+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Использовать API через интернет - это безопасно?

Использовать API через интернет - это безопасно?, RouterOS

KatsuroKurosaki

Guest

15.08.2012 18:57:00

Добрый день всем. Сейчас используем RouterOS 5.19, планируем выполнять некоторые API-операции через Интернет, и наш босс переживает по поводу паролей: не будут ли они передаваться в открытом виде и достаточно ли это безопасно. Мы не хотим, чтобы кто-то перехватывал наши пароли и выполнял нежелательные операции с нашими устройствами. Спасибо всем за помощь и время.

ayufan Guest	#2 0 15.08.2012 19:11:00 Используй переадресацию SSH-портов, чтобы получить доступ к локальному (или даже удаленному) API-интерфейсу. Это поможет решить твои вопросы безопасности.

KatsuroKurosaki Guest	#3 0 15.08.2012 19:17:00 Спасибо за ответ. Вы имеете в виду использовать API через SSH-туннель? Да, я, пожалуй, забыл упомянуть, что команды API будут выполняться на PHP-сервере. С наилучшими пожеланиями.

ayufan

Guest

15.08.2012 21:31:00

Точно. SSH позволяет перенаправлять соединения в обе стороны. Всегда можно использовать следующий сценарий: MikroTik API a. ip service enable api b. ip service set api address=127.0.0.1/32 PHP Server a. ssh -L 28728:127.0.0.1:8728 запустить в фоне или на экране b. подключиться к API на: 127.0.0.1:28728 127.0.0.1:28728 – это локальный SSH-перенаправленный порт, он будет перенаправлять весь трафик в удаленное место и подключаться к удаленному 127.0.0.1:8728 (API-сервису). Так вы обеспечиваете полную безопасность. Дополнительная настройка не требуется. Всегда есть вариант создать защищенную VPN-сеть (у вас sstp, l2tp, pptp, ovpn) и подключиться к центральному VPN-серверу…

greencomputing Guest	#5 0 15.08.2012 22:03:00 Приветствую! Эта конфигурация действительно пригодилась! Огромное спасибо за то, что поделились с нами, хорошего дня!

boen_robot

Guest

16.08.2012 09:06:00

Обратите внимание, что даже без SSH-туннеля пароль RouterOS никогда не передается в открытом виде. Весь процесс представляет собой CHAP-вызов, аналогичный тому, что используется в точках доступа Wi-Fi. Без туннеля все остальные данные передаются и принимаются без какой-либо формы шифрования.

ayufan Guest	#7 0 16.08.2012 09:17:00 Весь процесс использует MD5, и кто-нибудь может попытаться подобрать пароль методом перебора.

boen_robot

Guest

16.08.2012 09:20:00

Да, это правда, но хотя бы текст неясный, и все равно требуется перебор, без радужных таблиц и прочего. (Использовать SSH-туннель все равно лучше, чем вообще без туннеля. Я просто говорю, что без туннеля ситуация чуть менее опасная, чем “все в открытом тексте”.)

KatsuroKurosaki

Guest

20.08.2012 11:46:00

Простите за задержку с ответом. Мы тестируем разные варианты и выбираем лучший способ защитить наши Mikrotik устройства. Хочу поблагодарить всех, кто ответил и уделил время. Также, один из вариантов – использовать Ubuntu Server в качестве PPTP-сервера, а все Mikrotik подключаются к нему как PPTP-клиенты, принудительно используя MS-CHAPv2 в качестве протокола шифрования, чтобы обеспечить безопасную связь. Еще раз спасибо всем.

Chupaka Guest	#10 0 27.08.2012 21:36:00 ms-chap — это не шифрование, это аутентификация. Шифрование в PPTP — MPPE*, которое менее безопасно, чем SSH-туннель.

polymathic

Guest

#11

29.08.2012 01:21:00

В свете недавней работы против MS-CHAPv2 и учитывая, что даже Microsoft deprecated PPTP (в пользу SSTP, который чуть более разумный с точки зрения проектирования протокола), я бы очень не советовал использовать PPTP в production для чего-либо действительно конфиденциального. MS-CHAP был слаб в день своего объявления, поэтому и появился MS-CHAPv2. PPTP, ну, PPTP. Он сложен как протокол, и если разобраться в реальной энтропии, задействованной в пространстве ключей, то оказывается, что она смешно мала. Если хотите почитать больше об успехе в взломе этих протоколов, советую посмотреть здесь: https://www.cloudcracker.com/blog/2012/07/29/cracking-ms-chap-v2/. А если хотите услышать это из первоисточника, смотрите здесь: http://blogs.technet.com/b/srd/archive/2012/08/20/weaknesses-in-ms-chapv2-authentication.aspx

KatsuroKurosaki Guest	#12 0 13.11.2012 09:55:00 Прошу прощения за поздний ответ; вы правы, я тут перепутал термины. Спасибо, что поправили. Интересно, большое спасибо; я посмотрю это, чтобы улучшить безопасность наших коммуникаций.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры