Ein NAS ist das unauffälligste Gerät im Betrieb. Es steht im Nebenraum, blinkt, macht kein Geräusch und wird angesehen, wenn es piept. Genau deshalb ist es auch das Gerät, das am seltensten aktualisiert wird.
Synology hat am 18. September acht Schwachstellen in DSM behoben. Bei sechs davon braucht ein Angreifer ein Konto. Bei zwei nicht.
Was genau behoben wurde
Die beiden ohne Anmeldung sind mit 9,8 von 10 bewertet, und die Wirkung ist in allen drei Achsen vollständig: Vertraulichkeit, Integrität, Verfügbarkeit. Übersetzt heisst das lesen, verändern und löschen.
Die eine steckt in der Verarbeitung ausgehender Daten, die andere in der Anmeldelogik — und die ist die interessantere.
Synology nennt sie «Insufficient Entropy». Das ist kein Passwortproblem. Da wird nichts erraten, was jemand als Passwort gewählt hat. Da ist etwas, das zufällig sein müsste, zu wenig zufällig — eine Kennung, ein Wert, der eine Sitzung ausweist. Gegen so etwas hilft kein längeres Passwort und keine Sperre nach fünf Fehlversuchen. Es hilft nur das Update.
Die übrigen sechs reichen von einer Rechtevergabe in der LDAP-Schnittstelle bis zu kleineren Fehlern, die eine Anmeldung oder gar Administratorrechte voraussetzen. Alle acht sind über das Netz angreifbar, keine einzige verlangt physischen Zugang.
Beim Punkt «Behelfslösung» steht im Sicherheitshinweis nur ein Wort: keine.
Die behobenen Fassungen
Wer nachsehen will, findet die Version unter Systemsteuerung, Aktualisierung und Wiederherstellung. Behoben ist es ab 7.4-90075, ab 7.3.2-86009-4, ab 7.2.2-72806-9 und ab 7.2.1-69057-12 — je nachdem, auf welchem Zweig Ihr Gerät läuft.
Steht dort etwas Kleineres, ist das Update fällig. Es dauert ein paar Minuten und einen Neustart.
Warum das mehr ist als ein Dateiserver
Jetzt der Teil, der uns an dieser Meldung eigentlich beschäftigt.
In den meisten Kleinbetrieben, die wir kennen, ist das NAS nicht der Ort für Dateien. Es ist der Ort für die Sicherung. Dorthin schreibt der Server nachts, dorthin sichert der Rechner der Buchhaltung, dort liegen die Kopien, auf die man sich verlässt, wenn etwas schiefgeht.
Eine Lücke, die ohne Anmeldung Schreiben und Löschen erlaubt, trifft also nicht irgendein Laufwerk. Sie trifft den Ort, an den man sich rettet.
Und das ist keine theoretische Sorge. Wer heute einen Betrieb verschlüsselt, sucht als Erstes die Sicherung — weil ein Betrieb mit funktionierendem Backup nicht zahlt. Ein erreichbares NAS mit einer Lücke dieser Art nimmt diesem Angreifer die Arbeit ab.
Wir haben vor einiger Zeit geschrieben, dass neun von zehn ihrem Backup vertrauen und knapp drei damit recht haben. Das hier ist die andere Hälfte derselben Frage: Nicht, ob sich die Sicherung zurückspielen lässt — sondern ob sie überhaupt noch da ist, wenn man sie braucht.
Die unbequeme Anschlussfrage
Warum ist das Gerät überhaupt aus dem Internet erreichbar?
In den allermeisten Fällen lautet die Antwort auf eine von zwei Arten. Entweder wurde QuickConnect eingeschaltet, weil es beim Einrichten bequem war. Oder jemand hat eine Portweiterleitung im Router gesetzt, damit man von zu Hause aus drankommt.
Beides ist verständlich, und beides macht aus einem Gerät im Nebenraum ein Gerät im Internet.
Zu bedenken ist aber auch das Gegenteil: «Netzwerk» heisst nicht «Internet». Alle acht Lücken sind über das Netz angreifbar, und dazu genügt ein Angreifer im eigenen Netz — ein befallener Rechner, ein Gastzugang im selben Segment. Ein NAS, das nur intern erreichbar ist, ist deutlich besser dran, aber nicht aus dem Schneider.
Was heute zu tun ist
Version nachsehen und aktualisieren. Das ist der ganze Vorgang, und ohne ihn hilft nichts anderes.
Prüfen, ob das Gerät von aussen erreichbar ist. QuickConnect in der Systemsteuerung, Portweiterleitungen im Router. Wenn Sie es nicht brauchen, schalten Sie es ab — der Fernzugriff gehört sonst hinter ein VPN.
Und die Frage, die über dieses Update hinausreicht: Gibt es eine Kopie Ihrer Daten, die ein Angreifer mit vollem Zugriff auf das NAS nicht löschen könnte? Eine zweite Sicherung an einem anderen Ort, oder eine, die sich nicht überschreiben lässt. Wenn die Antwort nein lautet, ist das der eigentliche Befund dieses Wochenendes — und er ist älter als diese acht Lücken.
Bei den Systemen in unserer Wartung sehen wir die Fassung ohnehin durch. Wenn Sie ein NAS betreiben und nicht sicher sind, wie es darum steht: Das ist in zehn Minuten geklärt.