Ein Kurzschluß geht auf Reisen? Wie das...

Am 04.06.2018 um 00:27 schrieb Kay Martinen:

Deshalb abwarten.

Keine Idee wie sowas aufgebaut ist, aber ich hab neulich auch einen

nicht hochkommen, wenn der DHCP-Server (oder Radius, oder was auch immer) noch nicht da ist (und ha, ich hab eigentlich eine USV). Nix

Wenn sowas selten passiert, und man normalerweise eine Notstromversorgung

/ralph

Glaub ich gern das so was in der Menge echt Probleme machen kann.

eine ausgefallene Komponente im Leitweg wie du oben ja beschreibst. Baut man Leittechnik nicht auch Redundant?

Ich sah gestern den Trailer zur 301. Folge Greys Anatomy. Da sollen

Ist nur eine Serie, ich kann mir auch kaum vorstellen das man solche

auf Befehl von dem; den Betrieb einstellen.

Kay

irgendwelche Updates noch nicht richtig konfiguriert waren (oder was

Ich hab auch vieles Redundant, aber oft liegt der Fehler im Detail, und

ist auch wegen eines Sicherheitstests abgeraucht.

im Echt-Versuch am lebenden System zu machen hat nicht jeder. Ich hab z.B.

redundanten Firewall schlicht falsch eingetippt war. Ergebnis: Firewall

einer getestet gehabt, noch nicht mal bei der Inbetriebnahme.

/ralph

Am 04.06.2018 um 09:09 schrieb Kay Martinen:

Unterverteilungen nachgelagerten interne/externe USVs.

auf dem Weg zu den PCs an den Abfertigungsschalter irgendwas klemmt

Schleswig Holstein? Gab ja in den letzten Wochen zwei davon... ;-)

Das mit dem Design ist so eine Sache. Ob es "broken" ist zeigt sich u.U. erst im "Ernstfall".

Vor allem komplex. Das mach es schwierig Designfehler zu erkennen. Auch reel geplante Sicherheitseinrichtungen welche

Weiterbetrieb behindern. Forsmark 2006 war so ein Beispiel. Dort war die Sicherungseinrichtung eben auch "redundant" und hat daher eben beiden Notdieseln den automatischen Start verhindert.

Die Frage, ob Soft/Firmware als Medizinprodukt zu klassifizieren ist,

welcher vermutlich ein TCP/IP gebundenes Sicherheitsproblem aufwies.

zu erreichen, zu befragen und mit Updates zu versorgen.

bei konkreten Fragen Auskunft geben.

O.J.

Wer in Leit- oder Automatisierungstechnik auf DHCP-Server setzt, hat verloren, IMHO. Denn wer DHCP nutzt, braucht zwingend DNS. Solche

Die Anforderungen an Redundanz kommen vom Betreiber und ggf. vom Gesetzgeber. Wenn das nicht gefordert ist, wird ein Lieferant sowas nicht anbieten und liefern.

Fefe lieferte gestern ein interessantes Detail zu Hamburg, wenn's denn stimmt.

| der Vorschriften redundante Stromversorgung und eine von denen ist | jetzt ausgefallen, also machen sie lieber gar nicht als potentiell | unsicher weiter. | | Das ist ja an sich lobenswert, aber wenn du mit weniger als 2

| Stromversorgung meiner Ansicht nach, dass du halt 3 am Start haben | musst. Sonst hast du ja nichts gewonnen durch die Redundanz.

(Firmware!) und konfigurieren lassen. Ok, das bedeutet eine gewisse

Wannacry hat letztes Jahr bewiesen, wie schnell man eine

System der Hausarztversorgung angreifbar wird. Ein Hausarzt streifte das bei seinem Vortrag bei der GPN18 (Gulaschprogrammiernacht vor 3Wochen in KA) in seinem Vortrag "Ich komme aus einem anderen Land - Telematik in der Medizin". Ist auf media.ccc.de unter dem Suchbegriff GPN18

Produkten hat man u.U. keine Wahl. Aber das war jetzt nicht

Das da.

Warum sollte das so sein? Mir fallen gleich einige Szenarien ein, wo man DHCP ohne DNS sinnvoll verwenden kann. Ein Beispiel ist

headless sind, auf denen halt irgendeine Mac-Adresse aufgedruckt ist, und fertig.

Ein anderes Szenario ist, wenn man die Devices einfach mit der IP ansprechen will (ob das eine gute Idee ist? Meistens eher nicht, keine Frage, denn irgendwer baut dann bestimm in irgendeiner Middleware

Irre.

/ralph

Ich hab nicht mit DHCP angefangen, und in sicherheits- kritischem Umfeld sehe ich das wie du. Aber welche alternativen gibt es dann? IPv6-autoconfig, APIPA scheinen mir auch nicht besser. Also doch wie in der Steinzeit mit hosts-datei - pro host und statischen IP?

Broadcast umgestellt werden.

Da schimmert Business-Logik durch meine ich. Wenn das 2. Aggregat auch

Dampfen". Also lieber 100% Denial of Service="Shutdown until Bicycle-repairman came along". ;-)

zu haben.

Ein Tagesschau reporter zitierte eben auch die Pressesprecherin "Ja gut,

Und nicht die Dritte Zuleitung zu den einzelnen Unter-hauptverteilern vergessen. 3*3(Phasen) macht Neune - sang schon Pippi Langstrumpf. ;-)

Und beim Zusammenschalten; oder klemmendem Lastschalter; macht es dann

Tja, Hmpf. Wer so was baut...

RFID-Tags sind auch so'n Fall. SOLLEN nur im Nahfeld wirken, mit

nicht nur.

Ich schau mal. Aber wenn das in Richtung Elektronische Patientenakte

jemand 100% und das ist zu wenig. Also sollte man es besser lassen.

Angeblich soll der neue Gesundbetminister ja der meinung sein den sich eh lang nicht durchsetzenden Schrott durch etwas "ganz anderes" ersetzen

oder? ;)

Kay

Ein punkt ist; meine ich; das der Standard-satz den ein DHCP liefert im allgemeinen IP, Maske, Broadcast-Adresse, Gateway und DNS-Server

stehen die clients auf dem Schlauch. Senden vielleicht keine daten mehr

bringen.

so was liegen.

senden. Der vermag den dann auch dynamisch im dns zu registrieren

per IP ODER per Hostname erreichbar ist.

Das kann man gut finden oder auch nicht, man kann es nutzen oder auch nicht.

Kay

Mann kann einem DHCP-Server genau sagen was er liefern soll. Wenn ich

gestalten wie man will. Wenn ich keinen DNS ausliefern will, dann tue ich das nicht. Wenn ich kein Gateway liefern will,

Parameter sehen kann.

Manche DHCP-Server machen das u.U. wirklich so. ein ISC-DHCPd eher nicht.

Da braucht man die Clients nicht vermenschlichen. Die Kriegen gewisse Parameter geliefert, nicht mehr nicht weniger.

Ja, aber das ist nicht in jeder Kombination von DNS/DHCP-Server so implementiert.

/ralph

Ok, ich streiche das "zwingend" und ersetze es durch "sinnvollerweise".

was die Heizung macht. Der engagierte Hobbyist ist in diesem Punkt

Redakteur, der ein paar Berichte ablieferte.

Schon in der professionellen Automatisierungstechnik wie z.B. rund um Fertigungslinien geht das gar nicht. Die Linie steht, das kostet, der Schaden bleibt wenigstens tendentiell lokal. Nicht funktionierende

ihre IP-Adresse mit Maske. Die Angaben von IP-Routen, NTP-Server, DNS-Server sind schon nicht mehr unbedingt zwingend. Da Leittechniknetze

sehe ich keine Notwendigkeit in solchen "inneren" Netzen mit IPv6 zu

Netz.

in ihren eigenen Konfigurationsdateien. Eine Umnumerierung gibt es nicht, denn, egal wie das Netz aufgebaut ist, es bedeutet eine Unterbrechung des Leitstellenbetriebs. Trotzdem halte ich hier den Weg

oder Erweiterungen geben sollte.

Oberstes Prinzip sollte immer KISS sein, alleine schon wg. der

Zeit spart.

Sensoren, die ihre Werte an einen zentralen Server ausliefern, fiele

DHCP betrieben werden.

anderes Posting.

Wenn ein einzelnes Netz in der Leittechnik mehr als 254 Netzteilnehmer bekommt, ist bereits zu Projektbeginn was schiefgelaufen, IMHO. Es ist

Subnetze.

Aktueller Stand: bis 1m, u.U. bis 1,5m. Wer die Antennen an den

abdecken, also kein Durchgang breiter als 2-3m.

Nochmal zur GPN18 und media.ccc.de: empfehlenswerter Vortrag "RFID/NFC-Grundlagen - A Pentesters Perspective", trotz Titel auf deutsch.

wenn sie schon keinen rotierenden Massenspeicher haben. Generationen von

so.

MAC oder Seriennummer?

Alles was man einzeln konfigurieren kann, kann man auch verkonfigurieren. Wenn das Ding stateless ist, dann hat man zumindest die Hoffnung sowas per Automatisierung zu eliminieren.

/ralph

Das erfordert aber eine Grundkonfiguration, die Zeit und Fachpersonal

und anschliessen.

Drittsystemen ...

hat man ein zweites Mal als Backup-System. Hoffentlich hat er die

den Leitrechnern in einem redundant ausgelegten Leitsystem. Es bedeutet

Im Hobbybereich ist vieles tolerierbar, aber nicht in der Leittechnik, IMHO. Im Falle eines Kundendiensteinsatzes aufgrund eines Fehlers geht

hinsichtlich Hardware, Software und Konfiguration vorhanden waren, hatte

dem Cold-Standby-Vorrat ersetzt. Wenn's um die Daten zur

genau einen Platz, um als Ersatz zu dienen, kann das vorher in der

lediglich auf eine andere Ebene.

Heise-News:

| gegeben gewesen.