Fritz!Box Webinterface sichern/sperren für unbeaufsichtigten Betrieb

Lange habe ich nach einer praktikablen Möglichkeit gesucht, eine weggeschlossene aber natürlich lokal per WLAN und remote per HTTPS zugängliche 7170 vor Super-DAUs, Spielkindern etc. zu schützen. Das Kennwort der Box kann verdammt sichere 50 Zeichen umfassen, aber immer noch lauert der unschöne Reset-GAU per "Wenn Sie Ihr Kennwort vergessen haben, klicken Sie hier."!

Mit dem HTTPS-Zugriff zu Fernwartung hat AVM nun auch die Möglichkeit geschaffen, das HTTP-Interface ganz abzuschalten und/oder zusätzlich und richtig zu sichern.
Im Abschnitt websrv der AR7.CFG kann man mit
port = "0" den Zugriff per HTTP ganz und gar brutal verhindern und etwas eleganter mit
users_only_for_https = no den HTTPS-User-Login vor das Web-Login schalten.

Beide Änderungen kann man ganz leicht mit dem FBEditor direkt vornehmen und offline zurücknehmen. Und natürlich funktioniert das nur bei Boxen mit Fernwartung.

Mir hat diese Methode echt geholfen und ich hoffe zukünftig auch anderen Usern. Und bitte Schwachstellen und Denkfehler suchen und posten!!

Damals wollte ich unbedingt ausschließen, dass jemand "aus Spaß" die Box per WebIF-Login resettet, was ja sonst bis 10 Minuten nach dem Einschalten geht. Bisher hat das gehalten, wohl auch weil ich den Zugang zu den LAN-Anschlüssen per Einbau in einen Schaltschrank blockiert habe, denn per LAN und AVM-Recover bzw. ruKernelTool geht der Reset immer!

Seit einiger Zeit hat AVM das Login stark verändert, mit den Ergebnissen, dass a) das Abschalten des HTTP-Logins per Config gar nicht mehr funktioniert und/oder b) das HTTPS-Login bei anderen Gelegenheiten manchmal erst nach dem HTTP-Login oder gar nicht mehr kommt.

Wenn man mit der 50er Firmware "users_only_for_https = no" keine Änderungen mehr am Login bewirkt, hat Dir AVM diese Möglichkeit genommen. Dann solltest Du Dir das a) bei AVM zurückwünschen und b) zwischenzeitlich was für den Genpool Deiner Familie tun, wobei ich die nötigen Maßnahmen ganz Deiner Fantasie überlassen möchte.

Hhmm, was hilft das alles, wenn per angeschlossenem Telefon resettet werden kann? Und vor allem: Wer hat was davon? Ohne LogIn-Daten des Anbieters sind dann halt alle "draußen". Dies als Hinweis den potentiellen Hackern mitgeteilt sollte sie von ihrem Versuch abhalten...?

Besorge dir neue Zugangsdaten und gib deine Sicherungskopie dann nicht mehr weiter... Dann dürfte sich das spätestens nach dem ersten vergeblichen Versuch erledigt haben...?