Banana Pi OS - vertrauen oder nicht vertrauen?

[Der_Haase]

Moin zusammen,

nachdem ich "endlich" mal ein bisschen Zeit über habe, komme ich doch auch mal dazu meinen kleinen Banana Pi auszupacken und anzustöpseln (liegt ja auch erst seit Weihnachten hier rum :facepalm: ).

Jetzt habe ich mich gerade auf die Suche nach einem Passenden Linux gemacht für mein Projekt (eine NAS mit Open Media Vault) und komme relativ schnell zu einem "Problem":
Geschädigt durch die ganze NSA Affaire fange ich doch immer mehr an mir gedanken um das Thema sicherheit zu machen.
Da die Community für den Banana Pi deutlich kleiner ist wie für den Raspberry Pi bekommt man weniger vorgefertigte Distributionen bzw. wenn dann sind das meist 1-2 Mann-Projekte (z.B. ein vorgefertigtes Debian mit OMV). Das erzeugt bei mir ein leicht ungutes Gefühl, denn je kleiner das Projekt, desto einfacher ist es irgend ein kleines Hintertürchen ins System einbauen ohne das jemand was merkt (was ich natürlich niemand unterstellen möchte, es wäre nur leichter möglich).
Natürlich würde ich nur Distros installieren die via lemaker.org verlinkt sind, aber ich denke auch die machen sich nicht die Mühe das alles durchzuprüfen.
Wenn ich jetzt das offizielle Linux von Lemaker nehme (Bananian), dann habe ich diese Probleme nicht, allerdings habe ich hier ein OS von einem kleinen chinesischen Unternehmen wo ich mir auch nicht sicher bin was da alles drinn steckten könnte an Backdoors.
Alternativ könnte ich mir versuchen den kernel selber zu kompillieren, aber auch da bin ich auf Skripte von lemaker angewiesen.

Daher die Frage:
1. Zu viel Paranoia?
2. Für welche Variante würdet ihr euch entscheiden? Passende Distro vom 1 Mann Projekt, vorgefertigte Distro von Lemaker und OMV selber aufspielen, oder komplett selbst den Kernel kompilieren?
3. Kann ich, da das dingens ja (noch) nicht ins Internet muss, das ganze in meiner Fritzbox so aussperren, dass der Pi keine Internet verbindung außer zu den Debian Repositories bekommt und mich so absichern?

Natürlich kann man sich niemals sicher sein, man weis ja nicht was in Windows oder im Bios von Lenovo so alles drinn steckt , aber ich denke dass es bei kleineren Projekten doch durchaus eher zu Missbrauch kommen könnte der einen direkt betrifft (Wenn ich z.B. meine ganzen Akten / Unterlagen auf meiner NAS ablege könnte das doch für den ein oder anderen schon interessant sein).

Was meint ihr dazu?

Ps.: Wenn im Falschen Unterforum, bitte verschieben

 

[kristatos]

Ich hab mich mit den *-PI's noch nicht weiter auseinander gesetzt, aber was spricht denn gegen ein hundsgemeines Debian, das du drauf installierst? Danach die entsprechende Software für deine Anwendungszwecke (evtl. mit Hilfe von deb-multimedia) nachinstallieren und fertig.

 

[Der_Haase]

Ich hab mich mit den *-PI's noch nicht weiter auseinander gesetzt, aber was spricht denn gegen ein hundsgemeines Debian, das du drauf installierst? Danach die entsprechende Software für deine Anwendungszwecke (evtl. mit Hilfe von deb-multimedia) nachinstallieren und fertig.

Das genau will ich ja tun, bzw. das ist eins meiner Optionen die ich oben angeführt hatte. Allerdings benötige ich, wenn ich das richtig verstanden habe, einen selbst kompilierten Kernel und muss auf einen bootloader & ein paar weitere Skripte von lemaker zurückgreife. Daher ja die Frage oben, ob ich damit "sicher fahre" oder ob selbst bei so etwas das risiko eines modifizierten Systems zu hoch ist.

 

[Gummiente]

Das Problem hast du ja immer und nicht nur bei Linux.

Google spuckt bei der Suche nach einem Tool irgendeinen Downloadlink aus. Was tun mit dem Link?

Natürlich ist ein Stecknadel in einem riesigen Heuhaufen gut zu verstecken und die Verfügbarkeit der Quellcodes ist daher doch eher theoretisch ein Vorteil aber bei irgendeinem Tool hat man nicht einmal die.

 

[Der_Haase]

Das Problem hast du ja immer und nicht nur bei Linux.
...

Das stimmt wohl und ich wollte auch in keinster Weise den Eindruck erwecken ich misstraue Linux (im Gegenteil ich bin eigentlich, neben meinem Studiumsbedingten wechsel zu win8.1) überzeugter und begeisterter Fedora User.
Mir geht es nur um das Problem, dass ich hier eben kein großes Entwickler Team wie z.B. bei Debian habe, sondern gezielt einzelnen Personen vertrauen muss. Und das auch noch mit sehr sensiblen Persönlichen Daten.

 

[yareg]

Hallo,

ich betreibe meinen Banana-Pi mit dem Raspbian Image. Aber nur, weil das Bananian zum Zeitpunkt der Installation keinen besonders guten Eindruck hinterließ. Für mich wäre der Aufwand, ein Vanilla-Debian für den Banana-Pi anzupassen, einfach zu groß. Wobei ich das mal probieren könnte, wenn ich mal wieder richtig viel Zeit habe...

Gerade die Ein-Mann-Projekte haben doch gar nicht die Kapazität, großartig Infrastruktur für die Repositories bereitzustellen. Die nutzen meines Wissens nach dann die "normalen" Repos von Raspbian/Bananian und unterscheiden sich eher nur in den Paketen, die von Anfang an installiert sind.

In deiner FritzBox kannst du über die Filter theoretisch ein Whitelist für die Repos anlegen, die Verbindung zu anderen Adressen sollte dann auf dem Banana-Pi nicht mehr funktionieren.

Viele Grüße,
yareg

 

[Der_Haase]

...
In deiner FritzBox kannst du über die Filter theoretisch ein Whitelist für die Repos anlegen, die Verbindung zu anderen Adressen sollte dann auf dem Banana-Pi nicht mehr funktionieren.

Viele Grüße,
yareg

Das klingt doch schonmal gut , danke dafür.
Kann ich damit sicher allen Verkehr unterbinden? Hatte mal irgendwo gelesen, dass ich via Whitelisting nur http anfragen blocken kann (oder verwechsle ich das gerade mit der Kindersicherung? )

 

[yareg]

Du scheinst leider Recht zu haben. Hab es eben mit einem geblacklisteten FTP-Server probiert, aber die Verbindung wurde leider dennoch aufgebaut...
Ich habe aber nur die "Minimal-"FritzBox. Keine Ahnung, ob bei den größeren Modellen noch mehr geht. Das müsstest du wahrscheinlich selbst vorher bei dir mal ausprobieren.
Ansonsten kannst du das mit der Linux-Firewall iptables auf dem BananaPi einrichten. Aber da hast du wieder die Vertrauensfrage...

 

[Der_Haase]

Du scheinst leider Recht zu haben. Hab es eben mit einem geblacklisteten FTP-Server probiert, aber die Verbindung wurde leider dennoch aufgebaut...
Ich habe aber nur die "Minimal-"FritzBox. Keine Ahnung, ob bei den größeren Modellen noch mehr geht. Das müsstest du wahrscheinlich selbst vorher bei dir mal ausprobieren.
Ansonsten kannst du das mit der Linux-Firewall iptables auf dem BananaPi einrichten. Aber da hast du wieder die Vertrauensfrage...

Mist...
Und ja, iptables löst das problem nicht.... ich könnte mal ne runde wireshark paralel mitlaufen lassen und trafik mitschneiden aber ob mir das was bringt ist auch fraglich ...

Habe mich jetzt nochmal ein wenig weiter eingelesen. Bananian macht schon einen relativ seriösen Eindruck mit einem deutschen Entwickler welcher sich zum thema "privacy" sehr gut äussert. Aber irgendwie fehlt mir einfach ein großen Entwickler Team dem ich vertrauen kann / will .

 

[vlooe]

Wenn du kein Vertrauen in die Leute hast die die Pakete bauen hilft nur selber machen :Oldtimer:

Es gibt mehrere Tools die einem dabei helfen soetwas zu machen.
Auf die schnelle fallen mir da Buildroot und Yocto ein.

Buildroot wird verwendet um OpenWrt zu bauen. Hab vor ein paar Jahren mal damit rumgespielt und erfolgreich ein startended image für meinen Router bekommen.
Da die Treiber fürs Modem aber nicht open source sind hab ich wieder das original draufgemacht :cursing:

Yocto wird bei uns in der Firma verwendet. Selbst hatte ich damit noch keinen kontakt.


Die Tools arbeiten immer nach dem selben Prinzip. Sourcecode eines Programms runterladen, compilieren und Ergebnis in ein image/paket stecken.
Fertig ist die eigene Distribution.:thumbsup:

 

[Der_Haase]

Wenn du kein Vertrauen in die Leute hast die die Pakete bauen hilft nur selber machen :Oldtimer:

Es gibt mehrere Tools die einem dabei helfen soetwas zu machen.
Auf die schnelle fallen mir da Buildroot und Yocto ein.

Buildroot wird verwendet um OpenWrt zu bauen. Hab vor ein paar Jahren mal damit rumgespielt und erfolgreich ein startended image für meinen Router bekommen.
Da die Treiber fürs Modem aber nicht open source sind hab ich wieder das original draufgemacht :cursing:

Yocto wird bei uns in der Firma verwendet. Selbst hatte ich damit noch keinen kontakt.


Die Tools arbeiten immer nach dem selben Prinzip. Sourcecode eines Programms runterladen, compilieren und Ergebnis in ein image/paket stecken.
Fertig ist die eigene Distribution.:thumbsup:

Danke für den Tipp. Habs mir mal angeschaut und stelle fest, dass das doch sehr kompliziert werden könnte ...
Ich befürchte ich drehe mich da im Kreis "zu dumm" es selbst zu machen und zu wenig vertrauen in ein fertiges System -.- ...

Bleibt die Frage ob ich mir doch noch eine Synology ins Haus stellen muss. Wobei ich da wieder das problem hab, dass das Ding vermtl. nicht das kann was ich will und in letzter Zeit sicherheitstechnisch auch nicht geglänzt hat (und deutlich mehr Geld kostet).

Was wäre denn mit der Idee den Pi via Fritzbox vom Internet komplett auszusperren und dann 1mal pro Woche / Monat die SD Karte ziehen, in ner VM/ Emulator booten und darüber Updaten. Somit hat er kein iNet um meine Daten zu Verteilen und wenn ich ihn Update hängt er ohne Festplatten in einer VM?
Oder ist das nur Paranoid und nicht wirkungsvoll...?