[Windows 10] Windows per Fernwartung neu aufsetzen

[sia]

@Laui: Ich finde das, aus einem unsicheren Netz (Internet) durch einen Router hindurch (den du damit sicherheitstechnisch abrüstest), ziemlich abwegig.

Hm, wüsste jetzt nicht was mit sicherem VPN mit Pubkey-Authentifizierung und einem separaten VLAN unsicherer wäre als beispielsweise einen SSH-Port zugänglich zu machen. Meine Systeme haben alle SSH am Laufen und manchmal ist der auch ohne VPN im Internet erreichbar, manchmal nur via VPN.

Dumm finde ich an IPMI und ähnlichen Management-Lösungen nur, dass es nicht Open Source ist und oftmals nicht aktualisiert wird. Habe ein Supermicro-Board (IIRC) von 2012, was jetzt schon keine Updates mehr bekommt. 6 Jahre Laufzeit sind bei nem Server eigentlich keine Seltenheit, zumal das Ding ansonsten einwandfrei funktioniert und die Leistung des Servers ausreicht.

von jeglicher Überwachung/Kontrolle durch den legitimen Admin ausgenommen

Aber in dem theoretischen Fall ist er doch der "legitime Admin", oder?

nutzen, um ein System neu zu machen, das der User verkacken durfte. An dieser Stelle sind so viele Dinge sicherheitstechnisch falsch

Nein, an dieser Stelle sind auch Dinge ganz grundlegend methodisch falsch. Ein User sollte ein System niemals so verkacken können. Gibt aber auch durchaus andere Anwendungsfälle: Hardwareausfall, fehlgeschlagene OS-Updates (bei Windows durchaus mal die klassische Bootschleife: Update → Reparatur → Rollback → Update). Da wüsste ich jetzt nicht, wie ich das über Telefon machen sollte, IPMI etc. wäre da schon einfacher.

ich verstehe langsam die Bundesbehörden, die HackBack unbedingt für sich legalisiert haben wollten...

Warum genau? Solche Aussagen sind imho recht gefährlich, denn "Hackback" bedeutet in dem Falle sicher kein Greyhat-Hacking um fremde Sicherheitslücken zu schließen und die Leute darauf hinzuweisen, sondern den "ßeiber-Gegenangriff", also eine klare militärische Handlung gegen einen feindlichen Staat…

Bin da eher für ein Three-Strikes-Modell, damit der Internetanschluss abgeschaltet wird, sobald drei voneinander unabhängige Sicherheitsereignisse erkannt werden. Das sollte dann natürlich klarstens definiert werden, damit man automatisierte Audit-Tools bei Firmen einsetzen kann.

ich dachte meine Frage ist höflich und jmd. hat mal einen passenden Link (Meine Güte, das habe ich schon früher gehasst in IT-Foren, "Na dann google doch selbst").

Na ja, hättest du ein spezielles Problem mit IPMI und hättest Eigeninitiative, hätten wir sicher nicht so reagiert.
Du bist jemand, dem wir eigentlich relativ oft helfen. Offensichtlich kannst du dir aber immer noch nicht selbst helfen.

Deine Frage ist beleidigend, denn: wir sind nicht deine Google-Sklaven, abgesehen davon dass du ja selbst innerhalb von 10 Sekunden einen guten Guide bei der Thomas Krenn AG gefunden hast. Ich hab natürlich vorher Google bemüht und das Wiki ebenfalls unter den Top 5 der Suchergebnisse entdeckt, ebenso bei DuckDuckGo. Ich wollte nur nicht deine Bequemlichkeit füttern, denn zu IPMI gibt es nun wahrlich genug Guides im Internet. Warum das Problem in deinem Fall anders gelöst werden sollte, beispielsweise durch eine Recovery-Partition, sollte dir eigentlich auch schon klar sein.

Gerne darfst du auch für IPMI einen neuen Thread aufmachen, aber bitte mit Eigeninitiative und einem konkreten Problem und nicht mit deinen üblichen bescheuerten Metafragen.

Ich machs jetzt auch, weil ich das tatsächlich in TS-Fall für eine schöne Sache halte.

Warum?!??

IPMI ist hauptsächlich für Admins in Rechenzentren und Firmen sinnvoll, beispielsweise um Server zu administrieren, deren Admin-Oberfläche generell nur via Fernwartung zugänglich ist. Wüsste nicht, was das bei verwalteten Desktoprechnern für einen Sinn haben sollte. Wenn jemand keine Adminrechte hat, kann er sein System gar nicht so verkacken, dass IPMI sinnvoll wäre.

Außerdem sollte man ein eigenes Management-VLAN einrichten und die entsprechenden Firewall-Regeln und VPN, damit das sinnvoll ist. Einfach nen IPMI-Port über Portfreigaben nach draußen zu legen schreit eigentlich nach einer Einladung zum Hacken.

Metal Warriors Ausführungen sind da mal Theorie.

Nein, sie sind durchaus Praxis, wie ich weiter oben schon beschrieben habe.

Da hat Metal_Warrior natürlich Recht, denn wie ich ist er auch der Administrator von mehr als 10 Systemen, wohingegen du eher am rumbasteln bist. Das ist hier kein Bashing deiner Fähigkeiten, sondern nur eine gut gemeinte Zurechtweisung.

 

[Metal_Warrior]

Ich pack das jetzt alles mal in eine Antwort, weil viele Dinge teilweise aus dem Kontext heraus beantwortet wurden.

Die Portweiterleitung eines Haushalts-Routers auf eine Management-Schnittstelle, die potentiell (und üblicherweise) mies gesichert und bestenfalls nachlässig gepatcht wird, ist eine Einladung zum Hacken. Daher ist die Schnittstelle selbst, als ein System, das NICHT vom Betriebssystem kontrolliert wird (weil es sich auf Hardwareebene befindet und vom eigentlichen OS geschottet ist, aber Zugriff darauf hat), eine hochgradig gefährliche Geschichte. Mit der Einschätzung bin ich übrigens nicht allein, man siehe die Intel ME Hacks und das Interesse daran beim letzten Chaos Communication Congress.

Wie phre4k schon ausgeführt hat, werden diese Schnittstellen natürlich in der Praxis genutzt, allerdings unter Berücksichtigung der oben genannten Gefahren - daher eigenes VLAN, eigene Firewalls, eigene Zugriffskontrollen VOR der eigentlichen Schnittstelle und keine Verbindung zum Internet. Und weil insbesondere das Letztere durch eine Portweiterleitung am Haushaltsrouter sträflichst unbeachtet bleibt, ist die Nutzung dieser Schnittstellen eine Scheißidee für diese Problemstellung, deren eigentliche Lösung sich auf einen einzigen Satz reduzieren lässt:

NIMM DEM NOOB DIE ADMIN-RECHTE WEG!

 

[Steeve]

Deine Frage ist beleidigend, denn: wir sind nicht deine Google-Sklaven

muss ich mich entschuldigen