[Gelöst] Freetz backup auf anderer Fritz!Box 7490 einspielen

[KingTutt]

Nabend,

habe mal eine Frage zu Sicherung, die in Freetz erstellt wird.
Ich habe zwei 7490, die mit einer identischen Freetz-Firmware auf Basis der 06.30 laufen.
Jetzt habe ich auf der ersten 7490 alle Settings per Hand konfiguriert und anschließend 1x über die Freetz GUI die Einstellungen gesichert und einmal über die AVM GUI (mit Passwort). Das Freetz Backup sollte ja eigentlich den AVM Teil mit ins Backup nehmen!

Anschließend habe ich auf der zweiten 7490 zunächst einmal das AVM Backup der ersten Box eingespielt und neu gestartet. Das funktioniert soweit wie erwartet, alle Settings (ohne Freetz Teil) wurden übernommen und auch die Passwörter funktionieren. Spiele ich nun über die Freetz GUI das Backup der ersten Box ein, bekomme ich zwar alle Freetz Settings wieder korrekt eingestellt, allerdings funktioniert nach einem Reboot der Zugang über das AVM WebIF nicht mehr. Das Passwort wird nicht mehr akzeptiert. Der Freetz Teil lässt sich ansprechen, ich kann auch telnet über ie Freetz GUI starten und mich anmelden, aber des AVM webIF läßt mich nicht mehr rein. Mache ich etwas falsch oder ist das ein bekanntes Problem, das eine Sicherung via Freetz nur auf der gleichen Box wieder eingespielt werden kann?
Danke schon mal für die Hilfe!

Edit:
OK: Bin in den FAQ im Freetz Wiki fündig geworden. Jetzt muss man sich nur noch überlegen, wie man die dort beschriebene Lösung auf eine aktuelle Firmware anwendet, denn der berühmte Schalter zum Auslesen der Kennwörter existiert ja nicht mehr.

 

[PeterPawn]

Jetzt muss man sich nur noch überlegen, wie man die dort beschriebene Lösung auf eine aktuelle Firmware anwendet, denn der berühmte Schalter zum Auslesen der Kennwörter existiert ja nicht mehr.

Ich sichere in solchen Fällen mit tbackup (https://github.com/PeterPawn/YourFritz/blob/master/tffs/tbackup) in unverschlüsselter Form (und verschlüssele lieber das resultierende TAR-File), das braucht aber ein funktionierendes "micro_decode" (erzeuge ich vorher aus "decode_passwords").

Den Weg zu einem funktionierenden Decoder nimmt Dir das allerdings auch nicht ab - wie man da vorgehen könnte, habe ich im Rahmen des Aufräumens beim Umzug in ein GitHub-Repository auch erst vor kurzem geschrieben: http://www.ip-phone-forum.de/showthread.php?t=276183&p=2147714&viewfull=1#post2147714

Gerade aber auch für den Wechsel von einer FRITZ!Box auf eine andere, ist "decode_passwords" an sich verwendbar, wenn man die Dateien einfach mittels "cat" sichert, wie es Freetz m.W. macht. Wenn man dann auch noch den WLAN-Key (den originalen) und die MAC-Adresse der Quellbox sichert (z.B. einfach das Urlader-Environment noch mitnimmt), kann man das auch nachträglich noch entschlüsseln (das könnte Freetz tatsächlich zusätzlich übernehmen als "Option", wenn das Freetz-Backup definitiv aus einer anderen FRITZ!Box stammt) bei einer Wiederherstellung der Einstellungen über Freetz. Ansonsten einfach die Freetz-Sicherung so weit eindampfen, daß da keine AVM-Dateien mehr enthalten sind ... dann werden auch nicht die bereits wiederhergestellten Werte durch die aus der Freetz-Sicherung überschrieben - die Freetz-Einstellungen selbst sind ja nicht verschlüsselt.

 

[vice_pres]

Man kann doch auch beim Freetz Backup (einspielen) einfach angeben, dass die AVM Einstellungen nicht überschrieben werden sollen?! Oder gibts das nicht mehr?

 

[PeterPawn]

Möglich ... da macht sich jetzt bemerkbar, daß ich Freetz nicht selbst einsetze (höchstens mal eine Testinstallation für irgendwelche Patches) und meist nur in die Quellen sehe (was ich hier sträflich vernachlässigt habe, wie ich zugeben muß).

Das würde dann das von mir erwähnte "Eindampfen" in der Tat erübrigen ... der Export in unverschlüsselter Form bliebe trotzdem in meinen Augen eine "Option", die einzubauen sich lohnen könnte - man könnte dann mit den Einstellungen auf eine andere Box umziehen und hätte gleichzeitig das "Nachschlagewerk", das sich einige Leute (als Kunden von Providern ohne freiwillige Herausgabe von Konfigurationsinfomationen) bisher erst mühsam "erarbeiten" müssen.

 

[KingTutt]

@vice_pres
danke für den Hinweis, an die Checkbox hatte ich schon gar nicht mehr gedacht. Ich meinte Sie in der Vergangenheit schon einmal getestet zu haben und weil danach irgend etwas nicht funktionierte, sie nicht mehr verwendet zu haben.

@PeterPan
Deinen Artikel hatte ich schon einmal flüchtig quer gelesen. In der Tat ist es mit einer FW > 06.50 relativ aufwändig geworden, das alles einmal durch zu spielen. Alte FW, squashfs tools, etc. nur um sicher zu gehen, dass man die Lizenzbedingungen nicht verletzt. Als Privatperson würde ich mir vermutlich doch gerade einfach das Binary.....

Was mir aus den oben genannten FAQ nicht ganz klar geworden ist (Zitat): "Bei der Wiederherstellung setzt Freetz anstatt des ursprünglichen Passworts den Hash-String als Passwort."

Wenn dem so ist, warum muss man dann das Passwort überhaupt aus der FritzBox "rauspulen" wie es in dem verlinkten IPPF Wiki mit 'allcfgconv' beschrieben steht? Wenn die Freetz Backup Einstellungen nicht verschlüsselt sind (Du Du oben schreibst Peter), sollte man doch einfach aus dem Freetz Backup aus der ar7.cfg mir den Passwort Hash kopieren können und diesen zum Einloggen fürs WebIF benutzen können? Oder habe ich da einen Denkfehler? Man müsste nur wissen, ob Freetz den gesamten wert einschließlich der vier führenden $-Zeichen setzt, oder ohne?
nach erfolgreichem Einloggen kann man das Passwort doch wieder neu setzen....
Leider funktioniert es weder mit noch ohne $-Zeichen, so dass die Frage wohl präziser wäre, das in den FAQ mit Hash-String gemeint ist?

 

[PeterPawn]

Das sind nicht wirklich "hashes" ... das wäre ja Einweg-"Kryptographie", bei der auf beiden Seiten derselbe Algorithmus auf dasselbe Kennwort (plus ein dynamisches "salt", damit der Hash-Wert auch wirklich errechnet werden muß und nicht einfach ein "replay" möglich ist) angewendet wird und dann wird dieser Hash-Wert miteinander verglichen, ohne daß das Kennwort im Klartext ausgetauscht werden muß.

Das ist bei den Credentials in der FRITZ!Box ganz klar nicht der Fall, sie können ja wieder in entschlüsselter Form ausgegeben werden, was bei der ausschließlichen Speicherung eines Hash-Wertes dieser "secrets" gar nicht möglich wäre.

Ich weiß nicht, was Freetz selbst an Anstrengungen zur Verschlüsselung eines Einstellungs-Backups alles unternimmt (ich glaube mich zu erinnern, daß es eigentlich gar nichts ist) ... aber spielt man eine per "cat" gesicherte Datei mit AVM-Einstellungen in dieselbe FRITZ!Box wieder ein, können die verschlüsselten Daten (es handelt sich im binäre Bereiche, die mittels einer (etwas modifizierten) Base32-Kodierung in Text gewandelt sind - eine passende Python-Klasse zur Wandlung Base32<->Binärdaten gibt es z.B. hier: https://github.com/PeterPawn/YourFritz/blob/master/encryption/base32.py) auch problemlos wieder gelesen werden.

Erst wenn man diese Daten auf eine andere Box überträgt, klappt das auf dem anderen Gerät dann nicht mehr, weil der "wlan_key"- und der "maca"-Wert aus dem Urladerenvironment nicht mehr zu den verschlüsselten Daten passen. Meines Wissens rührt Freetz jedenfalls diese verschlüsselten Werte gar nicht an bei einem Backup und damit sind es genau dieselben, die zu diesem Zeitpunkt in der ar7.cfg (oder einer anderen Datei mit verschlüsselten Werten) stehen.

Daß sich diese Werte in den AVM-Dateien auch mehr oder weniger regelmäßig ändern, weil sie bei jedem Schreibzugriff durch den ctlmgr auf eine dieser Einstellungsdateien neu verschlüsselt werden und es dabei eine "zufällige Komponente" als "salt" gibt, die in den binären Daten ebenfalls enthalten ist, ist ja problemlos durch das Ändern einer x-beliebigen Einstellung nachzuweisen, was dann trotzdem dazu führt, daß die Werte nach den vier Dollarzeichen bei allen diesen Einstellungen vollkommen andere Werte enthalten, auch wenn keine dieser Einstellungen selbst irgendwie geändert wurde.

 

[KingTutt]

Ah OK, danke für die Ausführungen
Ich habe in er Zwischenzeit einmal mit der von vice_pres vorgeschlagenen Weise die Wiederherstellung angestoßen. Scheint in der Tat zu klappen. D.h. wenn man zunächst den export einer fremden Box wiederherstellt und im Anschluss die Freetz Wiederherstellung laufen lässt, wobei bei letzterer der AVM Teil erhalten bleiben soll (checkbox dazu setzen) dann passen die Kennwörter aus der AVM GUI noch und auch der Freetz Teil wird entsprechend wieder her gestellt.

Ich werde also im Titel mal ein gelöst vermerken! Danke für die Hilfestellungen.