Outo kirjautumisyritys Home Assistantiin

  • Keskustelun aloittaja Keskustelun aloittaja makeap
  • Aloitettu Aloitettu
M

makeap

Liittynyt
07.03.2022
Viestejä
9
Moi. Mulla on pyörinyt Home Assistant -ohjelmisto (dockerissa) jo useamman vuoden ilman ongelmia. Tänä aamuna huomasin että yöllä oli tapahtunut kirjautumisyritys joka oli blokattu:

Logger: homeassistant.components.http.ban
Source: components/http/ban.py:84
Integration: HTTP (documentation, issues)
First occurred: 28. syyskuuta 2022 klo 23.08.47 (1 occurrences)
Last logged: 28. syyskuuta 2022 klo 23.08.47
Login attempt or request with invalid authentication from n178-18-0-h1.smr-jtc.metromax.ru (178.18.0.1). Requested URL: '/api/'. (GuzzleHttp/7)

Näyttää aika huolestuttavalta :mad: Onko tuo ihan "oikea" kirjautumisyritys vai jotain muuta?

Herätti huomitota tuo /api -kohta. Kokeilin itse kirjautua väärillä tunnuksilla ja silloin ilmoituksessa ei ollut tuota /api kohtaa vaan jotain /login tekstiä ja tietty oma ip -osoite.
Reitittimessä ei ole portteja auki. Käytössä on Tailscale -palvelu jonka kautta pääsen Home Assistantiin kotiverkon ulkopuolelta.

Itsellä ei ole kovin hyvä ymmärrys näistä verkkoasioista joten osaisiko joku kertoa mistähän tässä voisi olla kysymys ja voisiko asiaa jotenkin selvittää lisää?
Samaan aikaan kun tuo kirjautumisyritys oli tapahtunut testailin dockerissa linuxserver.io/heimdall dashboardia.. Voisikohan tällä olla jotain tekemistä asian kanssa?
 
makeap sanoi:
Moi. Mulla on pyörinyt Home Assistant -ohjelmisto (dockerissa) jo useamman vuoden ilman ongelmia. Tänä aamuna huomasin että yöllä oli tapahtunut kirjautumisyritys joka oli blokattu:

Logger: homeassistant.components.http.ban
Source: components/http/ban.py:84
Integration: HTTP (documentation, issues)
First occurred: 28. syyskuuta 2022 klo 23.08.47 (1 occurrences)
Last logged: 28. syyskuuta 2022 klo 23.08.47
Login attempt or request with invalid authentication from n178-18-0-h1.smr-jtc.metromax.ru (178.18.0.1). Requested URL: '/api/'. (GuzzleHttp/7)

Näyttää aika huolestuttavalta :mad: Onko tuo ihan "oikea" kirjautumisyritys vai jotain muuta?

Herätti huomitota tuo /api -kohta. Kokeilin itse kirjautua väärillä tunnuksilla ja silloin ilmoituksessa ei ollut tuota /api kohtaa vaan jotain /login tekstiä ja tietty oma ip -osoite.
Reitittimessä ei ole portteja auki. Käytössä on Tailscale -palvelu jonka kautta pääsen Home Assistantiin kotiverkon ulkopuolelta.

Itsellä ei ole kovin hyvä ymmärrys näistä verkkoasioista joten osaisiko joku kertoa mistähän tässä voisi olla kysymys ja voisiko asiaa jotenkin selvittää lisää?
Samaan aikaan kun tuo kirjautumisyritys oli tapahtunut testailin dockerissa linuxserver.io/heimdall dashboardia.. Voisikohan tällä olla jotain tekemistä asian kanssa?
Napsauta laajentaaksesi...
Ei tuo ainakaan yhtäkkiä hyvältä näytä. Ei kai sinulla ole HomeAssistantiin internetistä pääsyä (ilman VPN:ää tms)?

edit:
Tuo GuzzleHttp vielä viittaa johonkin PHP-pohjaiseen skriptiin eli en ollenkaan olisi yllättynyt että tuo olisi ihan oikea hakkerointiyritys.
 
Kiitos vastauksista. Pääsy Home Assistantiin netin kautta on toteutettu Tailscalen kautta. Ja itse asiassa otin sen käyttöön vasta muutama viikko sitten. Olisiko se sitten ollut reitti mistä pääsi kokeilemaan kirjautumista..? Lueskelin kyllä tuosta Tailscalesta ja vaikutti turvalliselta mutta kuten sanoin en oikein ole verkkoasioissa mestari.

Miten tuo itsensä hakkerointi olisi parasta tehdä? Riittääkö jos nmap:lla pommittaa omaa ip:tä toisen nettiyhteyden kautta ja katsoo löytyykö avoimia portteja? Ja jos tuo on hyvä idea niin millaisilla nmapin asetuksilla? Siinäkin näkyy noita vaihtoehtoja riittävän..
 
makeap sanoi:
Kiitos vastauksista. Pääsy Home Assistantiin netin kautta on toteutettu Tailscalen kautta. Ja itse asiassa otin sen käyttöön vasta muutama viikko sitten. Olisiko se sitten ollut reitti mistä pääsi kokeilemaan kirjautumista..? Lueskelin kyllä tuosta Tailscalesta ja vaikutti turvalliselta mutta kuten sanoin en oikein ole verkkoasioissa mestari.

Miten tuo itsensä hakkerointi olisi parasta tehdä? Riittääkö jos nmap:lla pommittaa omaa ip:tä toisen nettiyhteyden kautta ja katsoo löytyykö avoimia portteja? Ja jos tuo on hyvä idea niin millaisilla nmapin asetuksilla? Siinäkin näkyy noita vaihtoehtoja riittävän..
Napsauta laajentaaksesi...
Kaikenlaisia porttiskannereita on ihan netissäkin joilla voi skannailla oman liittymän avoimia portteja, niillä varmaan voi lähteä liikkeelle. Tietty jos nmapin käytöstä on kokemusta niin silläkin voi koittaa ulkoverkosta skannailla, on tosiaan aika paljon parametreja ja vähän tapauksesta riippuen saa eri tavalla skannailtua. Lähinnä kannattaa ensimmäisenä koittaa selvittää onko tuo HA:n portti auki ulkomaailmaan vai onko tuo yritys tullut jotenkin muuten sisään.
 
Eiköhän tuo liity tuohon Heimdall kokeiluun. Heimdall-Apps/HomeAssistant.php at master · linuxserver/Heimdall-Apps

Eli kannattaa katsella niitä asetuksia, avasiko se itsensä suoraan ulkoverkkoon jne.

Koodi: 
    function __construct()
    {
        //$this->jar = new \GuzzleHttp\Cookie\CookieJar; // Uncomment if cookies need to be set
    }

    public function test()
    {
        $attrs = [
            "headers" => [
                "Accept" => "application/json",
                "Authorization" => "Bearer " . $this->config->token,
            ],
        ];

        $test = parent::appTest($this->url("api/"), $attrs);
        echo $test->status;
    }
 
Palomuurissa lienee myös UPnP päällä, että jokaisen laitteen epämääräiset sovellukset pääsevät availemaan kätevästi omat reikänsä
 
mikajh sanoi:
Palomuurissa lienee myös UPnP päällä, että jokaisen laitteen epämääräiset sovellukset pääsevät availemaan kätevästi omat reikänsä
Napsauta laajentaaksesi...
Tarkastin, ei ole päällä.

Nmapilla ajoin toisesta liittymästä kaikki portit läpi ja tulos oli: "All 131070 scanned ports on xxxxx are in ignored states." Ilmeisesti kaikki siis tuon osalta kunnossa?

Jondeli sanoi:
Eiköhän tuo liity tuohon Heimdall kokeiluun. Heimdall-Apps/HomeAssistant.php at master · linuxserver/Heimdall-Apps

Eli kannattaa katsella niitä asetuksia, avasiko se itsensä suoraan ulkoverkkoon jne.
Napsauta laajentaaksesi...
Tuossa saattaa olla perää. Lisäsin nimittäin silloin illalla testatessani tuohon Heimdaliin Home Assistant "appsin" vai miksi niitä nyt kutsutaan. Ja tuossa koodissa näyttäisi olevan jotain tuohon kirjautumiseen liittyvää kuten esim. maininta tuosta api :sta sekä GuzzleHttp :stä. En nyt koodista paljoa ymmärtänyt mutta nuo näytti tutulta :hmm:
 
makeap sanoi:
Tarkastin, ei ole päällä.

Nmapilla ajoin toisesta liittymästä kaikki portit läpi ja tulos oli: "All 131070 scanned ports on xxxxx are in ignored states." Ilmeisesti kaikki siis tuon osalta kunnossa?


Tuossa saattaa olla perää. Lisäsin nimittäin silloin illalla testatessani tuohon Heimdaliin Home Assistant "appsin" vai miksi niitä nyt kutsutaan. Ja tuossa koodissa näyttäisi olevan jotain tuohon kirjautumiseen liittyvää kuten esim. maininta tuosta api :sta sekä GuzzleHttp :stä. En nyt koodista paljoa ymmärtänyt mutta nuo näytti tutulta :hmm:
Napsauta laajentaaksesi...
Niin, ja sitten jos tuon käyttämäsi VPN:n endpoint on venäjällä niin se selittäisi tuon venäläisen IP-osoitteenkin. Ei kyllä hirveästi ainakaan itsessäni herättäisi luottamusta jos noin on.
 
Hyrava sanoi:
Niin, ja sitten jos tuon käyttämäsi VPN:n endpoint on venäjällä niin se selittäisi tuon venäläisen IP-osoitteenkin. Ei kyllä hirveästi ainakaan itsessäni herättäisi luottamusta jos noin on.
Napsauta laajentaaksesi...
En nyt tiedä onko Tailscale vpn perinteisessä merkityksessä mutta tällä sivulla puhutaan DERP palvelimista: Now with more DERP
Ei näyttäisi olevan venäjällä derppejä..
 
Hyrava sanoi:
Käsittääkseni Tailscale on joku Wireguardin päälle rakennettu tekele
Napsauta laajentaaksesi...
Mikään asiallinen palomuuri ei salli Tailscalen toimintaa ilman jatkuvaa DERP:in (relayn) kautta kommunikointia. Eli silloin palomuurissa ylläpidetään reikää, ja relay-operaattorilla on suora hyökkäysväylä molempiin client-laitteisiin, ja sitä kautta niiden verkkohin.
 
Helpostihan tuota pystyy uudelleen laittamaan tuon Heimdalin pystyyn kuten viimeksi ja kattoo onko samankaltaista toimintaa samasta tai jostain muusta IPstä.
 
mikajh sanoi:
Mikään asiallinen palomuuri ei salli Tailscalen toimintaa ilman jatkuvaa DERP:in (relayn) kautta kommunikointia. Eli silloin palomuurissa ylläpidetään reikää, ja relay-operaattorilla on suora hyökkäysväylä molempiin client-laitteisiin, ja sitä kautta niiden verkkohin.
Napsauta laajentaaksesi...
Tästä voisi päätellä ettet pidä Tailscalea kovinkaan turvallisena käyttää :hmm:?

Jondeli sanoi:
Helpostihan tuota pystyy uudelleen laittamaan tuon Heimdalin pystyyn kuten viimeksi ja kattoo onko samankaltaista toimintaa samasta tai jostain muusta IPstä.
Napsauta laajentaaksesi...
Joo voisi kokeilla toistaa homma uudelleen.
 
makeap sanoi:
Tästä voisi päätellä ettet pidä Tailscalea kovinkaan turvallisena käyttää :hmm:?
Napsauta laajentaaksesi...
En todellakaan, sikäli kun se on root cause tuohon kirjautumisyritykseen venäläisestä ip:stä.

Näin ulkopuoisena on tietysti niin hatara käsitys mitä verkossasi olet tekemässä, että voihan se root cause olla joku muukin
 
Kirjaudu tai rekisteröidy kirjoittaaksesi tänne.

Uutiset

Uutisia lyhyesti

Uusimmat viestit

Statistiikka

Viestiketjuista
258 402
Viestejä
4 489 882
Jäsenet
74 154
Uusin jäsen
Almedin

Hinta.fi

Back
Ylös Bottom