Sklenený kabel do bytu

[Marty]

Ad kabely -
je to samozřejmě na Tobě, jakou variantu zvolíš, budeš se o to pak starat přece sám Co se týče kroucení stávající dvoulinky, tak je to myšlenka zajímavá, leč asi jsi to nezkroutil tak, aby to odpovídalo požadavkům normy. Neb se zde bavíme o tom, že po tom jdou stovky MHz a to už není žádná legrace ("si to zkroutím a bude to dobrý"). Ono to asi na pár metrů bude fungovat, ale taky se to může chovat "divně". Např. telefonní kabel má úplně jiné kroucení, než požaduje ethernet.
Co se týče využití vodičů, tak u 100Mb a nižších skutečně stačí dva páry, data-ground, data-ground resp. dataA+/dataA- a dataB+/dataB-. V případě gigového ethernetu jsou datové vodiče 4 (logicky) kvůli rozšíření pásma.

Ad router -
při útoku na router musí útočník překonávat další překážku navíc. Nikdo Ti nebrání v tom mít zapnutý stále firewall na svém PC a zároveň mít firewall a NAT (překlad adres) na routeru. Z principu ano, pokud útočník získá kontrolu nad routerem, tak v zásadě má přístup do celé sítě, ale upřímně řečeno, nabourat zafirewallovaný linux asi není úplně legrace

[Jey]

Ad kabely:

Jen chci dodat, že u 100mbit se ty dva nevyužité páry dají využít. Tzn. když se nacvakají 2x2 konektory, tak lze mít na jednom ethernetovém kabelu 2x100mbit (2x2 konektory).

Další možností využití, je přenášet po nevyužitých párech napájení k nějakému zařízení - POE (power on ethernet), toho využívají extení wifi jednotky, například všechny produkty od Ubiquiti.

Ad routery:

http://blog.nic.cz/2014/05/21/kritic...acich-routeru/
http://blog.nic.cz/2014/06/12/otestu...telnost-rom-0/
http://rom-0.cz/index/

[Marty]

Dobré doplnění. S prasením dvou konektorů na jeden kabel jsem se setkal i v profesionální praxi - když byl zákazník lakomej tahat další ethernetové kabely, stačilo nacvakat dvě koncovky a hle
Pasivní PoE je taky super věc, často taková zařízení stejně 100Mb ani nevyužijí, takže je to oka

[Mikus]

CSIRT.CZ navrhuje, jako bezpec(nostní opatr(ení, úplne( zakázat pr(ístup na webovou administraci z WAN rozhraní a v ideálním pr(ípade( povolit administraci jen z jedné konkrétní vnitr(ní IP adresy.

A práve ze jsem slysel od rúzných uzivatelú routerú, ze provideri (ne jenom ten múj) mají ve zvyku nejen se v konkrétním prípade vyzádání si pomoci zákazníkem podívat na rozhraní a prípadne sdelit na základe toho doporucení, ale i sami od sebe zasahovat. Usoudí, ze je treba nový firmware (samozrejme nejak standardne nastavený, ne jak to má kdo individuálne) a tak ho proste vsem pri 1. prílezitostí do routeru nahrají, aniz by co rekli. Laický zákazník to zpravidla nepozná, pokrocilejsí se pak ale treba diví, co se deje, ze mu to a to najednou nefunguje.

Ten múj USB-modem me tedy asi nechrání pred útoky z hlubin Síte, ale aspon pred takovýmihle nevypocitatelnými zásahy providera, u kterého v soucasnosti zlocinné metody dobývání se nekam moc nepredpokládám. V takovýhle prípadech je za tím aspon dá se snad ríct dobrý úmysl, i kdyz problematicky provedený. Jestli tomu tak ale bude vzdycky i v budoucnu po vsech stránkách, stojí na jiném papíre.

Kdysi jsem mel mejla od jednoho australského poskytovatele (bluebottle.com, mozná to tu nekdo zná, vzal jsem si ho tenkrát na doporucení z tohodke fóra) a tam urcitý disput s jedním modem nebo adminem nebo jak tomu tam ríkaj ohledne v podstate volného prístupu tehle lidí do schránek uzivatelú. On to obhajoval tím, ze admin je osoba dúvery. Tady mel sice pravdu, ovsem jen jakozto nositel funkce v daném systému, jakozto fyzická osoba z masa a kostí ale uz méne, kdyz o nem clovek prakticky nic neví, co je to zac, co bude, az opustí svého soucasného zamestnavatele. (Krom toho jsem se az pozdeji dovedel, ze AUS je od 2. svetové války nejuzsím spojencem USA v zálezitostech odposlouchávání a kdyz k tomu clovek jeste uvází, ze poskytovatel je sice doma na nejmensím kontinente, ale servry má v USA...).

Skoro kazdý asi zná z vlastní zkusenosti, kdyz doma úporne neco hledá a nenachází, tak zacne podezrívat vsechny, kdo k tomu mohli mít prístup, ze s tím zmizením mají neco spolecného, i kdyz se to pri klidném uvázení ukazuje jako málo pravdepodobné. Kdyz ale není nikdo, kdo ten prístup mohl mít, není také koho takhle podezírat. Prevedeno do nasí problematiky, kdyz vím, ze provider mi múze delat takovéhle veci v routeru, suporták se do nej múze nejen podívat, ale kdyz má treba na dráte laika, který si to podle jeho rad neumí udelat sám, tak mu to obstará, je jen pochopitelné, ze kdyz se mi v mém kompu neco nezdá, múze me snadno chytit i paranoia s podezrením na suport provajdra.

http://blog.nic.cz/2014/05/21/kritic...acich-routeru/
http://blog.nic.cz/2014/06/12/otestu...telnost-rom-0/
htp://rom-0.cz/index/

Zajímavé

Udelal jsem si ten rom-0 bug test a vrátilo mi to "Address is probably not vulnerable". To zní sice príznive, ale (pokud to správne chápu) v mém prípade to asi neznamená vúbec nic - nebo prece? Snad ze me v tomhle ohledu chrání dobre sám provider?

Co se týc(e kroucení stávající dvoulinky, tak je to myšlenka zajímavá, lec( asi jsi to nezkroutil tak, aby to odpovídalo požadavku*m normy. Neb se zde bavíme o tom, že po tom jdou stovky MHz a to už není žádná legrace ("si to zkroutím a bude to dobrý"). Ono to asi na pár metru* bude fungovat, ale taky se to mu*že chovat "divne(". Napr(. telefonní kabel má úplne( jiné kroucení, než požaduje ethernet.

Kroucení je hlavne k tomu, aby vedení netvorilo jako u paralelne vedených drátú indukcní smycku, do níz by se z okolí indukovaly vsechny mozné rusivé signály a prípadne aby i ona sama takové nevyzarovala. Protoze rusí hlavne signály s podobnou frekvencí, jako má signál na vedení, musí být vzdálenost od jednoho prekroucení k druhému podstatne kratsí nez 1/4 vlnové délky téhle frekvence. Takze u klasické nf-telefonie je ho treba jen u dlouhých vedení, ne u domovních rozvodú, pokud to má slouzit jen na ten telefon; treba u nadzemních vedení na sloupech, kde vede víc linek vedle sebe, se dráty prekrizovávají - pokud si vzpomínám ze skoly - v intervalech rádove stovky metrú, aby se zabránilo preslechúm mezi nima. U toho Ethernetu asi bude navíc problém v tom, ze tu lezí 2 vedení se stejnou frekvencí tesne vedle sebe, takze pri stejném zkroucení by se mohly rusit vzájeme. Tohle bych musel tedy vyresit, spontánne me napadají 2 body: 1. zkroutit je kazdý trochu jinak, snad i opacným smerem (nad tím musím jeste trochu popremýslet). 2. Jelikoz by to byly 2 samostatné 2linky, tak aby nelezely tak tesne u sebe, jak jsou ve spolecném kabelu.

Jen chci dodat, že u 100mbit se ty dva nevyužité páry dají využít. ... Další možností využití, je pr(enášet po nevyužitých párech napájení k ne(jakému zar(ízení - POE (power on ethernet), toho využívají extení wifi jednotky, napr(íklad všechny produkty od Ubiquiti.

To bude tedy asi i hlavní úcel toho 3. páru u 6-zilového kabelu. I kdyz jak jsem pochopil POE, tak tam se vede SS-proud po stejných drátech jako VF-signál. Nebo je ten prídavný pár pro zvýsení zatizitelnosti?

[Jey]

Citace Původně odeslal blog.nic.cz - kriticka-zranitelnost-mnoha-domacich-routeru
CSIRT.CZ navrhuje, jako bezpec(nostní opatr(ení, úplne( zakázat pr(ístup na webovou administraci z WAN rozhraní a v ideálním pr(ípade( povolit administraci jen z jedné konkrétní vnitr(ní IP adresy.

a dalších asi 5 odstavců polemik

Skoro kazdý asi zná z vlastní zkusenosti, kdyz doma úporne neco hledá a nenachází, tak zacne podezrívat vsechny, kdo k tomu mohli mít prístup, ze s tím zmizením mají neco spolecného,

Určitě není vhodné generalizovat, je to tvůj osobní názor, ne všech, ne všichni si myslí, co ty.

Udelal jsem si ten rom-0 bug test a vrátilo mi to "Address is probably not vulnerable". To zní sice príznive, ale (pokud to správne chápu) v mém prípade to asi neznamená vúbec nic - nebo prece? Snad ze me v tomhle ohledu chrání dobre sám provider?

S tím se budeš muset obrátit zřejmě na autora daného testu.

To bude tedy asi i hlavní úcel toho 3. páru u 6-zilového kabelu. I kdyz jak jsem pochopil POE, tak tam se vede SS-proud po stejných drátech jako VF-signál. Nebo je ten prídavný pár pro zvýsení zatizitelnosti?

Je několik standartů, respektive dnes se používá možná jeden, ale než se vyvinul, bylo POE experimentální a každý výrobce si ho dělal po svém. Určitě se dá vygooglit krásná stránka, kde jsou standarty popsané.

[Marty]

Ono obecně je úplnej nesmysl mít do internetu (na WAN interfejsu) povolený management rozhraní, takže to je jedna jasná věc. (=> není co a jak napadnout)

Ad napájení po ethernetu, u lowend zařízení se používá často pasivní PoE, kdy jde stejnosměrný proud po nevyužitých vodičích. V segmentu vyšším je pak většinou aplikován standard 802.3af, který pracuje s podstatně vyšším napětím a AFAIK to cpe i po datovejch vodičích jako SS složku. Ale jak píše Jey, tohle se dá snadno nastudovat kdekoli po webu (pokud teda Tvoje paranoia nesahá tak daleko, že by se Ti nechtělo přistupovat třeba na Wikipedii ).

[Mikus]

Urcite není vhodné generalizovat, je to tvuj osobní názor, ne všech, ne všichni si myslí, co ty.

Uz jsem se s tímhle jevem setkal dost casto, leckdo se k tomu i více ci méne otevrene priznává. Mozná, ze nebylo úplne vhodné ríct, ze "Skoro kazdý", lépe by bylo mnozí; byt to slúvko "skoro" umoznuje, ze se tím nikdo nemusí cítit osobne mínený. A konec koncú, paranoia, která není zpúsobena myslenkami, jez mají vetsí nebo mensí zdúvodnení v realite, je velmi vzácná.

Ono obecne je úplnej nesmysl mít do internetu (na WAN interfejsu) povolený management rozhraní

Samo, dokud po tobe suporták nezacne chtít, abys mu to povolil, ze jinak pro tebe nemúze nic udelat.

pokud teda Tvoje paranoia nesahá tak daleko, že by se Ti nechtelo pristupovat treba na Wikipedii

Ona Wikipedie je prece jenom trochu jiné prostredí, s úplne jiným úcelem nez co delá takový provítr. Do Wikipedie nekdy i písu, ale po urcitých zkusenostech, ac tam mám svoje konto, zpravidla jen neprihlásený, anonyme - tady je ovsem jádro problémú jinde.

Jinak jsem tam kvúli tomuhle uz byl. Jenze ona je sice obecne velmi dobrá, ale nekdy projevuje svúj nedostatek mj. i tím, ze je trochu preládovaná informacema. Takze tam není vzdy snadné najít v tom mraku wiki vseho mozného druhu to, co clovek zrovna potrebuje a jeste k tomu vzdycky v pro nej srozumitelné forme, aniz by se jeden musel casove nárocne exponenciálne rozptýlit na vsechny strany za vysvetlujícími odkazy. Takze pak clovek hledá i jiné zdroje, kde by se mohl potrebné dovedet rychleji. Osobních zkuseností se tam clovek dozví pramálo. V diskuzích k clánkúm jsou casto oznacované za nezádoucí, kdyz nejsou slovne zabalené tak, jako ze se tím upozornuje na nejaký nedostatek clánku. No ale podívám se tam jeste jednou a pohledám i jinde.

[Marty]

Samo, dokud po tobe suporták nezacne chtít, abys mu to povolil, ze jinak pro tebe nemúze nic udelat.

Nejlepší je supporťáka nepotřebovat, protože - pokud se budeme bavit o bezpečnosti - když někoho zcela vědomě v dobré víře pustíš až domů, tak nikdy nevíš, co je to zač.
Proto je dobrý, když poskytovatel končí koncovkou svého kabelu, případně svým koncovým zařízením (ve Tvém případě to bude nějaký media converter optika/metalika).

Osobně při všech návštěvách techniků - většinou vyžádaných ISP - se snažím dělat vše pro to, aby mi na moje věci nesahal. Nejlepší story byla před bratru 12 lety, když mi přišel borec připojit UPC. Natáhnul kabel, zapojil modem a chtěl ověřit něco na PC - jestli se přidělila adresa či co. Inu, posadil jsem ho za své PC s linuxem a Dolby Keyboard (R). Mělo to úspěch!
Příloha 10381

[Mikus]

Kdyz se u me doma nic nehne a definitivne vím, ze závada nesedí u me v byte, tak nezbývá nic jiného nez zavolat provajdrovi. A tam tak nejvýs po zbezném prehlédnutí nejzákladnejsích vecí, co vidí bez velkých výzkumú na monitoru, bez ohledu na to, co jim ríkám, zacnou jako první hledat chybu u me. Potíze zacnou, jakmile narazí na první vec, o které nic nezaregistrovali ve svých rychlokurzech, at uz proto, ze nedávali pozor nebo ze je proste skolí jen na 80% tech nejbeznejsích prípadú, jez se zpravidla týkají "dúchodcú a zen v domácnosti".

U tebe to aspon udelal, akorát neodskousel, coz ani nebylo treba, jestli to udelal správne. Tady se nejdrív zdesil, kdyz jsem mu rek, ze mi ten modem perfektne jede uz pres 10 let, ze v nem to urcite není a protoze jemu zrejme jeste 10 nebylo, tak tuhle dobu povazoval za nejakou astronomickou vecnost. Pak rek ze tedy musí neco objasnit, nechal me cekat asi 1/4 hodiny, nacez me bezeslova vyhodil z vedení. Tak jsem tam zavolal znova, vzal to pochopitelne jiný, podíval se na to a rek mi, ze ta vec uz je vyrízená, ze mi kolega poslal router. Címz zase zdesil me, protoze já tu tehle krámú mám plno, no a kdybych je chtel pouzívat, tak je taky pouzívat budu, takze tohle mu slo obratem zpátky. A kdyz mu ríkám, ze nemúzu ani telefonovat (nikam krome tohodle suportu, normální klasický 100-letý telefon), tak ze mám pockat, az prijde ten router, pak ze to urcite pújde. S tema lidma je proste domluva jak jezidedek s zenskou, co pleje len, nez se pújde vymocit. No a asi za hodinu mi zvoní telefon, zvednu to a tam jen nekdo hned polozil. Tak jsem to znova zkusil a najednou slo vsechno, telefon i Net s mým 13-letým modemem, o jehoz existenci tihle experti nemaj tusení (coz ovsem nemeli uz i v dobe, kdy tenhle provajdr sám jeste posílal zákazníkúm skoro ten samý, akorát jinou znacku).

[zivan]

...Inu, posadil jsem ho za své PC s linuxem a Dolby Keyboard (R). Mělo to úspěch!

OT: To mi pripomenulo, ze se mi tu vali cinska verze minirouteru TP-Link WR710N. Skoda, ze u me zadny technik poskytovatele uz leta nebyl. Vykouklo by na nej neco takoveho