[Info] 17.2.2014 Hack gegen AVM-Router auch ohne Fernzugang (heise.de)

[erik]

Na wenn die UM-Telefonieaccounts nur am passenden UM-Kabelanschluß funktionieren, die Fritzbox ein Update erhalten hat und deren Zugangspaßwort geändert wurde sollte das eigentlich erstmal sicher sein.

 

[SaschaBr]

@csmulo:
Du hast mit VDSL gut reden. UM ist hier leider der einzige Anbieter, der vernünftige Geschwindigkeit bieten kann.

@erik:
Wenn die UM-Telefonieaccounts nur an meinem Anschluss funktionieren, hätte man mir das doch auch schreiben können, dann wäre alles gut gewesen.
Und welches Zugangspasswort? Das Passwort zu WebIf meiner Box?

 

[HabNeFritzbox]

Als Kabelkunde brauchst dir keine Gedanken machen, macht dann wenn Anbieter eh aus Ferne die FB überschreiben für VoIP und Internet, zudem läuft es da eh eher über die MAC Adresse und so.

Auch sind DNS Server und so außerhalb des Netzes meistens nicht erreichbar.

 

[SaschaBr]

... macht dann wenn Anbieter eh aus Ferne die FB überschreiben für VoIP und Internet, ...

Zumindest was Voip betrifft, glaube ich das eben nicht, aus zweierlei Gründen:
Bei den letzten Neu-Einrichtungen hat meine Box keine Daten für Voip bekommen, auch nach längerem warten und/ oder neu starten nicht. Ich vermute, dass dies seit dem Box-Tausch (nach einem seitens UM vermutetem defekt) nicht mehr geht, was auch die Bindung an die MAC der Box anzweifeln lässt. Des Weiteren werden die Passwörter im Kontrollcenter (inklusive Registrar und allem drum und drann) zur Verfügung gestellt.

 

[Simon.]

Danke für eure Sorge um mein WLAN-Passwort, aber die ist unbegründet. Hab ich natürlich geändert, mit "unwichtig" (deswegen auch in Anführungszeichen) meinte ich eher, dass damit nicht viel passieren kann wenn das irgendwer der sonstwo hockt erbeutet, VoiP- oder Anschlusspasswörter sind da doch eher kritisch.

MAC-Filter macht durchaus Sinn wenn man nicht will dass jeder ins WLAN kommt, aber dennoch eine gewisse Personenzahl Zugriff haben muss. Für die gibts das Gast-WLAN in dem fast alles geblockt ist.

 

[eisbaerin]

Seit der neuen Sicherheitslücke: http://www.heise.de/security/meldun...ung-im-Web-Horror-Bug-in-OpenSSL-2165517.html
stellt sich mir die Frage:
Wirkt sich das auch auf die Sicherheit bei den FB aus?

Insbesondere bei:

1. HTTPS für den Fernzugang
2. AVM-VPN
3. dropbear für Zugriff über SSH, SFTP und SCP

Ich habe auch noch kein Thema hier im Forum dazu gefunden.
Gestern in den Nachrichten von 3SAT wurde ich aufmerksam.
Dort riet man in 2 Tagen alle wichtigen Paßwörter zu wechseln.

 

[SF1975]

Hallo,
Angeblich nicht, wenn ich dieses hier lese: >>>klick<<<. Was Freetz und andere Erweiterungen anbelangt einfach mal Olistudent fragen

 

[RalfFriedl]

AVM verwendet Version 0.9.8, bei Freetz kann man wählen zwischen 0.9.8 und 1.0.1, wobei im letzteren Fall inzwischen 1.0.1g verwendet wird.

 

[SF1975]

Hallo,
Das bedeutet also, dass jeder, der Freetz nutzt (inkl. OpenSSL) sollte prüfen, welche Version er hat?
Bin gespannt, wer eine eventuell unsichere nutzt, weil er nicht updaten möchte.

 

[eisbaerin]

Wie sieht das mit dem binary "dropbear" aus?
Welche Versionen sind da sicher?
Woran erkenne ich das?

Muß ich die keys neu erstellen?
Welche? (rsa_host_key, dss_host_key, authorized_keys)

 

[HabNeFritzbox]

AVM VPN nutzt doch IPsec und Shared Key wird selbst gesetzt, von daher sollte es hierbei egal sein.

Für https muss schon eher ein Fix her.

Für Synology gibt es seid Heute schon fix für.

 

[Spacefish]

Also fritz.box nicht betroffen vom heartbleed Bug!

 

[andilao]

Doch, aber nur sehr indirekt, weil jetzt wieder ein Ändern praktisch ALLER im Internet verwendeten Kennwörter anliegt und nicht nur der in der Fritzbox hinterlegten, da aus allen Servern mit OpenSSL die Kennwörter hätten herausgetragen werden können - 2 Jahre sind eine furchtbar lange Zeit für das Abschnorcheln. Die Arbeit verkleinert sich natürlich, falls man sich absolut sicher sein kann, dass Server XY in dem Zeitfenster keine korrupte OpenSSL-Version benutzt hat.

 

[HabNeFritzbox]

Könnt ja selbst prüfen, ob Lücke besteht.

https://www.ssllabs.com/ssltest/

http://filippo.io/Heartbleed/

 

[RalfFriedl]

Du könntest prüfen, ob die Lücke jetzt noch besteht, aber nicht, ob jemand in der Vergangenheit die Passwörter herausgefunden hat.

 

[HabNeFritzbox]

Das sollte klar sein, Mailanbieter und so sind auch schon am patchen.

Ob durch die Lücke evt. Emailadresse und so abgefischt wurden, nun ja wer weiß. Ist aber nicht ganz so ganz das Thema.

Passwörter sollten geändert werden zumindest für Email und wichtige Sachen.

 

[Gobi04]

Macht aber auch nur da Sinn wo die Lücke bereits gepatcht wurde.

 

[eisbaerin]

Du könntest prüfen, ob die Lücke jetzt noch besteht,

Aber leider nicht, ob eine Lücke bestand, sonst müßte man ja nicht alle Paßwörter ändern.
Gibt es keine Liste der betroffenen URL's?

Auf meine Fragen in #510 habe ich auch noch keine Antwort.
Sind die Fragen zu dumm?

EDIT:
https://www.goneo.de/
war bisher der einzige, der eine email zu diesem Fall geschickt hat mit:

Tipp: Bitte Passwörter ändern

12.04.2014 1:45 erhalten

goneo-Kundeninfo, Ausgabe 07/2014

Sehr geehrter goneo-Kunde,

vielleicht haben Sie aus aktuellen Informationsquellen bereits erfahren, dass in einer weit verbreiteten Softwarekomponente, mit der SSL- und TLS – Verschlüsselungen im Internet realisiert werden, eine kritische Sicherheitslücke gefunden worden ist. Betroffen ist die sogenannte "Heartbeat"-Erweiterung in OpenSSL 1.0.1 bis zur Unterversion 1.0.1f.

Auch einige Server, die bei goneo verwendet werden, waren von dieser Sicherheitslücke, die in Anlehnung an "Heartbeat" den Namen "Heartbleed" erhalten hat, betroffen.

Wir haben die verwundbaren Versionen von OpenSSL auf unseren Systemen zwischen dem 8. und 9.April mit der neuen OpenSSL-Version 1.0.1g ersetzt. Dadurch haben wir die Sicherheitslücken geschlossen.

Die entsprechenden SSL-Zertifikate wurden zurückgezogen und ausgetauscht.



Tipp: Bitte Passwörter ändern
Wir empfehlen Ihnen daher, alle Passwörter für goneoCloud und den WebDAV-Zugang zu ändern. Dies ist nötig, da niemand ausschließen kann, dass sich Unberechtigte auf diesem Weg solche Zugangsdaten verschafft haben, bevor die Sicherheitslücke bekannt wurde.

goneoCloud Passwort ändern:
https://www.goneo.de/cloud/password/change


Bitte beachten Sie: Sie müssen die bei der Registrierung angegebene E-Mailadresse eingeben. Zudem dauert es es einige Minuten, ehe das neue Passwort systemweit gilt.

Das WebDAV Passwort ändern Sie in der goneoCloudanwendung Pydio.



Globales Problem im Internet
Mit dieser Problematik ist goneo genauso wie eine lange Reihe weiterer, auch sehr großer und international tätiger Unternehmen, konfrontiert. Vermutlich erhalten Sie in diesen Tagen viele ähnliche Hinweise.

In unserem Blog finden Sie ergänzende Informationen und Tipps. Gerne beantworten wir Ihnen auch Fragen hierzu. Nutzen Sie die Beitrags- bzw. Kommentarfunktionen.

goneo Blog
http://intern.goneoblog.de

goneo Forum
https://www.goneo.de/community

Mit freundlichen Grüßen
Ihr goneo Team



Folgen Sie uns

Twitter Facebook Folgen Sie uns auf twitter.com/goneo und facebook.com/goneo
Ihre Meinung und Ihr Feedback sind uns wichtig. News und Diskussionen mit goneo auf Facebook und Twitter.

goneo




Versender dieser E-Mail:
goneo Internet GmbH
Marienwall 27, 32423 Minden
Tel.: 0 180 5 / 91 15 22²
Fax: 0571 / 78 344 - 99
www.goneo.de
Amtsgericht Bad Oeynhausen HRB 8753
Geschäftsführer: Marc Keilwerth
²goneo-Servicetelefon: 14 Cent/Min. aus dem Festnetz, Mobilfunk max. 42 Cent/Min.

Hilfe und Kontakt: goneo Kundenservice


Falls Sie zukünftig keinen goneo-Newsletter beziehen wollen,
können Sie den Newsletter hier abbestellen: Newsletter abbestellen

 

[RalfFriedl]

Aber leider nicht, ob eine Lücke bestand, sonst müßte man ja nicht alle Paßwörter ändern.

Das habe ich doch auch geschrieben.

Auf meine Fragen in #510 habe ich auch noch keine Antwort.

Dropbear verwendet kein openssl und kein SSL Protokoll, es ist daher unwahrscheinlich, dass dropbear von diesem Fehler betroffen ist.

 

[Gobi04]

... der eine email zu diesem Fall geschickt hat mit: ...

Die Rundmail (?) finde ich vorbildlich. Ob andere Betroffene ihre Kunden auch derartig informieren werden?