OSTRZEŻENIE: nie upubliczniajcie swojego EFC-01 do internetu

Witajcie,
Dzięki koledze Gadulowaty poznałem kilka faktów na temat oprogramowania EFC-01. Niestety potwierdziły się moje przypuszczenia, że Zamel nie popisał się jakością oprogramowania ani ogólnie, ani - co dla tego posta ważniejsze - pod kątem bezpieczeńśtwa kontrolera 

Wygląda na to, że w sofcie popełnionych jest szereg szkolnych błędów, które zaznajomiona z tematem osoba może wykorzystać do przeprowadzenia skutecznego ataku na kontroler, a dzięki niemu może dostać się nawet do waszych sieci / urządzeń domowych. Możliwe jest przejęcie kontroli nad kontrolerem a stąd droga wolna do sterowania Waszym domem czy mieszkaniem.

Zatem ostrzegam i radzę: nie "wystawiajcie" waszego kontrolera EFC-01 do bezpośredniego dostępu z internetu!!!

Odradzam robienie przekierowania portów z publicznych IP na Wasz kontroler.
Znacznie bezpieczniejszym (choć nieco mniej wygodnym) rozwiązaniem będzie używanie połączenia VPN do Waszego rutera domowego np. dzięki aplikacji na smartfony. Dopiero po połączeniu się z siecią lokalną przez tunel VPN - uruchomić i używać aplikację Exta Life.
Takiego rozwiązania ja sam używam od początku, właśnie ze względu na niepewność co do jakości oprogramowania kontrolera.

Szansa ataku może ze względu na niską popularność systemu jest niewielka, ale jednak jest. A co gdy Exta Life steruje np. Waszą bramą garażową? Ja bym nie ryzykował...

Witam kolegę admina,
dziękuje za wyręcznie mnie w opisaniu w/w problemu. Na chwilę obecną mam gotowy exploit przeprowadza atak DoS na urządzenie EFC-01 z firmwarem 0.9.4 z dnia 2017.12.20. Szczegóły tego BUG'a bardzo chętnie przekażę osobą z firmy ZAMEL. Może to ich zmotywuje do przyśpieszenie prac nad "lutową" aktualizacją.

DO użytkownika(-ów) z firmy ZAMEL: Po szczegóły zapraszam przez PM.

Pozdrawiam,
Gadulowaty

Szczegóły tego BUG'a bardzo chętnie przekażę osobą z firmy ZAMEL. Może to ich zmotywuje do przyśpieszenie prac nad "lutową" aktualizacją.

Śmiało, przekaż. Może wspomnij też o tym, co już jest widoczne na wiki - niech zobaczą, że system powoli się otwiera. Jestem bardzo ciekawy co oni na to?   

Wątpię jednak, że zmotywuje ich to do czegokolwiek. Oni po prostu najpewniej nie są w stanie poradzić sobie z implementacją własnych koncepcji, a co dopiero z łataniem błędów od użytkowników

Gdyby to była firma software'owa lub miała dział software'owy z prawdziwego zdarzenia to powinni ci za takie infromacje podziękować.

PS. Fajny awatar Może zmień usera na Snowden albo coś

Nazwy użytkownika nie zmienie, bo wszystko co ze śniegiem związane może być odebrane jako złośliwość z mojej strony jeżeli chodzi o zabezpieczenia transmisji radiowej przed sniffowaniem i podszywaniem. Drobny przytyk zostawiłem na Wiki.

Wracając do tematu zasadniczego proszę użytkowników, którzy wystawiają port 20400 kontrolera do internetu o zapoznanie się z tą strona na WIKI.

Pozdrawiam,
Gadulowaty

....co dla tego posta ważniejsze - pod kątem bezpieczeńśtwa kontrolera

Coś więcej w temacie ?

Cytat: admin w Kwietnia 05, 2018, 14:27:46

....co dla tego posta ważniejsze - pod kątem bezpieczeńśtwa kontrolera

Coś więcej w temacie ?

Po szczegóły można zgłaszać się do kolegi Gadulowatego

Na chwilę obecną szczegółów nie ujawnię. Wynika to z troski o obecnych użytkowników ExtyLife - narażałbym ich na to że ktoś złośliwie mogłby wykorzystać istniejącą dziurę, aby w najlepszym przypadku przeprowadzić atak DoS. W przyszłym tygodniu spróbuję nawiązać kontakt z kimś z ZAMELa (może wcześniej sami się odezwą), kto będzie mógł się określić jak szybko są wstanie załatać znalezioną dziurę. Jeżeli nie będzie z ich strony chęci rozwiązania problemu wtedy dopiero posiadane informacje upublicznie.

Pozdrawiam,
Gadulowaty.

W przyszłym tygodniu spróbuję nawiązać kontakt z kimś z ZAMELa (może wcześniej sami się odezwą), kto będzie mógł się określić jak szybko są wstanie załatać znalezioną dziurę. Jeżeli nie będzie z ich strony chęci rozwiązania problemu wtedy dopiero posiadane informacje upublicznie.

Moim zdaniem na odzew poprzez forum szansa jest nikła. Zdaje się, że Zamel już tutaj raczej nie zagląda Ale zobaczmy, może wydarzy się cud. A jeśli nie to możemy Cie tylko prosić o nawiązanie z nimi kontaktu.

Pozdro

Jeśli Zamel nie zareaguje to czas na reakcję użytkowników.

Witam wszystkich.
Czy coś się zmieniło w kwestii załatania tej dziury w zabezpieczeniach?
Pozdrawiam Paweł.

Witam wszystkich.
Czy coś się zmieniło w kwestii załatania tej dziury w zabezpieczeniach?
Pozdrawiam Paweł.

Na to pytanie być może odpowie kolega Gadulowaty. Ja nie wiem jak się sprawy mają w nowym  sofcie 0.9.5 i czy coś się poprawiło czy nie. Jestem również ciekawy jakiegoś komentarza na ten temat.

Wieczór wszystkim,
niestety nie mam dobrych wiadomości odnośnie tego błędu. W zeszłym tygodniu odezwała się do mnie osoba z Zamela z działu marketingu. Po rozmowie prosiłem, aby przekazał namiar na mnie do działu konstrukcyjnego, (który zajmuje się też oprogramowaniem) tak żebym mógł się podzielić posiadanymi informacjami, niestety do dnia dzisiejszego (ponad tydzień) nikt nie pofatygował się aby skontaktować sie z mna chociaż telefonicznie. Czekam cały czas na kontakt.

A wracając do meritum, błąd w postaci takiej jakiej zaistniał w wersji 0.9.4 z dnia 20.12.2017 jest również obecny w wersji 0.9.5 tej która była publikowana do beta testów. Na marginesie to, żal mi nas, bo żałosne jest to co zrobił Zamel z tą aktualizacją, a mianowicie - otrzymujemy wersję kilka dni przed oficjalną publikacją, aby ją przetestować. Wielu z nas poświęciło swój czas na testowanie i wykrycie problemów, które mogą się pojawić. Tak żeby przed wydaniem finalnej aktualizacji dołożyć hot-fixy znalezionych jeszcze niedoróbek i wypuścić produkt jak najlepszej jakości. A co robi nam Zamel - wrzuca na stronę wersję, która trafiła do nas jako wersja do testów. Teraz wszyscy użytkownicy zostali beta-testerami

Pozdrawiam,
Gadulowaty.

Cześć,

W zeszłym tygodniu odezwała się do mnie osoba z Zamela z działu marketingu.(...)
niestety do dnia dzisiejszego (ponad tydzień) nikt nie pofatygował się aby skontaktować sie z mna

Brzmi znajomo. Ja już przestałem nawet pytać o ten obiecany do testów kontroler. Osoba z facebooka od czasu do czasu pyta się czy odpowiedzialna osoba się ze mną kontaktowała a ja jak mantrę powtarzam, że nie. Ta firma tak ma...niestety....

Na marginesie to, żal mi nas, bo żałosne jest to co zrobił Zamel z tą aktualizacją, a mianowicie - otrzymujemy wersję kilka dni przed oficjalną publikacją, aby ją przetestować. Wielu z nas poświęciło swój czas na testowanie i wykrycie problemów, które mogą się pojawić. Tak żeby przed wydaniem finalnej aktualizacji dołożyć hot-fixy znalezionych jeszcze niedoróbek i wypuścić produkt jak najlepszej jakości. A co robi nam Zamel - wrzuca na stronę wersję, która trafiła do nas jako wersja do testów. Teraz wszyscy użytkownicy zostali beta-testerami

Bo jak już wielu z nas doszło do wniosku - Zamel nie jest ani firmą programistyczną, ani nawet nie ma działu programistycznego z prawdziwego zdarzenia (bo przepraszam - 1 osoba do programowania kontrolera? serio?!  Jako support to rozumiem, ale nie w aktywnej fazie developmentu produktu). Od numeracji wersji software'u zaczynając (te same numery pomimo wprowadzanych zmian) aż na jakości kodu i podejściu w jego łataniu kończąc...
Tam nikt się takimi "drobnostkami" nie przejmuje. "Się poprawi", kiedyś.
Chociaż z jednej strony zgodzę się, że wypuszczenie tego softu oficjalnie miało sens dla osób których cały system działał niestabilnie, lub prawie w ogóle. To choć istnieją błędy - to da się może w ich przypadku tego teraz jakoś używać.

A Hotfixy? W tym systemie takie pojęcie nie funkcjonuje. Chyba, że hotfixem jest coś co jest łatane po pół roku od zgłoszenia błędu....

Smutna ta nasza ExtaLife' owa rzeczywistość...

No i mamy światełko w tunelu , wersja z 15.05.2018 łata dziurę buffer overflow w procedurze obsługi połączenia od klienta z aplikcacji ExtaLife. W końcu ktoś przejrzał kod obsługi bufora odczytu i prawidłowo zaczął operować na wskaźnikach do początku bufora.

No ale że podobno lubie się czepiać to będzie mała szpila dla Zamela. Czas żeby majstry z Zamela pochylili głowy nad optymalizacją alokacją pamięci dla lwIP (biblioteka wykorzystywana do komunikacji TCP/IP) bo plik opcji dla tego pakietu poszedł z jakiegoś exampla z sieci metodą kopiuj wklej i raczej nikt się nie zastanawiał co właściwie i gdzie i po co lwip alokuje. Moje pobieżne przejrzenie alokacji pamięci dla lwIP wykazuje że można przynajmniej ilość pamięci obecnie wymaganej przez lwIP zminiejszyć o 50%.

Pozdrawiam,
Gadulowaty.

No i mamy światełko w tunelu , wersja z 15.05.2018 łata dziurę buffer overflow w procedurze obsługi połączenia od klienta z aplikcacji ExtaLife. W końcu ktoś przejrzał kod obsługi bufora odczytu i prawidłowo zaczął operować na wskaźnikach do początku bufora.

No ale że podobno lubie się czepiać to będzie mała szpila dla Zamela. Czas żeby majstry z Zamela pochylili głowy nad optymalizacją alokacją pamięci dla lwIP (biblioteka wykorzystywana do komunikacji TCP/IP) bo plik opcji dla tego pakietu poszedł z jakiegoś exampla z sieci metodą kopiuj wklej i raczej nikt się nie zastanawiał co właściwie i gdzie i po co lwip alokuje. Moje pobieżne przejrzenie alokacji pamięci dla lwIP wykazuje że można przynajmniej ilość pamięci obecnie wymaganej przez lwIP zminiejszyć o 50%.

Pozdrawiam,
Gadulowaty.

Szacun za wiedzę i zaangażowanie, naprawdę jestem pod wrażeniem i czekam na dalsze postępy w Twojej pracy na firmware.

Wieczór wszystkim,
niestety nie mam dobrych wiadomości odnośnie tego błędu. W zeszłym tygodniu odezwała się do mnie osoba z Zamela z działu marketingu. Po rozmowie prosiłem, aby przekazał namiar na mnie do działu konstrukcyjnego, (który zajmuje się też oprogramowaniem) tak żebym mógł się podzielić posiadanymi informacjami, niestety do dnia dzisiejszego (ponad tydzień) nikt nie pofatygował się aby skontaktować sie z mna chociaż telefonicznie. Czekam cały czas na kontakt.

A wracając do meritum, błąd w postaci takiej jakiej zaistniał w wersji 0.9.4 z dnia 20.12.2017 jest również obecny w wersji 0.9.5 tej która była publikowana do beta testów. Na marginesie to, żal mi nas, bo żałosne jest to co zrobił Zamel z tą aktualizacją, a mianowicie - otrzymujemy wersję kilka dni przed oficjalną publikacją, aby ją przetestować. Wielu z nas poświęciło swój czas na testowanie i wykrycie problemów, które mogą się pojawić. Tak żeby przed wydaniem finalnej aktualizacji dołożyć hot-fixy znalezionych jeszcze niedoróbek i wypuścić produkt jak najlepszej jakości. A co robi nam Zamel - wrzuca na stronę wersję, która trafiła do nas jako wersja do testów. Teraz wszyscy użytkownicy zostali beta-testerami

Pozdrawiam,
Gadulowaty.

Doczytałem ostatnio że dla zamela aplikacje tworzy firma ready4s czyli to co piszesz w pełni się zgadza, btw na stronie ready4s są informacje o aplikacji ExtaFree z poczatku 2017 a jak wiemy ostatnia aktualizacja w sklepie Play była 06.2016 tak więc coś tu mi nie gra....