ANKÜNDIGUNG: Projekt-Showcase: Habbo Retro-Stack (Arcturus / Nitro) abgesichert im Enterprise-Homelab (FortiGate, Proxmox-Cluster, Zoraxy & Cloudflare)

Technisch gesehen ist das alles nett und schön und als Homelab-Projekt sicherlich interessant. Ich glaube nur, dass du da sehr viel Aufwand in Dinge gesteckt hast, die in der Retro-Szene eigentlich nie das wirkliche Problem waren.

Ob ein Retro jetzt auf irgendeinem 10-Euro-VPS oder auf einem Proxmox-Cluster mit mehreren Nodes läuft, war am Ende selten der Knackpunkt.

Die Probleme lagen meistens ganz woanders. Da wurden irgendwelche CMS- und Emulator-Releases heruntergeladen und teilweise einfach blind produktiv eingesetzt. SQL-Lücken, Backdoors in irgendwelchen Sources, dubiose Downloads, schlecht abgesicherte Housekeepings und Adminbereiche und teilweise ein ziemlich fragwürdiger Umgang mit Passwörtern und Userdaten waren doch eher der Alltag.

Und auch wenn irgendwo Daten verloren gegangen sind, lag das meistens nicht daran, dass kein HA-Cluster vorhanden war. In der deutschen Szene gab es genug Fälle, bei denen Domains übernommen, Datenbanken geklaut oder gelöscht und teilweise später sogar noch veröffentlicht wurden. HabboST hat z. B. nach einem Angriff bzw. einer Domainübernahme Datenbank und Server verloren und musste später mit einer neuen Datenbank weitermachen.

Das eigentliche Problem war eher die Vertrauenskette hinter dem Ganzen.

Woher kommt das CMS? Wer hat den Emulator geschrieben? Was wurde am Source verändert? Hat sich das überhaupt mal jemand vernünftig angeschaut oder wurde einfach gemacht und ab dafür? Wer aus dem Team hat Zugriff auf die Datenbank und den Server? Was passiert, wenn sich zwei Leute im Team zerstreiten? Wie werden Passwörter gespeichert? Werden Abhängigkeiten irgendwann mal aktualisiert?

Das sind alles Sachen, bei denen dir auch die schönste VLAN-Struktur und eine FortiGate davor nur begrenzt helfen.

Selbst Sulake hat damals nicht davor gewarnt, dass Retro Hotels zu wenig Hochverfügbarkeit haben. Da ging es eher um kompromittierte Retro-Seiten, Malware/Trojaner, geklaute Zugangsdaten und geleakte Datenbanken. Siehe Habbo Hilfe.

Bei dem Cloudflare-Punkt wäre ich übrigens auch etwas vorsichtig mit der Aussage, dass die echte Heim-IP dadurch „komplett verborgen“ bleibt.

Cloudflare davorzuschalten heißt erst einmal nur, dass jemand beim normalen Aufruf der Website nicht direkt auf deinem Origin landet. Das bedeutet aber nicht automatisch, dass die IP auf keinem anderen Weg herausgefunden werden kann.

Da reicht im dümmsten Fall schon irgendeine Funktion im Emulator/CMS, die eine externe Ressource abruft – beispielsweise ein Bild oder eine API. Die Anfrage kommt dann direkt von deinem Server und nicht über Cloudflare. Und schon sieht die Gegenseite die öffentliche IP, von der die Anfrage kam.

Nicht falsch verstehen: Als Homelab und zum Lernen finde ich den Aufbau interessant. Für einen Habbo-Retro ist das meiner Meinung nach aber ein bisschen wie eine Alarmanlage, Panzerglas und drei Sicherheitstüren einzubauen, während man die Einbrecher als Untermieter einziehen lässt.

Genau das was Azey sagt. Das höchste worüber man in der Szene immer mal wieder diskutiert hat (und das auch erst ziemlich spät) ob Linux oder Windows sinnvoller wäre. Die Hardware-Anforderungen für Habbo Retro's waren schon vor Nitro durchweg sehr schlank und überschaubar und nun mit Nitro werden moderne Komprimierungstechniken angewendet, die dein Vorhaben noch mehr obsolet macht, als es eigentlich ohnehin schon ist. DDoS ist heutzutage auch kein Problem mehr, damals haben diverse Free-Tools gereicht, um ein Hotel runterzuhauen, heutzutage muss man schon etwas an Kohle auf den Tisch legen, damit man alleine schon durch die vom Hoster interne Protection durchkommt - die haben selbstverständlich auch kein bock auf diesen Traffic.

Zitat von Azey

In der deutschen Szene gab es genug Fälle, bei denen Domains übernommen, Datenbanken geklaut oder gelöscht und teilweise später sogar noch veröffentlicht wurden. HabboST hat z. B. nach einem Angriff bzw. einer Domainübernahme Datenbank und Server verloren und musste später mit einer neuen Datenbank weitermachen.

Ein guter Reminder und vielleicht schon etwas in Vergessenheit geraten, dass die Domain von HabboST geklaut wurde und das originale wegen diesem Mistverhalten schon lange nicht mehr existiert