Poodle-Sicherheitslücke

[ojb]

Hallo Leute,

es gibt schon wieder eine große Sicherheitslücke: Poodle
http://www.heise.de/security/meldung/Poodle-Experten-warnen-vor-Angriff-auf-Internet-Verschluesselung-2424122.html

Ich habe eben meinen Apache Poodle-fest gemacht. So weit so gut.

Aber was ist mit FHEM. Kann hier auch der Poodle kommen?

Liebe Grüße
Oli

[topfi]

Ich habe beim Raspberry den Zugriff auf FHEM nach dem Wiki http://www.fhemwiki.de/wiki/Apache_Authentication_Proxy über einen Apache-Proxy gelöst. Der ist auch betroffen, man muss bei dieser Konfiguration wegen Poodle nun Folgendes machen:

Suche in der Datei

Code Auswählen Erweitern

sudo nano /etc/apache2/mods-available/ssl.conf

die Zeile

Code Auswählen Erweitern

SSLProtocol all -SSLv2

und ergänze diese zu

Code Auswählen Erweitern

SSLProtocol all -SSLv2 -SSLv3

Diese Zeile ergänze man auch unter der Rubrik </VirtualHost> in der Datei

Code Auswählen Erweitern

sudo nano /etc/apache2/sites-available/fhems

Danach noch den Apache neu starten.

Code Auswählen Erweitern

sudo service apache2 restart

Das sollte alles gewesen sein.

[ojb]

@all:
Ich hab meinen FHEM-Server mal mit https://www.poodlescan.com/ getestet und FHEM wurde als 'vulnerable' eingestuft.
Schon mal nicht gut.

@topfi:
Danke für die Ausführungen. Eine Frage dazu:
Wie gehe ich mit weiteren FHEM-Web-Instanzen auf anderen Ports (z.B. 8085, 8086) um?

Danke und lieben Gruß
Oli

[topfi]

Nicht nach aussen forwarden. ssl nach draussen wird nur über Proxy freigegeben. Die Lösung aus dem Wiki ist schnell eingerichtet (jedenfalls auf dem Raspi) und hat weitere Vorteile:

* Access- und Error-Logs
* keine ssl-Fehler im Browser mehr (die kamen oft bei der FHEM-eigenen Lösung)
* sicherheitsrelevante Updates und bugfixes können unabhängig von FHEM auf Apache-Ebene eingespielt werden

Es gibt sicher auch eine einfache Lösung für die Standard- FHEM Freigaben. Irgendwo muss ja auch der FHEM- Webserver konfiguriert werden, aber ich weiß leider nicht, wo.

[Olly]

Es gibt sicher auch eine einfache Lösung für die Standard- FHEM Freigaben. Irgendwo muss ja auch der FHEM- Webserver konfiguriert werden, aber ich weiß leider nicht, wo.

Hi,

das würde mich jetzt doch mal interessieren, da ich meinen FHEM Poodle-fest machen möchte. Den Apache Proxy kann ich zur Zeit leider nicht nutzten.
Vielleicht kann Rudolf direkt ja was dazu sagen.
Falls es relevant ist, ich nutze Raspian Wheezy.

Gruß

     Olly