[Problem] Kindersicherung der FB v6.24 wird umgangen?!

[Leo205]

Hallo Leute,

Ich habe mich am Wochenende ununterbrochen mit der Kindersicherung unserer Fritzbox 7490 mit der Firmware Version 6.24 auseinandergesetzt
und bin nun wirklich ratlos.

Das Problem: Seit mehreren Monaten liefere ich mir ein regelrechtes Katz und Maus Spiel mit meinem Sohn. Er umgeht die Kindersicherung,
ich finde heraus wie und behebe die Lücke in den Einstellungen. Die Nutzung des Internets ist für ihn eingeschränkt, d.h. er darf surfen und mailen,
allerdings nicht Computerspiele spielen. Soweit so gut, anfangs hat er einfach durch IP ändern, dann durch MAC Adresse ändern und nachdem ich eine
Whitelist erstellt habe sogar über die MAC Adresse von anderen im Netzwerk freigeschalteten Computern die Sperre umgangen. Mittlerweile hat jedes
einzelne Gerät in unserem Haushalt den eingeschränkten Zugang, sodass MAC Adresse ändern zwecklos ist. Das hat bis jetzt am besten und längsten funktioniert,
jedoch habe ich ihn letzten Freitag beim "zocken" (wie er es so schön sagt) erwischt und leider reichen meine IT-Kenntnisse nicht über Tutorials/Bedienungsanleitungen hinaus.
Ans Passwort kann er nicht kommen, dafür habe ich ausreichend gesorgt, zumal die beschränkten Ports während er gespielt hat aktiviert waren, ebenso wurde die FB nicht zurückgesetzt.

Er muss es irgendwie geschafft haben sich an der Whitelist vorbeizuschmuggeln oder irgendetwas mit einem Proxy gemacht haben (soweit ich das aus anderen Themen hier im Forum aufgegriffen habe)
Ich hoffe mir kann jemand von euch weiterhelfen und ich bin wirklich etwas erstaunt und verärgert über dieses ständige hin und her

Liebe Grüße und schon mal danke für Antworten, Leo

 

[andiling]

Hallo Leo,

willkommen im Forum!

Du wirst Dir wohl andere erzieherische Wege überlegen müssen, Deine Bemühungen haben wohl nicht den gewünschten Effekt, der jüngeren Generation einen verantwortungsvollen Umgang beizubringen.

Wenn Surfen und Mailen erlaubt ist können hierüber Proxy- oder besser noch VPN-Verbindungen aufgebaut werden, da die Fritzbox kein DPI macht bzw. das über SSL sowieso nicht wirklich möglich ist.

 

[qwertz.asdfgh]

Das heißt auch Kindersicherung und nicht Heranwachsendensicherung...

Kurzum, spätestens mit einer funktionierenden VPN-Verbindung sind all diese Bemühungen umsonst.

 

[Leo205]

Danke für die schnelle Antwort.

In den letzten Jahren haben wir schon alles versucht ihm das Spielen abzugewöhnen, aber es ist einfach eine noch unerforschte Sucht.
Den PC an sich und bzw. "Surfen&Mailen" abschalten ist keine Option, da er es viel für die Schule benötigt.

Mich wundert nur wie es ihm immer wieder gelingt, ich habe gefühlt das halbe Internet durchforstet wie man die Whitelist umgehen kann, bin jedoch nicht fündig geworden.
Er hat sich auf irgendeine Weise "unsichtbar" im Netzwerk gemacht, seine normale MAC wird angezeigt und ist auch als eingeschränkt angezeigt, trotzdem bekommt er Zugang zu
gesperrten Ports.

an qwertz.asdfgh: Ja das stimmt wohl, vor allem bei den ganzen Youtube Anleitungen ist es heute möglich alles kurzerhand zu erlernen. Gibt es denn eine möglichkeit herauszufinden ob er es über einen VPN macht? Und wenn ja, lässt sich das verhindern?
Ich komme mir nur total veräppelt vor, wenn ich noch nicht mal meine eigens eingerichtete Sperre umgehen kann, mein Sohnemann es aber schafft.

 

[Hans Juergen]

Bei solchen Katz- und Maus-Spielchen hilft evtl. eine sich nach Häufigkeit potentierende Totalsperre, der Knabe wird hoffentlich irgendwann merken, dass er sich letztlich selbst aussperrt. Dies hat aber seine Grenze darin, dass über die WLAN-Hotspot-Funktion fast jeden Handys ein von dir nicht zu kontrollierender Netzzugang existiert.

Vorläufig könntest du alle Geräte nur im Gastzugang zulassen, da sollte nur Mailen und Surfen zulässig sein.

 

[koyaanisqatsi]

Moins

Ganz wichtig...

Das Standardprofil muss, wie in deinem Fall anzuraten ist, auf Gesperrt eingestellt sein.
Da allen bekannten Geräten eins zugewiesen wurde.

Sonst darf ein Neues nämlich was? Richtig, Alles.


PS: Willkommen im Forum

 

[Leo205]

Danke koyaanisqatsi, ich weiss zwar nicht wie er sich überhaupt trotz Whitelist Zugang verschaffen konnte,
aber evtl. hilft es ja mit der Sperre. Bis jetzt war die Standardeinstellung "eingeschränkt"

Habe mich grade ein wenig mit VPN beschäftigt, heißt das, dass er hat eine "externe" Verbindung zum Router erstellt hat oder wohin?
Ist es möglich dies zu verhindern?
Und wäre die Übertragung nicht viel zu langsam um in Echtzeit online zu spielen?

 

[qwertz.asdfgh]

Mich wundert nur wie es ihm immer wieder gelingt, ich habe gefühlt das halbe Internet durchforstet wie man die Whitelist umgehen kann, bin jedoch nicht fündig geworden.

Sobald "Surfen & Mailen" prinzipiell erlaubt ist gibt es kaum etwas um eine (Open)-VPN Verbindung z.B. über Port 80 oder 443 zu verhindern, da kannst du noch so viel sperren. Praktischerweise wäre er damit für dich auch so gut wie "unsichtbar".

Aber (Open)-VPN war von mir jetzt nur eine (schnelle) Idee um deine "Sperre" zu umgehen, es gibt natürlich noch weitere Möglichkeiten.

Gibt es denn eine möglichkeit herauszufinden ob er es über einen VPN macht?

Paketmitschnitt und diesen anschließend analysieren, z.B. mit Wireshark.

Und wenn ja, lässt sich das verhindern?

Ja, z.B. Sicherung raus, dann geht es u.U. nur noch solange der Akku Energie hat.
Mal sehen wie lange es dann dauert bis dein Sohn z.B. einen Bleiakkumulator im Zimmer stehen hat...

Ich komme mir nur total veräppelt vor, wenn ich noch nicht mal meine eigens eingerichtete Sperre umgehen kann, mein Sohnemann es aber schafft.

Von einer richtigen Sperre würde ich bei einer FritzBox nicht reden denn wie schon geschrieben handelt es sich um eine Kindersicherung.

BTW:
Meiner Erfahrung nach haben mit Kindersicherungen (egal ob wir jetzt vom Internetzugang reden oder von einem Verschluss einer Flasche mit evtl. gefährlicher Chemikalie) i.d.R. Kinder selbst und manchmal aber auch Erwachsene Probleme diese zu umgehen.


edit

aber evtl. hilft es ja mit der Sperre.

Nein.

Ist es möglich dies zu verhindern?

Jein.

Und wäre die Übertragung nicht viel zu langsam um in Echtzeit online zu spielen?

Jein, kommt u.a. darauf an wo der VPN-Server steht.

 

[koyaanisqatsi]

Es gibt im Internet VPN Dienste, in dessen "LAN" sich dann Spieler mit Games, auch mit eigentlich "Nur LAN" Option zum Zocken treffen.
...und "private" VPN Verbindungen funktionieren auch so.

Ich bin kein "STEAM"er, aber könnte mir vorstellen dass die das auch anbieten.

 

[sf3978]

Und wäre die Übertragung nicht viel zu langsam um in Echtzeit online zu spielen?

Ich denke es gibt eine Möglichkeit, für deinen Sohn das "Spielen zur Qual" zu machen. ;-)

Z. B. mit einem RaspberryPI (oder gleichwertig) als WLAN-Client im (W)LAN der FritzBox, der deinem Sohn nicht bekannt sein darf. Mit arpspoof und net.ipv4.ip_forward=1 den Traffic deines Sohnes, von der FritzBox über den PI (als MITM) umleiten und in der FORWARD chain des PI, einzelne Datenpakete seines Traffics blocken mit:

sudo iptables -I FORWARD 1 -m statistic --probability 0.20 -d <IP-Adresse_PC-Sohn> -m multiport --dports 1:65535 -j REJECT

Surfen und mailen sollte (evtl. durch reloads) noch möglich sein. Mit den entsprechenden tools (z. B. tcpdump, iptables, syslog, ...) könntest Du auf dem PI, auch den Traffic zu seinem PC anzeigen lassen.

 

[Hans Juergen]

Toller Vorschlag, ich vermute aber, dass der TO damit überfordert ist...

Wir wäre es mit einer Totalsperre und Zugang über nur mobiles Internet? Für die Schule würde das reichen, aber ob eine langsame Vodafone-Karte auch zum Zocken reicht...? Und wenn, dann sicher nicht lange...

Oder das (W)LAN auf eine 2. Box verlagern und bei dieser Box (Zugang über LAN 1) vorsätzlich einen viel zu niedrigen upload einstellen, damit die Priorisierung kräftig eingereift? Keine Ahnung, ob das hilft,..

 

[thtomate12]

sf3978 hat mich auf die Idee gebracht: HTTP-Proxy (der Sohn darf dann natürlich kein Zugriff aufs Gateway haben), dann kann er nur HTTP(S), darüber Sachen zu tunneln macht keinen Spaß

 

[Leo205]

Aber (Open)-VPN war von mir jetzt nur eine (schnelle) Idee um deine "Sperre" zu umgehen, es gibt natürlich noch weitere Möglichkeiten.

War grade bei ihm am Rechner, in den Netzwerkverbindungen gibt es nur unsere LAN und WLAN Verbindung. Also wird er wohl keinen VPN verwendet haben, oder?
Was für Möglichkeiten kommen noch in Frage die dir einfallen?

@sf3978: Hans Juergen hat da natürlich recht, das ist für mich als Laie Fachchinesisch

@koyaanisqatsi: Genau, er spielt immer Counter Strike über Steam. Er beschwert sich öfters, dass ich ihm wenigstens "Teamspeak" freischalten soll damit er mit seinen Freunden sprechen kann, allerdings konnte er letzte Woche darauf zugreifen obwohl ich nichts an den Ports geändert habe.

 

[qwertz.asdfgh]

War grade bei ihm am Rechner, in den Netzwerkverbindungen gibt es nur unsere LAN und WLAN Verbindung. Also wird er wohl keinen VPN verwendet haben, oder?

Also entweder er hat eine einfachere Lösung gefunden (s.u.) oder er ist geschickt und weiß dass du an seinem Rechner "rumschnüffelst" und hat die VPN-Verbindung vor dir versteckt (z.B. nur temporär installiert).

Was für Möglichkeiten kommen noch in Frage die dir einfallen?

Proxy (über Port 80) oder andere (proprietäre) Tunnel-Protokolle. Ich bin kein Gamer und weiß daher nicht ob einige Spieleplattformen da bereits etwas mitliefern, koys Vermutung (#9) könnte somit auch eine Möglichkeit sein.

http://heise.de/-1412967

BTW:
Ich habe gerade ein Déjà-vu:
[thread]264846[/thread]

---

Z. B. mit einem RaspberryPI (oder gleichwertig) als WLAN-Client im (W)LAN der FritzBox, ... (als MITM)

Hmm, ich würde das anders "lösen" (irgendwie gefällt mir das Wort nicht bei der Problemstellung des TE). FritzBox als Router raus* und einen anderen Router einsetzen, z.B. ein OpenWRT, pfSense, IPFire usw. basierter Router/Firewall z.B. mit einem (restriktiven) Proxy.
Fraglich nur ob das wirklich funktioniert in Zeiten von PrePaid-Mobilfunk...

*)
Evtl. die FritzBox nur als vorgelagerter DSL-Router für die Firewall bzw. für die "erwachsenen" Nutzer im Haushalt oder die FritzBox "aufbohren" (z.B. mit Freetz, koy hätte da vielleicht ein paar Ideen ).

 

[sf3978]

... einen anderen Router einsetzen, z.B. ein OpenWRT, pfSense, IPFire usw. basierter Router/Firewall z.B. mit einem (restriktiven) Proxy.
...

... oder die FritzBox "aufbohren" (z.B. mit Freetz, koy hätte da vielleicht ein paar Ideen ).[/I]

Das mit dem PI ist die billigere Lösung. Ein anderer Router mit OpenWRT ist besser, aber teurer und eine aktuelle FritzBox mit Freetz wäre auch ok, wenn iptables mit der aktuellen FW der FB möglich ist.

 

[qwertz.asdfgh]

Das mit dem PI ist die billigere Lösung.

Ein OpenWRT kompatibler Router incl. WLAN, Netzteil und Gehäuse ist günstiger zu bekommen als ein Raspberry Pi.

 

[sf3978]

... günstiger zu bekommen als ein Raspberry Pi.

Ja das stimmt, ... aber dieser (billige) Router ist mit der Fritzbox 7490 (... die der TE z. Zt. hat), nicht vergleichbar.

 

[qwertz.asdfgh]

... nicht vergleichbar.

Soll er auch nicht, eine Himbeere ist auch nicht mit einer 7490 vergleichbar, warum auch. Der OpenWRT-Router soll (so wie die Himbeere) nur als "Firewall" zum Einsatz kommen für den Betrieb hinter der FritzBox (was da "vergleichbar" sein soll verstehe ich nicht).

Alternativ kann man aber auch ein Gerät einsetzen was FritzBox und Himbeere/xWRT-Router gleichermaßen ersetzt... Möglichkeiten gibt es insg. nicht wenige (wobei das mit integriertem xDSL-Modem nicht mehr ganz so einfach wird).

 

[sf3978]

Der OpenWRT-Router soll (so wie die Himbeere) nur als "Firewall" zum Einsatz kommen für den Betrieb hinter der FritzBox ...

Dann hast Du meinen 1. Beitrag nicht richtig gelesen, denn ich habe mich nicht auf die Himbeere festgelegt. Ich habe dort u. a. geschrieben:

... RaspberryPI (oder gleichwertig) ...

 

[qwertz.asdfgh]

Und du meine Antwort darauf anscheinend nicht. :mrgreen:
Ich wollte eigentlich mehr zum Ausdruck bringen, dass ich (d)eine MITM/ARP-Lösung nicht unbedingt als die optimalste ansehe, mir wäre hier ein Gerät lieber wo man flexibel mehrere physikalische Interfaces einrichten/verwalten kann und da ist eine Himbeere out of the box nicht unbedingt die optimalste Lösung auch wenn mit dieser fast nichts unmöglich ist.