飞牛的影响面比想象的大很多

2 月 3 日
 EyebrowsWhite

从 30 号的这个帖子开始 https://www.v2ex.com/t/1189392 到今天,已经三四天的时间了,现在随便一搜,仍然有二十多万的资产暴露在公网,试了两百个,一半多可访问,32 个未升级到最新版本,存在路径穿越漏洞。

如果说这些用户存的就是些片子也就罢了,但是很多都是用来备份自己手机电脑的,里面的文档不少都是个人隐私,各种证件、资料。

去年不是计算机行业的朋友想折腾 NAS ,我推荐了群晖和飞牛,后面他没买硬件就涨价了,也就没折腾。我个人猜测,飞牛的大多数用户都是和我这个朋友类似的,第一次接触 NAS 的小白,他们不知道网络安全,也不知道暴露在公网意味着什么。查了下,广州铁刃智造技术有限公司成立于 23 年,这两年正是硬件便宜的时候,对于这些用户来说,NAS 比网盘便宜,可以备份各种设备的数据,还能看看片,就足够了。

现在出了这种级别的事故,官方的种种措辞还是遮遮掩掩,懂的人知道严重性,但大部分小白用户可能一点也意识不到,即便现在官方关闭了未升级的用户的内网穿透,作用也是有限的。这些用户脑子里是缺少安全意识的,只会照着教程一步一步做,并不能理解每一步的含义(回想我刚接触的时候也是如此),所以官方的指南是非常非常重要的。

以后飞牛在我这里是被拉入永久黑名单了,我觉得无关乎国产与否,任何品牌这么搞都是自寻死路。

22162 次点击
所在节点    信息安全
128 条回复
jpyl0423
2 月 3 日
小事捂成大事,做对一步都不会变成今天这样
glacer
2 月 3 日
不是说昨晚把所有未升级版本的中继服务都停掉了?怎么还能连上
unusualcat
2 月 3 日
捂盖子这种操作真.一脉相承
EyebrowsWhite
2 月 3 日
@glacer 官方的中继只是其中一种访问方式而已,而且我相信只是小部分
iorilu
2 月 3 日
这种估计国外公司一夜就倒闭了
jacketma
2 月 3 日
是不是飞牛官方没有能力判断 fn connect 的客户端用户是否升级了新版本?
这个时候,如果一刀切断掉 fn connect 功能,导致已经升级的用户也用不了这个功能,全面瘫痪。
所以,现在官方就只是装死,让那些老版本用户等着被入侵,或者自己主动升级。
Mithril
2 月 3 日
这种级别的漏洞这么搞,作为一个私有存储产品直接上黑名单就行了。

和小米路由用 mimt 在 http 请求里面插广告一样,属于整个团队三观都有问题,从根子上就烂了。它根本没有意识到自己在做什么,一点安全意识都没有。根本也不在乎用户的数据安全。

这团队压根就不适合做这种产品。
yuwancumian27149
2 月 3 日
我个人猜测,飞牛的大多数用户都是和我这个朋友类似的,第一次接触 NAS 的小白,他们不知道网络安全,也不知道暴露在公网意味着什么。
up 为什么会有这种离奇的想法???
leang521
2 月 3 日
所以我建议搞一个带 VPN 的浏览器来解决这个问题还招一堆人反对。大部分人都不清楚用户到底需要什么

https://v2ex.com/t/1190213
dilidilid
2 月 3 日
@iorilu 在欧美吃诉讼吃到饱( FNC 很多可是付费用户,再加上飞牛硬件的用户),直接可以准备破产清算了。也就在东大可以捂盖子装作无事发生,就这还很多人觉得大家太过苛责了呢。

@jacketma 显然官方是能判断的,后来的解决方案就是 FNC 断开没升级到最新版本的飞牛终端。之前为什么拖了这么久不行动原因就不得而知了
qiyilai
2 月 3 日
结合以前的讨论帖子看,nas 唯一选择就是群晖了
geniussoft
2 月 3 日
群晖为什么有恃无恐,原因就在这里了
adminpro
2 月 3 日
很烦这种,不想用就别用,飞牛收你钱了? 逼你用了? 还是怎么着??? 你既然选择免得产品,安全性你自己把握。
Ketteiron
2 月 3 日
一、用户根本不知道漏洞,并且相信官方会妥善处理好漏洞。
二、没有强制升级,很多人会选择停留在旧版本。
三、通过查杀病毒升级到新版本的系统,依然无法杀干净潜在恶意文件,除非重装系统。
四、即使是目前最新的系统,依然存在鉴权漏洞。

草台班子就是这样的,没能力负责用户的安全问题,不知道一行弱智代码会产生什么样的破坏性。
EyebrowsWhite
2 月 3 日
@yuwancumian27149 主要基于两个点:
一是 23 、24 年那会儿极空间、绿联等国产 NAS 火爆,吸引了相当多的小白入坑
二是我很不道德的浏览了几个用户的目录
Miary
2 月 3 日
建议学习群晖,几次重大漏洞都是在被完全曝光前推送安全补丁,然后再冷处理应对舆情,没有造成这么大面积影响。
qqjt
2 月 3 日
@adminpro 无语,这是收没收钱的事吗?另外飞牛的配套硬件还有会员服务是要钱的
liuzimin
2 月 3 日
放心吧,互联网没有记忆。
过几个月后,飞牛 NAS 一样卖爆、生意兴隆、马年吉祥马上发财。
Rickkkkkkk
2 月 3 日
哈哈,还好漏洞和别动东西不一样,让人闭嘴问题并不会消失。
ala2008
2 月 3 日
飞牛和七牛有什么关系

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/1190343

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX