Sicherheitsrelevante unerklärliche Phänomäne

[Zero_Official]

Hallo,

ich möchte an der Stelle eine Ansammlung von Phänomenen starten die ihr mal erlebt habt und keine Erklärung dazu habt
bzw. einer oder Anderen kann trotzdem erklären kann.

Fall 1:

ich habe einen China Smartphone für meine Frau gekauft, danach merkte ich das der ständig zu Apple.com connected.
Ich habe Dev Modus angemacht und nach Apple Soft gesucht, nichts! auch DNS Block und über Ubiquiti Traffik analysis nichts....
erst als ich komplette 17.0.0.0/8 Apple Range ins "Black hole" geroutet habe war dem Ende gesetzt.
Apple in Firmware? Chips? Hard coded IP's?

Fall 2:

ich habe google im Wlan für Smartphones gesperrt und einen Gast Wlan Profil erstellt um zb. doch mal Apps bei bedarf
über Store zu installieren.
Danach konnekteten meine Smartphones egal welcher marke selbsständig über Gast profil zu Google was eigentlich nicht
vogeshen war.
Endeffekt, ich habe zusätzliche Gastprofile entfernt, da dieses verhalten mir suspekt ist.

Fall 3:

ich betreibe OpenVPN auf der Synology NAS, die Client Software ist nur auf Laptops und Smartphones installiert.
Ich lasse wireshark auf meinem PC laufen, irgendwann kam eine Port 1194 anfrage zum Openvpn Server.
Weder Smartphones noch laptops haben je zum PC Connected oder OpenVpn Software war drauf.
Wie kommt das?

Ich lasse mal auch aus Spass Wireshark Stundenlang laufen oder Ports spiegeln um zu schauen was die Rechner so treiben.

Nun könntet ihr auch mal was beitragen wenn ihr "unerklärliche Phänomene " erlebt habt.

 

[benneq]

Apple in Firmware? Chips? Hard coded IP's?

Wird wahrscheinlich ganz einfach ein "Bin ich im Internetz?" Check sein. Die Herstellereigene Webseite (falls es die überhaupt gibt) wird dafür sicherlich zu unzuverlässig und/oder so schlecht angebunden sein, um solche Anfragen von potenziell hunderttausenden Geräten gleichzeitig standzuhalten.
Oder es ist eine geschickte DDoS Attacke der Chinesischen Regierung auf die Apple Webseite

Danach konnekteten meine Smartphones egal welcher marke selbsständig über Gast profil zu Google was eigentlich nicht
vogeshen war.

Klingt nicht ungewöhnlich. Die wichtigste Funktion eines Smartphones ist die Verbindung ins Internetz. Manche Geräte benutzen auch einfach die LTE Verbindung zusätzlich, wenn das WLAN zu langsam ist oder irgendwas scheinbar nicht erreichbar ist. Also immer schön den Weg des geringsten Widerstands.

 

[TheManneken]

irgendwann kam eine Port 1194 anfrage zum Openvpn Server.

Völlig normal, wenn du einen Server ins Netz hängst. Daher sind komplexe Kennwörter, Patchmanagement das A und O. Eine Firewall mit IDP wäre für den Privatgebrauch dann vielleicht etwas zu viel

Wenn du mal Spaß haben willst: häng mal ein Windows-System mit Port 3389 ins Netz und vergib' kein oder nur "1234" als Admin-Kennwort

 

[blackbirdone]

Sehe da keine Probleme für Fall 1

Fall 2 ist ganz normales Smartphone verhalten.

Fall 3 ist jetzt nicht wirklich verwunderlich das mal Anfragen auf Ports kommen die allg bekannt sind. Werden doch massenhaft abgescannt.

 

[0x7c9aa894]

Ich schaue lieber nicht mehr ins log. Da wird es mir nur ganz anders.
Aber was willst Du machen?
Alternative gibt es leider keine, außer Du lebst als Hermit auf dem Einsiedlerhof.

 

[Zero_Official]

Sehe da keine Probleme für Fall 1

Fall 2 ist ganz normales Smartphone verhalten.

Fall 3 ist jetzt nicht wirklich verwunderlich das mal Anfragen auf Ports kommen die allg bekannt sind. Werden doch massenhaft abgescannt.

ich habe kein ipone und will mit apple nix zutun haben, das ist das problem.

wenn das normal na dann prost.

abgescannt im internen netz!?

Ergänzung (15. März 2021)

Ich schaue lieber nicht mehr ins log. Da wird es mir nur ganz anders.
Aber was willst Du machen?
Alternative gibt es leider keine, außer Du lebst als Hermit auf dem Einsiedlerhof.

Resignation ist auch keine lösung.

 

[TheManneken]

Nein, solche Portscanner laufen im Internet. Theoretisch könnte jeder Internetuser einen einsetzen. Viele Firewalls erkennen diese Scanner und können dagegen vorgehen, aber "anklingeln" werden die Scanner trotzdem - du wirst nur nix hören. Mit einem gewöhnlichen Consumer-IAD wie einer Fritzbox/Speedport etc. bleibt dir halt nur, die Portweiterleitung wieder rückgängig zu machen - wodurch du dir natürlich dein VPN verbaust. Also musst du wohl damit leben, dass es an deiner NAS anklingelt und dich darauf verlassen, dass der Hersteller immer für Sicherheitsupdates sorgt.

 

[Zero_Official]

Nein, solche Portscanner laufen im Internet. Theoretisch könnte jeder Internetuser einen einsetzen. Viele Firewalls erkennen diese Scanner und können dagegen vorgehen, aber "anklingeln" werden die Scanner trotzdem - du wirst nur nix hören. Mit einem gewöhnlichen Consumer-IAD wie einer Fritzbox/Speedport etc. bleibt dir halt nur, die Portweiterleitung wieder rückgängig zu machen - wodurch du dir natürlich dein VPN verbaust. Also musst du wohl damit leben, dass es an deiner NAS anklingelt und dich darauf verlassen, dass der Hersteller immer für Sicherheitsupdates sorgt.

nein, es "klingelt" intern nach intern.
also von 172.16.32.10 nach 192.168.05
und warum windows 10 überhaupt nach openvpn fragt wenn es doch nie damit zutun hatte.

 

[TheManneken]

Entschuldige, das war aus deiner bisherigen Beschreibung nicht ganz klar. Vielleicht am besten mal einen Auszug aus den Wireshark Logs hier posten.
Auch zu 172.16.32.10 müsste ich jetzt raten: ich würde aber mal annehmen, dies ist eine IP aus deinem VPN-Subnetz?

 

[Zero_Official]

@TheManneken
es ist vlan ip subnetz, daher ist der pc und nas in verschiedenen subnetzen aber in derseben domäne,
was eigentlich keine erklärung bietet. Wireshark logs lösche ich nach analyse, ich weiss nicht wann so eine
Anfrage wieder auftaucht.

 

[TheManneken]

Okay, dennoch ist Port 1194 TCP/UDP ein standardisierter Port für OpenVPN und Windows weiß dies natürlich. Da Windows mit Defender eine Softwarefirewall integriert hat und die Netzwerkumgebung ständig nach Geräten sucht, würde es mich nicht überraschen, dass Windows auch mal die gängigsten Ports anfragt. Und sofern die Anfrage tatsächlich von einem Windows-Prozess kommt, würde ich mir, ehrlich gesagt, hier auch keine weiteren Sorgen machen. Dann müsstest du wohl oder übel erneut Wireshark laufen lassen und warten, bis dies erneut auftritt.

 

[0x7c9aa894]

Resignation ist auch keine lösung.

In der Tat, bei Mobiltelefonen hab ich aufgegeben.
Bei PCs setze ich nur Linux ein aber wenn man sich mal anschaut was die Browser alles manchen wird mir schlecht. Dann gibt noch einige apps die halt mal nach Hause telefonieren wollen. Nun könnte ich noch einen Proxy mit Auth einrichten. Aber es nimmt halt kein Ende.

 

[Zero_Official]

@0x7c9aa894
nun ja solange du es dir erklären kannst ist ja ok.

Ich wollte eigentlich eine Sammlung von Phänomenen die man nicht erklären kann