Der SRX-R515 thread

[carstenk]

Achso, Du meinst für OpenAir? Ja, das sollte problemlos gehen. Die USV hat für den reinen Server reichlich Laufreserven. Wenn Du nicht gerade aus lahmen USB2.0 Platten einspielst, sollte da Einiges gehen.

 

- Carsten

[carstenk]

Am 23.4.2017 um 00:43 schrieb carstenk:

Wir hatten gestern den Fall, dass die Benutzeroberfläche auf dem Touchscreen unseres 515/S10 sich nicht öffnete, also kein Login möglich war. Unten links stand nur ewig 'waiting for 127.0.0.1.. (das loopback device). Egal ob man das ewig stehen ließ, oder Neustart/Aus-/Einschalten, es änderte sich nichts.

 

Wie es aussieht, gibt es immer noch keine Lösung für dieses Problem?

 

- Carsten

Bearbeitet 7. Juni 2017 von carstenk (Änderungen anzeigen)

[Jensg]

Bis dato ist mir noch nichts bekannt, außer, das das Problem bekannt ist. Jedoch trifft es nicht viele Anwender, was durchaus kein Grund ist, sich darum nicht schnellstens zu kümmern.

Jens

[tomas katz]

Ist eigentlich bekannt, welche SMB-Version die Sonys aktuell unterstützen? SMB1 ist seit WanaCry ja toxisch verseucht, und Microsoft versucht es so langsam los zu werden. https://www.heise.de/security/meldung/Wegen-Sicherheitsproblemen-Kein-SMB1-in-Windows-Neuinstallationen-3743127.html

 

Ich hatte mal versucht, vom Sony auf ein originales OS X Yosemite zu verbinden, hatte aber noch keinen Erfolg. Bisher läuft auf meinem BüroMac noch ein altes Samba 3.2.x aus dem SMBup-Paket.

[carstenk]

Kann bestenfalls soviel beitragen als dass es offenbar in der letzten Sony Software Änderungen beim SMB gegeben hat, weil damit plötzlich SMB (und somit erstmals DCP Export) auf die QNAP NAS funktioniert. Was das aber für die Versionen bedeutet, keine Ahnung. Ist denn sicher, dass auch die Linux SMB Implementierungen die gleichen riskanten Bugs enthalten wie die nativen Windows Versionen?

Irgendwo in den Sony Logs könnte man sicher was dazu finden, nur leider sind die ja gerade in den neueren Sony Softwareversionen unverschämterweise verschlüsselt.

 

Vielleicht mal ne offizielle Anfrage an den Sony Support richten.

 

- Carsten

Bearbeitet 15. Juni 2017 von carstenk (Änderungen anzeigen)

[carstenk]

Offenbar ist auch SAMBA unter Linux Distributionen betroffen, und der Sony fährt ja, wie fast alle anderen DCI Server auch, eine solche als Unterbau:

 

https://www.heise.de/security/meldung/SambaCry-Gefaehrliche-Sicherheitsluecke-in-Samba-finden-und-patchen-3726053.html

 

Scheint also weniger eine Frage des verwendeten SMB-Protokolls, sondern der jeweiligen SAMBA Variante zu sein.

 

Allerdings nutzten die bisherigen Würmer oder Exploits diese Lücke wohl 'nur' zur Weiterverbreitung, die Infektion selbst zielte nach wie vor nur auf Windows Systeme. Bis zum Beweis des Gegenteils wäre der DCI Server selbst hier 'nur' Mittel zum Zweck, würde aber nicht selbst befallen. Das kann sich freilich schnell ändern, ein Verschlüsselungstrojaner auf einem Fileserver, egal Windows oder Linux, wäre ein hübscher GAU.

 

- Carsten

Bearbeitet 16. Juni 2017 von carstenk (Änderungen anzeigen)

[carstenk]

Wäre mal interessant zu erfahren, in welchem Umfang DCI Server überhaupt in Bezug auf sicherheitskritische Patches innerhalb der regulären Softwareupdates behandelt werden. Ich fürchte, da sieht es düster aus.

Zumal einige Server mit sehr alten Kernelversionen unterwegs sind, auf die sich viele Sicherheitspatches möglicherweise ohnehin nicht anwenden lassen.

 

 

- Carsten

[tomas katz]

SambaCry bezieht sich offiziell nur auf Samba ab 3.5.0, und hier wurde scheinbar SMB2 in Samba eingeführt...

So gesehen ist mein Samba 3.2.x-Server möglicherweise sicherer.

 

Meine Frage bezog sich aber darauf, ob man vom Sony XCT-S10 per SMB2 oder 3 auf externe Quellen zugreifen kann. Dann könnte ich endlich die eingebaute SMB-Freigabe im OS X aktivieren und veraltete Software rausschmeißen. Es ist ja absehbar, dass SMB1 in "normalen" Netzwerken bald als Sicherheitsrisiko betrachtet wird. (Microsoft hat am Dienstag einen zweiten Patch für Windows XP raus gegeben...)

 

Bisher noch kein erfolgreicher Connect mit Yosemite. Werde allenfalls mal macOS Sierra installieren, ob es damit besser geht.

Der Mac unterstützt seit Yosemite SMB3.

[carstenk]

Unabhängig von der SMB Protokollversion könnte ich mir vorstellen, dass da auch andere Dinge querschießen können. Angesichts des Wildwuchses bei den SMB/SAMBA Implementierungen müssten Server  eigentlich die Protokollversion mit dem Client abgleichen können. Das funktioniert aber offenbar ausserhalb von reinen MS Implementierungen nicht zuverlässig. Siehe das Problem mit den QNAPs - von Haus aus muss so ein NAS ohne Zweifel SMB1,2 und 3 beherrschen, um nicht unverkäuflich zu sein. Das hat aber bei der Kommunikation mit den älteren Sony Softwareversionen bisher nicht geholfen, da schien irgendwas anderes geklemmt zu haben.

 

- Carsten

Bearbeitet 16. Juni 2017 von carstenk (Änderungen anzeigen)

[tomas katz]

Nachtrag: der XCT-S10 hat logischerweise keinen Samba-Server laufen, deswegen betrifft ihn das Problem mit SambaCry auch nicht.

 

Es gibt einige Hakeleien mit Paketsignaturen etc. bei neueren SMB-Versionen. Auf den Apple-Supportseiten z.B. steht, wie man das abschalten kann.

Schnellen Check mit nmap gemacht: auf unserem Buffalo-NAS läuft Samba 3.6.x mit reiner SMB1-Unterstützung, das ist also von SambaCry vermutlich betroffen. Die Fritzbox hat übrigens Samba 3.0.36 

 

 

 

[carstenk]

Auf dem S10 läuft durchaus ein SAMBA server. Jedenfalls deuten die system logs darauf hin. Nicht notwendigerweise für externe clients, da scheint auch was Richtung Projektor oder Mediablock darüber zu laufen.

 

 

- Carsten

 

[carstenk]

Erste Sambacry Angriffe auf Linux NAS:

 

https://www.heise.de/security/meldung/SambaCry-Erste-Angriffe-auf-Linux-NAS-Boxen-gesichtet-3777456.html

 

- Carsten

[kinofreaks]

Zwei Fragen zum Projektor, die bei der gerade beginnenden Open-Air-Saison bei uns aufgetaucht sind:

 

Ich habe Winter das System auf 1.51.1 updaten lassen. Wie funktioniert jetzt der Remote-Zugriff via Browser? Früher hatte ich mittels eines WLAN-Routers ein Netz aufgebaut und den Data-Ethernetanschluss des S-10 dort angebunden und entsprechende IP-Adresse vergeben.

Beim Aufruf der Adresse im Browser (Port 80), musste man etwas rumklicken dann kam irgendwan "Evans Gui" und "Evans Update" und man konnte sich auf die Oberfläche einloggen. Jetzt kommt nur noch Fehlermeldung 404 oder 405 ("Forbidden"). HTTPS geht auch nicht. Erfolgt der Zugang jetzt über einen anderen Port? Die physikalische Anbindung geht auf jeden Fall, da die Fehlermeldung zweifelsohne vom Webserver des S-10 erfolgt (Apache Tomcat).

 

Dann gestern folgendes Problem gehabt, wir haben bei einer Hörgeschädigteneinrichtung extra eine Vorführung von "Mein Blind Date mit dem Leben" mit der barrierefreien Version gemacht (BlindDate_FTR-1_S_DE-DE-CCAP_DE-TD_51-VI_4K_SC_20161110_ADC_IOP_VF-1 ). Die Untertitel sind aber nicht erschienen, woran kann das liegen? Bei den Einstellungen "AV-Settings" konnte man nur die Audio-Outputs routen und die Verzögerung der Untertitel einstellen. Muss man da irgendwo ein Häckchen setzen oder ist die CPL gar die falsche?

 

Danke und Gruß

 

Benedikt

[carstenk]

Die Sony Updates haben verschiedene Änderungen auch bei der verschlüsselten Verbindung für das Webinterface gebracht, vielleicht erinnerst Du dich noch daran, dass neuere Firefox und Opera Versionen irgendwann nicht mehr mit dem Sony wollten. Mutmaßlich liegt hier das Problem aber vermutlich nicht beim Sony, sondern weil Du Änderungen/Updates beim Steuerungsrechner durchgeführt hast. Welchen Browser in welcher Version verwendest Du?

 

Die korrekte Ansteuerung des Sony HTML Interfaces ist:

 

https://<dei.ne.ip.adresse>/EvansGUI/run.html

 

Das mit den Untertiteln vs. CCAPs hatten wir doch hier schonmal besprochen - CCAPs sind KEINE Untertitelungen, sondern für die Wiedergabe über spezielle Hilfsgeräte ('Untertitelbrillen') vorgesehene 'ClosedCaptions'. Das 'Closed' im Unterschied zu 'Open Captions' bedeutet hier, dass sie nicht 'für alle' sichtbar sind, sondern nur für eine spezielle Gruppe, nämlich die, die die entsprechenden Geräte verwenden.

 

Eine englisch synchronisierte Fassung mit deutschen Untertiteln würde z.B. mit solchen OpenCaptions versehen die Untertitel auch auf der Leinwand sichtbar machen.

 

Ihr hättet für diesen Fall einer Vorstellung für Menschen mit Hörbeeinträchtigungen eine CPL:

 

BlindDate_FTR-1_S_DE-DE_DE-TD_51-VI_4K_SC_20161110_ADC_IOP_VF-1 oder präziser:

BlindDate_FTR-1_S_DE-DE-OCAP_DE-TD_51-VI_4K_SC_20161110_ADC_IOP_VF-1

 

benötigt, also eine deutsche Sprachversion mit deutschen Untertiteln. Sowas macht natürlich im Normalfall keiner, auch wenn es kein großes Problem wäre...

 

Für jede Regel gibt es natürlich auch eine Ausnahme - die Doremi Server haben eine Einstellung, die es erlaubt, ClosedCaptions als Untertitel auf der Leinwand sichtbar zu machen. Gewissermaßen ein 'ClosedCaption->OpenCaption Converter'. Das kann aber kein anderer Server, und sowas ist auch nicht von irgendwelchen DCI Auflagen vorgegeben, das hat Doremi einfach mal für nützlich befunden. Manchmal stört es freilich auch: 

 

 daher ist es abschaltbar. Die Sonys können CCAPs nur auf dafür vorgesehene Untertitelbrillen ausgeben, z.B. die Sony eigenen Entertainment Access Glasses, oder die USL/QSC Brillen respektive deren Schwanenhalsdisplays für Getränkehalter:

 

https://www.qsc.com/cinema/products/accessibility-solutions/

 

'Einfach so' machbar (wenn auch vielleicht etwas unkomfortabler) wäre es in diesem Fall mit der 'Starks' App für iOS und Android möglich gewesen, jedenfalls für die Besucher, die ein solches Smartphone besitzen.

 

 

- Carsten

Bearbeitet 23. Juli 2017 von carstenk (Änderungen anzeigen)

[kinofreaks]

Hallo Carsten,

 

danke für die schnelle und ausführliche Antwort.

 

Zum Remote-Problem:

Ich habe den Zugriff mit altem und neuen Firefox probiert, da ich mich noch an das alte Problem erinnerte. Aber danke für den spezifischen Link, dann probiere ich es mal damit (hab am Freitag wieder Gelegenheit), melde mich dann ob es geht.

 

Wegen den Untertiteln:

Jetzt habe ich auch verstanden warum die Untertitel beim Testlauf im Kinosaal (Doremi) gingen, beim Open-Air (Sony) dann aber nicht. Schade, dass nur der Doremi den Konverter besitzt.

Dem Verleih sollten solche Sachverhalte aber eigentlich auch bekannt sein. Wenn man den Film extra mit Untertiteln bucht, geht man ja dann eigentlich davon aus, dass das jedes Projektionssystem auch mit sichtbaren Untertiteln abspielen kann. Vielleicht gibt es aber auch tatsächlich eine "OCAP"-Version des Films und ich hab halt nur die falsche "CCAP" bekommen, das weiss ich nicht. Auf der Platte war nur die normale CPL und die CCAP drauf.

[carstenk]

Leider ist die Naming Convention nicht wirklich vollständig, was die Ansprüche an solche Differenzierungen angeht. Wie überhaupt viele Aspekte der Barrierefreiheit Stiefkinder sind. Dazu kommt dann auch, dass manche Dienstleister sich nicht genau an die DCNC halten, respektive, dass manche komplexen Inhalte sich dann auch nicht mehr vollständig beschreiben lassen. Manche Verleihmitarbeiter haben dann auch unvollständige Informationen und glauben, dass die Fähigkeit des Doremis auf allen Servern vorhanden ist.

 

Ansonsten bedeutet ein DE-DE typisch deutscher Ton mit deutsch untertitelten Fremdsprachenanteilen, was ja in vielen Filmen heutzutage vorkommt, aber so gut wie nie eine komplett in deutsch untertitelte deutsche Sprachversion.

Deutscher Ton mit deutschen Untertiteln, also OpenCaptions, dürfte ziemlich selten sein, jedenfalls im Mainstream. Sachen wie 'Der Brandner Kaspar' oder 'Wer früher stirbt ist länger tot', da mag sowas schonmal Sinn machen (aber was ist daran 'Deutsch') ;-)

 

Achso, und der LAN-Port für die externe Steuerung des Sonys ist üblicherweise der CTRL Port. Ich glaube, CTRL und DATA sind intern gebrückt und vermutlich gehen beide, habe ich aber noch nicht probiert. In jedem Fall wird aber der CTRL Port ein anderes Netz haben als der DATA Port, das musst Du Dir ggfs. dann in der Netzwerkkonfiguration nochmal anschauen.

 

- Carsten

Bearbeitet 23. Juli 2017 von carstenk (Änderungen anzeigen)

[Jensg]

CTRL und DATA sind zwei getrennte Netzwerkbereiche. Von beiden kann man die Kiste steuern und ingesten. Sind also gleichberechtigt. Ist halt gedacht dafür, den TMS Bereich vom Controllernetzwerk zu trennen und keine Brücke zwischen den Bereichen zu erlauben. Soweit mir bekannt.

Jens

[carstenk]

HTML Steuerung geht nur auf CTRL, Ingest geht mit allen Protokollen auf CTRL und DATA. Auf dem DATA Port läuft zwar auch ein Webserver, der taugt aber nur für Service.

 

- Carsten

[Jensg]

Merci, war mir so bis dato nicht aufgefallen.

Jens

[kinofreaks]

Also die HTML-Steuerung über: https://<dei.ne.ip.adresse>/EvansGUI/run.html

geht bei mir. Interessanterweise aber nur über den DATA-Port über CTRL nicht.

Was auch seltsam ist, wenn ich mich mit dem Smartphone als "Admin" einlogge kann ich zwar remote Schärfe und Zoom einstellen aber nicht abspeichern.

[carstenk]

Das mit den Ports kann nur ne Verwechslung sein.

 

Der 'Admin' kann nicht automatisch alles, der login ist nicht unix-typisch zu verstehen, sondern bezogen auf bestimmte Aufgaben im konkreten Projektionsumfeld. Der Admin ist also kein Betriebssystemadmin, sondern als 'Kinoadmin' zu verstehen. Den vorinstallierten Benutzern sind bestimmte Rollen im typischen Kinoumfeld zugewiesen.

 

Es gibt allerdings auch noch einen Superuser über dem Admin, der darf wirklich alles.

 

- Carsten

 

 

 

Bearbeitet 6. August 2017 von carstenk (Änderungen anzeigen)

[kinofreaks]

Hallo Carsten,

 

ja, das witzige ist, dass ich mit dem User "Admin" bei Login auf dem Server direkt die Sachen speichern kann. Aber danke für die Info. Werde mal ein Remote-Login mit dem "superuser" probieren.

 

Danke und Gruß

 

Benedikt

[carstenk]

Das macht ja auch Sinn, dass man bei Dingen, die visuelles Feedback benötigen, nur die lokale Bedienung erlaubt. Es sei denn natürlich, man steht grad mit dem Laptop vor der Leinwand ;-) Wenn ich das richtig auf dem Schirm habe, dann gab es da bei den letzten Softwareupdates aber auch ein paar Änderungen bei den Rechten gerade für Projektor Tuning.

 

- Carsten

Bearbeitet 7. August 2017 von carstenk (Änderungen anzeigen)

[Rince]

Am 15.6.2017 um 14:05 schrieb tomas katz:

Ist eigentlich bekannt, welche SMB-Version die Sonys aktuell unterstützen? SMB1 ist seit WanaCry ja toxisch verseucht, und Microsoft versucht es so langsam los zu werden. https://www.heise.de/security/meldung/Wegen-Sicherheitsproblemen-Kein-SMB1-in-Windows-Neuinstallationen-3743127.html

 

 

Gibt es da irgendwas neues? Ich habe hier einen Rechner mit niegelnagelneuer Windows 10 Fall Creators Update Installation und ich bekomme partout keine Ordnerfreigabe hin. SMB 1.0 ist ja anscheinend deaktivert. Ich habe sie aber testweise wieder aktiviert und auch versucht einen ftp-Server einzurichten. Der Sony zeigt aber partout nichts in dem Ordner an. Mit anderen Geräten/Browsern im Netzwerk finde ich die entsprechenden Ordner problemlos. Ich weiß gerade nicht, was falsch sein könnte und ich habe nun schon mehrfach ftp und Netzwerkfreigaben eingerichtet. Daher habe ich das Zusammenspiel von Sony und neue Windows Installation im Verdacht wo irgendwo was anders ist.  

[Jensg]

Hast du einen Umlaut im Ordnernamen? Den mag Sony nicht, dann ist der Ordner leer.

Jens