अच्छी बात है कि आपने कोष्ठक में उस अंतिम बिंदु का उल्लेख किया, क्योंकि इसने मुझे आश्वस्त किया। ;-पी

@TX और मेरे बीच आईआरसी पर स्टेटसपेज में कॉन्फ़िगरेशन पार्ट्स डालने के बारे में एक बड़ी चर्चा हुई और मैं अभी भी स्टेटस पेज को पढ़ने-लिखने और स्क्रिप्ट-आधारित बनाने में बहुत असहज हूं (क्योंकि, आप जानते हैं, यह सुरक्षा छेद की संभावना को खोलता है)। और मुझे अभी भी "कोडवर्ड" में सबसे बड़ी समस्या दिखाई देती है: लोग आँख बंद करके अपना सामान्य पासवर्ड वहाँ दर्ज करेंगे, चाहे कितना भी बड़ा, मोटा, बोल्ड और पलक झपकते चेतावनी ऐसा न हो। और कोडवर्ड की सेटिंग वास्तव में विशेषज्ञ मोड में होनी चाहिए, मुझे लगता है।

यदि यह लागू हो जाता है, तो शायद HTTP डाइजेस्ट का उपयोग करके प्रमाणीकरण को लागू करना संभव है? इस तरह एक हमलावर को सादे सूँघने के बजाय MITM का उपयोग करना होगा।

हाँ, मैं कार्यप्रवाह समस्या से सहमत हूँ। और मेरी राय है कि इस एक चुंबन enougth समाधान है। लेकिन फिर भी उपयोगकर्ता को इंटरफ़ेस तक पहुंचने के लिए नोड के आईपी पते का पता लगाने की जरूरत है। इसलिए मेरा प्रस्ताव है कि हमें राउटर विजार्ड के अंतिम पृष्ठ में संभावित http ipv6 लिंक प्रदर्शित करना चाहिए।

लेकिन चिंतित होने के लिए, इस सुविधा को लागू करने से फीचर एक्स के बारे में अन्य शिकायतें भी इसी तरह से सुलभ होनी चाहिए। और मेरी राय है कि हमें उपयोगकर्ताओं के रास्ते में पत्थर नहीं फेंकना चाहिए, बल्कि एक उपयोगकर्ता को तकनीक स्थापित करने के बारे में पता होना चाहिए और इसे प्रबंधित करने में सक्षम होना चाहिए। खासकर अगर यह एक बाहरी छत की स्थापना है।

संपीड़ित: इसे लागू करें, लेकिन अपने तर्क तैयार करें।

HTTP डाइजेस्ट

मुझे डाइजेस्ट आधारित प्रमाणीकरण का उपयोग करना अच्छा लगेगा। दुर्भाग्य से, uhttpd इसका समर्थन नहीं करता है।

सुरक्षा मुद्दे / कोड इंजेक्शन

मुझे यकीन है कि हम इसे अच्छी तरह से संभाल सकते हैं। मैंने लुसी के साथ किसी भी कोड इंजेक्शन की समस्या के बारे में नहीं सुना है, इसलिए शायद कुछ ही हैं। हम इसका परीक्षण करने के लिए फ़ज़र्स भी चला सकते हैं।

कोडवर्ड / उपयोगकर्ता का पासवर्ड

हम कॉन्फिगमोड पर इनपुट फ़ील्ड को एक सामान्य फ़ील्ड (यानी कोई स्टार नहीं) बना सकते हैं और हमें निश्चित रूप से सुरक्षा जोखिमों की एक छोटी, लेकिन संक्षिप्त व्याख्या जोड़नी चाहिए और फिर से, उपयोगकर्ता को एक कोडवर्ड सेट करने से हतोत्साहित करना चाहिए।

क्या उन्हें अभी भी अपना मानक पासवर्ड दर्ज करना चाहिए, हम बहुत कुछ नहीं कर सकते हैं और वे वैसे भी परेशानी में हैं।

नोड से लिंक

यह वास्तव में एक अनसुलझी समस्या है। मैं कोडवर्ड इनपुट फ़ील्ड के ठीक नीचे नोड के आईपीवी 6 पते को प्रदर्शित करने की कल्पना कर सकता हूं, जैसे: "इसे बुकमार्क करें [लिंक] एक बार चलने के बाद अपने नोड के निर्देशांक बदलने के लिए।"

अन्य, समान सुविधा अनुरोध

मैंने इसे उद्देश्य पर बहुत संकीर्ण रखा क्योंकि मुझे उन अन्य प्रश्नों के बारे में पता है। मैं अभी भी जितना बड़ा लक्ष्य हासिल करना चाहता हूं, वह है कॉन्फिगमोड से छुटकारा पाना और यह सब सामान्य ऑपरेशन के दौरान, दूर से पूरे जाल में करना। हालांकि, इसके सुरक्षित होने के लिए हमारे पास हल करने के लिए बहुत सी समस्याएं हैं।

अगर किसी को इसी तरह की सुविधा का अनुरोध करना चाहिए तो हमें या तो उसे इस मुद्दे पर निर्देशित करना चाहिए या एक विकी पेज को संक्षेप में बताना चाहिए। किसी भी मामले में, हमें उनसे अनुरोध करना चाहिए कि वे यहां उल्लिखित सभी सुरक्षा चिंताओं को संबोधित करते हुए वांछित विशेषता के बारे में एक व्यापक मुद्दा लिखें और अन्य डेवलपर्स के साथ उनकी बातचीत में। यदि वह सफल होता है, तो उसके पास वास्तव में एक वैध बिंदु हो सकता है।

वन-टाइम कोडवर्ड

मेरे पास बस एक और विचार था, लेकिन मैं यहां इसकी चर्चा नहीं करना चाहूंगा, क्योंकि यह कार्यप्रवाह को बहुत अधिक बाधित कर सकता है। मेरे वर्तमान समाधान के या तो स्वीकृत या अस्वीकृत होने के बाद हम निश्चित रूप से इस पर चर्चा करेंगे।

कोडवर्ड एक बार इस्तेमाल के लिए हो सकता है। उदाहरण के लिए पहला जो निर्देशांक बदलता है (स्थिति पृष्ठ पर) और सही कोडवर्ड दर्ज करता है वह सफल होता है। उसके बाद, इसे लॉक कर दिया जाता है और एक अन्य कोडवर्ड को कॉन्फिगमोड में सेट करना होता है।

इसे वैकल्पिक बनाया जा सकता है लेकिन मुझे डर है कि यह कॉन्फिगमोड को फिर से जटिल बना सकता है (2 चेकबॉक्स, निर्देशांक सेट करने के लिए 3 इनपुट फ़ील्ड)।

क्या HTTP डाइजेस्ट को uhttpd के पीछे की स्क्रिप्ट में भी लागू करने योग्य नहीं होना चाहिए? यह सिर्फ हेडर और सामान है, आखिर...

मैं निश्चित रूप से पहली ग्लूऑन रिलीज के लिए इसे लागू करने के खिलाफ वोट करता हूं। हमने स्थिति पृष्ठ को और भी अच्छा बनाने को अस्वीकार कर दिया, जो अपेक्षाकृत महत्वहीन परिवर्तन है, इसलिए मुझे पहले दौर के लिए प्रश्नों के इस ढेर को नहीं फेंकना चाहिए, मुझे लगता है।

यह एक मील का पत्थर के साथ टैग नहीं किया गया है, इसलिए यह निश्चित रूप से 2014.1 के लिए शोस्टॉपर नहीं है, हालांकि अगर हम इसे बनाने के लिए सहमत होते हैं, तो यह इसे 2014.1 में बना सकता है।

हाँ तुम सही हो। केवल हेडर का उपयोग करके HTTP डाइजेस्ट को लागू करना संभव हो सकता है।

किसी भी चीज़ के लिए पासवर्ड-आधारित प्रमाणीकरण पर वापस जाना मेरे लिए एक बड़ी छलांग जैसा लगता है।

मुझे लगा कि हमारे पास पहले से ही मानचित्र की समस्या का समाधान है? लगभग सभी उपयोगकर्ता वैसे भी अपना नोड सेट करते समय WLAN में होते हैं, इसलिए हम इंटरनेट से केवल एक नक्शा लोड कर सकते हैं। मामले के लिए हमें केवल एक अच्छा फ़ॉलबैक (इनपुट फ़ील्ड) प्रदान करने की आवश्यकता है जब वे नहीं होते हैं।

और जब वे कहीं नोड स्थापित करते हैं तो मुझे एक बार कॉन्फ़िगरेशन मोड में वापस जाने वाले उपयोगकर्ताओं के साथ कोई समस्या नहीं दिखाई देती है।

एक अन्य विकल्प एसएसएच रिवर्स टनलिंग का उपयोग करके एक विशेष कॉन्फ़िगरेशन पेज को सुलभ बनाना हो सकता है। इसके लिए उपयोगकर्ता को कॉन्फिगमोड के दौरान अपनी SSH सार्वजनिक कुंजी की आपूर्ति करने की आवश्यकता होगी।

जब नोड सबसे पहले फ्रीफंक नेटवर्क (मेष या वीपीएन के माध्यम से) से जुड़ा होता है तो http://node.ffhh के माध्यम से एक विशेष कॉन्फ़िगरेशन पृष्ठ तक पहुंच योग्य क्यों नहीं है। अगर मालिक कॉन्फिग मोड पर नहीं जाता है, तो फ्रीफंक काम नहीं करेगा। शायद रीसेट बटन के साथ किसी प्रकार के प्रमाणीकरण के रूप में ("इस एचटीएमएल बटन को दबाएं और 30 के भीतर रीसेट बटन को नोड को कॉन्फ़िगर करने की अनुमति दें")।

मैं इसके बारे में सोच रहा हूं कि पहले बूट पर नोड के स्वचालित पंजीकरण के साथ किसी प्रकार का प्लग एंड प्ले सेटअप। फ्रीफंक नेटवर्क (मेष या वीपीएन) के लिए स्वचालित कनेक्शन एक नक्शा आदि प्रदर्शित करने की अनुमति देगा।

मुझे नहीं लगता कि कुछ हार्डवेयर इंटरैक्शन संभव है यदि नोड पहले से ही किसी दूरस्थ स्थान पर है। इसके अलावा उपकरणों के लिए, जैसे ubnt डिवाइस, हार्डवेयर बटन तक पहुंचना एक तरह से कठिन है।
कुछ प्रत्यक्ष http इंटरफ़ेस के बजाय हमें एक ssh आधारित कॉन्फ़िगरेशन इंटरफ़ेस पर विचार करना चाहिए।
जिसे तब थर्ड पार्टी https सिक्योर्ड इंटरफेस के जरिए एक्सेस किया जा सकता था।
ssh कॉन्फ़िगरेशन इंटरफ़ेस को लागू करने के लिए एक विशेष कॉन्फ़िगरेशन शेल वाले उपयोगकर्ता की आवश्यकता होती है,
जो किसी अन्य बातचीत की अनुमति नहीं देनी चाहिए।

अब तक कोई उपाय? क्या किसी ने स्थानीय रूप से ऐसा कुछ पहले ही लागू कर दिया है?

हेक्सा प्रमाणीकरण के लिए समय-आधारित ओटीपी (यानी आरएफसी 6238) का उपयोग करने के विचार के साथ आया था। मुझे वह दृष्टिकोण पसंद है। इसके लिए काम करने के लिए उपयोगकर्ता को ओटीपी "क्लाइंट" (यानी एक स्मार्टफोन) स्थापित करने के लिए एक क्यूआर कोड (+स्ट्रिंग) दिखाया जाएगा। उपयोगकर्ता को टोकन को रीसेट करने में सक्षम होना चाहिए (या सुविधा को पूरी तरह से अक्षम करना)।

यह स्टेटस पेज (जो भी ऑथ मोड के साथ) के साथ आसान सेटिंग जियो के भरोसेमंद विचार से बहुत दूर है .. लेकिन अगर आपके पास एसएसएच कनेक्शन है और आप टर्मिनलों से डरते नहीं हैं - यहां कुछ सहायक मिनीस्क्रिप्ट हैं जैसे लैट लोन ऑल्ट लोकेशन जियोगेस https: / /github.com/viisauksena/gluon-banner/tree/master/files/usr/bin/ आप डिफ़ॉल्ट रूप से अपने नोड्स या अपने फर्मवेयर में जोड़ सकते हैं

एक बड़े संकेत के बारे में क्या?

जारी रखने से पहले सुनिश्चित करें कि आपने भौगोलिक निर्देशांक लिख दिए हैं

जो एक नए इंस्टाल के बाद कॉन्फिग मोड की पहली कॉल पर केवल एक बार दिखाया जाएगा?

@blocktrron @mweinelt @rotanid क्या हम इसे बंद कर सकते हैं?

नियोरेडर ने कहा

और जब वे कहीं नोड स्थापित करते हैं तो मुझे एक बार कॉन्फ़िगरेशन मोड में वापस जाने वाले उपयोगकर्ताओं के साथ कोई समस्या नहीं दिखाई देती है।

मुझे लगता है कि यह सच है... कॉन्फिग मोड पर वापस जाना संभव है। यहां किसी अत्यधिक जटिल समाधान की आवश्यकता नहीं है और इसे 5 वर्षों में लागू नहीं किया गया था। तो यह संभवतः कभी समाप्त नहीं होगा ...