNS запросов идущих по публичным и прочим не доверенным сетям. UDP при этом просто запрещать на уровне МСЭ.
Сейчас модно делать всякие DoH и DoT, они тоже от этого защищают, но там угрозы иного типа: вы полностью отдаёте паттерн своего поведения не очень чистоплотным провайдерам (как и в случае прописывания всех 4-х восьмёрок или единиц).
В редких случаях, когда алгоритм умеет проверять наличие запроса и соответствие характеристик при обработке ответа (реализации можно пересчитать по пальцам одной руки электрика), злоумышленникам приходится постоянно бомбить ответами в надежде что когда-нибудь произойдёт запрос и их ответ придёт раньше чем легитимный.
Как от этого уберечься?
Использовать (где это возможно) TCP транспорт для DNS запросов идущих по публичным и прочим не доверенным сетям. UDP при этом просто запрещать на уровне МСЭ.
Сейчас модно делать всякие DoH и DoT, они тоже от этого защищают, но там угрозы иного типа: вы полностью отдаёте паттерн своего поведения не очень чистоплотным провайдерам (как и в случае прописывания всех 4-х восьмёрок или единиц).
Тот самый случай когда заголовок поста об уязвимости громче самой уязвимости. Любой адекватный админ никогда не станет выставлять встроенный dns север за пределы локальной сети. И уж тем более он не станет светить винбокс. Так что вместо рекомендации перейти на ssh имхо можно было посоветовать просто дождаться исправления и обновиться…
Оо, а вот и мой шанс вернуть под своё управление «потерянный» из-за предыдущей уязвимости роутер без физического сброса до заводских установок.
Кстати, вот подумал. В настройках микротика по-моему есть галочка, которая может не позволить его сбросить даже при физическом доступе. Бяда.
Кстати, вот подумал. В настройках микротика по-моему есть галочка, которая может не позволить его сбросить даже при физическом доступе. Бяда.
У меня было сделано давно, что уже забыл, и сейчас по случаю этой заметки (спасибо, Лука) пришлось освежить следующие моменты: для того чтобы убрать доступ по MAC-Telnet и MAC-Winbox с WAN-интерфейсов необходимо удалить (или сделать disable) соответствующие интерфейсы из списков
mactel и mac-winbox — путь к команде: /interface list member. Также можно ограничить IP-префиксы с которых доступны различные сервисные службы Микротика — путь к команде: /ip service.
What's new in 6.45.7 (2019-Oct-24 08:44):
MAJOR CHANGES IN v6.45.7:
— !) lora — added support for LoRaWAN low-power wide-area network technology for MIPSBE, MMIPS and ARM;
!) package — accept only packages with original filenames (CVE-2019-3976);
!) package — improved package signature verification (CVE-2019-3977);
!) security — fixed improper handling of DNS responses (CVE-2019-3978, CVE-2019-3979);
MAJOR CHANGES IN v6.45.7:
— !) lora — added support for LoRaWAN low-power wide-area network technology for MIPSBE, MMIPS and ARM;
!) package — accept only packages with original filenames (CVE-2019-3976);
!) package — improved package signature verification (CVE-2019-3977);
!) security — fixed improper handling of DNS responses (CVE-2019-3978, CVE-2019-3979);
Я вот смотрю видосы с эксплуатацией уязвимости и не могу понять, нафига её использовать, если там все заходят под админом через винбокс?
1. Актуальных дыр в винбоксе на текущий момент нет.
2. Открытый доступ в винбокс в инет без минимальной фильтрации по ип и/или впн — нормальные человеки не делают.
3. Смешно бояться что оттрекается изменение конфига, те кто делает алерты на изменения конфига всегда контролят и входы на оборудование.
3. Галку раздавать днс без прав админа не поставить, если заходить под readonly учеткой.
4. С клиентской тачки запросами кэш на микротике не отравить.
Вектор атаки только один: имея доступ к вышестоящему днс серверу для уязвимого микротика — там подменять ип сервера обновлений, что типа «отравит» кэш днс и свято верить что на микротике произойдет автоапгрейд пакетов, что не делается по умолчанию.
По факту уязвимость только в том, что не проводится корректная проверка подписи пакетов.
Чего то многовато ЕСЛИ что бы выполнить атаку и сделать downgrade, что бы захватить доступ.
Чего хайпим то? Или я упустил чтото?
1. Актуальных дыр в винбоксе на текущий момент нет.
2. Открытый доступ в винбокс в инет без минимальной фильтрации по ип и/или впн — нормальные человеки не делают.
3. Смешно бояться что оттрекается изменение конфига, те кто делает алерты на изменения конфига всегда контролят и входы на оборудование.
3. Галку раздавать днс без прав админа не поставить, если заходить под readonly учеткой.
4. С клиентской тачки запросами кэш на микротике не отравить.
Вектор атаки только один: имея доступ к вышестоящему днс серверу для уязвимого микротика — там подменять ип сервера обновлений, что типа «отравит» кэш днс и свято верить что на микротике произойдет автоапгрейд пакетов, что не делается по умолчанию.
По факту уязвимость только в том, что не проводится корректная проверка подписи пакетов.
Чего то многовато ЕСЛИ что бы выполнить атаку и сделать downgrade, что бы захватить доступ.
Чего хайпим то? Или я упустил чтото?
Упустил, и много чего. Выше в коментах всё написано. Если сильно вкратце — достаточно доступа к порту WinBox, всё.
Уязвимости уже закрыты.
Но в одном Вы совершенно правы — слишком заморочено, что бы стать массовой проблемой. Как раз именно потому, что нужно каком-то образом инициировать обновление пакетов в нужный момент.
Уязвимости уже закрыты.
Но в одном Вы совершенно правы — слишком заморочено, что бы стать массовой проблемой. Как раз именно потому, что нужно каком-то образом инициировать обновление пакетов в нужный момент.
Насколько я понял, это не совсем так. Отравить кеш может неавторизованный пользователь. А вот провести апгрейд/даунгрейд — только авторизированный.
Совершенно верно. В тот момент когда Вы это писали я расширил свой комментарий, добравшись до компа (предыдущий писал по быстрому с мобилы).
Тут просто в самом изначальном посте всё смешалось.
На самом-то деле тут сразу несколько уязвимостей было, позволяющих отравить кеш не авторизованному пользователю и позволяющих заливать неподписанные пакеты.
Вектор атаки показанный на видео в жизни конечно маловероятен. Разве что ещё социальную инженерию сюда подключить. Типа «Алло, это сисадмин? Я ваш кеш отравил, накатите плиз свежую прошивочку по быстрому!».
Но и по отдельности эти уязвимости тоже мало приятны.
На самом-то деле тут сразу несколько уязвимостей было, позволяющих отравить кеш не авторизованному пользователю и позволяющих заливать неподписанные пакеты.
Вектор атаки показанный на видео в жизни конечно маловероятен. Разве что ещё социальную инженерию сюда подключить. Типа «Алло, это сисадмин? Я ваш кеш отравил, накатите плиз свежую прошивочку по быстрому!».
Но и по отдельности эти уязвимости тоже мало приятны.
Все равно на уязвимость, по сравнению с апрельсой 0day 2018 это меркнет, но если хотябы 1% всех 'горе владельцев' уберут эту чертову галочу с allow remote request уже будет отлично.
Толи я дурак толи лыжи не едут.
Ок, допустим. Для клиентов сети нехорошо будет, но в целом не смертельно с учетом https и т.д.
Допустим да, сможет обмануть контроль версий микротика, но
С какой стати микротик будет сам «обновляться»? Такого функционала никогда там не было. Чтобы «обновить» прошивку нужно залогиниться и ручками прописать «update» или кликнуть по одноименной кнопке.
Теперь если с помощью Winbox поискать example.com то можно увидеть что DNS-кеш маршрутизатора отравлен.
Ок, допустим. Для клиентов сети нехорошо будет, но в целом не смертельно с учетом https и т.д.
Атакующий воссоздает логику сервера обновлений, включая changelog и заставляет RouterOS воспринять устаревшую (уязвимую) версию как актуальную.
Допустим да, сможет обмануть контроль версий микротика, но
произвести даунгрейд или бэкпортирование версии RouterOS.
С какой стати микротик будет сам «обновляться»? Такого функционала никогда там не было. Чтобы «обновить» прошивку нужно залогиниться и ручками прописать «update» или кликнуть по одноименной кнопке.
UFO just landed and posted this here
Прямо встроенного выделенной функцией нету, но есть планировщик и скрипты:
Но в местах, где нужна работа 24/7, я бы всё-таки вручную обновлял — на случай, если выпустят кривое обновление.
/system scheduler
add interval=1d name=autoupdate on-event="/system package update\r\
\ncheck-for-updates once\r\
\n:delay 1s;\r\
\n:if ( [get status] = \"New version is available\") do={ install }" policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive start-time=04:00:00
/system routerboard settings
set auto-upgrade=yes silent-boot=yesНо в местах, где нужна работа 24/7, я бы всё-таки вручную обновлял — на случай, если выпустят кривое обновление.
Так можно же не обновляться с кнопки, а скачать прошивку и закинуть на микрот руками
Не рискнул вмешаться в дискуссию выше «Winbox vs CLI», но в RouterOS v7 (хоть и бета):
-) Winbox does not show all features, use CLI for most functionalityСам я не смотрел, насколько урезали Winbox. Похоже, в Mikrotik устали от уязвимостей Winbox, поэтому, возможно, плавно отходят от его использования. Хотя, я думаю, для домашних пользователей могут оставить базовые настройки через него.
Sign up to leave a comment.
Backport уязвимость в RouterOS ставит под угрозу сотни тысяч устройств