- Ein Nutzer berichtete, dass er sich wie gewohnt auf der UniFi-Konsolenseite anmeldete, dort jedoch nicht seine eigenen Geräte, sondern 88 Konsolen eines anderen Kontos angezeigt bekam und vollen Zugriff darauf hatte
- Das Problem endete nicht durch eine serverseitige Maßnahme, sondern erst nach einem erzwungenen Neuladen des Browsers des Nutzers; danach wurde wieder seine eigene Konsolenliste angezeigt
- Das UI-Team hinterließ den Beitrag zur Fehlerbehebung „Cloud Access Misconfiguration“ als akzeptierte Antwort, und UI-Marcus bat den Verfasser per DM um weitere Informationen
- In den Kommentaren wurden die Möglichkeit ähnlicher Vorfälle in Zukunft, das Fehlen einer offiziellen Statusseite und ein auf Reddit gemeldeter Protect-Zugriffsfall gemeinsam thematisiert; es gab Reaktionen mit der Forderung nach einer öffentlichen Erklärung
- Einige Nutzer diskutierten Ausweichkonfigurationen wie das Deaktivieren des Fernzugriffs sowie WireGuard-VPN, Dynamic DNS und direkten IP-Zugriff, doch App-Unterstützung und Sicherheitsrisiken bleiben Einschränkungen
Anmeldefall mit Anzeige von 88 fremden Konsolen
- Der Nutzer wollte sich unter
https://unifi.ui.com/consolesanmelden, um auf seine Konsole zuzugreifen, sah dieses Mal jedoch 88 Konsolen eines anderen Kontos - Er erklärte, dass für die angezeigten Konsolen derselbe volle Zugriff möglich gewesen sei wie für seine eigene Konsole
- Nach einem erzwungenen Neuladen des Browsers wurde die Anzeige fremder Konsolen beendet, und wieder seine eigene Konsole erschien
- Der Verfasser des Beitrags fragte, ob andere Nutzer dasselbe Problem erlebt hätten
Reaktion von Ubiquiti
- UI-Marcus antwortete, er habe den Verfasser per DM kontaktiert, um weitere Informationen zu erhalten und die Situation besser zu verstehen
- Die akzeptierte Antwort des UI-Teams ist der Link Bug Fix: Cloud Access Misconfiguration
- Der Thread wurde gesperrt, und weitere Kommentare wurden danach deaktiviert
Sicherheitsbedenken der Community
- Ein Nutzer sagte, dass dieses Problem zuvor bereits in der Community angesprochen worden sei, er damals jedoch keine Antwort gefunden habe
- Ein anderer Nutzer reagierte, dass bei einem „schwerwiegenden Sicherheitsproblem“ ein Kontakt nur per DM nicht ausreiche
- Umgekehrt gab es auch die Ansicht, dass UI innerhalb kurzer Zeit geantwortet habe und man Zeit geben solle, den Verfasser zu kontaktieren und die Lage zu bewerten und zu analysieren
- Da mehrere potenzielle Vorfälle gemeldet wurden und die Sache schwerwiegend sei, wurde auch eine offizielle Mitteilung gefordert, dass das Problem bekannt ist
- Es wurde darauf hingewiesen, dass
https://status.ui.com/keinen entsprechenden Hinweis enthält - Es gab Reaktionen, die öffentliche Updates und eine RCA forderten
- Es wurde darauf hingewiesen, dass
Protect und Alternativen für den Fernzugriff
- Ein Kommentar berichtete, dass es auf Reddit auch eine Meldung gegeben habe, bei der die Protect-Instanz einer anderen Person sichtbar gewesen sei
- Derselbe Nutzer nannte als sinnvolle Maßnahme das Deaktivieren des Fernzugriffs und sagte, er habe seinen Protect-Speicher gelöscht und Innenkameras deaktiviert
- Ein anderer Nutzer forderte, dass die mobile App eine direkte Verbindung über eine statische IP-Adresse unterstützen solle, damit keine Cloud nötig sei
- Ein Nutzer, der WireGuard-VPN und Dynamic DNS eingerichtet hatte, hielt auch den direkten Zugriff über eine öffentliche IP für ein größeres Sicherheitsrisiko
- Ein weiterer Kommentar sagte, dass direkter Zugriff über VPN in der Unifi-iOS-App funktioniere, in der Protect-iOS-App jedoch nicht
1 Kommentare
Hacker-News-Kommentare
Ich bin ein ehemaliger Ubiquiti-Mitarbeiter, und das Unternehmen ist heute kaum wiederzuerkennen. Auch in den Anfangstagen gab es Probleme, aber es gab viele kluge, hart arbeitende Leute, und die Leute waren oft überrascht, wenn man ihnen erzählte, wie klein das Unternehmen war, als wir Ubiquiti und UniFi unter Technikern zu bekannten Marken gemacht haben.
Einige davon sind noch da, und UI-Marcus aus dem Link ist ein guter Typ. Aus meiner Sicht ging es stetig bergab, seit der CEO das Unternehmen stärker auf die Büros in Portland und China ausgerichtet hat. In Portland gab es UX-Designer, die alles neu gestalten wollten, damit es „hübscher“ aussieht, ohne zu verstehen, wie Kunden die Produkte nutzen, und außerdem den Cloud-Chef Nick Sharp, der versucht hat, das Unternehmen zu erpressen und gegenüber der Presse über den Hack gelogen hat. Das bevorzugte Büro in China entwickelte FrontRow, das so massiv scheiterte, dass wohl kaum jemand überhaupt davon gehört hat. Diese Leute sollten die künftigen Führungskräfte des Unternehmens werden, aber alles, was sie anfassten, wurde zur Katastrophe, und die meisten von uns haben die Zeichen erkannt und sind gegangen.
Heute weiß ich nicht einmal, welches Ubiquiti-Büro für die Cloud zuständig ist. Die Leute, die in der Cloud gearbeitet haben, haben gekündigt oder wurden entlassen, nachdem der Cloud-Chef wegen Erpressung des Unternehmens ins Gefängnis kam. Ich hoffe, dass das Unternehmen eines Tages wieder in die Spur findet, aber es ist traurig zu sehen, wie das, was wir früher aufgebaut haben, so verfällt.
Sie haben angefangen, alles in automatisch eingeklappte Abschnitte zu packen, sodass man jetzt die Überschriften der Abschnitte im Kopf behalten und sie öffnen muss, um etwas zu bedienen, statt wie früher einfach durch die Seite zu scrollen. Und davon gibt es Hunderte.
Es war ein völlig am Markt vorbeigehendes Produkt und auch für Ubiquiti eine seltsame Produktlinie. Interessanterweise scheint Ubiquiti in dieser Zeit auch einen Video-Editor für FrontRow veröffentlicht zu haben: https://www.reddit.com/r/Ubiquiti/comments/t9jz2n/ubiquiti_l...
Mich würde interessieren, wie groß das Unternehmen war, als es „Ubiquiti und UniFi unter Technikern zu bekannten Marken gemacht“ hat.
Für jemanden, der intern dabei war, muss es noch schlimmer gewesen sein. Trotzdem bin ich allen dankbar, die das möglich gemacht haben; sie haben zumindest gezeigt, was möglich ist. Vor allem haben sie gezeigt, dass es auch ohne Cloud-Unsinn oder Abo-Lock-in geht, anders als bei diesem Problem hier. Selbst wenn Ubiquiti wirklich zusammenbrechen sollte, wird die Hardware im Kern noch lange nützlich bleiben.
In letzter Zeit gab es sogar ein paar leicht positive Signale, auch wenn die Änderungen an der User Experience weiterhin chaotisch sind. Bei Kernfunktionen gab es winzige Fortschritte; sie sind Jahre zu spät, aber meiner Meinung nach nicht völlig zu spät. Ich frage mich, ob TP-Link Omada als klarer direkter Konkurrent in derselben Nische Druck gemacht hat.
Allerdings habe ich in diesen acht Jahren auch nie die Firmware aktualisiert, und inzwischen weiß ich nicht einmal mehr genau, wie ich wieder in die Web-UI komme, um sie zu steuern.
Einige meiner IT-Kunden nutzen UniFi-Router, aber fürs Geld sind sie ziemlich unspektakulär. Die UI ist hübsch, aber es gibt viele kaputte Funktionen und Bugs, und sie lassen sich auch nicht zentral verwalten wie andere UniFi-Geräte.
Als ich vor 6–7 Jahren ein UniFi-Netzwerk aufgebaut habe, hatte ich ziemlich hohe Erwartungen, weil die Hardware robust wirkte. Es war etwas teuer, aber ich hoffte, dass es im Grunde ewig laufen würde.
Die Hardware war aus meiner Sicht wirklich gut, und abgesehen von meinen eigenen Konfigurationsfehlern gab es keine Probleme. Aber die Software war furchtbar. Sie wirkte, als sei sie nur für einen einzigen Zweck entworfen worden: in Vorstandssitzungen beeindruckend auf Führungskräfte zu wirken. Für den tatsächlichen Gebrauch war sie fast unmöglich. An Details erinnere ich mich nicht mehr, aber es reicht wohl zu sagen, dass es mehrere Tage dauerte, ein einfaches Heimnetzwerk mit einem einzelnen AP und einem einzelnen Router einzurichten. Schon das Einloggen erforderte enormen Aufwand.
Ich war mit der Erwartung gestartet, Dinge wie schickes Monitoring und Analytics, Security und Remote Access nutzen zu können, aber nachdem ich die Einrichtung gerade so abgeschlossen hatte, habe ich es nie wieder angefasst. Ein paar Mal musste oder wollte ich mich einloggen, gab dann aber auf, weil ich mich nicht mehr an die beschwörungsartige Abfolge und die Kombination von Software erinnerte, die für den Zugriff nötig war.
Ich wünschte, es gäbe ein solides System auf hochwertiger Hardware. UniFi war vom Konzept her genau das, was ich wollte, und auch das, was viele Hacker und Bastler wollen. Aber wenn die Software nicht für Menschen gemacht ist, zählt die Qualität der Hardware kaum. Am Ende nutze ich einen Consumer-Router mit Open-Source-Firmware, und der ist einfach okay.
Die Hardware ist robust, und die Software ist nicht schick, aber stabil. Es ist genau das, was Hacker und Bastler wollen, und natürlich hat Ubiquiti diese Produktlinie deshalb praktisch fallen gelassen.
Sie ist noch nicht eingestellt, sodass man bei Bedarf Teile ersetzen kann, aber wenn man sich die Software-Versionshistorie ansieht, wirkt es nicht wie ein Produkt, in das mit Liebe aktiv investiert wird: 2019/03/28 v2.0.1, 2019/05/30 v2.0.3, 2019/06/25 v2.0.4, 2019/07/16 v2.0.6, 2019/12/04 v2.0.8, 2020/03/09 v2.0.8-hotfix1, 2020/11/18 v2.0.9, 2021/02/02 v2.0.9-hotfix1, 2021/06/13 v2.0.9-hotfix2, 2022/07/17 v2.0.9-hotfix4, 2022/12/20 v2.0.9-hotfix5, 2023/01/22 v2.0.9-hotfix6, 2023/07/31 v2.0.9-hotfix7
Sie bekommen nicht einmal Versions-Upgrades ihrer eigenen Datenbank vernünftig hin, aber immerhin ist es web scale.
Auf r/Ubiquiti gibt es ebenfalls Beiträge dazu: https://old.reddit.com/r/Ubiquiti/comments/18hgpw1/security_..., https://old.reddit.com/r/Ubiquiti/comments/18hs684/no_offici...
Die Cloud ist wie eine mobile Toilette an einem öffentlichen Ort. Privat, aber es sind immer Menschen in der Nähe, und wenn man manchmal vergisst abzuschließen, macht jemand anderes die Tür auf.
Beim Zugriff auf die bei K8S gehostete Website eines Kundentenants gab es ein SSL-Handshake-Problem, und das ausgelieferte Zertifikat gehörte nicht zur Kundenseite, sondern zu dev-xxxx.polar.com. Diese Umgebung konnte die Domain im öffentlichen DNS nicht auflösen, und die Umgebung selbst sollte geschützt sein, sodass kein externer Zugriff möglich war. Nach einem Refresh war das Problem verschwunden, und ich kam wieder auf die Kundenseite.
Ich frage mich, ob sie für die Cloud-Konsole ein CDN verwenden. Viele Organisationen haben sich schon heftig daran verbrannt, dynamische Daten zu cachen und Dinge zu cachen, die keine statischen Daten sind.
[1] https://news.ycombinator.com/item?id=27301219
Für alle, die auf einer UDMP den Remote Access über UniFi-Server abschalten wollen: Diese Einstellung befindet sich nicht unter der Network-Anwendung, sondern in der übergeordneten Konsolenverwaltung.
Console Settings (linkes Menü) -> Advanced (Überschrift) -> Checkbox „Remote Access“
Oder erreichbar unter https://$UDMP_IP/console-settings. Ich hoffe, dass diese Einstellung auch lokal gilt.
Wenn man Remote Access abschaltet und stattdessen die Smartphone-App per VPN nutzen will, muss man sie möglicherweise manuell hinzufügen. Über den (+)-Button und die Option „Need help?“ gibt es eine Methode zum manuellen Hinzufügen per IP/Benutzer/Passwort.
Was mich hier wirklich interessiert: Warum werden meine Daten nicht Ende-zu-Ende-verschlüsselt, wenn sie über die Server von Ubiquiti laufen?
Selbst wenn meine Daten versehentlich an einen anderen Nutzer gesendet werden, sollte das einfach nur mit einem fehlgeschlagenen Entschlüsseln enden
Es wäre wirklich schön, eine nutzerfreundliche Open-Source-Alternative zu haben. Ich nutze OPNsense, aber wegen der steilen Lernkurve kann ich es meiner Familie schwer empfehlen
Über Firewalla habe ich auch nachgedacht, aber dessen Control Panel ist Cloud-basiert, also könnte dort dasselbe Problem auftreten
Ich nutze zu Hause OPNsense, habe im Haus meiner Eltern aber ein komplettes UniFi-Setup ausgerollt. Wenn es Probleme gibt, kann ich über die Cloud-Konsole aus der Ferne ins Netzwerk schauen und die Ursache suchen
Was ich in einem Heimnetz wirklich möchte, ist die Möglichkeit, ein oder mehrere Netzwerke zu definieren, also etwa VLANs, und Geräte in diese Netzwerke zu setzen. Wenn man auf ein Gerät klickt, sollte man ihm eine statische IP zuweisen können, den von ihm erzeugten Traffic sehen, Traffic steuern, Traffic zu oder von bestimmten Ports blockieren, es zu bestimmten Zeiten aus dem Netzwerk werfen, das lokale Netzwerk erlauben, aber das Internet blockieren, den DNS-Resolver ändern usw.
Bei den meisten Routern muss man, selbst wenn es diese Funktionen gibt, kreuz und quer durch die UI navigieren und jeden Dienst separat verwalten. OPNsense ist großartig und ich nutze es weiterhin, aber die UI wirkt eher wie eine Sammlung kleiner Fenster zu den verschiedenen Unterdiensten, die die Firmware bereitstellt. Firewall-Regeln sind auf einer eigenen Seite, DHCP-Leases auf einer anderen usw. Es funktioniert, ist aber ziemlich frustrierend, wenn man nicht täglich hineinschaut
Das Geschäftsmodell wäre, alles Open Source zu lassen, die Releases aber in drei Stufen aufzuteilen: 1) ein kostenloses Beta-Release mit neuen, nur leicht getesteten Funktionen für experimentierfreudige Nutzer, 2) ein abonnementbasiertes stabiles Release (zahlende Kunden erhalten Zugriff auf Quellcode und Build-Tools), 3) ein Release für kostenlose Nutzer, das dem stabilen Release entspricht, aber 6 bis 9 Monate später erscheint. Die Details wären schwierig, aber wenn ich auch nur ein wenig Gründergeist hätte, glaube ich, dass man den Status quo deutlich verbessern könnte
Man hört ja immer: „Legt es in die Cloud“
Ich erinnere mich an den Fall, als früher bei Dropbox jemand eine Änderung in die Produktionsumgebung geschoben hat, die Passwörter ignorierte, sodass man sich mit jedem beliebigen Passwort in jedes Konto einloggen konnte
Wenn ich gefragt werde, warum ich keine Ubiquiti-Produkte nutze, antworte ich, dass ich einem Unternehmen nicht vertraue, das in einem so wichtigen Bereich geschlossene/proprietäre Produkte anbietet. Darauf bekomme ich oft skeptische Reaktionen oder Augenrollen
Open Source ist kein Allheilmittel, aber wenn ich meine „Cloud“-Steuerung selbst gehostet hätte, müsste ich mir über so etwas keine Sorgen machen