괄호 안의 마지막 요점을 언급하신 것이 좋습니다. 그것이 저를 설득시켰기 때문입니다. ;-피

@TX와 저는 IRC의 상태 페이지에 구성 부분을 넣는 것에 대해 많은 토론을 했으며 상태 페이지를 읽기-쓰기 및 스크립트 기반으로 만드는 것이 여전히 매우 불편합니다. 그리고 나는 여전히 "코드 워드"에서 가장 큰 문제를 본다. 사람들은 아무리 크고, 굵고, 대담하고, 깜빡이는 경고가 그렇게해서는 안된다는 것에 상관없이 그곳에 그들의 평소 비밀번호를 맹목적으로 입력 할 것이다. 그리고 코드워드 설정은 정말 전문가 모드로 가야 한다고 생각합니다.

이것이 구현되면 HTTP 다이제스트를 사용하여 인증을 구현할 수 있습니까? 이렇게하면 공격자는 일반 스니핑 대신 MITM을 사용해야합니다.

예, 워크플로 문제에 동의합니다. 그리고 내 의견은 이것이 키스 enougth 해결책이라는 것입니다. 그러나 여전히 사용자는 인터페이스에 액세스하기 위해 노드의 IP 주소를 알아야 합니다. 따라서 라우터 마법사의 마지막 페이지에 가능한 http ipv6 링크를 표시해야한다고 제안합니다.

그러나이 기능을 구현하면 기능 X가 유사한 방식으로 액세스 할 수 있어야한다는 다른 불만이 제기됩니다. 그리고 제 생각에는 사용자에게 돌을 던져서는 안되며 기술을 설치하는 사용자도이를인지하고 관리 할 수 ​​있어야합니다. 특히 옥외 지붕 설치의 경우.

압축 : 구현하되 논쟁을 준비하십시오.

HTTP 다이제스트

다이제스트 기반 인증을 사용하고 싶습니다. 불행히도 uhttpd는이를 지원하지 않습니다.

보안 문제/코드 주입

나는 우리가 그것을 잘 처리 할 수 ​​있다고 확신한다. 나는 luci에 대한 어떤 코드 주입 문제도 들어 본 적이 없어서 아마도 몇 가지가있을 것이다. 우리는 또한 그것을 테스트하기 위해 fuzzers를 실행할 수있다.

코드워드 / 사용자 비밀번호

configmode의 입력 필드를 일반 필드 (즉, 별 없음)로 만들 수 있으며 보안 위험에 대해 짧지 만 간결하게 설명하고 사용자가 코드 워드를 설정하지 않도록 확실히해야합니다.

그들이 여전히 표준 비밀번호를 입력해도 우리가 할 수 있는 일은 많지 않으며 어쨌든 문제가 발생합니다.

노드에 연결

이것은 참으로 풀리지 않은 문제입니다. 코드 워드 입력 필드 바로 아래에 노드의 IPv6 주소를 표시하는 것을 상상할 수 있습니다. "이 [링크]를 북마크에 추가하면 실행중인 노드의 좌표가 변경됩니다."

기타 유사한 기능 요청

다른 질문을 알고 있기 때문에 의도적으로 매우 좁게 범위를 지정했습니다. 내가 여전히 달성하고 싶은 더 큰 목표는 configmode를 없애고 메시를 가로질러 원격으로 정상 작동 중에 이 모든 작업을 수행하는 것입니다. 그러나 이것이 보안을 유지하려면 해결해야 할 많은 문제가 있습니다.

누군가 유사한 기능을 요청하면이 문제 또는 모든 내용을 요약 한 위키 페이지로 안내해야합니다. 두 경우 모두 여기에 언급 된 모든 보안 문제를 해결하고 다른 개발자와의 토론에서 원하는 기능에 대한 포괄적 인 문제를 작성하도록 요청해야합니다. 그가 성공한다면, 그는 참으로 타당한 지적을 할 수 있을 것입니다.

일회성 코드 워드

방금 다른 아이디어가 있었지만 워크 플로를 너무 많이 방해 할 수 있으므로 여기서는 논의하지 않겠습니다. 현재 솔루션이 수락되거나 거부된 후에 확실히 논의할 것입니다.

코드워드는 일회용일 수 있습니다. 예를 들어 (statuspage에서) 좌표를 변경하고 올바른 코드워드를 입력하는 첫 번째 사람이 성공합니다. 그 후에는 잠겨 있고 configmode에서 다른 코드워드를 설정해야 합니다.

이것은 선택 사항으로 만들 수 있지만 configmode를 다시 복잡하게 만들 수 있습니다(2개의 확인란, 좌표를 설정하기 위한 3개의 입력 필드).

HTTP 다이제스트는 uhttpd 뒤에 있는 스크립트에서도 구현할 수 있어야 하지 않습니까? 결국 헤더와 물건 일뿐입니다 ...

나는 첫 번째 글루온 릴리스에 대해 이것을 구현하는 것에 확실히 반대합니다. 상대적으로 중요하지 않은 변경 사항 인 상태 페이지를 더 멋지게 만드는 것을 거부 했으므로 첫 번째 라운드에서이 질문 더미를 던져서는 안됩니다.

이정표 태그가 지정되지 않았으므로 2014.1의 흥행작은 아니지만 구축에 동의하면 2014.1로 만들 수 있습니다.

네 말이 맞아. HTTP 다이제스트는 헤더 만 사용하여 구현할 수 있습니다.

암호 기반 인증으로 돌아가는 것은 나에게 큰 도약처럼 보입니다.

이미지도 문제에 대한 해결책이 있다고 생각 했나요? 거의 모든 사용자가 노드를 설정할 때 어쨌든 WLAN에 있으므로 인터넷에서지도를로드 할 수 있습니다. 그렇지 않은 경우에 대한 좋은 대체(입력 필드)를 제공하기만 하면 됩니다.

그리고 사용자가 어딘가에 노드를 설치할 때 구성 모드로 한 번 돌아가야 하는 문제는 보이지 않습니다.

또 다른 옵션은 SSH 역방향 터널링을 사용하여 액세스 할 수있는 특수 구성 페이지를 만드는 것입니다. 이를 위해서는 사용자가 configmode 중에 SSH 공개 키를 제공해야합니다.

노드가 처음으로 freifunk 네트워크 (메시 또는 VPN을 통해)에 연결될 때 http : //node.ffhh 를 통해 액세스 할 수있는 특수 구성 페이지가없는 이유는 무엇입니까? 소유자가 구성 모드를 방문하지 않으면 freifunk가 작동하지 않습니다. 재설정 버튼을 일종의 인증으로 사용할 수 있습니다 ( "노드 구성을 허용하려면이 html 버튼과 재설정 버튼을 30 초 내에 누르십시오").

처음 부팅할 때 노드를 자동으로 등록하는 일종의 플러그 앤 플레이 설정으로 생각하고 있습니다. freifunk 네트워크(mesh 또는 vpn)에 대한 자동 연결을 통해 지도 등을 표시할 수 있습니다.

노드가 이미 원격 위치에 있으면 하드웨어 상호 작용이 가능하지 않다고 생각합니다. 또한 ubnt 장치와 같은 장치의 경우 하드웨어 버튼에 액세스하는 것이 다소 어렵습니다.
직접적인 http 인터페이스 대신 ssh 기반 구성 인터페이스를 고려해야 합니다.
그런 다음 타사 https 보안 인터페이스를 통해 액세스 할 수 있습니다.
ssh 구성 인터페이스를 구현하려면 특별한 구성 쉘이 있는 사용자가 필요합니다.
다른 상호 작용을 허용해서는 안됩니다.

지금까지 어떤 해결책이 있습니까? 누군가 이미 로컬에서 이와 같은 것을 구현 했습니까?

hexa는 인증을 위해 시간 기반 OTP(예: RFC 6238)를 사용하는 아이디어를 생각해 냈습니다. 나는 그 접근 방식을 좋아합니다. 이 작업을 수행하려면 OTP "클라이언트"(예 : 스마트 폰) 설정을위한 QR 코드 (+ 문자열)가 사용자에게 표시됩니다. 사용자는 토큰을 재설정 (또는 기능을 완전히 비활성화) 할 수 있어야합니다.

이것은 상태 페이지 (어떤 인증 모드 포함)를 사용하여 쉽게 geo를 설정하는 편리한 아이디어와는 거리가 멀지 만 ssh 연결이 있고 터미널에 의해 두려워하지 않는 경우-여기 lat lon alt location geoguess https : / 와 같은 유용한 minisripts가 있습니다

큰 힌트는 어떻습니까

계속하기 전에 지리 좌표를 기록했는지 확인하십시오.

새로 설치한 후 구성 모드를 처음 호출할 때 한 번만 표시됩니까?

@blocktrron @mweinelt @rotanid 닫을 수 있나요?

NeoRaider가 말했습니다.

그리고 사용자가 어딘가에 노드를 설치할 때 구성 모드로 한 번 돌아가야 하는 문제는 보이지 않습니다.

나는 이것이 사실이라고 생각합니다 ... 구성 모드로 돌아가는 것이 가능합니다. 여기에는 지나치게 복잡한 솔루션이 필요하지 않으며 이는 5 년 동안 구현되지 않았습니다. 그래서 이것은 아마도 끝나지 않을 것입니다 ...