Le minimum pour faire du sharing "protégé"

[noobox]

Je vais tenter de vous apporter ce que je sais à ce sujet et tout apport supplémentaire ne peut être que bénéfique.
Pour ma part je vais traiter du sujet selon ce que je possède, soit Dreambox avec CCcam derrière un routeur

1. Modem Routeur
Avant quoi que ce soit et dans la mesure du possible selon fonctionnalités:
- On change le nom d'utilisateur et le mot de passe en utilisant au minimum 8 caractères mélangés entre lettres majuscules/minuscules, chiffres et symboles spéciaux. Le principe de la phrase de passe vous y aidera.

- ne jamais utiliser la fonction DMZ(sauf pour ceux qui savent ce qu'ils font...). DeMilitarized Zone ou "Zone démilitarisé" consiste à ouvrir tous les ports vers l'adresse où nom d'hôte spécifié.

- Activé la fonction "Firewall" ou "Pare-feu" et lorsque celle-ci le permet, activé les services de protection DoS - Port Scan - Filtre des Services.

- Si disponible restreindre les accès des requètes externes vers une destination unique au réseau local "InBound Filter"

2. La Dreambox

- Une fois n'est pas coutume, on change le mot de passe et selon le modèle il est possible de créer un nouveau compte utilisateur avec la commande "adduser". Je ne vais pas rentrer dans les détails car il y a un tas de site traitant du sujet et puis la pédagogie n'est pas mon fort . Même principe pour la définition du mot de passe, il doit être complexe.

- Selon les applications de sharing, il est aussi préférable de modifier les paramètres par défaut.

Bon j'ai un contre-temps, donc la suite est à venir mais libre cour à toute apport.

@+

[noobox]

Pour ceux qui ont envie de pousser encoreplus leur sécurité voici une méthode relativement simple pour faire un tunnel ssh. Je précise que cela a été testé sur DM600 image GP 4.40 et DM7020 sur SCVS avec CCcam et que cette méthode est préférable pour l'accès entre "personnes de confiance". Dans le cas contraire et pour les DM500 et autres petites box, une méthode similaire peut être utilisée, mais le seul inconvénient et qu'il n'y a pas d'automatisme.

1. Dans un premier temps il faut définir des comptes utilisateurs pour chaque client

2. On s'assure d'avoir une clé privé /etc/dropbear/dropbear_rsa_host_key et ensuite on va lire la clé public par la commande suivante: dropbearkey -y -f /etc/dropbear/dropbear_rsa_host_key

3. On transmet la clé public à tous les clients qui en feront de même avec la leur, clé qui est à mettre dans le fichier ~/.ssh/known_hosts et/ou ~./ssh/authorized_keys

4. On change le port par défaut du serveur dropbear (22), car il est très fréquent d'y être attaqué en brute et le nouveau port on l'ouvre. Fichier /etc/default/dropbear exemple DROPBEAR_PORT=34928

5. Toujours dans le même fichier on y ajoute l'argument "-a" à la ligne : DROPBEAR_EXTRA_ARGS=-a

6. On relance le daemon /etc/init.d/dropbear restart

7. on installe les packages et les fichiers ci-joint. Pour le fichier CCcam il est configurer pour la version 2.0.9 mais l'éditer vous en dira plus et il vous faudra y indiquer les paramètres de votre tunnel.

8. On oublie pas les attributs pour les 2 scripts 755

9. On modifie sa ou ses lignes C.
Exemple:
Ancienne ligne C: server.dns.com 12345 moncompte monpasse ....
Nouvelle ligne C: localhost 12345(ou autre port au choix) moncompte monpasse ....

10. Si tout est bien fait des deux coté (server/client) il y a plus qu'a relancer ou lancer le script CCcam. Le résultat se verra dans le webinfo, qu'il est au passage également possible de faire passer dans un tunnel lors d'une gestion distante....Et voilà vous avez quelques chose de vraiment sécurisé! (enfin presque...)

Pour ce qui est des DM500 et autres petites box j'y reviendrais plus tard, mais le principe et quasi identique pour les 1,2,3,4,5,6,8,9, mais pour ce qui est de la connexion il faudra la faire manuellement. Il semblerait que dans les versions de dropbear intégrées, la fonction d'authentification asymétrique ne soit pas implémentée. D'ou l'utilisation de 'expect' sur la méthode. Problème qu'il n'y a pas quand on utilise openssh.

Mais nous y reviendrons plus tard, car là faut que j'aille bouffer sinon je tombe.

[noobox]

Ouups! j'oublis les fichiers

[noobox]

Petite précision pour la méthode via SSH, le protocole géré est TCP, donc pour ce qui est de GBox il faudra s'orienter vers "openvpn".

Je prépare un petit tuto sur le même principe.

[roxor]

bonjour tout ceci est magnifique je cherche la traduction de tout ceci

voila c'est un demo starsat 4000d je l'es ouvert avec le gbox et macbox_4

voila se qu'il me dit :

arting gbox, please wait...
starting now
Logger init for IP: 000.000.000.000 on port 8017
Cannot connect UDP socket Cannot assign requested address
strange input data in gbox_cfg, OSD, pos 226
OSD (dbox2) IP = 0.3.1628788460.1627827201
RS232gate=2 speed=115200
Seasonport=0 speed=115200
mode 03
AU:02/update:01/KeyFile:01 Hash:01 DispECM:02/EMM:02 UDPInit:01 OSD:00
strange input data in Nagra keyfile filepos 7835
Total 44 EMM keys read from nagra.txt
My IP 082.015.165.117 ID 2666 (82.15.165.117) pass *******, we are online
ERROR in cwshare.cfg (D:)
FATAL ERROR: 193.253.63.234 has the same pass as you !!!
You MUST change one of them, exiting now.

sa veut dire quoi ??

[fibie1]

bonjour tout ceci est magnifique je cherche la traduction de tout ceci

voila c'est un demo starsat 4000d je l'es ouvert avec le gbox et macbox_4

voila se qu'il me dit :

arting gbox, please wait...
starting now
Logger init for IP: 000.000.000.000 on port 8017
Cannot connect UDP socket Cannot assign requested address
strange input data in gbox_cfg, OSD, pos 226
OSD (dbox2) IP = 0.3.1628788460.1627827201
RS232gate=2 speed=115200
Seasonport=0 speed=115200
mode 03
AU:02/update:01/KeyFile:01 Hash:01 DispECM:02/EMM:02 UDPInit:01 OSD:00
strange input data in Nagra keyfile filepos 7835
Total 44 EMM keys read from nagra.txt
My IP 082.015.165.117 ID 2666 (82.15.165.117) pass *******, we are online
ERROR in cwshare.cfg (D:)
FATAL ERROR: 193.253.63.234 has the same pass as you !!!
You MUST change one of them, exiting now.

sa veut dire quoi ??

que tu as le meme pass qu'un de tes peers
évidemment, dans ce cas, rien ne fonctionne, blocage complet

mais je doute que ton post soit le bienvenu sur celui de noobox

[jesus666]

Salut noobox,

J'ai telecharger ton fichier ssh tunnel et j'ai de tres gros problemes.

1 - ou installer les differents fichiers ?
2 - pour le fichier cccam.sh j'ai créer un fichier .cfg et il me marque Script STOP

Tu n'aurrais pas un zip reprenant tous les fichier deja créer ? Car la je nage

Merci

A+

[numerix]

merci noobox pour cette lumiere je viens juste de m'interesser a ce mode de sharing quoi que j'ai d'autre probleme d'ouverture de ports avec mon fournisseur mais j'essaye a tout prix de changer.
merci encore une fois et bonne continuation.

[noobox]

Nous sommes là pour ça avant tout, le savoir ne vaut que si il est partagé

Jesus666, précise ta box. Merci

[takfa06]

salut,
quels sont les moyens pour se proteger sous gbox avec une dream, autre ce que tu as poster plus haut?

merci.