Indurimento / Considerazioni sulla sicurezza per i client torrent

5

Sto utilizzando il client torrent DSM di Synology su un NAS. Dato che devo (?) Aprire e inoltrare una porta UDP per DHT e un'altra (UDP / TCP) per la trasmissione dei dati mi sto esponendo a minacce provenienti da Internet. Se non lo faccio, eludere lo scopo di una rete di torrent e diventare un leecher.

Sebbene non sia stato in grado di trovare alcun exploit destinato al Download Manager di Synology, non mi sento ancora rassicurato sul fatto che io possa sentirmi "al sicuro" (sono una persona felice con patch e mantenere tutti i miei sistemi aggiornati ). Ma un NAS, per definizione, contiene molti dati e pensa che alcuni dei ransomware che colpiscono il mio NAS tramite questo servizio torrent aperto mi faccia rabbrividire.

Purtroppo Download Manager non può essere eseguito in modo nativo in un altro segmento di rete (DMZ), quindi gli altri servizi ospitati dal NAS. Anche se potesse, il processo di apertura del socket verrebbe comunque eseguito sullo stesso hardware fisico.

Per farla breve. Come posso impedire che un client torrent venga sfruttato? Esiste un modo passivo per condividere i dati attraverso un servizio di inoltro in modo da poter tenere chiuse le porte?

    
posta Matze 15.05.2017 - 16:22
fonte

1 risposta

2

È improbabile che l'atto di port forwarding sia un grave problema di sicurezza. I rischi deriverebbero dal fatto che il protocollo BitTorrent è molto complesso e le sue librerie sono necessariamente complesse. Ogni volta che esegui il codice analizzando strutture di dati complesse controllate dagli aggressori, stai rischiando lo sfruttamento.

Utilizzo di una sandbox

L'indurimento di un client torrent può essere fatto utilizzando varie forme di sandboxing. Diversi sistemi operativi hanno tecniche diverse per questo, come AppArmor su sistemi Linux, Seatbelt su OSX e AppLocker su Windows. Questi sono tutti framework per limitare le capacità dei singoli programmi, chiamati Controlli di accesso obbligatori o MAC. Un programma limitato è chiamato oggetto e le risorse a cui desidera accedere sono chiamate oggetti . Un soggetto può essere limitato all'accesso solo a determinati oggetti (e anche allora, eseguendo solo operazioni limitate su tali oggetti), oppure gli oggetti possono essere contrassegnati come accessibili solo da determinati soggetti. Questa tecnica generale è utile per impedire a un'applicazione compromessa di fare molto male.

Utilizzo di una seedbox

Un'altra soluzione più completa è l'uso di una seedbox. Una seedbox è un server remoto che esegue un client torrent. I torrent da scaricare vengono caricati sul server e, una volta completati, possono essere scaricati tramite una connessione diretta (spesso http, ftp, sftp o rsync). Le Seedbox offrono la possibilità di continuare la semina e il sanguinamento anche quando il computer è spento o la rete è inattiva e non sono limitati dai limiti di larghezza di banda imposti dall'ISP. Tuttavia, in questo caso, forniscono anche l'ulteriore vantaggio di isolare qualsiasi compromissione del client torrent sulla seedbox stessa.

Mantenimento dei backup

Avere tutti i dati su un NAS ti espone al rischio di ransomware. È improbabile che un utente malintenzionato che vuole solo distribuire tale malware masterizzi 0 giorni su un client torrent completamente aggiornato. Tali attacchi sono molto più avanzati. Tuttavia, per ridurre il rischio di ransomware in generale, è necessario conservare i backup più importanti sullo storage offline. Questo è importante non solo per evitare il ransomware, ma anche la corruzione del filesystem catastrofico (che nemmeno RAID potrebbe proteggere da). Dovresti utilizzare la regola di backup 3-2-1 . Questo indica che dovresti conservare 3 copie di tutti i dati che non vuoi perdere, 2 su diversi tipi di supporti di memorizzazione e 1 offsite .

    
risposta data 15.12.2017 - 03:48
fonte

Leggi altre domande sui tag