Hack gegen AVM Router: Änderung der (VoIP) PWD (Risko-Abschätzung).

[odoll]

Hallo, ich platziere meine Frage mal hier, obwohl es evt. auch in den Alice Zweig gehören könnte.

Ich betreibe meine FB schon länger direkt an einen Alice Anschluss. Zu diesem Zweck musste ich mir die VoIP-Zugangsdaten "besorgen", da der Provider diese nicht "freiwillig" herausrückt.

Ich habe nun das Dilemma, dass ich die VoIP-PWD nicht ändern (lassen) kann? ("Selbstschuld"-Kommentare bitte unterdrücken ).

Wie hoch schätzt Ihr die möglichen Missbrauch-Wahrscheinlichkeiten ein, sollten die Zugangsdaten in falsche Hände gelangt sein? Das Risiko sollte gering sein, da für die Nutzung direkter Zugang zum "Alice-VoIP-Netz" über den zweiten VC benötigt wird?! Oder anders herum gesprochen, diese Acccounts sind über das Internet nicht nutzbar?!

Und ich habe noch Accounts bei

Sipgate (kein Guthaben nur Incoming) -> IMO nicht dringend
WebcallDirect (minimales Guthaben) -> IMO nicht dringend (Update: VoIP PWD identisch identisch mit PWD der Webseite?)
GMX (hier muss ich auf jeden Fall ändern) -> IMO dringend (Update /done)

 

[qwertz12]

Ich hab das gleiche Problem. Du könntest aber deine Alice Box (welche auch immer) nehmen und damit deinen Zugang neu einrichten. Zumindest bei mir wurden da letztens (schon 1 Jahr her) neue Zugangsdaten für VoIP eingerichtet.
Danach musst du halt die Daten wieder aus der Box rauspopeln...

Ist vermutlich aber eher eine paranoia-Aktion: Soweit mir bekannt, läuft die VoIP verbindung via 2. PVC, das bedeutet über eine eigene Einwahl. Zumindest bei mir bekommt die eine IP aus dem 10.0.0.0/8 er subnetz, DNS ebenso. Das 10er Netz ist ein privates, nicht routingfähiges - da sollte man also normal nicht rankommen, es sei denn man hat auch Alice/O2 und passende Zugangsdaten für die 2. PVC.

Wie du die anderen Daten änderst ist halt Anbieter-spezifisch.

 

[edgecrusher]

[...]Soweit mir bekannt, läuft die VoIP verbindung via 2. PVC, das bedeutet über eine eigene Einwahl. [...]Das 10er Netz ist ein privates, nicht routingfähiges - da sollte man also normal nicht rankommen, es sei denn man hat auch Alice/O2 und passende Zugangsdaten für die 2. PVC.

Das gilt aber nicht immer. Bei allen neuen Bitstream und VDSL Bitstream Anschlüssen wird, da die Telekom maximal eine Session gewährt, die Rufnummer über das Internet registriert und bei genau diesen Anschlüssen würde ich bei O2 mal anklopfen, wie das zu bewerkstelligen ist (neuer SIP Key).

Auf der anderen Seite, da gehe ich davon aus, wird O2 argumentieren "Hätten Sie nicht Ihre eigene Hardware, sondern unser Gerät benutzt, wäre niemand an die Daten gekommen" (denn aktuell braucht man physischen Zugriff um diese vom den Geräten zu bekommen, sprich das Auslesen). Das ist die Kehrseite der Benutzung von eigener, statt Zwangsrouter, HW, aber an für sich sollte O2 hier was machen können, denn Sie generieren ja auch die Credentials irgendwie.

 

[qwertz12]

Bei VDSL kann ich nicht wirklich mitreden.
Ich habe ADSL-Bitstream über T-Com (würde normalerweise 5€ "Buschzulage" zahlen, kann man aber wegverhandeln), und brauche eine 2. PVC.
Das mit der 2. Session verstehe ich nicht ganz, nach meinem Verständnis ist das eine reine Beschränkung auf eine PPPoE/PPPoA Verbindung, damit man nicht 2 PCs/Router etc. hinter einem Modem betreiben kann. Meine letzten Recherchen dazu sind aber schon ne Weile her.

Soweit ich das verstehe, stellt die T-Com den Draht, die Modems im DSLAM und die geswitchte Verbindung (ATM?) zum Provider, die Einwahl (PPPoE/PPPoA) erfolgt doch aber wohl bei O2? Da würde dann auch die Multisession-Beschränkung nicht greifen, wenn's denn PPPoX wäre.
Hier darf mich gern jemand aufklären, mehr Wissen ist immer gut

Der PVC-Krempel findet soweit mir bekannt unterhalb des PPPoX Layers statt, keine Ahnung.

Der Themenöffner sollte aber selbst beurteilen können, ob sein VoIP-Login über das 10er Subnetz erfolgt, steht ja im Log der Fritte. Wenn ja, wäre die Situation vermutlich wie oben geschildert und das Risiko gering.

Abgesehen davon ging es ja darum, wie er die Daten ändern kann und da hilft wie geschildert nur testen, ob er neue Daten beim neu Initialisieren der Verbindung bekommt.
Zumindest beim Tarifwechsel sollte das definitiv der Fall sein, war zumindest bei mir so.

 

[RalfFriedl]

Wie hoch schätzt Ihr die möglichen Missbrauch-Wahrscheinlichkeiten ein, sollten die Zugangsdaten in falsche Hände gelangt sein? Das Risiko sollte gering sein, da für die Nutzung direkter Zugang zum "Alice-VoIP-Netz" über den zweiten VC benötigt wird?! Oder anders herum gesprochen, diese Acccounts sind über das Internet nicht nutzbar?!

Die Missbrauch-Wahrscheinlichkeit ist genauso groß, wie wenn Du eine Fritz Box von Alice verwendet hättest und die Zugangsdaten nicht kennen würdest. Ob die Zugangsdaten auch ohne Alice Anschluss funktionieren, probierst Du am besten selbst aus, zum Beispiel über ein Smartphone oder bei jemandem, der keinen Alice Anschluss hat.