Wie kritisch ist ein Exposed Host bei einer Telefonanlage mit DynDNS?
Moin,
folgendes:
- Ich habe eine Telefonanlage die in meinem Büro steht und eine FritzBox.
- Von Zuhause aus oder Unterwegs möchte ich mit der Anlage auch via App / Software arbeiten
- Im Büro habe ich eine wechselnde IP-Adresse, daher habe ich einen DynDNS Dienst eingerichtet
- Die App funktioniert aber nur sporadisch,da ich nicht alle Ports an der FritzBox freigeben worden sind (z.B. soll ich UDP 10.000 - 20.000 & 1.025 - 65.535 freigeben, bei der FB geht das jedoch nur in 250er Schritten und das ist mir viel zu aufwendig)
- Daher habe ich die Telefonanlage als Exposed Host freigegeben, seitdem funktioniert alles einwandfrei
Mir ist jetzt jedoch noch nicht ganz klar, wie sehr es in dieser Konstellation ein Sicherheitsrisiko darstellt.
Es ist ja "nur" die Telefonanlage komplett frei und nicht alle anderen Geräte. Da ich einen DynDNS Dienst dafür eingerichtet habe, müsste jemand ja erstmal die URL haben um Schaden anrichten zu können und die Telefonanlage sperrt den User nach 5 Fehlerhaften Anmeldeversuchen. Daher sollte sich das Risiko doch in Grenzen halten, oder habe ich etwas nicht bedacht?
Vielen Dank vorab für die Antworten!
Funktioniert es vielleicht über eine VPN Verbindung zur FRITZ!Box?
Ja, das funktioniert.
Allerdings nutze ich halt auch zeitgleich andere Programme die sich bei Aktivierung einer VPN gestört fühlen, daher ist das auch nicht praktikabel.
2 Antworten
Da ich einen DynDNS Dienst dafür eingerichtet habe, müsste jemand ja erstmal die URL
Nö, man scannt einfach die IP Adressen nach offenen Ports, und schaut ob irgendwo ein verwundbarer Service läuft. Das passiert automatisch. Dein DynDNS muss dafür niemand kennen.
Es ist ja "nur" die Telefonanlage komplett frei und nicht alle anderen Geräte.
Und wenn jemand die Telefonanlage übernimmt, kann man über die Telefonanlage auf alle anderen Geräte zugreifen, als wären sie ebenfalls exposed.
Und außerdem kommt im Zweifel der Traffic dann aus deinem Netzwerk, egal welches Gerät übernommen ist.
oder habe ich etwas nicht bedacht?
Ja, siehe oben.
Mir ist jetzt jedoch noch nicht ganz klar, wie sehr es in dieser Konstellation ein Sicherheitsrisiko darstellt.
Das ist so sicher, wie die Telefonanlage sicher ist :)
Also wenn da ungepatchte Lücken drinnen sind, die bekannt sind, überhaupt nicht sicher.
Nutz einfach ein VPN, wenn du dir nicht sicher bist, ob die Telefonanlage sicher genug ist, um sie direkt erreichbar zu machen. Gerade IoT Geräte die frei im Internet erreichbar sind, sind oft ein Sicherheitsrisiko. Alles andere würde ich als grob fahrlässig ansehen.
Ganz ungefährlich ist das schon nicht. Ich hatte mal ein IP-Telefon zuwenig abgeschirmt, und da gab es dann nach einiger Zeit immer wieder Attacken aus ausländischen Netzwerken. Firmware-Updates gibt es schon lang keine mehr, somit ist so ein Telefon natürlich ein erhebliches Sicherheitsrisiko. Ich habe es allerdings mitterweile auf den SIP-Provider und einige weiteren Adressen eingeschränkt.
Du müsstest erst einmal prüfen, welche TCP oder UDP-Ports die Telefonanlage abhört, und dann je nach Service prüfen, ob Du nicht einfach einen einzelnen Port forwarden willst, statt alles zu exposen.