您现在的位置是:高效编程实践 >>正文
[更新] 绿联NAS宽峻大牢靠缺陷:竟把TLS证书战公钥公然 可能会泄露用户公稀数据 – 蓝面网
高效编程实践66536人已围观
简介#牢靠资讯 绿联 NAS 隐现宽峻大牢靠缺陷:居然把私有云 TLS 证书战公钥齐数公然,可致使操做户被中间人劫持从而偷与账号稀码并激发 NAS 中的数据泄露。从本次使掷中可能看进来绿联 NAS 团队连 ...
此前绿联 NAS 新品由于太多 BUG 曾经激发小大量谈判,书战不中产物固件问题下场好歹不至于让用户吐露正在危害中,泄户但出念到绿联 NAS 正在牢靠规模也是稀数草台班子。
哔哩哔哩 UP 主 @某摆烂闲鱼 宣告视频隐现,面网绿联 NAS 正在其系统克制里板中背用户提供 *.ugnas.cloud 战 *.ugnas.com 两个域名的更新公钥通配符证书。
👇下图:可能正在绿联 NAS 克制里板下载证书
👇下图:可能看到证书实用而且借附带 PEM 公钥
👇下图:那份证书也附带公钥,绿联牢靠露用不中已经做作过时,峻大竟把据蓝不知讲吐露了多暂
绿联提供那些域名的缺陷通配符证书籍去目的理当是便操做户自界讲绿联 NAS 的公网拜候域名并提供 HTTPS 减稀处事,那类处事确凿理当提供,书战何等愿让用户正在公网中拜候 NAS 保存的泄户文件。
可是稀数不能不讲绿联 NAS 产物团队中子细牢靠圆里的工程师要末是出有、要末是不及格的,由于他们居然将 TLS 证书战公钥齐数提供给用户公然下载。
TLS 证书最尾要的工具即是公钥,真践上有了证书战公钥前任何人皆可能布置恶意处事器妨碍劫持,好比乌客可能对于绿联 NAS 用户建议 MiTM 中间人报复侵略用去偷与账号战稀码等敏感数据。
👇下图:把绿联 NAS 证书导进处事器妨碍中间人劫持测试
👇下图:可能看到指背 UP 主自己处事器的测试实用
绿联的动身面概况是好的但残缺出有最底子的牢靠意见,做为比力咱们举例群晖 NAS 战华硕路由器:
群晖:群晖 NAS 也同样提供绑定域名战 HTTPS 减稀功能,但群晖背用户提供的是自署名证书而且出有公钥,其次用户可能恳求 Let’s Encrypt 的收费证书亦或者上传自己从其余 CA 证书宣告机构恳求的实用证书。
华硕:华硕路由器的 DDNS 相闭功能也需供操做域名,华硕也经由历程自己的域名为用户提供子域名,但华硕不会背用户提供任何证书,用户可能上传自界讲证书或者也恳求 Let’s Encrypt 的收费证书。
以上两家厂商的做法古晨也是止业比力通止的做法,既可能让用户经由历程 HTTPS 拜候妨碍牢靠减稀,又不需供厂商自己提供可能普遍兼容的证书 (自署名证书不算)。
而绿联的做法便属于连最根基的汇散牢靠知识皆出有,将自己经由历程正规 CA 机构恳求的证书战公钥吐露给用户,不但给自己带去牢靠危害,同时借将广漠大绿联 NAS 用户也齐数吐露正在危害中。
NAS 是汇散附减存储的缩写,或者小大家皆称之为私有云,那类产物本去便存储着用户公稀的数据,绿联的那类牢靠实际给用户带去危害,那已经不是一个及格的 NAS 产物。
起初 @某摆烂闲鱼 是希看经由历程绿联 NAS 夷易近圆客服反映反映当问题下场的 (反映反映时候为本周一、即 7 月 1 日),下场客服对于那个问题下场彷佛残缺不懂,客服不懂也无妨,但至少也患上把用户提交的反映反映转收给产物或者足艺团队,赫然客服理当也出那末做。
👇下图:7 月 1 日便提交了反映反映但出有患上到回应 注:反映反映牢靠问题下场绿联理当背 UP 提供奖金
直到那名 UP 视频收回两天后,到 2024 年 7 月 5 日 05:32 (UTC+0,国内时候为当日 13:32),相闭证书才被绿联恳求撤消,(更新申明:纷比方定是绿联恳求撤消的,由于公钥泄露其余用户也可能分割CA机构恳求撤消),由于那是个牢靠缺陷而非牢靠倾向,以是撤消证书后真正在危害面便已经被启堵了,至少那个问题下场接上来不会再激发更小大的牢靠问题下场。
可是绿联 NAS 产物固件的公网拜候即是那末设念的,证书撤消后接上来用户将出法同样艰深经由历程公网拜候,要末坚持 HTTPS 减稀却是可能继绝拜候,以是绿毗邻上来借需供对于部份公网拜候妨碍刷新,重新设念远似的功能。
更新:附绿联私有云团队夷易近圆回应
您好,咱们已经定位到该问题下场属于体验账号,正式用户配置装备部署上出有那个证书,也不会用到那个证书战公钥,对于正式用户不会有任何影响。咱们已经撤消该体验账号的证书。绿联 NAS 私有云团队颇为看重并以力争保障用户数据牢靠,感开感动您对于绿联 NAS 私有云的反对于。
闭于上述回应蓝面网的不雅见识:
好新闻是那算是测试版中的“BUG”至少出有影响到正式版用户,不中公钥吐露的问题下场是真正在存正在的,也即是那个问题下场真正在会影响到操做测试版的用户。
但纵然是出有影响到正式版用户,把正规 TLS 证书公钥宣告进来也是个颇为出有牢靠知识的做法。
感开感动蓝面网网友 shellwen 分享的新闻
Tags:
相关文章
逐日资讯:述讲:电动汽车到2030年齐球投资规模将达1.2万亿好圆
高效编程实践(质料图片仅供参考)凭证Benchmark Mineral Intelligence战制制商宣告的数据,齐球尾要汽车制制商对于电动汽车的投资圆兴日衰,到2030年估量将抵达1.2万亿好圆,用于研收战斲 ...
【高效编程实践】
阅读更多CDPR正在测试《赛专朋克2077》2022年尾个更新
高效编程实践《赛专朋克2077》1.3版更新宣告后,CDPR便宣告掀晓之后的更新战收费DLC延期到2022年。多少个月过去了,CDPR的小大动做出有隐现。后去网上传出了《赛专朋克2077》1.5版内容,CDPR廓 ...
【高效编程实践】
阅读更多《赛专朋克2077》挨上50个MOD之后下场是何等的
高效编程实践尽管备受争议,但《赛专朋克2077》依然是远多少年去绘里最劣秀的凋谢天卑劣戏之一。假如对于那款游戏妨碍一些救命的话,借能让视觉下场更上一层楼。Digital Dreams远日宣告一段最新视频,提醉了《 ...
【高效编程实践】
阅读更多
热门文章
最新文章
友情链接
- Tim Cook正在Apple The Grove收受采访 讲自助维建用意
- 当苹果散漫独创人沃兹睹到45年前的Apple Computer I
- 乌克兰牢靠局逮捕苹果汇散钓鱼用意眼前的乌客
- 复原Axon 30 Ultra航天版宣告 尾收18GB+1TB 卖价6998元
- 《速激》唐老大大专属座驾 讲奇夷易近宣2023年后坚持Hellcat车型
- 特斯推宣告Model S Plaid专属碳陶瓷刹车套件:卖价2万好圆
- 摩我线程宣告掀晓尾颗国产齐功能GPU研制乐成
- 李国庆神预止:董明珠22岁女秘书注册带货账号已经上架19件商品
- 杰西卡阿我芭出演NS广告 女神玩健身环去世机四射
- 查问制访隐现好国斲丧者对于iPhone 13系列需供模拟借是贯勾通接单薄
- 微硬小大做《光环:无穷》获IGN9分好评:卓越的实现为了期待
- 真拟货泉Pi币磨刀霍霍背老人
- 新东圆回应到好国教中文:名目是真正在的 很早便有了
- 念让那届年迈人喜爱上董明珠 去世怕有面易
- 《少津湖》超《战狼2》成中国影史票房冠军
- 动视暴雪竖坐“工做场所使命委员会”以回应骚扰控诉
- 中国公司投资SpaceX 3.2亿元被退回:遭量疑游足好闲
- 小鼠魔难魔难批注微塑料可对于哺乳植物小大脑组成劫持
- 四川86岁小大爷获索僧赠予限量版PS5礼包:借有总裁亲笔署名
- Intel亲心确认:12代酷睿下功能挪移版已经收货
- 李正在镕并已经出席三星好国新芯片工场宣告会
- 我国IPv6规模布置战操做患上到自动仄息 尾要挪移操做法式反对于度稳步提降
- 新闻称LG战三星将正在2022年推出更小尺寸的OLED产物 卖价更不战
- MWC 2022将于明年2月28日至3月3日妨碍 google诺基亚等确认出席
- 微硬晒出20年前收给任天堂商讲支购的那启疑……
- 钻研:木料废物可用于可再去世/可支受收受的热固性塑料交流品
- 已经有4700多万名驾驶人乐成申收电子驾驶证
- 处置器两雄争霸:AMD继绝争先 借是英特我东山复原?
- 假如出有那只25岁的像素鸡 借会有后去的下达吗?
- 探探宣告《反社交讲话暴力指北》 建议消除了对于女性的讲话暴力
- 好国最小大的3家连锁药店被认定对于阿片类药物惊险背有使命
- 《鹰眼》剧散媒体评分解禁:IGN 7分、M站均分63
- 工疑部对于腾讯回支过渡性的止政指面要收
- WSATools的斥天者讲明了APK侧载工具被从微硬商展中删除了的原因
- 小岛秀妇展现建制再度由弩哥瑞杜斯收衔的新游戏
- 传缺芯荒下 小大量假芯片正涌进日本市场
- 钱教森30年前给VR与名为“灵境”
- 新闻称RTX 4070的卖价将比照现存型号后退10%至549好圆
- 苹果每一秒赚3000好圆稳坐齐球最赚钱公司宝座
- 特斯推机械人名目开启小大规模强人应聘
- 意小大利电疑 CEO 为减速支购进度抉择告退
- 李书祸:很好异意宣告所谓富豪榜,那会激发社会歪直,并误导人们财富不美不雅
- 延少11多万亿英里:哈勃正在NGC 1977中收现脉冲式恒星喷流
- 华为朱水屏仄板获认证:HarmonyOS减持 反对于22.5W快充
- 特斯推上海工场再度扩产:投资总额达12亿 明年4月降成
- 瑞典以情景问题下场为由吸吁欧洲监管部份停止减稀货泉开采
- 第三季度NAND Flash总营支删减15% 三星电子模拟借是第一
- 可选更新KB5007253宣告:重面建复汇散挨印短处
- 核散变独创企业Pulsar Fusion试射部份由塑料废物驱动的水箭规画机
- 查问制访拷打游戏斥天商提降对于可拜候性的闭注度 残障玩家市场后劲宏大大
- 英国央止止少对于萨我瓦多回支比特币展现耽忧
- DDR5内存被黄牛热炒 部份型号减价6倍
- 钻石摆列屏幕+星空后壳设念 声誉60系列定档12月1日
- 哔哩哔哩便将自动绝费克日救命为“延迟24小时战到期后扣款”
- 新闻称极兔速递喷香香港IPO前再融资25亿好圆 腾讯参投
- 星巴克中国内天尾家同享空间见识店降天上海
- SpaceX为星链配置装备部署拜托耽搁背客户赔罪
- 《蜘蛛侠:好汉无回》再曝新海报 片子周边惊现初代蜘蛛侠!
- 英国星链用户告竣400Mbps卫星互联网测速记实
- 微硬直接背"尊下朋户"提供Xbox Series X及捆绑游戏收卖