News QNAP QTS 5.0 Beta: Neuer Kernel für mehr Sicherheit und Datenintegrität

[POINTman-10]

Mit dem heute offiziell veröffentlichten Betriebssystem QTS 5.0 in der ersten Beta-Version für die eigenen NAS-Systeme bringt QNAP ein Upgrade beim Linux-Kernel, neue Sicherheitsfunktionen, eine Unterstützung für WireGuard VPN und eine laut Angaben vom Hersteller gesteigerte Leistung beim Cache mit NVMe-SSDs und mehr.

Zur News: QNAP QTS 5.0 Beta: Neuer Kernel für mehr Sicherheit und Datenintegrität

 

[DFFVB]

Grundsätzlich ja zu begrüßen, aber bei der Vielzahl an Meldungen zu Sicherheitslücken die QNAP hat, muss man mittlerweile einfach davon ausgehen, dass solch ein System per se unsicher ist. D.h. minimum nie direkt ans Netz hängen...

 

[sirYOgI]

Wer sein Nas einfach ans Internet hängt hat schon verloren ....

Ansonsten sehr zu begrüßen ich warte aber noch bis alles fertig ist.

 

[Martin121]

Naja, jedes System ist irgendwie unsicher. Habe die Beta am Freitag installiert. Mann sollte wissen das Plex Server nicht mehr kompatibel ist. Wer das nutzt muss auf ein Update der App warten. Ansonsten erstmal nichts negatives aufgefallen.

 

[Stuntmp02]

Ich würde als Privatanwender keine NAS direkt ins Internet hängen, auch keine Synology und auch keinen Windows Server 2019.

Nach den ganzen Skandalen die letzten Jahre muss einfach klar sein, dass jede Software Fehler hat und wenn ich eine NAS ins Internet hänge und die Software eine Lücke aufweist, ist mein Gerät 24/7 für Angriffe offen.

Wenn ich Daten von Unterwegs aus benötige, dann ist eine VPN-Lösung (z.B. mit Wireguard) eine feine Sache, viele Router können das auch nativ, wodurch die NAS nach wie vor im LAN bleiben kann. Alternativ stehen noch die vielen Cloud Provider zur Verfügung, die viel mehr Möglichkeiten zur Absicherung haben, als ein Home User hinter einer Fritzbox.

Ich bin mal gespannt, was in den Tests noch so rauskommt, eine Beta kommt mir aber nicht auf die NAS. Da warte ich lieber noch ein halbes Jahr auf eine offizielle Freigabe.

 

[Thaxll'ssillyia]

Qnap? Waren das nicht die mit den Harcoded Passwörtern, die da "versehentlich" noch in der Firmware rumlagen?
https://www.qnap.com/en-us/security-advisory/QSA-20-19

Sowas will man doch gerne wieder kaufen!

 

[Cool Master]

Wer sein Nas einfach ans Internet hängt hat schon verloren ....

Sehe ich nicht so. Mit einigen Punkten (kein default User/Gäste erlauben usw.) und Apps wie Fail2Ban (in Synology ab Werk drin) ist das Kinderleicht das System zu sichern und steht einem Linux Server nichts nach. Man muss halt immer Up2Date und Updates schnell einspielen.

Ich würde als Privatanwender keine NAS direkt ins Internet hängen, auch keine Synology und auch keinen Windows Server 2019.

Beim Windows Server stimme ich dir zu, wobei auch hier das gleiche gilt immer Up2Date halten und einige Punkte beachten und es dürfte auch kein problem sein. Beim VPN kannst du genau so Probleme haben wenn an der Config oder Software etwas nicht stimmt.

 

[Dark Soul]

Mann sollte wissen das Plex Server nicht mehr kompatibel ist.

Vielen Dank für die Info

 

[gaelic]

Wer sein Nas einfach ans Internet hängt hat schon verloren ....

Ich verstehe schon was du meinst. Aber ich hab mein NAS auch "ans Internet angehängt".

Von außen erreichbar:

• Port 22 (SSH) mit IP Block nach 3 misslungenen Versuchen
• Port 443, hier läuft weewx in einem Docker Container und zeigt Wetterdaten an

 

[Weyoun]

Ich würde als Privatanwender keine NAS direkt ins Internet hängen, auch keine Synology und auch keinen Windows Server 2019.

Meinst du damit, das NAS für alle sichtbar im Internet zu präsentieren oder nur für dich alleine über eine gesicherte Leitung? Zweiteres ist für Leute mit zwei Wohnsitzen (bin Wochenendpendler) nicht schlecht, wenn man von einer anderen Stadt aus an das NAS herankommt.

 

[scryed]

Grundsätzlich ja zu begrüßen, aber bei der Vielzahl an Meldungen zu Sicherheitslücken die QNAP hat, muss man mittlerweile einfach davon ausgehen, dass solch ein System per se unsicher ist. D.h. minimum nie direkt ans Netz hängen..

Das ist doch totaler Quatsch , was willst du machen nicht mehr vor die Tür gehen? Qnap hat genauso wie jede Software auf der Welt hier und da mal Lücken manche sind schwerwiegender manche weniger

Wenn über ein Lücke berichtet wird kommen immer diese Schnellschusse, die meisten sachen werden schnell gefixt und viele brauchen sogar lokalen Zugriff um ein problem zu sein....

Und was heisst Vielzahl....? Ist das jetzt viel wenn viele Seiten über das gleiche berichten?..... Ich glaube das kommt dir nur so vor

Edit, ich will Lücken nicht verharmlosen aber solange die schnell gefixt werden und nicht wirklich einfach ausnutzbar sind

Aber immer wieder lustig.... News zu irgendwas und das erste was kommt.... Waren die nicht mit Problem xy.... Ohne das Produkt überhaupt zu nutzen

 

[DFFVB]

Das ist doch totaler Quatsch , was willst du machen nicht mehr vor die Tür gehen?

Es ist wirklich schade, dass es keinen Lach Smiley gibt, denn darüber müssen wir beide herzhaft lachen, oder Du hast wirklich keine AHnung...

 

[blue_focus]

Wer sein Nas einfach ans Internet hängt hat schon verloren ....

Sorry aber das ist einfach nur Unsinn.

Es ist immer die Frage: WIE mache ich etwas.
Meine QNAP hostet jede Menge Microservices für meine Homeautomation. Ins öffentliche Netz dürfen aber nur statistische Services, ala Grafana. Da kann man im schlimmsten Fall nachschauen, Wie viel Strom ich wann gebraucht habe. Und nen Wordpress, wo ich schematisch für mich dokumentiert habe, wie ich was eingerichtet habe. Ohne sensible Backgrounddaten versteht sich. usw. Puhuuu!

Ich gebe dir recht. Man ist selbst schuld, wenn man nen Homeserver, welcher Art auch immer blind per NAT volle Breitseite ins Netz stellt. Man sollte auch UPNP abdrehen, damit sowas nicht aus Versehen automatisch passiert. Aber bei mir sehe ich hier den Angriffsvektor als klein an.

Alle meine public Services kommen bei mir ganz ohne Portforwarding aus. MyQnapCloud brauch ich dazu auch nicht.
Es gibt einfach ein paar Cloudflare Argotunnels, die als Docker Container laufen.
Meine Domain selbst steht hinter Cloudflare mit Geofencing usw., Cloudflare greift dann via Argotunnel, welche im Docker (Web) Netz terminieren auf die WebServer (auch Docker) bzw. Loadbalancer/Edgerouter (traefik, auch Docker) zu. Wenn schon eine Webserver kompromittiert wird, muss der Angreifer es auch noch schaffen aus der Dockerinstanz auszubrechen. Sicher irgendwie möglich, nix ist absolut save. Aber mit welchem Aufwand?!

Zusätzlich brauchen alle admin-user auf meiner QNAP ne 2Faktor Auth. Das machts auch schon mal deutlich unattraktiver.

 

[DFFVB]

@blue_focus Du hast leider einen entscheidenden Fehler gemacht: Du hast das Wort "einfach" überlesen. Das was Du machst, ist nichts einfaches, sondern für Heimnutzer ziemlich professionell. Deswegen zielt das weniger auf Dich ab ;-)

Aber kannst Du mal was Du zu Argo Tunneln erzählen? Ist das UDP Hole punching? Klingt spannend!

 

[blue_focus]

@blue_focus Du hast leider einen entscheidenden Fehler gemacht: Du hast das Wort "einfach" überlesen. Das was Du machst, ist nichts einfaches, sondern für Heimnutzer ziemlich professionell. Deswegen zielt das weniger auf Dich ab ;-)

Da hast du wohl recht. Ich lese nur schon so oft, ähnliche "Verallgemeinerungen", oft auch noch unfundiert und scheinbar nachgeplappert, dass mir gewisse Details wohl schon entgehen

Zur Funktionsweise zum Argo-Tunnel -> https://dariomader.io/2020/06/07/cloudflare-argo-access-kein-vpn-und-port-forwarding/

Auch wenn hier "kein VPN" steht. Ich würde das schon technologisch eher als VPN-Tunnel sehen zwischen CF und meinem HomeServer. Nur das dieser eben ganz dediziert auf nur einen Endpoint (bei mir HTTP-WebServer) horcht und nicht auf ein ganzes Subnet, oder Host.

UDP Punch a Hole macht das so wie das Verstanden habe nochmal ganz anders.

 

[benneq]

QNAP QTS 5.0 Beta: Neuer Kernel für mehr Sicherheit und Datenschutz

"Datenschutz" ist hier wohl nicht das richtige Wort. Bei Datenschutz geht es um missbräuchliche Datenverarbeitung, informationelle Selbstbestimmung und Persönlichkeitsrechte. Damit hat ein NAS für gewöhnlich nichts am Hut - außer der Anwender speichert / verarbeitet mit dem NAS personenbezogene Daten.
Hier geht es wohl eher um "Informationssicherheit", also den Schutz von Vertraulichkeit, Verfügbarkeit und Integrität.

 

[mujuli]

Hallo zusammen,

ich habe mich extra angemeldet um einen Kommentar zu diesem Thema abzugeben.
Das "UPDATE" ist der größte Witz.
Erstens sind in der Beta nur diese ~20 Geräte dabei. http://files.qnap.com/news/pressresource/datasheet/qts_5.0.0_beta_supported_nas_v2.pdf
Nach meinem Verständnis soll auch auf die Kernelversion 5.10 geupdatet werden.

Ich besitze einen TS231P und es ein kurzer check im Terminal mit Putty und uname -r liefert immer noch 4.2.8.
Ein Trauerspiel.

Die beworbene Wireguard Funktionalität steht "soon" zur Verfügung aber nicht in dieser Version.
Ein Trauerspiel.
Auch ein weiterer check ob die Realisierung über ein Kernelmodul stattfand. modprobe -l.
Ein Trauerspiel.
Sonst ein paar neue Farben.
Juhu.

Sehe nur ich das so ?
Mein Standpunkt sollte klar sein.

Grüße bis auf baldige (nach) Besserung😭

 

[blue_focus]

Ich hoffe ja primär, dass die WebUI mal anständig performant arbeitet. Aber da ging es seit der 4.3er Version nur noch bergab.
Meine QNAP TS-853A hat zwar nur nen kleinen Bresswell 4C/4T Atom Celeron + 16GB RAM. Stemmt damit aber komplett problemlos 18 Docker Containter, 3 davon DBs (Influx, MariaDB, MSSQL). Wichtig ist hier nur eine SSD verbaut zu haben. Denn alleine die Influx macht mit ihren 30 Inserts/s locker 150/200 IOPS Grundlast auf der Disk. Da geht einem jede drehende Platte in die Knie.
Aber wehe man muss mal in die Containerstation rein. Alleine da die Overview zu laden, dauert vom Login bis zur fertigen Anzeige locker mal 1-2min. Wenn ich dasselbe im Portainer (ist auch nen Container, mit nem Hart-Limit auf nen halben CPU-Kern), dauert das keine 5 Sekunden.
Mit den ganzen Onboard Apps schauts nicht besser aus. Der QTS-Desktop ist zumindest bei meinem Modell einfach nur elendig langsam. Hier mal entschlacken -> DAS wäre mal ein Fortschritt. Auf neues Klickibunti, was dann vermutlich noch langsamer wird könnte ich verzichten.

 

[POINTman-10]

Hier geht es wohl eher um "Informationssicherheit", also den Schutz von Vertraulichkeit, Verfügbarkeit und Integrität.

Dem stimme ich grundlegend zu und den Einwand kann ich ebenso verstehen! Nur den möglichst "kurzen" und treffenden Überbegriff für eine Sache der zudem für die Mehrzahl auch verständlich ist, zu finden, ist ab und an etwas knifflig. Danke für die Vorschläge.... "Informationssicherheit" sprengt jedenfalls den Rahmen.

 

[benneq]

Dem stimme ich grundlegend zu und den Einwand kann ich ebenso verstehen!

Berufskrankheit. Entschuldige

"Informationssicherheit" sprengt jedenfalls den Rahmen.

Immer muss das blöde Layout dazwischenfunken