Wanneer wel/niet DSM7 installeren?

[henkes]

@ André PE1PQX:
Lukt zowiezo niet.
Eerst xca versie 2.4.0 geinstalleerd
En dan heb ik een probleem bij het importeren van de certificaten in Stap 1
Templates gedownload en toegevoegd. Echter de internalName en commonName zijn:
  ??_must_de_unique
  CA
  Server
Ik heb een certificaat aangemaakt met CA, maar nu stopt het bij het maken van SERVERCERT
Volgens mij is e.e.a. (nog) niet bijgewerkt in de handleiding.
De templates werken in ieder geval niet.

[André PE1PQX]

@henkes Stel je vragen in de juiste topic AUB. Dit topic is over wel/niet DSM7 installeren.

Ondertussen alleen mijn DS218+ nog draaiend op DSM6.2, de rest inmiddels op DSM7

[henkes]

OK. Heb ik gedaan, maar ik krijg geen reactie in het juiste topic.
Hoeft inmiddels ook niet meer; ik zoek het zelf wel uit.

[André PE1PQX]

Misschien omdat men ook aan het werk is, of gewoon geen antwoord paraat heeft?

[Briolet]

In elk geval zit er momenteel een kritische OpenSSL bug in DSM7. Dus zolang er geen update is, zou ik er sowieso afblijven.

[SpeedyG]

In elk geval zit er momenteel een kritische OpenSSL bug in DSM7. Dus zolang er geen update is, zou ik er sowieso afblijven.

Maar als je geen OpenSSL gebruikt is er geen enkel bezwaar??

Ik gebruik in ieder geval tot volle tevredenheid DSM7 op allebei mijn Nas'sen (Zonder OpenSSL  )

[André PE1PQX]

Ik heb mijn DS-sen waar DSM7 op staat niet direct open staan voor toegang vanaf het web (De DS918+ heeft alleen een poort voor Hyperbackup open staan, meer niet.

[Briolet]

Maar als je geen OpenSSL gebruikt is er geen enkel bezwaar??

Vrijwel iedereen gebruikt OpenSSL, want dit onderdeel regelt al het ssl verkeer. Dus ook alle beveiligde verbindingen via https.

[henkes]

De bug(s) in OpenSSL is nog niet lang gelden ontdekt en zit inderdaad mogelijk ook in VPNserver.
Zie https://be.hardware.info/nieuws/78233/nas-apparaten-synology-vatbaar-voor-openssl-kwetsbaarheden
Ik weet niet hoe groot de kans is dat je hier ook last van gaat krijgen (lijkt me niet zo groot).
Dan 3 maanden wachten voordat Synology een update heeft.

[Briolet]

Het update beleid van Synology is inderdaad slecht. OpenSSL heeft 1 week voor de release aangekondigd dat er een bugfix aan zou komen. Dat geeft bedrijven zoals synology de tijd om de fix in te plannen zodat ze een op de dag van  de update ook zelf een patch kunnen publiceren.

Zo hoort het te gaan en in het verleden had Synology ook binnen een paar dagen een patch die je ook direct zag binnen DSM.

Voor DSM 6.2 zal het lastiger zijn, want daar zullen ze naar een andere OpenSSL versie moeten overstappen en dan moet je compatibiliteitstests doen. Maar voor DSM 7 is het alleen een kwestie van de update toe te voegen. (1.1.1k --> 1.1.1l)

Bij kritische bugs moet je snel zijn, want op het moment van release beginnen hackers de fix te onderzoeken en bouwen er een aanvalsplan voor. De bug kan soms al binnen een paar dagen misbruikt worden.

[Birdy]

In elk geval zit er momenteel een kritische OpenSSL bug in DSM7. Dus zolang er geen update is, zou ik er sowieso afblijven.

In DSM6 zijn CVE-2021-3711 en CVE-2021-3712 (referentie naar de link van @henkes) ook nog niet opgelost, althans, het staat niet in de Release Notes.