C++ Forum :: Idioten in der IT Community - Einen habe ich gefunden, man staune: (Stichwort: libreelec)

Unregistrierter

Heute habe ich mal libreelec, eine KODI Distribution für den Raspberry Pi ausprobiert.
Dazu habe ich gleich mal sshd gestartet um dann gleich mein root Passwort zu ändern.

Aber seht selbst:

Code:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23	xxx@comp:~$ # ssh root@libreelec root@libreelec's password: ############################################## # LibreELEC # # https://libreelec.tv # ############################################## LibreELEC (official): 8.2.2 (RPi2.arm) libreelec:~ # passwd There is no working 'passwd'. The 'passwd' command changes passwords for user accounts. With LibreELEC it is not possible to change the system password SSH is included only as a last support resort. SSH is off by default. Most users never need SSH and need help using it so we need a default password. If you need to keep SSH always on then this is unsupported but can be secured with certificates. TIP: disable password authentication in ssh and use public key authentication. libreelec:~ #

WTF?

Alle Welt versucht die Rechnersysteme sicherer zu machen und dann sieht man so etwas und fragt sich, was für Idioten es doch auf dieser Welt gibt.
Da wird doch tatsächlich explizit versucht zu verhindern, dass der Benutzer sein root Passwort ändern kann.

So etwas völlig bescheuertes habe ich noch nie gesehen.
Ich meine, man kann ja ein default Passwort festlegen, bis die Computer Laien das brauchen, werden sie es eh nie geändert haben
und diejenigen, die es verändert und vergessen haben, sind selber schuld.
Aber das man verhindert, dass es diejenigen ändern können, die sich das merken können, das bescheinigt den dafür Verantwortlichen doch wirklich die Deppeneigenschaft.

Zumal es den Laien auch nichts nützt wenn Botnetze und Hacker deren Libreelec Installation übernehmen und dann das root Passwort einfach selber, über Umwege, ändern, dann kommen die Laien auch nicht mehr rein.

Unregistrierter

Falls jemand das gleiche Problem hat und eine Lösung sucht, hier ist ne einfache Anleitung:

http://blog.helmutkarger. ....... -28-ssh-zugang-absichern/

Das Grundproblem bleibt aber.
Das root passwd kann nicht gesetzt werden.

SeppJ Global Moderator 15:18:14 13.01.2018 Titel:

Zitat:

TIP: disable password authentication in ssh and use public key authentication.

Unregistrierter

SeppJ schrieb:

Zitat:

TIP: disable password authentication in ssh and use public key authentication.

Steht ja oben, ändert aber nichts daran, dass kein root PW gesetzt wird.
Es gibt schließlich noch andere Angriffszenarien.

SeppJ Global Moderator 17:53:19 13.01.2018 Titel:

computertrolls schrieb:

SeppJ schrieb:

Zitat:

TIP: disable password authentication in ssh and use public key authentication.

Steht ja oben,

Ich habe es nur zitiert, weil dein ganzer Rant diese Empfehlung ignoriert, bowohl es die perfekte Lösung ist und von der Software selber vorgeschlagen wird, in genau dem Text, über den du dich so künstlich aufregst. Du ignorierst es bloß.

Zitat:

ändert aber nichts daran, dass kein root PW gesetzt wird.
Es gibt schließlich noch andere Angriffszenarien.

Welche denn? Wenn das PW abgeschaltet ist, dann ist es dicht und das ist sowieso eine gute Empfehlung ganz allgemein, denn Key ist viel sicherer als Passwort. Fast schon gut, den Nutzer dazu zu zwingen.

Unregistrierter

Passwörter in ssh zu nutzen ist schon fast sträflich. Mache ich schon seit > 15 Jahren nicht mehr. Ganz offensichtlich muss man in der heutigen Zeit einigen Leuten noch erklären dass es mit Keys nicht nur möglich, sondern auch wesentlich sicherer ist. Von der einmaligen Einrichtung abgesehen ist es sogar noch bequemer.

Unregistrierter

Reg mich über alles auf schrieb:

Passwörter in ssh zu nutzen ist schon fast sträflich. Mache ich schon seit > 15 Jahren nicht mehr. Ganz offensichtlich muss man in der heutigen Zeit einigen Leuten noch erklären dass es mit Keys nicht nur möglich, sondern auch wesentlich sicherer ist. Von der einmaligen Einrichtung abgesehen ist es sogar noch bequemer.

Dann log dich mal von verschiedenen Rechnern ein.
Darauf habe ich echt keine Lust, für jeden Rechner den Key auszutauschen, so dass man von jedem Rechner jeden erreichen kann.

PW sind bei ausreichender Keylänge immer noch gut genug im Heimbereich und wer seinen Rechner gegen BruteForce Angriffe absichern muss, der kann und sollte die IPs nach dem n-ten Loginversuch sperren.

Unregistrierter

[quote="SeppJ"]

computertrolls schrieb:

SeppJ schrieb:

Zitat:

TIP: disable password authentication in ssh and use public key authentication.

Steht ja oben,

Ich habe es nur zitiert, weil dein ganzer Rant diese Empfehlung ignoriert, bowohl es die perfekte Lösung ist und von der Software selber vorgeschlagen wird, in genau dem Text, über den du dich so künstlich aufregst. Du ignorierst es bloß.

Zitat:

ändert aber nichts daran, dass kein root PW gesetzt wird.

Nein, es geht um zwei verschiedene Dinge.

Das eine ist ein Umweg, das andere das Problem das es überhaupt verhindert wird, dass man ein root PW setzen kann.

Zitat:

Welche denn? Wenn das PW abgeschaltet ist, dann ist es dicht und das ist sowieso eine gute Empfehlung ganz allgemein, denn Key ist viel sicherer als Passwort. Fast schon gut, den Nutzer dazu zu zwingen.

Z.B. Mehrbenutzeraccounts.
Admin sollte nur einer sein.

SeppJ Global Moderator 00:28:50 14.01.2018 Titel:

Du machst dir Probleme wo keine sind, weil du Probleme haben möchtest. Dann hab' halt Probleme, wenn du unbedingt willst! Aber erwarte keine Hilfe.

hustbaer Mitglied 01:09:21 14.01.2018 Titel:

Mal ne blöde Frage: können KODI Plugins nicht beliebigen Code ausführen? Falls das stimmt, und das root passwort bekannt ist, heisst das nicht dass Plugins dann auch root Zugriff auf das Gerät haben?