Die FritzBox wird nicht "abgesperrt", sie wird lediglich durch uns mit einem Providerfile versehen, so dass zum einen die Box weiss wo sie sich melden muss, um ihre Daten übertragen zu bekommen und zum Anderen der Zugriff zur Fernkonfiguration möglich ist.
Kann man das auch etwas konkreter fassen?
Über das Provider-File wird also ein ACS für TR-069 konfiguriert?
Ein permanentes Monitoring über diese Schnittstelle der User erfolgt nicht, sie dient rein dem Supportzweck.
Welche Schnittstelle muß denn ein komDSL-User mitbringen, damit er "supported" werden kann? :mrgreen:
Wieder im Ernst:
Funktioniert der Anschluß/Router auch weiterhin, wenn der Kunde nach der ersten Provisionierung (also dem ersten Kontakt zum ACS, bei dem die kundenspezifischen Einstellungen gesetzt wurden) die Fernkonfiguration über TR-069 wieder abschaltet? Wenn ja, wird der Kunde irgendwo auf diese Möglichkeit hingewiesen?
Die Möglichkeit des "Monitoring" über TR-069-INFORM-Requests ist ja nicht von der Hand zu weisen (welche Variablen im Rahmen eines INFORM-Requests vom CPE übermittelt werden, legt der ACS fest), wird dem Kunden in den AGB/BGB entsprechend "reiner Wein" eingeschenkt und wird er darauf hingewiesen, daß sich die FRITZ!Box in regelmäßigen Intervallen beim Provider "meldet" (ob der diese Requests dann auswertet, steht auf einem anderen Blatt)?
Auch die Möglichkeit, über den extern freigegebenen TR-069-Port (i.d.R. 8089 bei AVM) eine FRITZ!Box zur (außerplanmäßigen) Kontaktaufnahme mit dem ACS aufzufordern und sie dann über geeignete Aufrufe zu diversen Aktionen zu veranlassen, sollte bei der "zwangsweisen Freischaltung" von TR-069 durch den Provider nicht unerwähnt bleiben. Die Möglichkeiten für den Provider über die TR-069-Schnittstelle gehen ja leider sehr weit und sind vom Kunden nicht mit entsprechender Granularität auf die notwendigen Aktionen zu begrenzen.
So ist es z.B. problemlos möglich, über diese Schnittstelle eine andere Firmware zu installieren (event. Probleme mit der Signatur der Firmware sind mit entsprechender Energie auch zu umschiffen) oder über passende "diff"-Files für die ar7.cfg den Fernzugriff auf die Box freizuschalten und/oder dafür einen passenden Account mit den notwendigen Rechten in der FRITZ!Box anzulegen.
Wir möchten auf diesen Wege Kunden mit Problemen schnell und einfach helfen und komplexe Konfigurationen vereinfachen.
Den guten Vorsatz wird niemand bestreiten, auch die eigentlich "guten Absichten" beim Entwurf von
TR-069 nicht. Das ist auch nicht das Problem, sondern eher die Möglichkeit, daß jemand diese Schnittstelle entsprechend mißbraucht.
Daher braucht es für einen "mündigen Kunden" eben auch die korrekte Information des Nutzers über die Möglichkeiten und den tatsächlich genutzten Funktionsumfang (inkl. des Schadenspotentials) dieser Schnittstelle. Entscheidet sich der Kunde dann trotzdem dafür, daß er "seinem" Provider ausreichend vertraut, um ihm den Zugriff auf seine ganz privaten Daten zu erlauben (der Router ist nun einmal die zentrale Schnittstelle in jedem Haushalt und wer dort das Kommando hat, der kann jedes (mindestens viele) Gerät(e) im gesamten Haushalt kontrollieren), dann muß man als Provider auch verantwortlich damit umgehen und bei der Umsetzung solcher Standards wie TR-069 zumindest im eigenen Netz die größtmögliche Sorgfalt walten lassen.
Dazu gehört es dann z.B. mindestens die Möglichkeit zu nutzen, die TR-069-Übertragungen mit TLS abzusichern. Leider patzen eigentlich alle Kabel-Provider in D bereits hier, da sie mit der Argumentation "das läuft alles in einem eigenen Netz" auf den Einsatz von TLS generell verzichten. Wie sieht es denn bei komDSL damit aus?
Es ist zwar auch keine unüberwindliche Hürde, ein "offizielles Zertifikat" für eine fremde Domain zu erhalten (bei live.fi hatten wir das gerade in den News), aber es ist trotzdem ein Sicherheitsgewinn. Auch die einfache Manipulation des zu verwendenden ACS durch DNS-Spoofing wird damit etwas erschwert, die Manipulation über DHCP-OFFER-Pakete mit der URL eines ohne TLS erreichbaren ACS leider nicht. Das sind zwar an vielen Stellen Manipulationen, die relativ einfach im Netz des Providers ausgeführt werden können (viele Angriffe auf Infrastrukturen erfolgen nun einmal immer noch von innen) und im LAN des Kunden erheblich höheren Aufwand erfordern, aber ein "richtig abgeschaltetes TR-069" eröffnet diese Möglichkeiten eben erst gar nicht.
Und mein persönliches Ziel ist es, den Kunden/Nutzer so weit über die Möglichkeiten zu informieren (jenseits von Panikmache und "TR-069 ist das Böse an sich"), daß er eine informierte Entscheidung pro/contra Zugriff durch den Provider treffen kann.
Insofern begrüße ich es ausdrücklich, wenn der Support eines Providers hier Stellung beziehen will ... die Anzahl der Fragen in Bezug auf die TR-069-Verwendung durch komDSL (auch wenn ich selbst kein Kunde bin) ist aber auch nach diesem Klärungsversuch noch genauso groß.
.
