Fritz!Box - Identifikation von Nutzern möglich (Sicherheitsrisiko?)

[rfc1918]

Ich mache mir zu Zeit Gedanken über die Sicherheit und die Privatsspähre von "Fritz!Box" Nutzern und möchte hier gerne eine kleine Diskussion anstoßen, ob die nachfolgend beschriebene Möglichkeit einen Fritz!Box User beim Besuch einer Seite als solchen, samt Modellnummer und Firmwareversion zu identifizieren, als Sicherheitslücke bzw. Bedrohung der Privatssphäre angesehen werden kann.

Alle Fritz!Boxen mit VoIP Funktionalität haben nach außen hin (WAN) den Port 5060/TCP offen um entgegenkommende Gespräche signalisieren zu können. Stellt man eine Anfrage mit einem ungültigem Befehl (Bsp.: GET /) an diesen Port meldet sich die Fritz!Box mit ihrem User-Agent, der die Modellnummer und die Firmwareversion der Box enthält. Somit ist es möglich mittels eines Skriptes auf einer Webseite durch Verbinden zum diesem Port den Nutzer als Fritz!Box Nutzer eines bestimmten Modells zu identifizieren, insofern, diese VoIP Funktionalität besitzt.

Ich habe ein kleines PHP-Skript auf meinem Blog erstellt, mit dem ihr testen könnt ob ihr identifiziert werden könnt.
Eine weitere Möglichkeit ist von einem anderen Rechner im Internet eine Verbindung zu eurer IP mit Hilfe von Telnet auf Port 5060 aufzubauen und dort einen ungültigen Befehl wie GET / zu senden. Das Aufrufen von http://<deineip>:5060/ in einem Browser hat dieselbe Funktion.

Was meint ihr dazu, kann dies als Sicherheitslücke angesehen werden, ist die Fritz!Box in Sachen User-Agent zu gesprächig?

 

[Feuer-Fritz]

Laut Deinem Skript nutze ich keine Fritzbox ;-)

 

[DHMH]

mhh.. ich sehe darin kein Problem, denn du meinst, er sendet die Modellnummer zurück, doch davon sehe ich nix:

########################################
##USER INFORMATION######################
##IP: x.x.x.x.x.x.x
##User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; de; rv:1.9.2.3) Gecko/20100401 Firefox/3.6.3
##FritzBox/SpeedPort: AVM FRITZ!Box Fon WLAN 7170 29.04.80 (Jan 27 2010)

 

[Linksys-User]

Und woher weiss ich dann, dass Du eine 7170 mit der Firmware 29.04.80 nutzt?

 

[DHMH]

Das kann ja evtl. der Useragent senden, ich bin mir halt nicht sicher, dass dieser wirklich die Modellnummer mitsendet..

 

[Telefonmännchen]

Man ist aber fast genau so über die user-agent Strings der Browser identifizierbar. Auch habe ich neulich irgendeine News zur Lokalisation der Nutzer mittels Script gelesen, das z.B. die eingegebene Postleitzahl für die Wetter-Seite versucht auszulesen und noch so einige Dinge mehr. War sehr aufschlussreich. Finde leider die Seite im Moment nicht (linke ich aber hier rein, wenn ich es finde). Dagegen ist das Auslesen des Routertyps, von dem es tausende gibt, eher Kinderkram. Soll man aber auch nicht unbedingt vernachlässigen. Ist halt ein weiterer Stein zur Identifizierung.

Gruß Telefonmännchen

 

[Tippfehler]

##Sie benutzen höchstwahrscheinlich keine FritzBox/Speedport

Ich habe eine Fritzbox. Auf Port 5060 meldet sich bei mir aber Asterisk. Das ist vermutlich ein noch größeres Sicherheitsrisiko.

 

[guest_jo]

Meine wird auch nicht erkannt.

 

[BlackJ4ck]

Meine schon und das owbwohl ich den port NICHT offen habe?!

 

[dar-vida]

useragent anpassen

Nachdem ich nur Hinweise aber keine Lösungen für diese Sicherheitslücke gefunden habe, greife ich dieses thema hier nochmals auf.
Hat niemand einen Lösungsansatz? Ev. Anpassung zur Laufzeit?

 

[Telefonmännchen]

Welche Sicherheitslücke denn? Es ist durchaus auch möglich, andere Daten aus dem verwendeten Browser auszulesen, sowie Benutzernamen, die als Cookie-Namen hinterlegt werden. Das ist doch ein viel größeres Problem als die Hardwarekennung des verwendeten Routers, der in der Konfiguration vermutlich viele tausende Male existiert. Der user agent ist die Kennung Deines Browsers und nicht der FritzBox. Dieser String hängt nur hinten dran, weil das entsprechende Script es so tut. Du bist auch nicht identifizierbar, nur weil Du ein bestimmtes Auto fährst. Auf dem Lande vielleicht noch, in der Großstadt wird das schon beliebig schwieriger.

Gruß Telefonmännchen

 

[dar-vida]

useragent teils auch sanktionsrisiko

Vielen Dank die Antwort Telefonmännchen!
Jeder Provider, insbesondere der des Internetanschlusses aber auch jeder SIP-Anbieter kriegt die Info deiner Hardware inkl. Firmware und Aufspielungsdatum. Hast du/ihr noch nie zu tun gehabt von Provider welche nur ihre Hardware akzeptieren oder aber dann die Performance herabsetzen (DSL)? So möchten die Provider hierzulande z.B auch über Fernwartungsprotokolle die WLAN-Schlüssel, modem-passwort etc. einstellen können. Dies geht bei alternativer Hardware natürlich nicht mehr, folglich die Einschränkungen.

Freundlicher Gruß