Sklenený kabel do bytu

[Mikus]

Kroucené vedení povazuju za samozrejmost. Jak písu, i tu 2-linku od zásuvky ke kompu jsem si zkroutil. Tady se dnes uz ani do domovních telefonních instalací jiné vedení nez kroucené nedává a kde jsou problémy s rychlejsím DSL, tam se staré paralelní dráty ve zdech vymenují (já mám ve zdi z roku ca. 1975 jeste paralelní vedení, ale ocividne to u me pri tomhle ADSL jen do 2. patra jeste nevadí). Takze kdybych to takhle natáhl jako ted, ale 2x vedle sebe, tak to ten kroucený 2-pár bude.

Ten Ethernet bude podle vseho 100 MBit standard, ale víc nez 20, jako moje mozná budoucí napojení, pres to nepotece (soucasné tempo mi stací, TV nechci, vetsí rychlost by u me byly jen vyhozené peníze a tech 20 je standardní nejnizsí nabídka na skle).

Jinak tu mám jeden 6-zilový patch-kabel a pri tom jsem si ríkal, na co je ten 3. pár? Podle Wiki je na kazdý smer 1 pár, takze kdyz uz víc nez 4 zíly, cekal bych jich 8. Ty teda asi budes vedet, jak jsou ty 2 dráty navíc pouzité?

Do té trubky jsem tenkrát natáh jeste taky koax na rádio a TV od kabelové zásuvky. Pokud se pamatuju, tak to slo celkem v pohode, ale ta hadice se tim holt naplnila. A kdyz jsme u kámose tahali plochý kabel, kdyz jsem mu po baráku instaloval ISDN, tak jsme to museli mazat vazelínou jak vzteklí, abysme to protáhli. Ale práve i ta zásuvka, ze které by to pak melo lézt, k té se dostanu tak jeste akorárt abych do ní zastrcil nebo vytáh zástrcku a otevrít ji by byl znacný problém.

prý to jde

Samo, ze to jde, ale me se do toho proste nechce a ten telefon mám natazený kam potrebuju. Provrtat zed z jednoho pokoje do sousedního pro me je malickost, ale tady bych práve musel prolejzat jádrem nebo jinejma podobnejma chutema. Normálne bych se na to sklo vyprd a zústal na tom, na cem jsem. Ale me vrcholne s..e múj provajdr (minulý rok figuroval na 6. míste statistiky podnikú a institucí, na nez si v CH lidi nejvíc stezujou a ten stav je u nej uz dlouhá léta chronický), rád bych od nej pryc a tohle je jedna z alternativ, co se nabízí.

Router: Na první pohled to útocník vidí tak, jak ríkás, ale ptám se, co na druhý pohled? Tak zcela oddelené to za ním být nemúze. Já se pres ten router prece taky dostanu ven stejne jako se ke me dostane kazdý servr, ze kterého beru jakákoliv data, vc. ovládání kompu javascriptem ap., at ho chci nebo ne, jen proto, ze si ten poskytovatel neceho dovolení proste vydupe. Takze, kdo v tomhle umí, pro toho myslím nebude problém se pres ten router dostat vetsí nez ocurat bezpecnostní opatrení vlastni operacnimu systemu (samozrejme, ze se nebudu pokouset rozbít pancérové sklo obycejným kladívkem - nejlépe si najdu cestu, kterou ho bez pouzití násilí obejdu)...?

A modernejsí OS a vetsí bezpecnost - ona je to velmi komplexní zálezitost. Samozrejme ze stále o tom premýslím, sbírám informace, sleduju, jak se celá ta scéna vyvíjí, co písí experti pres bezpecnost, na co se ptaj uzivatelé moderních systémú ve fórech a jiných poradnách, co dostávají za odpovedi, jak do toho kafrá politika atd. Pritom celkove porád docházím k záveru, ze s modernejsím systémem bych sotva cestoval po Netu markantne bezpecneji, jestli vúbec (uz jen treba to, ze 98icky dnes pozívají bezpecnostní výhody minoritního systému jako treba i Linux nebo Mac). K tomu obrovské náklady na celkovou modernizaci a kdyz uz, tak i udrzování uptodate (casto jen pro neplodnou az kontraproduktivní iluzi mít vsechno, jak "má být"). To není zdaleka jenom nákupní cena za HW a SW. Není taky tak úplne náhodou, ze dodnes jsou lidi, co se zabývají vývojem pro 98icky. V neposlední rade je pro bezpecný provoz také dúlezitá dobrá znalost vlastního zarízení, která se logicky s dobou pouzívání soustavne zdokonaluje, pricemz kazdá zásadnejsí zmena na nem znamená mj. i v tom ci onom ohledu nový krok do tmy.

[Marty]

Ad kabely -
je to samozřejmě na Tobě, jakou variantu zvolíš, budeš se o to pak starat přece sám Co se týče kroucení stávající dvoulinky, tak je to myšlenka zajímavá, leč asi jsi to nezkroutil tak, aby to odpovídalo požadavkům normy. Neb se zde bavíme o tom, že po tom jdou stovky MHz a to už není žádná legrace ("si to zkroutím a bude to dobrý"). Ono to asi na pár metrů bude fungovat, ale taky se to může chovat "divně". Např. telefonní kabel má úplně jiné kroucení, než požaduje ethernet.
Co se týče využití vodičů, tak u 100Mb a nižších skutečně stačí dva páry, data-ground, data-ground resp. dataA+/dataA- a dataB+/dataB-. V případě gigového ethernetu jsou datové vodiče 4 (logicky) kvůli rozšíření pásma.

Ad router -
při útoku na router musí útočník překonávat další překážku navíc. Nikdo Ti nebrání v tom mít zapnutý stále firewall na svém PC a zároveň mít firewall a NAT (překlad adres) na routeru. Z principu ano, pokud útočník získá kontrolu nad routerem, tak v zásadě má přístup do celé sítě, ale upřímně řečeno, nabourat zafirewallovaný linux asi není úplně legrace

[Jey]

Ad kabely:

Jen chci dodat, že u 100mbit se ty dva nevyužité páry dají využít. Tzn. když se nacvakají 2x2 konektory, tak lze mít na jednom ethernetovém kabelu 2x100mbit (2x2 konektory).

Další možností využití, je přenášet po nevyužitých párech napájení k nějakému zařízení - POE (power on ethernet), toho využívají extení wifi jednotky, například všechny produkty od Ubiquiti.

Ad routery:

http://blog.nic.cz/2014/05/21/kritic...acich-routeru/
http://blog.nic.cz/2014/06/12/otestu...telnost-rom-0/
http://rom-0.cz/index/

[Marty]

Dobré doplnění. S prasením dvou konektorů na jeden kabel jsem se setkal i v profesionální praxi - když byl zákazník lakomej tahat další ethernetové kabely, stačilo nacvakat dvě koncovky a hle
Pasivní PoE je taky super věc, často taková zařízení stejně 100Mb ani nevyužijí, takže je to oka

[Mikus]

CSIRT.CZ navrhuje, jako bezpec(nostní opatr(ení, úplne( zakázat pr(ístup na webovou administraci z WAN rozhraní a v ideálním pr(ípade( povolit administraci jen z jedné konkrétní vnitr(ní IP adresy.

A práve ze jsem slysel od rúzných uzivatelú routerú, ze provideri (ne jenom ten múj) mají ve zvyku nejen se v konkrétním prípade vyzádání si pomoci zákazníkem podívat na rozhraní a prípadne sdelit na základe toho doporucení, ale i sami od sebe zasahovat. Usoudí, ze je treba nový firmware (samozrejme nejak standardne nastavený, ne jak to má kdo individuálne) a tak ho proste vsem pri 1. prílezitostí do routeru nahrají, aniz by co rekli. Laický zákazník to zpravidla nepozná, pokrocilejsí se pak ale treba diví, co se deje, ze mu to a to najednou nefunguje.

Ten múj USB-modem me tedy asi nechrání pred útoky z hlubin Síte, ale aspon pred takovýmihle nevypocitatelnými zásahy providera, u kterého v soucasnosti zlocinné metody dobývání se nekam moc nepredpokládám. V takovýhle prípadech je za tím aspon dá se snad ríct dobrý úmysl, i kdyz problematicky provedený. Jestli tomu tak ale bude vzdycky i v budoucnu po vsech stránkách, stojí na jiném papíre.

Kdysi jsem mel mejla od jednoho australského poskytovatele (bluebottle.com, mozná to tu nekdo zná, vzal jsem si ho tenkrát na doporucení z tohodke fóra) a tam urcitý disput s jedním modem nebo adminem nebo jak tomu tam ríkaj ohledne v podstate volného prístupu tehle lidí do schránek uzivatelú. On to obhajoval tím, ze admin je osoba dúvery. Tady mel sice pravdu, ovsem jen jakozto nositel funkce v daném systému, jakozto fyzická osoba z masa a kostí ale uz méne, kdyz o nem clovek prakticky nic neví, co je to zac, co bude, az opustí svého soucasného zamestnavatele. (Krom toho jsem se az pozdeji dovedel, ze AUS je od 2. svetové války nejuzsím spojencem USA v zálezitostech odposlouchávání a kdyz k tomu clovek jeste uvází, ze poskytovatel je sice doma na nejmensím kontinente, ale servry má v USA...).

Skoro kazdý asi zná z vlastní zkusenosti, kdyz doma úporne neco hledá a nenachází, tak zacne podezrívat vsechny, kdo k tomu mohli mít prístup, ze s tím zmizením mají neco spolecného, i kdyz se to pri klidném uvázení ukazuje jako málo pravdepodobné. Kdyz ale není nikdo, kdo ten prístup mohl mít, není také koho takhle podezírat. Prevedeno do nasí problematiky, kdyz vím, ze provider mi múze delat takovéhle veci v routeru, suporták se do nej múze nejen podívat, ale kdyz má treba na dráte laika, který si to podle jeho rad neumí udelat sám, tak mu to obstará, je jen pochopitelné, ze kdyz se mi v mém kompu neco nezdá, múze me snadno chytit i paranoia s podezrením na suport provajdra.

http://blog.nic.cz/2014/05/21/kritic...acich-routeru/
http://blog.nic.cz/2014/06/12/otestu...telnost-rom-0/
htp://rom-0.cz/index/

Zajímavé

Udelal jsem si ten rom-0 bug test a vrátilo mi to "Address is probably not vulnerable". To zní sice príznive, ale (pokud to správne chápu) v mém prípade to asi neznamená vúbec nic - nebo prece? Snad ze me v tomhle ohledu chrání dobre sám provider?

Co se týc(e kroucení stávající dvoulinky, tak je to myšlenka zajímavá, lec( asi jsi to nezkroutil tak, aby to odpovídalo požadavku*m normy. Neb se zde bavíme o tom, že po tom jdou stovky MHz a to už není žádná legrace ("si to zkroutím a bude to dobrý"). Ono to asi na pár metru* bude fungovat, ale taky se to mu*že chovat "divne(". Napr(. telefonní kabel má úplne( jiné kroucení, než požaduje ethernet.

Kroucení je hlavne k tomu, aby vedení netvorilo jako u paralelne vedených drátú indukcní smycku, do níz by se z okolí indukovaly vsechny mozné rusivé signály a prípadne aby i ona sama takové nevyzarovala. Protoze rusí hlavne signály s podobnou frekvencí, jako má signál na vedení, musí být vzdálenost od jednoho prekroucení k druhému podstatne kratsí nez 1/4 vlnové délky téhle frekvence. Takze u klasické nf-telefonie je ho treba jen u dlouhých vedení, ne u domovních rozvodú, pokud to má slouzit jen na ten telefon; treba u nadzemních vedení na sloupech, kde vede víc linek vedle sebe, se dráty prekrizovávají - pokud si vzpomínám ze skoly - v intervalech rádove stovky metrú, aby se zabránilo preslechúm mezi nima. U toho Ethernetu asi bude navíc problém v tom, ze tu lezí 2 vedení se stejnou frekvencí tesne vedle sebe, takze pri stejném zkroucení by se mohly rusit vzájeme. Tohle bych musel tedy vyresit, spontánne me napadají 2 body: 1. zkroutit je kazdý trochu jinak, snad i opacným smerem (nad tím musím jeste trochu popremýslet). 2. Jelikoz by to byly 2 samostatné 2linky, tak aby nelezely tak tesne u sebe, jak jsou ve spolecném kabelu.

Jen chci dodat, že u 100mbit se ty dva nevyužité páry dají využít. ... Další možností využití, je pr(enášet po nevyužitých párech napájení k ne(jakému zar(ízení - POE (power on ethernet), toho využívají extení wifi jednotky, napr(íklad všechny produkty od Ubiquiti.

To bude tedy asi i hlavní úcel toho 3. páru u 6-zilového kabelu. I kdyz jak jsem pochopil POE, tak tam se vede SS-proud po stejných drátech jako VF-signál. Nebo je ten prídavný pár pro zvýsení zatizitelnosti?

[Jey]

Citace Původně odeslal blog.nic.cz - kriticka-zranitelnost-mnoha-domacich-routeru
CSIRT.CZ navrhuje, jako bezpec(nostní opatr(ení, úplne( zakázat pr(ístup na webovou administraci z WAN rozhraní a v ideálním pr(ípade( povolit administraci jen z jedné konkrétní vnitr(ní IP adresy.

a dalších asi 5 odstavců polemik

Skoro kazdý asi zná z vlastní zkusenosti, kdyz doma úporne neco hledá a nenachází, tak zacne podezrívat vsechny, kdo k tomu mohli mít prístup, ze s tím zmizením mají neco spolecného,

Určitě není vhodné generalizovat, je to tvůj osobní názor, ne všech, ne všichni si myslí, co ty.

Udelal jsem si ten rom-0 bug test a vrátilo mi to "Address is probably not vulnerable". To zní sice príznive, ale (pokud to správne chápu) v mém prípade to asi neznamená vúbec nic - nebo prece? Snad ze me v tomhle ohledu chrání dobre sám provider?

S tím se budeš muset obrátit zřejmě na autora daného testu.

To bude tedy asi i hlavní úcel toho 3. páru u 6-zilového kabelu. I kdyz jak jsem pochopil POE, tak tam se vede SS-proud po stejných drátech jako VF-signál. Nebo je ten prídavný pár pro zvýsení zatizitelnosti?

Je několik standartů, respektive dnes se používá možná jeden, ale než se vyvinul, bylo POE experimentální a každý výrobce si ho dělal po svém. Určitě se dá vygooglit krásná stránka, kde jsou standarty popsané.

[Marty]

Ono obecně je úplnej nesmysl mít do internetu (na WAN interfejsu) povolený management rozhraní, takže to je jedna jasná věc. (=> není co a jak napadnout)

Ad napájení po ethernetu, u lowend zařízení se používá často pasivní PoE, kdy jde stejnosměrný proud po nevyužitých vodičích. V segmentu vyšším je pak většinou aplikován standard 802.3af, který pracuje s podstatně vyšším napětím a AFAIK to cpe i po datovejch vodičích jako SS složku. Ale jak píše Jey, tohle se dá snadno nastudovat kdekoli po webu (pokud teda Tvoje paranoia nesahá tak daleko, že by se Ti nechtělo přistupovat třeba na Wikipedii ).

[Mikus]

Urcite není vhodné generalizovat, je to tvuj osobní názor, ne všech, ne všichni si myslí, co ty.

Uz jsem se s tímhle jevem setkal dost casto, leckdo se k tomu i více ci méne otevrene priznává. Mozná, ze nebylo úplne vhodné ríct, ze "Skoro kazdý", lépe by bylo mnozí; byt to slúvko "skoro" umoznuje, ze se tím nikdo nemusí cítit osobne mínený. A konec koncú, paranoia, která není zpúsobena myslenkami, jez mají vetsí nebo mensí zdúvodnení v realite, je velmi vzácná.

Ono obecne je úplnej nesmysl mít do internetu (na WAN interfejsu) povolený management rozhraní

Samo, dokud po tobe suporták nezacne chtít, abys mu to povolil, ze jinak pro tebe nemúze nic udelat.

pokud teda Tvoje paranoia nesahá tak daleko, že by se Ti nechtelo pristupovat treba na Wikipedii

Ona Wikipedie je prece jenom trochu jiné prostredí, s úplne jiným úcelem nez co delá takový provítr. Do Wikipedie nekdy i písu, ale po urcitých zkusenostech, ac tam mám svoje konto, zpravidla jen neprihlásený, anonyme - tady je ovsem jádro problémú jinde.

Jinak jsem tam kvúli tomuhle uz byl. Jenze ona je sice obecne velmi dobrá, ale nekdy projevuje svúj nedostatek mj. i tím, ze je trochu preládovaná informacema. Takze tam není vzdy snadné najít v tom mraku wiki vseho mozného druhu to, co clovek zrovna potrebuje a jeste k tomu vzdycky v pro nej srozumitelné forme, aniz by se jeden musel casove nárocne exponenciálne rozptýlit na vsechny strany za vysvetlujícími odkazy. Takze pak clovek hledá i jiné zdroje, kde by se mohl potrebné dovedet rychleji. Osobních zkuseností se tam clovek dozví pramálo. V diskuzích k clánkúm jsou casto oznacované za nezádoucí, kdyz nejsou slovne zabalené tak, jako ze se tím upozornuje na nejaký nedostatek clánku. No ale podívám se tam jeste jednou a pohledám i jinde.

[Marty]

Samo, dokud po tobe suporták nezacne chtít, abys mu to povolil, ze jinak pro tebe nemúze nic udelat.

Nejlepší je supporťáka nepotřebovat, protože - pokud se budeme bavit o bezpečnosti - když někoho zcela vědomě v dobré víře pustíš až domů, tak nikdy nevíš, co je to zač.
Proto je dobrý, když poskytovatel končí koncovkou svého kabelu, případně svým koncovým zařízením (ve Tvém případě to bude nějaký media converter optika/metalika).

Osobně při všech návštěvách techniků - většinou vyžádaných ISP - se snažím dělat vše pro to, aby mi na moje věci nesahal. Nejlepší story byla před bratru 12 lety, když mi přišel borec připojit UPC. Natáhnul kabel, zapojil modem a chtěl ověřit něco na PC - jestli se přidělila adresa či co. Inu, posadil jsem ho za své PC s linuxem a Dolby Keyboard (R). Mělo to úspěch!
Příloha 10381