Vähemtuntud firmware

Sissejuhatus

Kuna paljudele ei piisa tootjafirmapoolt pakutavast firmwarest, siis on sellest loodud mitmeid eri variante. Üldkasutatavate ning tuntumate firmwarede (Tomato ja DD-WRT) kõrval on ka neid, mis keskenduvad spetsiifilisematele valdkondadele ning mida kasutatakse vähem.

Testitavaks seadmeks on Linksys WRT54GL ning uurimisobjektiks sellele ruuterile sobiv firmware.

Freifunk ("open radio")

Märksõnaks: jagamine

• Freifunk: OpenWRT baasil tehtud firmware, mis peaks aitama luua "mesh" kommmuuni interneti jagamiseks, sest "internetile ligipääs on moodsa ühiskonna nurgakivi. Igaüks kes ei saa internetti ühenduda, on halvas olukorras ning ei saa olla tänapäeva ühiskonna täisväärtuslik liige." Frwifunk on võrreldav avatud digitaalse ruumiga nagu pargid ja tänavad.

Friefunk firmwarega on kerge luua uusi traadita mesh võrke. Sihtgrupiks on noored ning levinud on Saksamaal.
Kasutab teiste ruuteritega paremaks ühendumiseks spetsiaalseid protokolle. Kasutaja interfeis lubab põhjalikku signaali tugevuse kontrolli. Firmwared on ressursi suhtes vähenõudlikud ja jooksevad seadmetel, mille jõudlus on väike. Töötavad hästi ka piiratud energiaressurssidega keskkondades ning madala voolutarbega seadmete peal. Freifunk toetab ad-hoc WLAN kommunikatsiooni ning layer 2 ja 3 routingut OLSR protokolliga ja BATMAN routing protokolli.

Freifungile luuakse erinevaid pluginaid, näiteks Apple Bonjouri abil saavad kasutajad jagada enda muusikat lokaalsetes wifi võrkudes. Freifunk mesh võrkudes on rohkem mooduseid jagamiseks ja suhtlemiseks, kuna teenuseid ehitatakse avatud standarditele ning open-source tarkvarana. Saksaakeelset materjali palju, ingliskeelset vähem.

Testimine: Üritades OpenWRT-lt upgrade teha, asi ebaõnnestus ning ruuter andis otsad. Lingid:
http://ff-firmware.sourceforge.net/
http://en.wikipedia.org/wiki/Freifunk
http://freifunk-texas.net/ http://socghop.appspot.com/gsoc/org/home/google/gsoc2009/ffopenwrt

HyperWRT

Märksõna(de)ks: lihtsus ja kiirus

• HyperWRT:

Esimene HyperWRT projekt (Avenger 2.0) sai alguse aastal 2004 Timothy Jansi poolt. Lisavõimalusi vähe, kiire ning lihtne kasutada. Baseerub Linksysi originaal firmware peal. Seda valmistatud erinevatele Broadcom baasil olevatele ruuteritele (Buffalo, Linksys jt.). HyperWRT projekti eesmärgiks oli Linksysi firmwarele võimaluste lisamine (nt power boost), kuid seda nii, et jääks originaal firmwarega võimalikult sarnaseks. Tomatot loetakse HyperWRT järeltulijaks, kuna Hyperwrt edasiarendused.:

• Hyperwrt+Tofu. Lisatud asjad: signaalitugevuse kontroll, firewall scriptid, Telneti ja SSH daemon, staatiline CHCP lease, kliendi-, WET ja WDS moded, UPnp leht UPnp kaardistuste vaatamiseks ja kustutamiseks, 14 wifi kanalit, programeeritav SES nupp, SSHD.Arendus lõppes 2006a. Autoriks Jonathan Zarate, kes on ka Tomato loojaks.
• Hyperwrt+Thribor. Lisaks Tofu võimalustele veel pordi suunamine, lisafiltrid P2p bokeerimiseks, P2P spetisiiviline QoSA, printimisserver USB printerite jaoks. Arendus on nüüdseks samuti lõppenud.

Testimine: Üritasin üleminekut Linksysi originaal firmware pealt, näitas et uuendamine toimus edukalt, kuid erinevusi silma ei paistnud.

Lingid: http://en.wikipedia.org/wiki/HyperWRT http://wapedia.mobi/en/HyperWRT

TinyPEAP

Märksõnaks turvalisus
Tavakasutajale mõeldud firmware, tegemaks oma ühendust turvalisemaks.

Ühendab endas neli komponenti:

• AP, mis toetab pordipõhist 802.1X protokolli, mis EAP (Extensible authentication protocol) kasutamise tõttu lubab mitmeid eri autentimise protokolle. TinyPEAP kasutab PEAP protokolli, kuna see on turvaline ning kasutajasõbralik Windowsi ja MacOS-i kasutajate suthes.
• RADIUS server teostab kliendi autentimist. Kui klient proovib ühenduda, siis kõik autentimispaketid lähevad läbi AP RADIUS serverisse. Kui klient läbib autentimise, siis server saadab vastava teate AP-le. Tänu integreeritud RADIUS serverile, puudub vajadus lisaserveri jaoks
• Databaas kontollimaks autentimise andmete õigsust. Sageli kasutatakse Microsoft Active Directory serverit või SQL databaasi. Iga databaasi andmeväli omab informatsiooni kasutaja kohta, nagu kasutajanimi, parool hashitud kujul, hetke staatus, timeoudi informatsioon ja muud asjad, mida autentimiseks vaja on.
• PKI(Public key infrastructure). Autentimisel kasutatakse asümmeetrilisi võtmeid. Võti on vajalik kontrollimaks, et kliendi andmed lähevad õigesse AP-sse, mitte võõrasse. Võtmeid saab jagada läbi PKI või self-signed sertifikaatide kaudu

Autentimine on kahe oaline: Esimene osa on krüpteeritud TLS kanali loomine TinyPEAP serveriga. Autentimata klient üritab esmaslt ühenduda APg-ga, mille peale AP alustab 802.1X sessiooni ning küsib kliendi identiteeti. Klient vastab identiteediga ning AP saadab selle vastuse edasi TinyPEAP-ile. Kui see on lubatud kasutaja, tinyPEAP üritab luua TLS sessiooni, saates kliendile allkirjastatud sertifikaadi. Klient valideerib sertifikaadi ning luuakse TLS kanal. Kui klient ei suuda valideerida setifikaadi autentsust, võib ta valida sessiooni lõpetamise. Peale serveri valideerimist, algab teine osa TLS kanali sees. Kui TinyPEAP suudab valideerida kliendi andmed, tõmbab ta TLS kanali maha ja saadab uue paari võtmeid AP-sse. Samad võtmed tuletatakse kliendi pool, elimineerides vajadust saata võtmeid üle traadita LAN-i. Järgmiseks saadab AP broadcast võtme, mida kasutatakse edasiseks ülekandeks kasutades sessiooni võtmeid, mis tuletati TLS võtmest. WPA modes kasutatakse uute võtmetes tekemiseks TKIP meetodit. Võtmete uuesti loomine on see, mis hoiab krüptimise kaitstuna.

Kui tinyPEAP-il puudub aktiivne TLS kanal, on mälu kasutus alla 1MB, aktiivsena natuke alla 3 MB.

packages

Testimine: Üritasin üleminekut Linksys originaal firmware pealt, tegi umbes kolmveerand ära ja siis näitas et Failed ning jooksis kokku. Ruuterile restart tehes ärkas asi ellu ning Linksysi originaal firmware töötas ilusti edasi.

Lingid:
http://kennethhunt.com/archives/001379.html
openlinksys.info/downloads.php?cat_id=5&download_id=29

OpenWRT

• OpenWRT

Märksõnaks:vabadus
Firmware edasijõudnud kasutajale, eeldab Linuxi kasutamise kogemust. Kasutajate seas poplulaarne. Ühe staatilise firmware asemel pakub openWRT kirjutatavat failisüsteemi package managmendiga. Vabastab tootja poolt paika pandud aplikatsioonidest/seadistustest ning lubab kõik ära seadistada enda vajaduste järgi. Arendajatele pakub OpenWRT võimaluse ehitada aplikatsioone, ilma et oleks vajadus ehitada framework aplikatsiooni ümber.
Lisavõimalused erinevalt tehase firmwarest:

• välise liikluse pordi edastamine arvutitele LAN-is mis on NAT-i taga
• UPnP dünaamiliselt konfigureeritud pordi edastamiseks
• static DHCP leases
• põhajlik ruuteri ja tulemüüri konfigureerimine
• QoS VoIP-i, online mängimise ja meedia striimimise jaoks
• seadme konfigureerimine wireless repeatresiks, access pointiks, wireless bridgeks või eelnevate kombinatsiooniks
• mesh võrgundus
• dünaamiliste DNS serverite kasutamine, sälitiamaks fikseeritud domeeni nime ISP-ga, mis ei paku staatilisi IP aadresse
• käsurea ligipääs SSH või Telneti kaudu
• USB portidega seadmete puhul printeri jagamine, SAMBA kaudu failide jagamine, USB audio jne
• reaalajas võrgu montoorimine
• liandatav AJAX-ipõhine veebi interfeiss (tänu LuCI projektile)
• regulaarne bugide parandus ning uuendised, isegi nendele sadmetele, mida enam ei toetata nende tootjate poolt.

Testimine: Versioon: White Russian RC5 Üleminek Linksysi originaal firmwarelt toimis ilusti.
Esialgu parool ning kasutajanimi puudusid, kuid suvalisele lingile vajutades määras kasutajanimeks root ning nõudis parooli loomist. Panin hästi lihtsa parooli, hoiatas, et parool on nõrk kuid ümbervahetamist ei nõudnud. Kasutajamugavuse poolest olid põhiasjad lihtsad ning kergesti arusaadavad. Kanaliks valis 6da.
Üritasin teha upgrade HyperWRT firmware peale, kuid asi ebaõnnestus. Ilma ühtegi hoiatust näitamata muutus aadress 192.168.1.1 kättesaamatuks. Peale ruuterile mitmete resettide tegemist tuli avaleht paar korda küll ette veel, kuid seda umbes viieks sekundiks ning kadus seejärel jäädavalt. Ühenduse saatuseks oli limited. Proovisin mitmeid elustamise viise (alates 30/30/30 resettidest ning TFTP-ga firmware vahetus), kuid ruuter on tumm ning temaga ühenduse saamine täiesti võimatu. Tundub, et ka peale ruuteri restartimist ei saadeta ühtgi paketti ning ka failsafest pole kasu. Kisub sinnapoole, et tuleb proovida JTAG kaabli varianti, millega saab garantiile headaega öelda.

Lingid: http://openwrt.org/
http://en.wikipedia.org/wiki/OpenWrt

packages

packages

packages

Koostaja

Liisa Jõgiste
2010