Telnet port

[Rudolf Koenig]

Nach einer Diskussion mit Willi habe ich beschlossen, dass die
Standard-Installation von fhem nicht mehr so "offen" sein wird wie
bisher, bzw. anders ausgedrueckt: fhem soll sicherer werden.
Als erster Schritt in diese Richtung habe ich den globalen telnet port
optional gemacht, weiterhin habe ich einen optionalen portpassword
Attribut hinzugefuegt. Falls gesetzt, muss es als erste Zeile in einem
telnet-session eingetippt werden.

Weitere Plaene:
- telnet in dem initialen fhem.cfg nur fuer localhost erlauben (global
weg).
- Prominent platzierte Warnung in FHEMWEB bzw. im Log, falls kein
telnet (global) bzw. FHEMWEB Passwort gesetzt ist oder falls fhem
unter root laeuft. Die Warnung ist abschaltbar bzw. auch fuer andere
Zwecke verwendbar.
- auf dem FB wird fhem wieder unter dem Benutzer fhem gestartet, und
nicht mehr unter root (nur fuer Neu-Einsteiger).
- falls moeglich, direkte Verwendung des FB Passwortes fuer telnet
bzw. FHEMWEB.

[Ruebezahl]

Gute Idee,

könnte man nicht in dem Zusammenhang auch gleich bestimmte IP-Adressen für Telnet erlauben/verbieten,
so etwas wie "attr global IP-allowed 192.168.0.0,36"?

R.

[Rudolf Koenig]

> so etwas wie "attr global IP-allowed 192.168.0.0,36"?

http://fhem.de/commandref.html#allowfrom

[Prof. Dr. Peter A. Henning]

Hallo Liste,

gute Idee, das Ding sicherer zu machen.

Allerdings sollte man die Sicherheitsfunktionalitäten des Betriebssystems nutzen, also nicht eine eigene IP-White/Blacklist und eigene Passwortverwaltungen implementieren.

Insbesondere bietet sich an, auf Systemen, die gleichzeitig Router sind (wie etwa der FB) die direkte Verzahnung mit der Firmware voranzutreiben.

Damit das dann nicht zu proprietär wird, schlage ich eine Trennung zwischen Funktion (z.B. Prüfe Passwort, Schreibe IP-Whitelist) und System vor. Die entsprechenden High-Level Funktionen wären damit Bestandteil von fhem.pl, ihre Weiterleitung an ein Betriebssystem würde ein austauschbares Modul übernehmen. Für das könnte es auch eine Emulation geben, die dann eben wirklich nur eine triviale Passwortprüfung durch Vergleich mit einer Datei durchführt.

LG

pah

[Kai Siering]

On 06/13/2012 01:25 PM, Rudolf Koenig wrote:

> Als erster Schritt in diese Richtung habe ich den globalen telnet port
> optional gemacht, weiterhin habe ich einen optionalen portpassword
> Attribut hinzugefuegt. Falls gesetzt, muss es als erste Zeile in einem
> telnet-session eingetippt werden.

Bitte an de-facto Standards halten, i. e. _falls_ ein Passwort ben�tigt
wird, "Password: " o. �. ausgeben (und falls nicht, w�re "FHM>" hilf-
reich). Damit ist dan allgemeines Skripting weiterhin m�glich.

MfG,
-kai

[Willi]

On 13 Jun., 13:25, Rudolf Koenig <inf...@koeniglich.de> wrote:
> Als erster Schritt in diese Richtung habe ich den globalen telnet port
> optional gemacht, weiterhin habe ich einen optionalen portpassword
> Attribut hinzugefuegt. Falls gesetzt, muss es als erste Zeile in einem
> telnet-session eingetippt werden.

Super. Das ging ja schnell. Danke!

Ich habe auf meiner Fritzbox 7390 sowie meinem FHEM-Server (debian auf
ARM) die neue Version (93_FHEM2FHEM.pm und fhem.pl) installiert und
getestet. Der FHEM-Server unter debian ist mit der Fritzbox mit
FHEM2FHEM raw verbunden.
Funktioniert problemlos.

Irritierend ist allerdings, dass beim manuellen telnet auf Port 7072
für das Kennwort ein Echo erfolgt (also angezeigt) wird.

Die Idee von Kai mit der Ausgabe von "Password:" finde ich gut (sofern
Du das ohne großen Aufwand realisieren kannst).

MfG Willi

[Rudolf Koenig]

> set über FHEM2FHEM raw vom FHEM-Debian-Server zur Fritzbox funktioniert
> nicht.

Stimmt, habs gefixed. FHEM2FHEM verwendet eine zweite Verbindung fuer
die
Kommandos, und da habe ich bisher kein Passwort gesendet.

> Irritierend ist allerdings, dass beim manuellen telnet auf Port 7072 für das
> Kennwort ein Echo erfolgt (also angezeigt) wird.

Hab mir das telnet IAC angetan: fhem sendet WILL ECHO, bzw.
beantwortet alles
mit "WONT". Muss noch schauen was noch fehlt, damit das dumme MS
telnet
auch ordentlich mitmacht.

> Die Idee von Kai mit der Ausgabe von "Password:" finde ich gut (sofern
> Du das ohne großen Aufwand realisieren kannst).

Habe ich auch geaendert, ein FHM> gibts aber nicht, zwecks
Kompatibilitaet.

Noch'n Problem: interne Programme wie das FB fhemcmd, das vom
Telefonserver aufgerufen
wird, brauchen eigentlich keinen Passwort, externe schon. Man braucht
also
mehrere Versionen vom "telnet" -> telnet muesste auch ein Modul werden
mit define.
Mein Hauptproblem dabei ist die Kompatibilitaet, aber ich glaube ich
habe eine Idee.

[Willi]

On 14 Jun., 17:38, Rudolf Koenig <inf...@koeniglich.de> wrote:
> > set über FHEM2FHEM raw vom FHEM-Debian-Server zur Fritzbox funktioniert
> > nicht.
>
> Stimmt, habs gefixed. FHEM2FHEM verwendet eine zweite Verbindung fuer
> die
> Kommandos, und da habe ich bisher kein Passwort gesendet.

Super. Jetzt funktioniert mein Licht auf der Terasse wieder!

>
> > Irritierend ist allerdings, dass beim manuellen telnet auf Port 7072 für das
> > Kennwort ein Echo erfolgt (also angezeigt) wird.
>
> Hab mir das telnet IAC angetan: fhem sendet WILL ECHO, bzw.
> beantwortet alles
> mit "WONT". Muss noch schauen was noch fehlt, damit das dumme MS
> telnet
> auch ordentlich mitmacht.

Bei mir (mit Linux-Telnet) wird das Kennwort nicht mehr angezeigt.

>
> > Die Idee von Kai mit der Ausgabe von "Password:" finde ich gut (sofern
> > Du das ohne großen Aufwand realisieren kannst).
>
> Habe ich auch geaendert, ein FHM> gibts aber nicht, zwecks
> Kompatibilitaet.

"Password:" wird angezeigt.
"fhem>" sobald man das erste mal Return drückt.

MfG Willi

[Rudolf Koenig]

> Muss noch schauen was noch fehlt, damit das dumme MS
> telnet auch ordentlich mitmacht.

Das scheint wohl nicht so trivial zu sein: MS telnet kommt selbst
nicht auf die Idee echo zu machen, das muesste fhem durchfuehren, und
das ist mir jetzt zu bunt. Als Kompromiss sendet fhem mit portpassword
\r\n statt \n zurueck.

Damit "Telnet" Zugang unter Windows:
1. mit telnet / portpassword: Im telnet nach Passworteingabe mit CTRL-
+ und "set localecho" das echo aktivieren
2. mit putty (protokoll telnet) / portpassword
3. mit putty (protokoll raw) / ohne portpassword

Osx/Linux Benutzer koennen einfach telnet verwenden.

[Rudolf Koenig]

> - falls moeglich, direkte Verwendung des FB Passwortes fuer telnet
> bzw. FHEMWEB.

Das ist seit heute frueh per updatefhem verfuegbar, es waere nett wenn ich dazu
Feedback bekommen wuerde, weil beides demnaechst auf dem FB mit einer frischen
Installation zu default wird.

Howto (aus commandref.html):
# portpassword
Specify a port password, which has to be entered as the very first string
after the connection is established. If the argument is enclosed in {},
then it will be evaluated, and the $password variable will be set to the
password entered. If the return value is true, then the password will be
accepted. Example:
attr global portpassword\
{use FritzBoxUtils;;FB_checkPw("localhost","$password") }

# basicAuth
...
If the argument of basicAuth is enclosed in {}, then it will be evaluated,
and the $user and $password variable will be set to the values entered. If
the return value is true, then the password will be accepted. Example:
attr WEB basicAuth\
{use FritzBoxUtils;;FB_checkPw("localhost","$password") }

Ich vermute, dass Umlaute im Passwort nicht funktionieren, da die (dreist
abgeschriebene :) unicode Konvertierung primitiv ist.

Achtung portpassword: ich plane die telnet Verbindung in ein separates Modul
(mit define) auszulagern, dieser Parameter wird demnaechst verschwinden.

[Guido]

es waere nett wenn ich dazu Feedback bekommen wuerde

Hallo Rudolf,

basicauth funktioniert auf anhieb.
 Frage hierzu: nach welcher Zeit erfolgt ein Timeout, und ist dieser editierbar ?

Telnet (Putty) funktioniert auch allerdings erscheinen seltsame Buchstaben vor Password und nach Eingabe

ÿûPassword: ******
ÿü

und AndFHEM müsste von Mathias angepasst werden da bei der Telnetverbindung keine Passworteingabe möglich ist.

[Matthias]

Hi.

Jop den Task habe ich schon erstellt. Das mache ich aber erst wenn das Ganze zu default wird.

Matthias

[Rudolf Koenig]

> basicauth funktioniert auf anhieb.
> Frage hierzu: nach welcher Zeit erfolgt ein Timeout, und ist dieser
> editierbar ?

FHEMWEB implementiert (noch?) kein basicAuth timeout, kann jemand nachschauen,
wie man das macht? Richtige Fritzbox-Passwoerter werden fuer 5 Minuten
gemerkt, da die Pruefung relativ langsam ist.

> Telnet (Putty) funktioniert auch allerdings erscheinen seltsame Buchstaben
> vor Password und nach Eingabe

Siehe vorheriges Posting in diesem Thread, welche Optionen Windows Benutzer
haben.

[Rudolf Koenig]

> - Prominent platzierte Warnung in FHEMWEB bzw. im Log, falls kein
> telnet (global) bzw. FHEMWEB Passwort gesetzt ist oder falls fhem
> unter root laeuft. Die Warnung ist abschaltbar bzw. auch fuer andere
> Zwecke verwendbar.

global Attribut motd eingefuehrt, erscheint im "Homescreen" von FHEMWEB, bzw.
vor dem ersten fhem> prompt im telnet.

Eine Warnung (SecurityCheck) wird z.Zt. nur fuer FHEMWEB Instanzen ohne
basicAuth angezeigt, telnet kommt spaeter. Abschalten kann man motd mit
"attr global motd none"

Als Nebeneffekt kann man jetzt mehrzeilige Attribute per save speichern.

[Steffen]

Hallo!

Wie kann ich per Dyndns(Fritzbox) auf Telnet-Fhem zugreifen, muss ich da noch was in Fhem erlauben oder Freischalten??

Wenn ich mich per Putty über meine Dyndns einwähle dann bricht er nach Eingabe ab und schließt die Verbindung.

Mfg Steffen

[Rudolf Koenig]

Hab das bisherige "telnet" Code aus fhem.pl nach 98_telnet.pm ausgelagert.

Konsequenzen:

- das bisherige "attr global port XXX [global]" wird beim Hochfahren
automatisch zu einem telnet Instanz mit dem Namen telnetPort konvertiert.

- FHEMWEB und telnet verwenden gemeinsam TcpServerUtils.pm, d.h. FHEMWEB kennt
jetzt das allowfrom Attribut, und telnet hat SSL gelernt. Der Code sollte
wegen der Zusammenfuehrung insgesamt auch etwas kleiner geworden sein.

- man kann mehrere "telnet" Ports oeffnen, und diese mit unterschiedlichen
Attributen belegen. Auch die hergestellten Verbindungen sieht man jetzt im
list analog zu den FHEMWEB Verbindungen, und man kann mit "delete" solche
explizit schliessen.

- rereadcfg schliesst alle Verbindungen ausser dem aktuellen, sowas koennte
evtl. FHEM2FHEM beeintraechtigen, auch wenn F2F die Verbindung automatisch
wieder herstellt.

- das vor kurzem eingefuehrte global Attribut portpasswort ist wieder passe, es
existiert aber natuerlich ein telnet Attribut password und ein
globalpassword, letzteres ist beim lokalen Verbindungen inaktiv (wichtig fuer
den FritzBox)

- das globale Parameter allowfrom ist auch passe und wird auch nicht
konvertiert! telnet hat natuerlich ein allowfrom, dieser ist jetzt statt
Komma separierte Liste ein regexp geworden.

- Aenderung: falls man in FHEMWEB HTTPS aktiviert hat, dann werden HTTP
Verbindungen nicht mehr akzeptiert. Gilt auch fuer telnet/SSL, den gabs aber
bisher nicht :)

- Falls man im telnet SSL aktiviert hat, dann sollte man statt telnet einen der
folgenden Kommandos verwenden:
socat openssl:fhemhost:fhemport,verify=0 readline
ncat --ssl fhemhost fhemport
openssl s_client -connect fhemhost:fhemport

- telnet beteiligt sich jetzt auch an SecurityCheck, abschalten kann man die
Meckerei mit "attr global motd none", oder man setzt die Passwoerter.
Fuer den Fritzbox kann man netuerlich, wie kuerzlich eingefuehrt, das
"eingebaute" Passwort verwenden mit:
attr telnetPort globalpassword\

{use FritzBoxUtils;;FB_checkPw("localhost","$password") }

Das password Attribut sollte man beim FritzBox meiden, sonst funktioniert
"fhemcmd" nicht (triggern von fhem uebers Telefon)

Ich habs (gefuehlt) relativ viel getestet, aber Garantien uebernehme ich
keine. :)

Gruss
Rudi

[Rudolf Koenig]

> Wie kann ich per Dyndns(Fritzbox) auf Telnet-Fhem zugreifen, muss ich da
> noch was in Fhem erlauben oder Freischalten??

Falls man mit Dyndns "aus dem weiten Internet und nicht vom lokalen Netz"
meint, dann gibt es dafuer zwei Moeglichkeiten:

- VPN zu FritzBox einrichten, damit ist man wieder im lokalen Netz :)

- telnet Port im Fritzbox nach Aussen freischalten. Letzteres geht mWn nur
ueber "Hacks" (Dateien auf dem FB bearbeiten), und ich wuerde sowas
nur mit dem vor paar Minuten freigegebenen fhem empfehlen, wenn man fuer
das freigegebene Port SSL und Passwort aktiviert hat.

Das "alte" fhem bietet nur unverschluesselte, und mit Passwort nicht
gesicherte telnet Verbindungen an.

Leider enthaelt nur die 7390-er Perl Installation das SSL Modul, HTTPS und SSL
funktionieren also nicht auf dem 7270/7170, hier bleibt nur VPN.

[Willi]

Hallo Rudi,

danke für die Änderungen.

Ich habe ein update meines Debian-Servers sowie der Fritzbox 7390
gemacht und telnet mit Password und SSL getestet.
"updatefhem preserve" hat mehr als 15 Minuten gedauert, weil das
Backup angelegt wurde...

Anbei meine Kommentare zu meinen jeweiligen Tests.

> - das bisherige "attr global port XXX [global]" wird beim Hochfahren

>   automatisch zu einemtelnetInstanz mit dem Namen telnetPort konvertiert.

Hat bei mir problemlos funktioniert.

> - das vor kurzem eingefuehrte global Attribut portpasswort ist wieder passe, es

>   existiert aber natuerlich eintelnetAttribut password und ein

>   globalpassword, letzteres ist beim lokalen Verbindungen inaktiv (wichtig fuer
>   den FritzBox)

Hat funktioniert.
Bei commandref.html ist ein kleiner Tippfehler.

Statt
"attr tPort globalpasswort mySecret"
sollte es heissen
"attr tPort globalpassword mySecret"

Also globalpassword mit "d" statt "t"

>- Falls man im telnet SSL aktiviert hat, dann sollte man statt telnet einen der
> folgenden Kommandos verwenden:

Danach habe ich probiert auf der Fritzbox 7390 SSL zu aktivieren.
Das funktioniert nicht:

2012.06.24 18:23:36 1: Can't locate IO/Socket/SSL.pm in @INC (@INC
contains: /var/InternerSpeicher/fhem/lib/perl5/site_perl/5.12.2/mips-
linux /var/InternerSpeicher/fhem/lib/perl5/site_perl/5.12.2/mips-
linux /var/InternerSpeicher/fhem/lib/perl5/site_perl/5.12.2 /var/
InternerSpeicher/fhem/lib/perl5/5.12.2/mips-linux /var/
InternerSpeicher/fhem/lib/perl5/5.12.2/mips-linux /var/
InternerSpeicher/fhem/lib/perl5/5.12.2 /opt/lib/perl5/site_perl/5.12.2/
mips-linux /opt/lib/perl5/site_perl/5.12.2 /opt/lib/perl5/5.12.2/mips-
linux /opt/lib/perl5/5.12.2 . ./FHEM) at (eval 14) line 2, <$fh> line
16.
2012.06.24 18:23:36 1: Can't load IO::Socket::SSL, falling back to
HTTP

Ich setze aktuell
Firmware: FRITZ!OS 05.21
Firmware-Version: 84.05.21
ein.

Brauche ich eine neuere Version?

Würde danach überhaupt noch FHEM2FHEM raw funktionieren? Bei FHEM2FHEM
scheint es SSL noch nicht zu geben. Wenn ich dann TELNET auf SSL
umstelle, funktioniert die Verbindung doch vermutlich nicht mehr,
oder?

MfG Willi

[Rudolf Koenig]

> Also globalpassword mit "d" statt "t"

Danke, verbessert.

> Brauche ich eine neuere Version?

SSL ist in den aktuellen fhem Paketen von fhem.de/AVM dabei, seit etwa Maerz.


> W�rde danach �berhaupt noch FHEM2FHEM raw funktionieren?

Mit SSL noch nicht, aber man kann mehrere Ports oeffnen, mit unterschiedlichen
Attributen :) Muss mal schauen, dass ich SSL aktiviere, ist einfach,
IO::Socket::SSL ist sehr intelligent gemacht.

[Rudolf Koenig]

> Muss mal schauen, dass ich SSL aktiviere, ist einfach,
> IO::Socket::SSL ist sehr intelligent gemacht.

Hab SSL zu FHEM2FHEM hinzugefuegt (define F2FH FHEM2FHEM fhemhost:
7072:SSL LOG:.*), und wenn ich schon dabei war, hab in GetFileFromURL
auch https engebaut.

[Dr. Boris Neubert]

Hallo,

gute Maßnahme, dadurch wird ohne ein Bit zu flippen Calendar auch mit
https-URLs von Google laufen.

Ich stand am Wochenende auch davor, https einzubauen, habe aber davon
Abstand genommen, weil use IO::Socket::SSL einen hübschen Rattenschwanz
an Abhängigkeiten nach sich zieht. Gibt es schon Erfahrungen auf den
"kleinen" Systemen?

Grüße
Boris

[borsti]

>> Gibt es schon Erfahrungen auf den "kleinen" Systemen?

> Auf dem FB7270/7170 ist SSL (noch?) nicht vorhanden,
>Zu Synology/etc kann ich nichts sagen.

Aber ich - auf DS211J mit DSM 4.0 ist es ebenfalls nicht dabei.
Nachinstallieren mit CPAN geht zwar, aber leider immer nur bis zu einem
Update des OS, danach ist immer wieder der von Synology
vorgegebene/mitgelieferte Stand aktuell... :(

Gruss
T.

[Rudolf Koenig]

> Gibt es schon Erfahrungen auf den "kleinen" Systemen?

Auf dem FB7390 funktioniert es, dank AVM ist das SSL Paket seit Maerz
vorhanden, da habe ich den HTTPS Server viel getestet. Auf dem FB7270/7170 ist
SSL (noch?) nicht vorhanden, falls Interesse besteht, kann ich mich dran
versuchen. Auf "richtigen" Linux Systemen wie debian/ubuntu/etc ist es einfach
nachzuinstallieren (apt-get install libio-socket-ssl-perl oder so aehnlich :),
unter OSX ist es "von Haus aus" dabei, aber OSX zaehlt nicht so recht als
kleines System. Zu Synology/etc kann ich nichts sagen.

[Steffen]

gibt es eigentlich die Möglichkeit, per Telnet ein behehl an Windows zu senden???

Wol klappt ja gut würde gerne aber per befehl "shutdown -h" meinen pc in Ruhezustand versetzen und das über Fhem wäre super!

[Prof. Dr. Peter A. Henning]

Windows ?

Hm, wie wäre es denn mit format c: ?

Mal im Ernst: Sicherheitsbedenken.

LG

pah

[Steffen]

"format C:" Sorry aber witzig sind Sie auf jeden Fall schon mal nicht...;-)

Ich meine ja auch per Telnet über Fhem an einem Pc im Netzwerk von Fritzbox wo Windows oder auch Linux läuft?!?

Mfg Steffen

[Rudolf Koenig]

> gibt es eigentlich die M�glichkeit, per Telnet ein behehl an Windows zu
> senden???

Meines Wissens nach geht das im Moment nur ueber eigene Programmierung
(TCP Port oeffnen, Benutzer, Passwort und Befehl schicken).

Eine etwas Umstaendliche Alternative mit weniger Programmierung waere fhem auch
auf dem Zielrechner zu installieren, und diesen via FHEM2FHEM mit dem
Steuerrechner zu verbinden.

[Prof. Dr. Peter A. Henning]

Es ist auch nicht witzig, einen solchen Unsinn zu lesen.

Wer seinen Rechner - auch im Hausnetz ! - so weit öffnet, dass per telnet beliebige Befehle abgewickelt werden können - der sollte auch gleich seinen Hausschlüssel an einer Kette außen neben die Eingangstür hängen.

Im 21. Jahrhundert sollte es sich auch in der Provinz herumgesprochen haben, dass man als Computernutzer ein Minimum an Sicherheitsdenken benötigt.

pah

[Steffen]

Danke für die Antwort, das werde ich mal versuchen mit fhem2fhem...
Nur mal als interesse wie könnte da denn der Ansatz für eine Programmierung aussehen?
Meine Telnet zugang(Windows) ist wie bei Fhem gesichert wie der Fritzport zugang...nur so mal als info:-)....
Trotzdem nochmal danke für den Hinweis zu Fhem2Fhem
Mfg Steffen

[Rudolf Koenig]

> Nur mal als interesse wie k�nnte da denn der Ansatz f�r eine Programmierung
> aussehen?

Auf dem "Shutdown-Server", fhem faehrt hier automatisch per Dienst hoch.
define F2F FHEM2FHEM fritz.box:7072:SSL LOG:serverName.* mySecret
define shutDown notify serverName:shutDown "shutdown -h"

Auf dem "Fritzbox"
define telnetPort 7072 global
attr telnetPort SSL
attr telnetPort globalpassword mySecret
define serverName dummy
attr serverName webcmd shutDown

Ausloesen auf dem Fritzbox:
set serverName shutDown
oder in FHEMWEB neben serverName auf shutdown klicken.

serverName am besten mit dem Namen des "Shutdown-Servers" ersetzen.
(Nicht getestet)

[Matthias]

So eingebaut hab ich die Funktionalität. Kommt dann in der nächsten Version.