[Info] Sicherheitsleck bei O2

qwertz.asdfgh schrieb:

Nach KDG/Vodafone ist O2 an der Reihe:
http://heise.de/-3058703

Zum Vergrößern anklicken....

ROTFL ... vielleicht ist das ja auch der Grund, warum die O2-Konfiguration über TR-069 nun nicht mehr ohne weiteres funktioniert: http://www.ip-phone-forum.de/showthread.php?t=283488

Ich hatte zwar ohnehin auf Identifikation des Kunden anhand der IP-Adresse getippt, hätte aber wenigstens erwartet, daß da auch die richtige IP-Adresse bei der Konfiguration geprüft wird bzw. das nur für die Absender-IP auch klappt.

Ich kenne jetzt den Inhalt des Artikels nicht (komme auch ohnehin nicht mehr zum Lesen der c't, habe kein Abo mehr und bin daher nicht mehr in der Lage, die Paywall "zu durchbrechen").

Stimmt denn meine Vermutung, daß die IP-Adresse irgendwo im Request mit übermittelt wurde und dann einfach variiert werden konnte für die TR-069-Konfiguration? Mußte denn die IP wenigstens aus dem O2-Netz sein oder ging da auch jede andere?

Ich bin ja fast versucht, den Artikel tatsächlich zu erstehen ...

Manchmal glaubt man gar nicht, wie simpel solche Fehler im Grunde sind und denkt sich irgendwelche komplizierten Szenarien für Angriffe aus, weil man einfach nicht vermutet, daß es noch viel einfacher geht.

EDIT: OK, um 07:00 Uhr hat heise.de jetzt einen weiteren Artikel dazu veröffentlicht ... genauso wie vermutet, wird eben die IP nicht vom Anfragenden genommen, sondern aus irgendwelchen übermittelten Parametern. Daß das O2 aber seit 15 Monaten nicht in den Griff kriegt, ist schon wieder fast ein "Däumchen" wert, fraglich ist nur dessen Richtung.

Hier der Link zur heise.de Meldung.

So wie ich O2 kenne, wird das "verschärftes" Monitoring aber dem Kunden im Endeffekt nichts bringen, falls tatsächlich mal ein Schaden entsteht... Allein die Bitte an heise.de die Veröffentlichung "um mehrere Monate zu verschieben" macht mich sprachlos.

qwertz.asdfgh schrieb:

Zumindest können für andere IP-Adressen eigentlich keine Konfigurationsdaten vorliegen die O2 über den ACS versenden könnte.

Zum Vergrößern anklicken....

OK, hier meinte ich aber schon, ob die Quell-Adresse einer TR-069-Verbindung (also nicht das, was im Request-Body stand) aus dem o2-Netz stammen mußte. Immerhin kann man die Adresse des ACS von o2 (acs.o2online.de) ja auch von außen auflösen ... allerdings antwortet (inzwischen?) wohl der Server nicht mehr auf Requests von außerhalb der o2-AS. Es hätte mich halt nur interessiert, ob das vorher vielleicht tatsächlich auch aus China geklappt hätte.

EDIT: Die Möglichkeit, hinter einem o2-Anschluß mit dem ACS "zu reden", finde ich jetzt nicht soo bemerkenswert. Ich wäre im Gegenteil überrascht, wenn das bei andern Anbietern mit ACS (1&1 mal außen vor, die verwenden die Daten des Benutzers für die Identifikation am ACS) so sehr viel anders wäre. Zumindest da, wo ohne Kopie der CWMP-Daten aus dem Original auch eine Ersatzbox angeschlossen werden kann (die dann auch konfiguriert wird vom Anbieter), wüßte ich nicht so richtig, woran der ACS das CPE als solches von einem passenden Client im LAN dahinter unterscheiden sollte.