12. Missbrauch: was Warda verhindert, und seine Grenzen

Was Warda verhindert#

• Gegen andere benutzt zu werden. Warda antwortet nur den Geräten Ihres Netzwerks. Eine Anfrage aus dem Internet bekommt keine Antwort, auch nicht über einen weitergeleiteten Port Ihres Routers. Ab Warda 0.8.0 wird auch eine Anfrage abgelehnt, die über einen Reverse Proxy oder einen Tunnel (Traefik, nginx, Caddy, Cloudflare Tunnel…) aus dem Internet kommt.
• Seine Werkzeuge als Waffe. Ping, Traceroute, der Porttest und die Tests eines SIEM oder eines Verzeichnisses sind den Administratoren vorbehalten, einer nach dem anderen und höchstens 30 pro Minute, und jeder steht im Aktivitätsprotokoll.
• Ein gespeichertes Passwort, das anderswohin geht. Mit Warda Business wird das Passwort des Firmenverzeichnisses erneut abgefragt, wenn sich sein Server oder seine Verschlüsselung ändert.
• Ein Mitglied, das mehr Rechte will, oder ein Kind, das die Regeln umgehen will. Ein Mitglied kann sich keine Rechte geben; Etwas funktioniert nicht öffnet nie Inhalte für Erwachsene oder die Zeiten eines Kindes; VPNs, Proxys und verschlüsseltes DNS sind für Minderjährige gesperrt und werden gemeldet.
• Ein Erwachsener, der das Surfen eines anderen Erwachsenen liest. Die Namen, die ein Erwachsener besucht, werden ohne seine Zustimmung niemandem sonst gezeigt.
• Ein unbemerkt geöffneter DNS-Port an Ihrem Router. Ab Warda 0.8.0 testet die Prüfung der Erreichbarkeit aus dem Internet (Kapitel 5) auch die Ports 53 und 853 und meldet sie als kritisch (über TCP: eine Weiterleitung nur von UDP 53 wird nicht gesehen).
• Erratene Passwörter. Versuche werden gebremst, ein zweiter Faktor steht bereit, Sitzungen enden von selbst.

Was es nicht verhindert#

• Die erste Stunde. Solange die Box nicht installiert ist, kann jeder in Ihrem Netzwerk, der das Standardpasswort kennt (es ist öffentlich: es ist der Monat der Version), sie an Ihrer Stelle installieren, in der Stunde nach jedem Start.
• Ein Administrator, der die Box missbraucht. Ein Administrator kann alle angefragten Namen an ein SIEM senden, die Geräte eines Erwachsenen einem Kind geben, sein eigenes Konto mit einem Erwachsenen ohne Konto verknüpfen und dann dessen Verlauf sehen, oder ein Passwort zurücksetzen. Alles steht im Aktivitätsprotokoll, das die anderen Administratoren lesen, aber der betroffene Erwachsene erfährt es nicht immer.
• Ein Handy mit einer neuen privaten WLAN-Adresse ist ein neues Gerät: Bis Sie es zuordnen, gelten für es die Regeln eines Erwachsenen, außer die Seite Schutzfunktionen schützt unbekannte Geräte wie ein Kind oder einen Jugendlichen.
• Eine Adresse für den Schutz außer Haus (Kapitel 11), die jemand anderes bekommen hat: Wer sie hat, bekommt die Regeln dieses Geräts. Hüten Sie diese Adressen wie Passwörter; Neue Adresse widerruft eine sofort.
• Von Hand erweiterte erlaubte Netzwerke. Setzt jemand WARDA_ALLOWED_CLIENTS mit öffentlichen Adressen, antwortet Warda dem Internet: Es schreibt beim Start nur eine Warnung in sein Protokoll.
• Ein verändertes Programm. Wer das Programm von Warda auf seiner eigenen Box verändert, kann dort alles freischalten.

Was Sie tun können#

1. Installieren Sie Warda gleich nach seinem ersten Start, von einem Computer Ihres eigenen Netzwerks aus. In einem geteilten Netzwerk (ein Büro, ein Mehrfamilienhaus) schließen Sie es an ein eigenes Netzwerk an, bis es installiert ist.
2. Leiten Sie die Ports 53, 853 oder 443 Ihres Routers nie an Warda weiter und veröffentlichen Sie seine Oberfläche nie im Internet: Für Ihre Geräte unterwegs nutzen Sie den Schutz außer Haus (Kapitel 11).
3. Geben Sie die Rolle des Administrators nur Personen, denen Sie vertrauen, und lesen Sie ab und zu das Aktivitätsprotokoll.
4. Bewahren Sie Ihre Sicherungen und ihr Passwort sicher auf: Eine Sicherung enthält alle Konten und den Schlüssel der Box.