Warum telefoniert Buster bei jedem Start mit Amazon?

[str]

Moin,

kann mir jemand sagen, warum meine Firewall bei jedem Start eines Clients Verbindungsversuche zu Amazon AWS und Cloudfront meldet?
52.17.223.107 = ec2-52-17-223-107.eu-west-1.compute.amazonaws.com.
52.18.228.24 = ec2-52-18-228-24.eu-west-1.compute.amazonaws.com.
52.37.219.233 = ec2-52-37-219-233.us-west-2.compute.amazonaws.com.
52.42.143.134 = ec2-52-42-143-134.us-west-2.compute.amazonaws.com.
54.230.183.19 = server-54-230-183-19.ham50.r.cloudfront.net.
54.230.183.16 = server-54-230-183-16.ham50.r.cloudfront.net.
54.230.183.24 = server-54-230-183-24.ham50.r.cloudfront.net.

Internet-Suche brachte nur dies hier: https://wiki.debian.org/Cloud/AmazonEC2Image/Buster. Das sagt mir aber nur, dass das wohl kein Versehen, sondern so gewollt ist. Wofür das gut sein soll, sehe ich dort nicht.

Ich möchte aber vielleicht gar nicht ungefragt und unbenachrichtigt dauernd mit Amazon telefonieren...

Da ich auch keine riesige Empörungswelle zu diesem Thema gefunden habe, denke ich, dass es eine ganz harmlose Erklärung gibt.
Wer kennt die?

Gruß
Stephan

[DeletedUserReAsG]

„Buster“ ist das gesamte System. Eines deiner installierten und gestarteten Programme möchte eine Verbindung aufbauen, aber „Buster“ selbst tut alleine gar nichts.

Keiner hier weiß, was du wie installiert hast – aber mein Blick würde in Richtung Software gehen, die eine eigene Updatefunktion mitbringt und auf diesem Weg nachschauen möchte, ob Updates vorhanden sind. Kandidaten sind Browser, fully bloated IDEs, noch bloatigerer Kram auf Electron-Basis, und so Zeug halt.

lsof kann bei der Suche nach dem Verursacher helfen.

[MSfree]

Keiner hier weiß, was du wie installiert hast

Das wird durch eine ganz pöhze Software namens Firefox verursacht. Das ist nämlich der Mozilla Location Service, was man sehr einfach selbst rausfinden kann, wenn man auf die oben genannte(n) Adressen surft.

[str]

OK, danke für die Info.
Werde Firefox jetzt purgen. Bin wegen ähnlicher Geschichten vor kurzem auf Waterfox-Classic umgestiegen und der gefällt mir eh viel besser.
Bin nur nicht darauf gekommen, dass ein Programm so etwas tut, da die Meldungen immer direkt nach dem Systemstart kamen, noch bevor ich selbst irgendeine Anwendung gestartet habe.
Die pöhzen werden immer perfider...

[DeletedUserReAsG]

Tritt das beim von Debian selbst bereitgestellten FF auch auf? Wenn ja, könnte man die Maintainer bitten, die Option per default zu deaktivieren. Hab grad kein Desktop-Debian zur Hand, sonst würde ich selbst fix schauen.

[MSfree]

Werde Firefox jetzt purgen.

Dann purge bitte Gnome und/oder KDE gleich mit und werf dein Android Smartphone soweit weg wie möglich:
https://en.wikipedia.org/wiki/Mozilla_Location_Service

[rockyracoon]

@str: Besser eigenes Unwissen purgen, statt vorschnell Schlüsse ziehen.

[TomL]

Bin wegen ähnlicher Geschichten vor kurzem auf Waterfox-Classic umgestiegen und der gefällt mir eh viel besser.

Das war imho aber keine gute Entscheidung... der Waterfox ist jetzt fest in kommerzieller Hand, in der gleichen die "Startpage" hält, also wohl ein reines Werbe-Unternehmen, bei dem Deine Daten natürlich wirklich gut aufgehoben sind. Ich würde lieber bei Firefox bleiben und den richtig konfigurieren.... oder alternativ Palemoon verwenden.

Vielleicht ist das die Lösung: about:config->geo.enabled = false

[OrangeJuice]

Einfach den Firefox weiter verwenden, er ist ja in den Paketquellen enthalten. Nach Wunsch anpassen mit z.B. uMatrix, uBlock Origin, NoScript, außerdem kannst du dir eine fertige user.js aus z.B. privacy-handbuch.de einfügen oder selber erstellen.

Waterfox(System1) - Heise.de

Auf Pale Moon(Pale Moon: Archiv-Server gehackt(2019)) oder solch andere Browser würde ich verzichten. Da finde ich den Firefox aus den Debian Repo sicherer. Aber das kann ja jeder für sich entscheiden. Firefox ESR ist nach Anpassungen komplett ruhig.

[wanne]

Wer den WIkipedia-Artikel liest erfährt dass der Dienst zwar von Mozilla ist, aber der FF den gerade nicht benutzt.
Ich würde mal gucken was
lsof -i | grep -E '(amazon|cloudfront)' sagt. Dann wirst du ja sehen, wer schuld ist.

[novalix]

Jo @wanne, da sachste was.

Ich hatte nach lesen des Eingangspost als erste Intuition einen dieser Update-Dienste, die die modernen Desktops gerne mit sich bringen.
Die Standardeinstellung für Spiegelserver ist heuer wohl "deb.debian.org" und das scheint mir so nen modernes lastenverteiltes Ding zu sein. Da kommt die Cloud ins Spiel.

[inne]

Ihr meint https://cdn-aws.deb.debian.org/

[str]

lsof -i | grep -E '(amazon|cloudfront)'

Danke Wanne, das hat mir weiter geholfen: Thundebird ist der Nachhausetelefonierer!

[mat6937]

... geholfen: Thundebird ist der Nachhausetelefonierer!

Du schreibst ja, dass das schon beim booten passiert:

... meine Firewall bei jedem Start eines Clients Verbindungsversuche zu Amazon AWS und Cloudfront meldet

Startet der Thunderbird auf deinen Clients schon beim booten, oder wie bzw. zu welchem Zeitpunkt (beim booten oder nachher) hast Du das mit lsof feststellen können?

[str]

Hmm, scheint ein Widerspruch...
Muss ich bei nächster Gelegenheit nocmal genauer untersuchen, ob während der Boot- oder der Anmeldephase (Thunderbird ist im Autostart)

[mat6937]

Hmm, scheint ein Widerspruch...
Muss ich bei nächster Gelegenheit nocmal genauer untersuchen, ob während der Boot- oder der Anmeldephase (Thunderbird ist im Autostart)

Naja, ein Widerspruch muss es nicht sein, wenn der TB eh im Autostart ist. Mir geht es nur darum wie Du lsof angewendet hast, um diese Verbindung zu sehen. lsof kannst Du ja (vom Zeitpunkt her betrachtet) erst anwenden, wenn dein Client-PC bzw. sein OS, vollständig gestartet ist. D. h. diese Verbindung zum "nach Hause telefonieren", bleibt bestehen (established)?

[willy4711]

Also Thunderbird macht es bei mir nicht.
aber Firefox Beta und Vivaldi

Code: Alles auswählen

lsof -i | grep -E '(amazon|cloudfront)' 
vivaldi-b 130894            willy   52u  IPv4 279256      0t0  TCP XFCE.fritz.box:60266->server-54-230-55-226.ham50.r.cloudfront.net:http (CLOSE_WAIT)
firefox-b 133731            willy  101u  IPv4 284247      0t0  TCP XFCE.fritz.box:51996->server-143-204-225-34.cdg3.r.cloudfront.net:https (ESTABLISHED)
firefox-b 133731            willy  116u  IPv4 299124      0t0  TCP XFCE.fritz.box:54080->ec2-52-41-2-143.us-west-2.compute.amazonaws.com:https (ESTABLISHED)
firefox-b 133731            willy  144u  IPv4 292348      0t0  TCP XFCE.fritz.box:44094->server-13-224-78-58.man50.r.cloudfront.net:https (ESTABLISHED)

Offen bleibt über die Zeit dann nur noch

Code: Alles auswählen

TCP XFCE.fritz.box:54080->ec2-52-41-2-143.us-west-2.compute.amazonaws.com:https (ESTABLISHED)

Hab mal etwas geforscht:
.cloudfront.net
nach hier:https://support.mozilla.org/de/questions/1076594 kann man es wohl abstellen:

The exact server being contacted is server-54-230-219-14.mrs50.r.cloudfront.net Thank you for your hint about the browser console! After looking there, I found that the connection corresponds to a connection to https://self-repair.mozilla.org/de/repair/ . Now, I see that this corresponds to "Firefox Heartbeat". I didn't know it existed and it isn't listed on the help page that lists automatic connections. I never received a prompt for a rating from Firefox. I don't understand why this makes a connection at every Firefox startup.

amazonaws
https://support.mozilla.org/de/question ... er-1000024 sagt:

Firefox is connecting to compute.amazonaws.com for sync services but many sites use it so I can't definitely say for sure you are seeing the same connection as I did.

[mat6937]

Offen bleibt über die Zeit dann nur noch

Code: Alles auswählen

TCP XFCE.fritz.box:54080->ec2-52-41-2-143.us-west-2.compute.amazonaws.com:https (ESTABLISHED)

OK, danke. D. h. die Verbindung bleibt bestehen.

[willy4711]

Es wäre natürlich jetzt zu überprüfen, woran das liegt.
Könnten ja auch irgendwelche Add-ons sein.
Wenn ich mal ganz viel Lust habe, werde ich mal versuchen dem nachzugehen.

Edit:
Also Add-ons sind es nicht. Grad mal mit deaktivierten Add-ons gestartet.
Bleibt also die Frage, ob da Daten fließen.
Wenn ja, welche, oder ob das mehr oder weniger unschädlich ist.

[mat6937]

Bleibt also die Frage, ob da Daten fließen.

Könnte man ja nachschauen mit z. B.:

Code: Alles auswählen

tcpdump -c 500 -vvveni <Interface> host 52.41.2.143 and dst port 443

[str]

Thunderbird jetzt mal von Hand gestartet

Code: Alles auswählen

user@host:~$ lsof -i | grep -E '(amazon|cloudfront)'
thunderbi 2678  (user)  62u  IPv4  69928      0t0  TCP (hostname):46392->ec2-34-253-97-22.eu-west-1.compute.amazonaws.com:https (SYN_SENT)
thunderbi 2678  (user)  74u  IPv4  69931      0t0  TCP (hostname):57802->ec2-52-209-204-108.eu-west-1.compute.amazonaws.com:https (SYN_SENT)

Ob Daten fließen würden, weiß ich nicht. Die Firewall hat es geblockt und geloggt. Wollte nämlich ohne Proxy telefonieren und das verhindert die Firewall.

[OrangeJuice]

Ich habe das auch festgestellt. Am schlimmsten war das, mit einem frischen Profil, wenn man die Mailadressen eingegeben hat, kamen komische Verbindungen nach einem Linode Server zustande. Das ist aber schon etwas her, kann sein, dass es damit behoben wurde.

Fixed some various issues with Linode web servers.
Quelle

Ruhiger wurde es mit der user.js(direkt) aus dem privacy-handbuch.de. Zusätzlich noch ein paar eigene Anpassungen in der about:config.

In Zukunft muss man schauen, wohin sich Thunderbird entwickelt, nachdem sie ausgelagert wurden(heise.de). Evolution macht sich auch ganz gut.