Eine interessante Idee hatte marthom im Merlin-Forum: Dort wurde mal kurzerhand bei 10 angemeldeten Usern getestet, wie viele ihr Webinterface nicht gegen fremden Zugriff über das Internet geschützt haben. Bei vier Usern war der Zugriff auf das Webinterface problemlos möglich, indem lediglich deren IP in den Browser getippt wurde. Doch das ist hochgradig fahrlässig.

Den Zugriff auf die Dreambox von Außen ungeschützt zu lassen, ist fatal: Angreifer bekommen so direkten Zugriff auf die Dreambox — auf alle Timer, Filme und was noch so auf der Dreambox oder den an den Receiver angeschlossenen Festplatten liegt. Bei ungünstig gelegten Netzwerk-Mounts reißt man möglicherweise noch ein großes Sicherheitsleck in das eigene Netzwerk. Dabei kann man sich mit relativ einfachen Mitteln gegen fremden Zugriff schützen.

Standardmäßig ist für den Zugriff auf die Dreambox via Webinterface oder Telnet kein Passwort eingetragen. Richtet man nun eine Portweiterleitung der Ports für das Webinterface (80) oder sogar für Telnet (23) auf die Dreambox ein, hat jeder ungehinderten Zugriff auf die Dreambox, vorausgesetzt die IP ist bekannt. Dann bekommt ein potenzieller Angreifer das gesamte Webinterface zusehen mit all den bekannten Funktionen. Noch viel schlimmer wäre die Weiterleitung von Telnet. Man würde dann einen administrativen Zugriff auf die Dreambox und das dahinter hängende Netzwerk bekommen.

Einfacher Passwortschutz

Um sich dagegen zu schützen, gibt es mehrere Möglichkeiten. Zunächst sollte auf jeden Fall ein Passwort vergeben werden. Dazu muss man sich nur via Telnet auf der Dreambox einloggen und mit dem Befehl „passwd“ vergeben (der Befehl muss lediglich eingegeben und mit Enter bestätigt werden, die Dreambox fragt dann direkt nach einem neuen Passwort). Alternativ gibt es hierfür das PlugIn „PasswortChanger“, welches über die Softwareverwaltung runtergeladen und installiert werden kann.

Hat man nun ein Passwort vergeben, muss im Webinterface nur noch die Authentifizierung aktiviert werden. Dazu geht man über die GUI der Dreambox auf Erweiterungen > Webinterface und setzt bei „HTTP/HTTPS Authentifizierung“ einen Haken. Jetzt ist zumindest ein Zugriff von Jedermann auf das Webinterface nicht mehr so ohne weiteres möglich.

Wie bei jedem Passwortschutz sollte man auch hier darauf achten, ein sicheres Passwort zu vergeben. Denn der Schutz ist nur so gut, wie das Passwort. Empfehlenswert sind hier Kombinationen aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Wie sicher das gewählte Passwort ist, kann  mit Hilfe des Password Meter geprüft werden.

SSH- und VPN-Tunnel

Die optimale Lösung ist ein Passwortschutz aber nicht. Wirklich sicher wird das erst, wenn man ein SSH- oder VPN-Tunnel einrichtet. Für die Einrichtung eines SSH-Tunnels gibt es ein schönes Tutorial im Gemini-Wiki: SSH-Tunnel zum Webinterface erstellen.

Es gibt sogar die Möglichkeit, ein Tunnel ohne Passwort einzurichten, sondern nur Zertifikate zur Authentifizierung zu benutzen. Wie das funktioniert, ist in einem Tutorial von johnbock und auf milosoftware.com beschrieben.

Wer bereits openVPN benutzt, für den wäre möglicherweise die Einrichtung eines openVPN-Servers auf der Dreambox eine gute Alterntive. Das ist allerdings unter Umständen nicht ganz so trivial wie die Einrichtung der SSH-Tunnelung. Aber es ist auch eine schicke Variante, vor allem wenn man bereits auf seinen Rechnern openVPN-Clients installiert hat. Wie die Einrichtung funktioniert, hat mfgeg in einem Tutorial beschrieben.

Ob mit Passwort, VPN oder Zertifikat — alle drei Varianten sind sehr sicher und deutlich sicherer als die reine Passwortauthentifizierung ohne Tunnelung.

Eine ausführliche Anleitung zur SSH-Verbindung gibt es von Shaderman im Merlin-Forum.

Niemals nur eine Port-Weiterleitung ohne zusätzliche Sicherheitsmaßnahmen einrichten!

Um es nochmal klar auszudrücken: Eine Portweiterleitung auf die Dreambox einzurichten, ohne diese zumindest durch ein Passwort zu schützen, ist sehr fahrlässig. Auch einen anderen Port (statt 80) zu benutzen bringt nicht wirklich mehr Sicherheit, denn das offene Loch in das heimische Netzwerk bleibt, denn potenzielle Angreifer suchen gezielt nach offenen Ports und benutzen dafür Portscanner, welche Port für Port absuchen und prüfen, ob dieser offen ist.

Wer nicht viel Zeit investieren möchte, sollte zumindest ein Passwortschutz einrichten. Wirklich sicher ist man aber nur mit SSH- und VPN-Tunneln. Zumindest das Einrichten von einem SSH-Tunnel ist nicht so kompliziert, wie es klingen mag, bietet aber die größte Sicherheit.