Nano KVM: Günstige Hardware mit eklatanten Software-Mängeln?

Nano KVM: Günstige Hardware mit eklatanten Software-Mängeln? Remote-Zugriff auf Computer ist aus modernen IT-Umgebungen nicht mehr wegzudenken. Die Saipede Nano KVM-Geräte versprechen eine kostengünstige Lösung für dieses Problem. Doch ein genauerer Blick offenbart erhebliche Mängel in der Software und Sicherheitsarchitektur. ### Die Hardware im Überblick Die Nano KVM-Serie umfasst verschiedene Modelle, darunter eine "Light"-Version, eine Standard-Version und eine PCIe-Variante. Die Light-Version zeichnet sich durch ihre Kompaktheit und einen RISC-V-basierten SoC (System-on-a-Chip) aus. Sie bietet kabelgebundenes Ethernet, HDMI-Eingang und USB-C für die Tastatur- und Maus-Emulation. Die Standard-Version erweitert diese Funktionen um zusätzliche Anschlüsse und eine Steuerung für Power- und Reset-Schalter. Die PCIe-Version wird in einem PCIe-Slot verbaut, nutzt diesen aber primär für die mechanische Befestigung und Stromversorgung, nicht für die Datenübertragung. Trotz der unterschiedlichen Ausführungen teilen alle Modelle die gleiche Basisplatine und ähnliche Funktionalitäten. Die Hardware selbst wird als solide und preislich angemessen bewertet. ### Sicherheitsprobleme und fragwürdige Praktiken Die Analyse der Software offenbart eine Reihe von gravierenden Sicherheitsproblemen: Verwendung von HTTP: Die Web-Oberfläche nutzt unverschlüsseltes HTTP, wodurch Anmeldedaten und andere sensible Daten im Klartext übertragen werden. Schlechte Passwortverschlüsselung: Passwörter werden mit einem festen Schlüssel und dem AES-Algorithmus "verschlüsselt", was jedoch keinen ausreichenden Schutz bietet. Vorinstalliertes Tailscale: Ungefragt ist Tailscale vorinstalliert, versucht sich zu verbinden und Portfreigaben einzurichten, was unnötige Sicherheitsrisiken birgt. Download von Binärdateien ohne Integritätsprüfung: Das System lädt eine gerätespezifische .so Bibliothek von einem Server herunter, ohne die Integrität zu überprüfen. Dies öffnet Tür und Tor für Man-in-the-Middle Angriffe. Fest verdrahtete DNS-Server: Anstatt die vom Netzwerk bereitgestellten DNS-Server zu verwenden, sind feste DNS-Server von Google, Tencent und Alibaba einprogrammiert, was Bedenken hinsichtlich des Datenschutzes aufwirft. SSH mit Standardpasswort: Die älteren Images verwenden das SSH-Standardpasswort root/root, welches natürlich sofort geändert werden muss. Es lässt sich argumentieren, dass diese Mängel auf eine unzureichende Berücksichtigung von Sicherheitsaspekten bei der Softwareentwicklung hindeuten. ### Reverse Engineering der libmixcamlib.so Die Analyse der heruntergeladenen libmixcamlib.so-Datei zeigt, dass diese gerätespezifisch ist und den eingebauten Chip authentifiziert. Durch Reverse Engineering konnte nachvollzogen werden, wie die Seriennummer des Chips extrahiert und zur Generierung der Bibliothek verwendet wird. Diese Vorgehensweise wird als "extrem sketchy" und unnötig kompliziert kritisiert. ### Open Source nur zum Schein? Obwohl die Nano KVM-Geräte als Open Source beworben werden, gibt es Zweifel an der tatsächlichen Umsetzung. Die Images auf GitHub sind veraltet, und wichtige Softwarekomponenten sind nicht offen verfügbar. Dies führt zu der Überlegung, ob der Open-Source-Ansatz primär dazu dient, Community-Beiträge zur Fehlerbehebung zu generieren, ohne im Gegenzug vollständige Transparenz zu gewährleisten. ### Fazit Die Saipede Nano KVM-Geräte bieten eine potenziell kostengünstige Lösung für Remote-Zugriff. Die Hardware scheint solide zu sein, aber die Software weist erhebliche Mängel auf. Die Sicherheitslücken, die fragwürdigen Praktiken und die fragwürdige Umsetzung des Open-Source-Gedankens lassen die Frage aufkommen, ob der Nutzen die Risiken überwiegt. Es stellt sich die Frage, ob die Kosteneinsparungen die potenziellen Sicherheitsrisiken rechtfertigen. Anwender, die Wert auf Sicherheit und Datenschutz legen, sollten vor dem Kauf alternative Lösungen in Betracht ziehen.

Die Kommentare sind geschlossen.