Onkyo Netzwerksicherheit - Zugriff für jedermann?

Autor

Beitrag

Mireyu
Neuling

#1 erstellt: 24. Dez 2012, 00:26

Hi liebe Hifi-Community,

seit kurzem bin ich stolzer Besitzer eines Onkyo TX-NR515. Die neueren TX-NR-Geräte verfügen so gut wie alle über Ethernet-Ports, die eine perfekte Schnittstelle zum restlichen Home-Netzwerk darstellen. I-net-Radio, NAS (dlna/upnp), Steuerung per App (Android/iOS), Config/Dlna/upnp über PC ... alles möglich.

App: Doch gerade bei der App, die sich per wlan mit dem Gerät verbinden kann, fielen mir die ersten Bedenken bzgl. Sicherheit auf. Theoretisch könnte jeder innerhalb dieses wlans per App mit dem Onkyo kommunizieren - so als hätte man mehrere Fernbedienungen (doch selbst da kann man eine ID (1,2,3) auswählen). Der Datenverkehr ist unverschlüsselt (nein, das wlan ist verschlüsselt, gemeint ist die Kommunikation zwischen AVR und App, der von Dritten im selben wlan mitgelesen werden kann). Dh. jeder könnte sich mit ein wenig Überlegung und Sachverständnis seine eigene App zusammenbasteln (bzw. ein Programm am PC - was auch ganz praktisch wäre :3 ). Da aber wohl kaum jmd. in meinem wlan-Kreis sich extra die App zulegen würde nur um mich zu ärgern vertiefte ich mich diesbezüglich nicht weiter in der Materie.

PC: Der Onkyo hängt im Lan: Super. Man sieht den Onyko (dank DHCP) sofort in der Netzwerkumgebung: Super. Man kann auf die IP des Onkyo ohne Probleme ... und ohne Benutzername oder Passwort zugreifen: Sch...eibenkleister. Wir sind eine WG mit mehreren Leuten, die alle am gleichen Netz sitzen. Dh. absolut jeder im Netzwerk kann auf den AVR zugreifen ... was natürlich recht unpraktisch ist. Per "meine.ip/info.cgi" kann über jeden Browser die Unit Information eingesehen werden und Einstellungen getätigt werden. (Wenn sich i-wer mal dorthin vertippt und "unabsichtlich" zb. den DHCP gegen eine statische IP austauscht benötigt man sicher lang um als Uneingeweihter auf diesen "Fehler" aufmerksam zu werden.)

Fazit: Netzwerk ole, Security ade?

Meine Fragen diesbezüglich:
1.:
Kennt jmd. eine Möglichkeit den Datenverkehr auf Devices, die ein BN/PW (von mir aus auch Signatur/Schlüssel/etc.) vorweisen, zu beschränken?
2.:
Kann man überhaupt ein BN/PW einstellen? (bzw. einen beschränkten Zugriff?) (zumindest für das Webinterface - 08/15-offener Zugang ist ein absolutes No-Go)
3.:
Existieren noch weitere Sites, auf die man Zugang am Onkyo hat außer:
-ip/info.cgi
-ip/station.cgi
-ip/network.cgi
?

Wer sich schon die Mühe bis hierher getan hat um den Beitrag durchzulesen danke ich schon jetzt mal, auch wenn der/diejenige keine Lösung kennt - der Wille zählt.

mfg
Mireyu

Schlumpfbert
Inventar

#2 erstellt: 24. Dez 2012, 00:36

Ich bin beruflich Firewall Administrator in einem großen Konzern und lege daher auch großen Wert auf Netzwerksicherheit.
Aber meinst du nicht, dass man hier auch mal die Kirche im Dorf lassen könnte?
Was kann man auf dem AVR schon tun, da liegen ja keine vertraulichen Daten.
Allenfalls könnte dir jemand einen Streich spielen, und ihn nachts mal einschalten oder wenn der Mitbewohner wahrhaft boshaft ist, ihn auch resetten.
Aber in dem Fall muss man sich dann schon fragen, ob es der richtige Mitbewohner ist.

Grundsätzlich bin ich aber bei dir, eine optionale PW Abfrage wäre nun auch kein übertrieben hoher Aufwand gewesen.

roger23
Inventar

#3 erstellt: 24. Dez 2012, 00:37

.. wenn Du innerhalb einer WG ein solches Sicherheitsbedürfnis hast, solltest Du überlegen, ob Du Dir nicht einen WLAN-Router kaufst und Dich mit Deinem Gerätepark dahinter versteckst.. Den Router kannst Du ja wiederum in Euer WG-Netz einbringen. Ob das aber als Mißtrauensvotum ausgelegt wird, hängt von Deinen Mitbewohnern ab.

Ich kann völlig nachvollziehen, daß die HIFI-Hersteller das Thema Netzwerksicherheit ignorieren, denn von den vielleicht 20%, die die Netzwerkfunktionen eines AVR wirklich benutzen, haben sicher 95% nicht das Problem mit der Sicherheit..

Igelfrau
Inventar

#4 erstellt: 24. Dez 2012, 19:08

@Mireyu
Mit welchen Menschen lebst du in deiner WG, dass dir solche Fragen kommen?

Mireyu
Neuling

#5 erstellt: 25. Dez 2012, 21:18

Schlumpfbert schrieb:

Aber meinst du nicht, dass man hier auch mal die Kirche im Dorf lassen könnte?
Was kann man auf dem AVR schon tun, da liegen ja keine vertraulichen Daten.

...

Grundsätzlich bin ich aber bei dir, eine optionale PW Abfrage wäre nun auch kein übertrieben hoher Aufwand gewesen.

Natürlich hast du recht ... man sollte nun nicht mit Kanonen auf Spatzen schießen

und ein Onkyo besitzt nun wirklich keine sensiblen Daten (außer die Links + BN/PW von den I-net-Radios ...), dennoch wäre ein (optionaler) grundlegender Mindestschutz, wie du angemerkt hast, keine schwere Sache für einen Hersteller wie Onkyo.

roger23 schrieb:

.. wenn Du innerhalb einer WG ein solches Sicherheitsbedürfnis hast, solltest Du überlegen, ob Du Dir nicht einen WLAN-Router kaufst und Dich mit Deinem Gerätepark dahinter versteckst..

Igelfrau schrieb:

Mit welchen Menschen lebst du in deiner WG, dass dir solche Fragen kommen? :?

Versteht mich bitte nicht falsch, das Vertrauen meiner Kommilitonen ist unumstritten, das Problem mit der Sicherheit jedoch hat jeder, der seinen Onkyo ans Netz anschließt.

Zu jedem kommen dann zb. auch Gäste, denen man auch Zugriff auf sein Netzwerk erlaubt, und in der Großstadt gibt es auch Nachbarn/Kiddies, denen womöglich langweilig ist (wpa2-psk gewährleistet noch lange kein ausreichenden Schutz).

Ich selbst vertiefe mich in meinem Studium auf Kryptologie/Systemsicherheit und komme ein wenig herum, sodass man auch Eindrücke und Erfahrungen sammelt, die einen eigentlich schon fast paranoid machen könnten xD. Mir stachen diese Lücken lediglich ins Auge und deshalb wollte ich dem mal hier im Forum auf den Grund gehen

roger23 schrieb:

den vielleicht 20%, die die Netzwerkfunktionen eines AVR wirklich benutzen, haben sicher 95% nicht das Problem mit der Sicherheit..

Onkyo hatte (laut letzten financial report) einen Jahresumsatz von ca. € 389Mrd. verbucht, da sind selbst 1% aller Käufer eine ganze Menge. Dennoch verstehe ich dein Argument auch, da es bei vielen Firmen/Menschen gilt: Man versucht Probleme erst dann zu lösen, wenn sie zu oft entstehen.

Schlumpfbert
Inventar

#6 erstellt: 25. Dez 2012, 21:27

389 Milliarden mag ich nicht so recht glauben, da kommen auch Exxon und Apple nicht dran.

Aber zur Netzwerksicherheit, WPA2-PSK gilt meines Wissens nach wie vor bei einem hinreichend langen Schlüssel als unknackbar.

EDIT: omg, ich habe aus Interesse mal nachgeschaut, Exxon kommt wirklich drüber, Wahnsinn, scheiß Ölfirmen...

[Beitrag von Schlumpfbert am 25. Dez 2012, 21:30 bearbeitet]

Mireyu
Neuling

#7 erstellt: 26. Dez 2012, 21:41

Schlumpfbert schrieb:

389 Milliarden mag ich nicht so recht glauben, da kommen auch Exxon und Apple nicht dran.

EDIT: omg, ich habe aus Interesse mal nachgeschaut, Exxon kommt wirklich drüber, Wahnsinn, scheiß Ölfirmen...

Hab auch nochmals nachgesehen ... und du hast recht: es sind 389Mio. (im englischen steht Billion für Milliarde xP). Exxon ... unglaublich, diese Konzerne XD

Schlumpfbert schrieb:

Aber zur Netzwerksicherheit, WPA2-PSK gilt meines Wissens nach wie vor bei einem hinreichend langen Schlüssel als unknackbar.

Für einen Leien evtl.. wpa2 ist aber (nur weil es aes verwendet) nicht unangreifbar. Man findet dutzende Papers (sogar schon ältere), die Lücken bemängeln.

http://ieeexplore.ie...tp=&arnumber=1625683

http://ieeexplore.ie...tp=&arnumber=6065074

Auf der Blackhat- und Defcon18-Konferenz wurden auch bereits erfolgreiche Angriffe vorgestellt.

roger23
Inventar

#8 erstellt: 26. Dez 2012, 23:09

Ganz ehrlich, wenn ich befürchten müsste, daß jemand mein Wlan knackt, wäre mein Onkyo (wenn ich einen hätte) mein letztes Thema.

Es gibt immer wieder Situationen, wo ein Hersteller sowas nicht liefert, und dann heißt es Zu schauen, wie man trotzdem zum Ziel kommt..