飞牛登录 token 生成逻辑安全问题，并且尽快更新 rsa private key

[qianlongzt]

根据已有公开信息，可以通过/usr/trim/etc/rsa_private_key.pem 来生成 token 。 token 应该在内存中，不落盘，或者做好权限管理。从而减少文件泄露导致的风险。

应该改为安全的随机数来生成， 比如 golang https://pkg.go.dev/crypto/[email protected] , 或者是 /dev/urandom ，不要用成 math/rand 或者是 /dev/random

对应用应该加强管控，尽可能的不适用 root 运行程序，同时使用比如 SELinux AppArmor 限制文件读取访问，

需要 尽快更新现有的/usr/trim/etc/rsa_private_key.pem 文件，避免历史有人保存数据，从而再次入侵，参考如下

#!/bin/bash

# 备份老的 rsa 密钥对
FN_RSA_BACKUP_DIR=/usr/trim/etc/backup/fn-rsa-$(date +"%Y-%m-%dT%H-%M-%S%z")
mkdir -p "$FN_RSA_BACKUP_DIR"
mv /usr/trim/etc/rsa_private_key.pem /usr/trim/etc/rsa_public_key.pem "$FN_RSA_BACKUP_DIR"

# 重新生成 rsa 密钥对
openssl genrsa -out /usr/trim/etc/rsa_private_key.pem 2048
openssl rsa -in /usr/trim/etc/rsa_private_key.pem -pubout -out /usr/trim/etc/rsa_public_key.pem


# 查看已经备份 且 生成 rsa 密钥对
ls -lah "$FN_RSA_BACKUP_DIR"
ls -lah /usr/trim/etc/rsa_*.pem

[5200721]

这次事件之后应该没人敢在公网裸奔了吧，我是套了 Tunnel+zero trust 了

[tiiis]

还好之前没开过那个外网，一直 tailscale

[adminpro]

waf 规则里面直接把/usr /trim /etc 屏蔽掉

[m1nm13]

我猜大概率是飞牛的傻逼产品经理可能有要求过什么，通过飞牛 connect 登录之后就不需要再登录，所以说为了实现这个功能就必须云端/固件端能互相验证对方的密钥. 这样才能做到只登录一次.因为飞牛 Connect 大概率就只是一个类似 FRP 的反向代理的东西而已。

[qianlongzt]

@m1nm13 和这个无关，飞牛 connect 应该只是个反代。
而漏洞本身是在 nas 本体上的

[m1nm13]

@qianlongzt 不可能会允许任意一个人访问飞牛 connect 反代出来的网址,不然不就是等于直接塞到公网上了. 被人随便打, 前端必然有一个云端测的登录验证

[m1nm13]

@m1nm13 #6 要用一个秘钥通过两个不一样的秘钥系统, 那不就是飞牛现在的这个东西吗