Besvarelse af spørgsmål om netværkssikkerhed for vores printere

Først og fremmest vil jeg gerne takke Roy Sigurd for hans blogindlæg om vores netværkssikkerhed. Det er et wake-up call for hele holdet her i Bambu Lab. I hans detaljerede blog blev der rejst mange netværkssikkerhedsrisici og bekymringer. Vi læste bloggen den dag, den blev offentliggjort, og fandt, at der var hold i en del af de bekymringer, der blev rejst, og at vi burde handle på dem med det samme.

Vi indrømmer, at sikkerhedsdesignet af hele Bambu Lab-systemet ikke var det bedste helt fra begyndelsen. Den ærlige grund er simpelthen, at det oprindelige team har en baggrund inden for robotteknologi, men meget lidt erfaring med netværkssikkerhed. Takket være fællesskabets bidrag forstår vi nu, at vi har undervurderet dette problem, og der er ingen undskyldning for det.

I de tidlige dage kæmpede vi endda med at få netværket og IOT-systemet til at fungere, endsige sikre det på samme tid. Senere indså vi, at det var et problem, og vi besluttede at afsætte flere ressourcer, både interne og eksterne, til at løse problemet. Desværre er det nu tydeligt, at disse tiltag hverken var hurtige eller effektive nok.

I denne blog vil jeg svare ærligt og åbent på alle de bekymringer, Roy har rejst, og fortælle alle, hvad vi vil gøre for at tackle dem i de kommende dage. Vi vil bruge citater til at forsøge at besvare alle bekymringer.

"BambuStudio bruger FTP og MQTT (sidstnævnte også cleartext) til at kommunikere med printeren, hvis den er i LAN-tilstand. SFTP (SSHs FTP-version) er velafprøvet og sikker."

Når i LAN-tilstandhvor alt er lokalt, bruger vi FTP og MQTT til at uploade 3MF og derefter sende kommandoerne til printeren. LAN-tilstanden blev udviklet i en fart for at imødekomme anmodningen fra kunder, der ikke ønsker at oprette forbindelse til skyen på grund af sikkerhedsproblemer. Disse tjenester anvendes ikke til offentlig netværkskommunikation. For at fremskynde udviklingen af LAN-tilstanden antog vi fejlagtigt, at "LAN'et på brugerens side er sikret", hvilket ikke altid er tilfældet og kan føre til potentielle sikkerhedsrisici for printerne i det usikrede netværk. Vi bruger flere ressourcer på TLS/SSL til FTP og MQTT, og en planlagt udgivelse af en opdatering om dette emne i januar 2023. I øvrigt, vil vi lukke FTP-porten i den næste firmware, hvis LAN-tilstand ikke er aktiveret.

"Printeren har ikke en ethernet-port, og wifi er ikke sikkert med PSK"

Det er vigtigt at påpege, at dette udsagn ikke er helt korrekt, da printeren understøtter Wi-Fi-sikkerhedsprotokoller, herunder WPA/WPA2-PSK. Hvis WLAN er beskyttet af WPA/WPA2-PSK, som generelt er standardsikkerhedsbeskyttelsen på trådløse routere i dag, bør WLAN-forbindelsen være relativt sikker.

"BambuStudio åbner en forbindelse til cloud-serveren via HTTP, hvilket betyder, at det hele er klartekst"

Bambu Labs skytjeneste omfatter følgende:

1. Printerens kontrol og statusovervågningsåsom bevægelseskontrol, temperaturkontrol, statusrapport osv. Dette sker via MQTTS, sikret af TSL/SSL, for at forhindre, at printeren kontrolleres af uautoriserede enheder.
2. FiloverførslerDer er problemer med at sende 3MF-filer til maskinerne, som faktisk bliver sendt via HTTP. Årsagen til dette er, at en tidligere firmwareversion (før august) ikke understøttede HTTPS. Hvis HTTPS blev gennemtvunget på serveren og i Bambu Studio, ville cloud-print helt blive deaktiveret for disse printere. Vi havde planlagt en opdatering om dette, men da Roy slog alarm, tog vi os sammen og indførte HTTPS i skyen (25. november) for at rette op på det med det samme. Det betyder, at brugere med en firmware, der er ældre end august, nu ikke kan oprette forbindelse til cloud-tjenesterne, medmindre firmwaren opdateres. Opdater venligst din firmware til den nyeste version så hurtigt som muligt for at sikre, at funktionaliteten er upåvirket.

"Autentificering er OSSAccessKeyId=xxx i URL'en, igen, alt i klartekst."

Dette kan være en misforståelse. Den OSSAccessKeyId i filoverførselslinket er nøglenavnet og ikke selve nøglen, som kun bruges som grundlag for serveren til at finde den tilsvarende nøgle. Vi implementerede beskyttelsesmekanismen til transmissions-url'en, som er baseret på den AWS S3-kompatible cloud storage service-protokol.

For den specifikke protokol henvises til: https://docs.aws.amazon.com/AmazonS3/latest/userguide/PresignedUrlUploadObject.html.

Vi mener ikke, at der er nogen sikkerhedsproblemer på dette særlige område, men hvis der er nogen bekymringer i denne henseende, vil vi lytte nøje og træffe de nødvendige foranstaltninger for at anvende flere hærdningsforanstaltninger.

Sammenfatning

1. Sikkerheden i LAN-tilstanden afhænger af sikkerheden i WLAN i øjeblikket. Den er sårbar, hvis LAN'et ikke er ordentligt sikret. Vi vil arbejde på en forbedring af dette inden januar 2023, og vi vil dele en opdatering, når den bliver tilgængelig.
2. Sårbarheden i HTTP-forbindelsen til skyen er nu blevet rettet.
3. KeyID i klartekst er en misforståelse.
   

Jeg vil gerne takke Roy for at rejse disse bekymringer, og alle de medlemmer af fællesskabet, der påpeger eventuelle mangler fra vores side. Dette er en vej til vækst for os, og for hvert skridt lærer vi og forbedrer os, alt sammen takket være jer. Hvis du vil diskutere noget sikkerhedsrelateret med os, har vi nu en dedikeret e-mailadresse, hvor vi kan nås: security@bambulab.com. Vi tager alle rapporterede problemer meget alvorligt, og vi vil træffe alle nødvendige foranstaltninger for at forbedre sikkerhedsaspektet i vores produkter.