AJAX basic auth op een MJPEG stream

[jozuf]

Hoi allemaal,

Ik zit met een wat typische vraag (en vraag me af of het uberhaupt mogelijk gaat zijn). De situatie is als volgt;

- Een webcam die via Motion zijn afbeeldingen streamt naar het net. Motion is beveiligd met basic auth (over HTTPS).
- Ik wil via jQuery mbv een AJAX call de basic auth dialoog alvast valideren zodat ik direct de MJPEG stream kan laten zien. Basic auth zetten via AJAX/jQuery is niet zo lastig met bv zoiets;

beforeSend: function (xhr) {
xhr.setRequestHeader('Authorization', 'Basic ' + btoa(username + ':' + password));
},

Het probleem hiermee is dat het een MJPEG stream is en de complete callback nooit afgaat omdat het geheel blijft laden (logisch opzich). Ik had geprobeerd om dan maar een timeout op te geven voor de call, maar dan word ik alsnog niet geauthoriseerd (kan ik begrijpen want ik krijg dan van de server nooit een response).

Ik ben ook bekend dat het mogelijk is in sommige browsers om de credentials in de URL te zetten voor basic auth. Helaas blokkeert Chrome dit standaard vanaf versie 59 (en daarnaast is het eigenlijk ook beetje bad practice) en is dus geen optie.

Is er een manier om toch alvast te kunnen authoriseren zodat ik de basic auth dialoog kan onderdrukken en direct de MJPEG stream kan tonen?

Alvast bedankt

[RobIII]

Kun je op de webcam geen guest-mode aanzetten? Die is er vaak wel en dan heb je helemaal geen auth nodig.

Je zou eens kunnen kijken wat er gebeurt als je de Accept header op iets vaags instelt zodat de content negotiation met de webcam faalt en je dus niet eeuwig op de stream blijft haken.

[ Voor 62% gewijzigd door RobIII op 23-01-2018 11:33 ]

[jozuf]

Het is toegankelijk vanaf het web. Ik moet dus authenticatie hebben.
Motion heeft standaard geen basic auth, dit is bewust aangezet. Daarnaast ook een workaround en geen antwoord op de vraag natuurlijk

Ik neig te denken dat dit zoals ik voorstelde in de TS nooit gaat werken. Heb wel andere ideeën om het toch voor elkaar te krijgen. Komt er op neer dat ik de hele mini webserver van Motion dan compleet ga omzeilen.

De accept header klinkt als een mogelijke slimme hack! Wel beetje misbruik maken van dingen (basically de definitie van een hack), maar ach Ik ga het vanavond is proberen en laat de uitkomst weten!

[ Voor 54% gewijzigd door jozuf op 23-01-2018 11:46 ]

[RobIII]

jozuf schreef op dinsdag 23 januari 2018 @ 11:37:
Het is toegankelijk vanaf het web. Ik moet dus authenticatie hebben.

Het een sluit het ander toch niet uit? Zoals ik zei: vaak hebben webcams een guest-mode waarmee je dus wel de stream kunt bekijken maar niet aan de instellingen kunt komen.

En ga jij je gebruikersnaam/wachtwoord in een AJAX request meesturen dan besef je hopelijk wel dat je dus je username/wachtwoord gewoon op straat mikt he?

jozuf schreef op dinsdag 23 januari 2018 @ 11:37:
Daarnaast ook een workaround en geen antwoord op de vraag natuurlijk

Dan denk ik dat je je vraag toch eens helder(der) moet formuleren. Want wat wil je nou bereiken? Dat mensen je stream kunnen bekijken zonder hoeven inloggen? Dan is het dus auth uitzetten op de stream ("guest mode" of hoe-het-dan-ook-heet-op-je-webcam). En als er geen guest-mode is maar je kunt wel een beperkt account aanmaken ("guest account" met 0 rechten anders dan de stream bekijken) dan kun je met mijn eerdere post aan de slag om te proberen de logon popup te voorkomen (maar ik geloof niet dat 't werkt, maar is maar een idee).

[ Voor 41% gewijzigd door RobIII op 23-01-2018 12:24 ]

[jozuf]

Dat besef ik me wel hoor.
Het is TLS, en ik weet ook dat deze constructie niet 100% waterdicht is. basic auth over TLS is opzich net zo secure als een HTML form. Het nadeel is natuurlijk dat je bij elke request de credentials verstuurd en daardoor de attack surface vergroot etc.
Ik wil daarnaast niet dat de stream door iedereen is op te vragen, en dus het in dit geval het wel uitsluit.

Wat je voorstelt; stream open, settings dicht, is idd een mogelijkheid van Motion. Echter dat is in deze situatie niet wenselijk.

RobIII schreef op dinsdag 23 januari 2018 @ 12:21:
[...]
Dan denk ik dat je je vraag toch eens helder(der) moet formuleren. Want wat wil je nou bereiken?

Wat ik wil bereiken; het is een dashboard die al voorzien is van authenticatie. De URL van Motion is ook direct te bereiken, zonder via het dashboard te navigeren, die methode moet dus niet open en bloot zijn.

[ Voor 43% gewijzigd door jozuf op 23-01-2018 12:27 ]

[RobIII]

jozuf schreef op dinsdag 23 januari 2018 @ 12:23:
Dat besef ik me wel hoor.
Het is TLS, en ik weet ook dat deze constructie niet 100% waterdicht is. basic auth over TLS is opzich net zo secure als een HTML form. Het nadeel is natuurlijk dat je bij elke request de credentials verstuurd en daardoor de attack surface vergroot etc.
Ik wil daarnaast niet dat de stream door iedereen is op te vragen, en dus het in dit geval het wel uitsluit.

Wait, whut
Hier komt niet eens TLS en whatnot allemaal bij om de hoek kijken joh! Ik kan gewoon in m'n inspector de headers die je verstuurt zien; TLS of niet.
Misschien dat je er even iemand bij moet roepen die iets meer kaas gegeten heeft van de materie Dit is echt een behoorlijk klok/klepel verhaal, sorry dat ik 't zeg. De constructie is niet 100%, niet 99% maar 0% waterdicht

jozuf schreef op dinsdag 23 januari 2018 @ 12:23:

Echter dat is in deze situatie niet wenselijk.

Want?

[ Voor 5% gewijzigd door RobIII op 23-01-2018 12:27 ]

[jozuf]

RobIII schreef op dinsdag 23 januari 2018 @ 12:26:
[...]

Wait, whut
Hier komt niet eens TLS en whatnot allemaal bij om de hoek kijken joh! Ik kan gewoon in m'n inspector de headers die je verstuurt zien; TLS of niet.
[...]

Want?

Ok, je kan iets rustiger reageren. Ik probeer je niet aan te vallen...
Dat je in de browser het kan onderscheppen heb ik ook wel begrepen, dat doet er in dit geval niet veel toe...
Ook is dit niet echt de vraag...
Ik wil je bedanken voor je accept header suggestie (nogmaals), ik kijk wel ff zelf verder OK? Ik heb niet het idee dat dit veel aan de vraag toedraagt atm.

[ Voor 16% gewijzigd door jozuf op 23-01-2018 12:29 ]

[RobIII]

jozuf schreef op dinsdag 23 januari 2018 @ 12:28:
Dat je in de browser het kan onderscheppen heb ik ook wel begrepen, dat doet er in dit geval niet veel toe...

Onderscheppen? Je onderschept niets; het origineert van de browser. Maar linksom of rechtsom heb je hier een joekel van een 'security by obscurity' waarbij de obscurity vér te zoeken is en de security gewoon botweg compleet afwezig

[ Voor 17% gewijzigd door RobIII op 23-01-2018 12:30 ]

[jozuf]

Dank, ik denk dat je eerst wat code moet zien voordat je die conclusie kan trekken...
gooi het topic maar dicht, want ik geloof niet dat ik hier wat aan heb zo. Security by obscurity valt wel mee. Ja ik weet dat het niet 100% waterdicht is, dat is al eerder gemeld...

Je mag het codereviewen zodra het in de Github repo zit ok? Zal een gefundeerde review met alle benoigde info van een expert op prijs stellen

[ Voor 21% gewijzigd door jozuf op 23-01-2018 12:34 ]

[RobIII]

Een slotje is niet nodig op een topic als je je oplossing hebt. Zie daarvoor ook onze faq betreffende topiceinde.

jozuf schreef op dinsdag 23 januari 2018 @ 12:31:
Dank, ik denk dat je eerst wat code moet zien voordat je die conclusie kan trekken...

Jij wil met een AJAX request een basic-auth versturen. Dat is per definitie niet mogelijk zonder de credentials op straat te gooien. Einde verhaal. Daar hoef ik niets voor te reviewen. Als je er niets om geeft dat de credentials op straat liggen omdat 't toch een beperkt account is is een ander verhaal maar los daarvan zijn de credentials dus, per definitie, gewoon leesbaar met nihil moeite.

[ Voor 62% gewijzigd door RobIII op 23-01-2018 12:37 ]

[CH4OS]

jozuf schreef op dinsdag 23 januari 2018 @ 12:31:
Dank, ik denk dat je eerst wat code moet zien voordat je die conclusie kan trekken...
gooi het topic maar dicht, want ik geloof niet dat ik hier wat aan heb zo. Security by obscurity valt wel mee. Ja ik weet dat het niet 100% waterdicht is, dat is al eerder gemeld...

Je mag het codereviewen zodra het in de Github repo zit ok? Zal een gefundeerde review met alle benoigde info van een expert op prijs stellen

Tja, dat had je kunnen voorkomen door ook een situatieschets te geven van de inrichting waarin het gebruikt wordt.

[jozuf]

mja een moderator mag zich ook behulpzaam opstellen, en wat minder aannames over code doen.
Daarnaast gaan we gewoon keihard offtopic. Ik stel geen vragen over de security van het geheel (of dat nou wijsheid is of niet, dat is mijn probleem).

[RobIII]

jozuf schreef op dinsdag 23 januari 2018 @ 12:37:
mja een moderator mag zich ook behulpzaam opstellen

Ik probeer te voorkomen dat je een fuckup maakt, maar goed. Have it your way.

[jozuf]

be my guest om de credentials proberen uit te lezen;
https://josnienhuis.gotgeeks.com/portal/

Bedankt voor de zorgzaamheid, kan ik waarderen, maar zo kwam het niet over

[RobIII]

jozuf schreef op dinsdag 23 januari 2018 @ 12:39:
be my guest om de credentials proberen uit te lezen;
https://josnienhuis.gotgeeks.com/portal/

Hoe voorkom je daarmee de login? Je hebt nu een andere login

Zoals jij je topic bracht was het een héél ander verhaal; zoals ik het begreep wou je de credentials meesturen vanuit de pagina zonder dat de gebruiker die nog moest invullen (en dus 'ingebakken in de pagina' zaten).

Het zal wel aan mij liggen maar zo las ik dit wel:

jozuf schreef op dinsdag 23 januari 2018 @ 11:19:
Is er een manier om toch alvast te kunnen authoriseren zodat ik de basic auth dialoog kan onderdrukken en direct de MJPEG stream kan tonen?

Ik zie nu niet "direct de MJPEG stream".

[ Voor 29% gewijzigd door RobIII op 23-01-2018 13:02 ]

[jozuf]

Ok sorry dat ik niet het hele project eerst uit heb gelegd, had wat discussie voorkomen wellicht (leek me niet nodig en kost ook nogal wat type/lees werk wat niets met de vraag vandoen heeft).
Voor de duidelijkheid;
- Je logt in op de portal
- Daarna komt de pagina pas waar ik mijn vraag over stel. Hier zitten credentials gebakken die de MJPEG validatie zal doen.

Punt 2 zal je ongetwijfeld ook vraagtekens bij zetten. En wellicht ook terecht. Voor de duidelijkheid hier wat code;
https://github.com/joszz/...rd-blocks/transmission.js

vrijwel vergelijkbaar met de vraag die ik stel behalve dan dat dit niet kan met een stream.

[ Voor 31% gewijzigd door jozuf op 23-01-2018 13:08 ]

[RobIII]

jozuf schreef op dinsdag 23 januari 2018 @ 13:03:
Ok sorry dat ik niet het hele project eerst uit heb gelegd, had wat discussie voorkomen wellicht.

Daarom hameren we altijd zo op onze Quickstart. We hoeven echt niet een heel project van-voor-tot-achter te kennen om iets zinnigs te zeggen, maar laat je relevante informatie achterwege (die je naderhand nog prima had kunnen verduidelijken toen je opkeek van m'n reactie) dan moet je 't niet gek vinden dat je "verkeerde" antwoorden krijgt.

jozuf schreef op dinsdag 23 januari 2018 @ 13:03:
- Daarna komt de pagina pas waar ik mijn vraag over stel. Hier zitten credentials gebakken die de MJPEG validatie zal doen.

...en dan ben je dus terug bij af... tenzij je 't geen probleem vindt dat iedereen met een login op je portal die bij die pagina kan de credentials heeft natuurlijk. Maar dat is, nogmaals, een héél ander verhaal dan hoe je 't initieel deed voorkomen.

[ Voor 15% gewijzigd door RobIII op 23-01-2018 13:07 ]

[jozuf]

RobIII schreef op dinsdag 23 januari 2018 @ 13:05:
[...]

Daarom hameren we altijd zo op onze Quickstart.


[...]

...en dan ben je dus terug bij af... tenzij je 't geen probleem vindt dat iedereen met een login op je portal die bij die pagina kan de credentials heeft natuurlijk. Maar dat is, nogmaals, een héél ander verhaal dan hoe je 't initieel deed voorkomen.

Die login heb alleen ik en nog iemand waarmee ik samen woon en is dus geen probleem. Ik snap niet zo goed hoe dit anders is, de vraag ansich is gewoon geldig. Of er nou een login voor zit of niet, de vraag is precies hetzelfde.
Anyhoe, ik ga er ff niet meer over uitwijken, want word nogal een back and forth waar we echt helemaal niets mee bereiken en ook nogmaals ongeloofelijk offtopic gaan...

[ Voor 4% gewijzigd door jozuf op 23-01-2018 13:07 ]

[RobIII]

jozuf schreef op dinsdag 23 januari 2018 @ 13:06:
Die login heb alleen ik en nog iemand waarmee ik samen woon en is dus geen probleem.

Wederom relevante informatie die in je topicstart niet had misstaan...

jozuf schreef op dinsdag 23 januari 2018 @ 13:06:
Ik snap niet zo goed hoe dit anders is, de vraag ansich is gewoon geldig. Of er nou een login voor zit of niet, de vraag is precies hetzelfde.

Er is nogal een verschil of dit hangt achter een login waar "alleen jij en iemand anders waar je mee samen woont" of dat je dit op een publiek toegankelijke webpagina toepast ja. Als die (webcam) credentials je iets waard zijn is dit dus niet the-way-to-go. Maar goed, je hebt geen zin in discussie...

[jozuf]

Ik heb niet gezegd dat ik geen zin in discussie heb. Ik heb gezegd dat dit niet de vraag is die ik stel, waar ik een antwoord op wilde.
Maar vertel mij dan hoe ik nu de credentials zou moeten lekken dan? Ik vind het een aanvaardbaar risico momenteel in de opzet eigenlijk. Als je de credentials zou kunnen achterhalen, wil ik wel graag weten hoe dan? Je kan alle code lezen, want dat staat open en bloot op github. En dan zonder een inlog te hebben tot de portal uiteraard (want dat die login secure is, is de aanname waar de rest op gebouwd is).

en dan alvast een tip waar je ws iets over wilt zeggen;
/app/config/

plain text op de server. Dat is HET probleem van die opzet idd. Maar goed, ik ken meer OS projecten die dit doen. Voor zoiets dergelijks kan dat idd niet anders.

Eigenlijk word er gewoon een aanname gedaan op basis van de vraag. Want ik zeg niet dat dit direct zo toegankelijk is etc. Dat is nml niet de vraag. Je kan de kanttekening wel plaatsen dat als je dit wel doet dat het onveilig is, prima, maar dat is alsnog geen antwoord. Het gaat nu 10 posts over alles behalve de vraag, wat dus gewoon nogmaals offtopic is. Dat had je ook 1x kunnen zeggen, en het daarbij kunnen laten (of als je het echt zo belangrijk vindt, 2x). Je hoeft de wereld en mij inclusief niet te beschermen, het is nobel dat je het probeert maar het is gewoon niet nodig soms (incl deze situatie).
Er zijn meer capabele mensen op de aarde. Ik wil mezelf niet op de borst kloppen maar programmeer ook al wel een tijdje om iets van kennis te hebben vergaard.

[ Voor 44% gewijzigd door jozuf op 23-01-2018 13:28 ]

[RobIII]

jozuf schreef op dinsdag 23 januari 2018 @ 13:21:
Maar vertel mij dan hoe ik nu de credentials zou moeten lekken dan?

Je beweert elders in dit topic dat de credentials in de pagina zitten (en dan boeit het me niet eens of ze 'encrypted' zijn of wat dan ook). En daarna stuur je een AJAX request met die credentials (in Base64 encoded vorm, want Basic Auth) naar de webcam. Iemand die die pagina dus bezoekt kan per definitie die credentials dus achterhalen. Dat jij die pagina vervolgens (zonder dit in eerste instantie aan te geven) achter een login hebt zitten is dan even wél héél relevant. Dat beperkt in ieder geval het aantal mogelijke bezoekers aan wie je die credentials kan lekken naar (in jouw geval) 2 i.p.v. de hele fuckin'-wide-world Rest de vraag of je samenwoon-partner die credentials mag hebben of niet.

jozuf schreef op dinsdag 23 januari 2018 @ 13:21:
Je kan alle code lezen, want dat staat open en bloot op github

Ja doei We zijn geen gratis code-review-toko hier Als je relevante(!) code post wil er vast iemand hier wel eens over heen kijken maar (niet eens) linken naar het github project en dan er maar van uit gaan dat iemand zin heeft al die code door te worstelen is hier dus expliciet niet de bedoeling.

[ Voor 35% gewijzigd door RobIII op 23-01-2018 13:36 ]

[CH4OS]

jozuf schreef op dinsdag 23 januari 2018 @ 13:21:
Eigenlijk word er gewoon een aanname gedaan op basis van de vraag. Want ik zeg niet dat dit direct zo toegankelijk is etc. Dat is nml niet de vraag.

Het is niet de vraag, maar je had de opmerkingen erover kunnen vermijden als je gewoon wat meer over de situatie geschetst had. Had je erbij gezet dat er nog een ander portal voor zit, waar alleen jij en jouw huisgenoot toegang tot hebben, veranderd dat wel veel aan de context, die evenmin belangrijk is om jou goed te kunnen helpen bij de vraag.

[jozuf]

RobIII schreef op dinsdag 23 januari 2018 @ 13:31:
[...]

Je beweert elders in dit topic dat de credentials in de pagina zitten (en dan boeit het me niet eens of ze 'encrypted' zijn of wat dan ook). En daarna stuur je een AJAX request met die credentials (in Base64 encoded vorm, want Basic Auth) naar de webcam. Iemand die die pagina dus bezoekt kan per definitie die credentials dus achterhalen. Dat jij die pagina vervolgens (zonder dit in eerste instantie aan te geven) achter een login hebt zitten is dan even wél héél relevant.

Goed, geleerd voor de toekomst dan
Ik snap hoe basic auth enzo werkt. En ik snap dat iedereen die ingelogd is de credentials eruit kan vissen. In dit geval dus niet erg.
Ik zal de volgende keer als ik een vraag post even goed achter mijn oren krabben wat ik wel en niet achterwegen kan laten. Verkeerde inschatting kennelijk. Ik dacht het juist beknopt tot het specifieke probleem te houden om niet een muur van tekst te creeëren, fout gedacht, excuus

RobIII schreef op dinsdag 23 januari 2018 @ 13:31:

[...]

Ja doei We zijn geen gratis code-review-toko hier Als je relevante(!) code post wil er vast iemand hier wel eens over heen kijken maar (niet eens) linken naar het github project en dan er maar van uit gaan dat iemand zin heeft al die code door te worstelen is hier dus expliciet niet de bedoeling.

Het staat je vrij om te doen en laten. Als je je echt zorgen maakt, dan had het mogelijk geweest dat je interesse had. Ik dacht zet het maar neer, misschien vind je het leuk (ik ken zat mensen die het gewoon leuk vinden om gaten in code te prikken, beetje pentesten als hobby).
Maar zo nee, dan niet, ms iemand anders wel. Ik doe het ook enkel voor de hobby. Ik verwacht ook helemaal niets van niemand.

[ Voor 27% gewijzigd door jozuf op 23-01-2018 13:41 ]

[CH4OS]

jozuf schreef op dinsdag 23 januari 2018 @ 13:35:
Ik dacht het juist beknopt tot het specifieke probleem te houden om niet een muur van tekst te creeëren, fout gedacht, excuus

In de FAQ wordt inderdaad ook gezegd dat je zo beknopt mogelijk moet zijn, maar zaken dat eea reeds achter een andere login zit en dat jij en een huisgenoot de enigen zijn die de credentials weten, past de context dusdanig aan, dat het wel handig was om op voorhand te weten. Daarmee doe je antwoorden die je niet wil hebben immers ook de das om.

[ Voor 6% gewijzigd door CH4OS op 23-01-2018 13:45 ]