[Info] Papier ist bekanntlich geduldig ... was bringt die TR des BSI für die Router?

[PeterPawn]

Heute geht es ja durch die (spezialisierten) Medien:

https://www.heise.de/security/meldu...schen-Richtlinie-sicherer-machen-4222689.html (Kurzlink: https://heise.de/-4222689)
https://www.golem.de/news/bsi-richt...nde-nicht-auf-geraet-drucken-1811-137119.html

zur Historie und zum Tauziehen über die Inhalte gehört auch das:
https://www.golem.de/news/bsi-richt...t-ueber-die-routersicherheit-1801-132363.html
https://www.golem.de/news/bsi-richtlinie-zu-routersicherheit-kommt-anfang-november-1810-137069.html

, daß das BSI nunmehr eine "Technische Richtlinie" (ganz genau die "BSI TR-03148 Secure Broadband Router") veröffentlicht hat, mit der unser aller (Home-)Router sicherer werden sollen - auch wenn wohl niemand weiß, wie das genau gehen soll für die Geräte, die heute schon in den Haushalten stehen und noch ein paar Jahre ihren Dienst tun werden.

Vieles von dem, was darin steht, kann man aber auch schon heute als "best practice" in vielen Routern sehen und auch die AVM-Geräte machen da (weil es hier ja ein AVM-Forum ist) nicht die schlechteste Figur - auch wenn sie lange nicht alle Forderungen erfüllen, besonders im Hinblick auf die automatisch vorhandenen oder vom Besitzer erst zu startenden/konfigurierenden Dienste:

All functionalities (e.g. NAS or Smart Home) that do not affect the Internet gateway and network management functionality of the router (See Section 2: Scope) and thus do not affect IT-security of the routers for end-users are out of scope, but must be deactivated per default (see Section 4: Functionalities).

und dann in Kapitel 4:

To minimize possible vectors for an attacker it is RECOMMENDED, to only have a minimum set of functionalities activated in factory settings and after initialization. Functionalities, which are deactivated as a
factory setting MUST be made transparent to the end-user IF they become activated during initialization. Functionalities MUST NOT be hidden from the end-user.

und in 4.8 (Remote Configuration) - aka TR-069 - dann noch das:

Remote configuration MUST only be allowed with an encrypted and (server-) authenticated connection according to [TR-02102-2] Section 3 Recommendations or other techniques fulfilling the same security requirements. It MUST be visible to the end-user, if remote configuration is currently activated.

Künftig dürfen wir dann auch bei (konformen) FRITZ!Boxen also davon ausgehen, daß die Informationen zu TR-069 wenigstens sichtbar sind (auch bei Provider-Boxen, denn da steht ja ausdrücklich, daß der "end-user" das sehen können muß), selbst wenn man sie bei Mietgeräten wohl nicht abschalten können muß. Bei DOCSIS-Geräten gehört dann vielleicht auch noch der Hinweis auf die Konfigurationsmöglichkeiten über SNMP (das dort im Standard verankert ist) dazu - die wenigsten "end-user" dürften sich damit auskennen.

Ob sie sich dafür interessieren oder nicht, ist dann wieder eine andere Frage ... aber das "Wer sich dafür interessiert, hätte es wissen können." wird damit als Argument nicht länger ziehen, wenn ein Hersteller solche Möglichkeiten für "fremdbestimmte Geräte" im Netz des Kunden einfach unterschlägt. Da reicht jetzt wohl auch kein Verweis auf Seite 2158 im Handbuch, wo diese Möglichkeit mal am Rande erwähnt wurde ... ein "MUST be visible to the end-user" ist damit wohl kaum "befriedigt".

Was das jetzt für den Media-Server heißt und ob AVM den weiterhin in den Werkseinstellungen aktiviert läßt (wo er dann auch gleich den Inhalt des eingebauten NAS-Flashs und aller angesteckten USB-Volumes automatisch für (unauthentifizierten) Lesezugriff für jedes Gerät im LAN zur Verfügung stellt), wird die Zukunft hoffentlich zeigen. Vielleicht liest AVM ja auch den Abschnitt 2.3 und darin besonders die Ausführungen im letzten Absatz.

-------------------------------------------------------------------------------------

Trotzdem ist die TR (neben der Kritik am Inhalt, die auch in diversen Quellen nachzulesen ist) irgendwie ein zahnloser Tiger und stellt am Ende auch nicht mehr als eine "Empfehlung" dar. Wenn ich nichts verpaßt habe, ist es eben auch künftig erlaubt, Geräte als Broadband-Router zu betreiben (und auch in D zu vertreiben), die den in der TR niedergelegten Vorstellungen nicht mal im Ansatz gerecht werden und damit landet der schwarze Peter dann doch wieder beim Kunden/Verbraucher.

Weiterhin kann jeder Provider seinen Kunden Geräte "überlassen", die diesen Anforderungen nicht entsprechen und jeder Kunde kann weiterhin die unsicherste Büchse von allen für seinen Anschluß verwenden, selbst wenn die 10 Sekunden nach dem Herstellen der Verbindung zum Provider schon auf einen "anderen Herrn und Meister" hört.

Irgendwelche Konsequenzen für einen der Beteiligten gibt es wohl nicht ... weder beim Hersteller, noch beim Provider oder gar beim Kunden. Vielleicht wird das irgendwann in der Zukunft mal eine Rolle spielen in irgendwelchen Prozessen, was denn nun "Stand der Technik" ist (bzw. war) und wieviel Sicherheit man von einem solchen Router als Kunde (oder Provider, denn irgendwann kommen auch mal Prozesse wegen "Fremdnutzung" zustande, wo der Kunde in Anspruch genommene Leistungen des Providers dann nicht zahlen will) wohl erwarten darf, wenn es von einem Händler nach D eingeführt und hier verkauft wird.

Aber auch da spielt dann eher wieder der EU-Binnenmarkt eine Rolle ... denn solange solche "Vorgaben" nicht in allen Mitgliedsstaaten gelten, darf wohl kein Staat alleine irgendwelche Verkaufs- oder Nutzungsverbote für (bekannt) unsichere Router verhängen.

So nett es also auch sein mag, daß mal jemand beim BSI aus den Empfehlungen, die man ansonsten auch direkt im Internet nachlesen könnte, eine "Technische Richtlinie" zusammengeschrieben hat ... so nutzlos ist sie (zumindest in meinen Augen) aber auch und da kommt dann noch die Frage obendrauf, warum es von dieser TR eigentlich keine deutsche Übersetzung gibt (zumindest finde ich keine: https://www.bsi.bund.de/DE/Publikationen/TechnischeRichtlinien/traenderungen_node.html).

Denn die Ausführungen im Abschnitt 2.3 (Threat Model) könnten auch als "amtliches Dokument" durchaus ihren Beitrag leisten, entsprechende Argumentationen im Internet zu untermauern ... wenn jemand in einem Blog die potentiellen Gefahren beschreibt, denen ein SOHO-Router (bzw. eigentlich jedes Netz) ausgesetzt ist, dann kann so ein Verweis auf ein Dokument des BSI (zumindest für den "normalen" Entscheider, der nicht ohnehin viele der Aussagen des BSI etwas argwöhnisch betrachtet - und zwar häufig auch zurecht) schon dem Ganzen etwas mehr Gewicht verleihen ... aber dazu sollte es dann auch "ohne Bruch" zu integrieren sein und das ist bei einem englischsprachigen Dokument einer deutschen Behörde (und das "Bundesamt" ist m.W. eine solche) schon irgendwie komisch, solange der/das Blog nicht auch in Englisch verfaßt ist, was es (immer noch) für viele Verbraucher halt weniger interessant macht.

Mein (persönliches) Fazit: Neuer Wein in alten Schläuchen (oder wie das richtig heißt im Volksmund) und der Wille, bloß niemandem weh zu tun und gleichzeitig sagen zu können: "Wir haben doch unsererseits alles Erdenkliche getan.", scheint an viel zu vielen Stellen durch - da bin ich ganz der Meinung der Kommentatoren bei heise.de und golem.de.

 

[deoroller]

Wenn AVM sich an die Mindeststandards der TR hält, müssten sie den Service stark herunter fahren.

Die wichtigsten Neuerungen im Sicherheitsbereich, die AVM als Update für Geräte bringen wird, die bereits Fritz!OS7 unterstützen, werden WLAN Update auf WPA3 und NAS Update auf SMB3-Protokoll sein.
Und das ganz ohne TR.

 

[PeterPawn]

werden WLAN Update auf WPA3 und NAS Update auf SMB3-Protokoll sein.

Das wäre dann eine eher schlechte Entscheidung ... schau Dir mal die Unterschiede zwischen WPA2 und WPA3 an und dann sage mir, welcher der Unterschiede für ein (schon heute vernünftig konfiguriertes) WLAN die größte Bedeutung hat. Zwar ist AVM mit 20 Zeichen numerisch beim WPA2-Key halt wirklich etwas "weak" (auch wenn die TR - um die es hier geht - gar nicht mehr fordert und es eben auf den rein numerischen WPA-PSK von AVM zurückzuführen ist, der den Schlüsselraum für (offline-)"brute force"-Attacken arg einschränkt) und könnte tatsächlich von SAE profitieren ... aber das erhöht die gesamte Sicherheit einer FRITZ!Box auch erst dann wieder, wenn es keine alten WPA2-Clients mehr gibt, die weiterhin die PSK-Authentication so machen, daß Offline-Attacken möglich sind und wie lange das dauern wird, bis diese Geräte alle ausgemustert oder aktualisiert sind (bis hin zur letzten WLAN-Steckdose, die heute noch "neu" ist und trotzdem nur WPA2 versteht), kannst Du ja mal versuchen zu schätzen.

Wenn AVM tatsächlich WPA3 implementiert (am Ende ist es an vielen Punkten ja auch nur so, daß bereits angebotene Features (u.a. PMF) dann nicht mehr optional sind), dann eher aus Marketing-Gründen (damit man damit protzen kann auf dem Karton im Elektronik-Markt) als aus wirklich praktischen Erwägungen. Selbst viele aktuelle Linux-Distributionen kommen auch heute noch mit dem "normalen" "wpa_supplicant", der m.W. keinen SAE-Support bietet und für Windows 10 tauchten in der vergangenen Woche erst im SDK für das Frühjahrsupdate (1903, wenn MS bei der Nomenklatur bleibt) die ersten Symbole in einer "enumeration" auf, die auf WPA3 hindeuten könnten.

Das dauert also noch einige Zeit und wenn AVM sich jetzt tatsächlich schon auf WPA3 stürzen sollte, wäre der Effekt (nach meiner Ansicht) eher gering und wenn es dann wirklich etwas bringt (weil alle Clients nur noch mit WPA3-SAE den Key-Exchange machen), dann ist wohl schon die übernächste Generation von FRITZ!Boxen am Start.

Das Schielen auf WPA3 ist also eher witzlos (und ein wenig auch ein Hereinfallen auf solche Marketing-Aussagen) ... das ist auch bei diesem Standard ein wenig wie beim USB, wo man auch heute noch Geräte kriegt, die nur USB2 unterstützen, obwohl der (originäre) USB3-Standard inzwischen auch schon 10 Jahre auf dem Buckel hat. Gut, mit dem gab es keine neuen Sicherheitsmerkmale ... aber die Vorteile für die Benutzer waren vermutlich sogar augenfälliger, als es bei WPA2 vs. WPA3 der Fall ist und wie die Leute so sind - solange man Sicherheit nicht sehen oder anfassen kann und solange sie nicht selbst unter einem erfolgreichen Angriff zu leiden hatten, interessiert das nur eine Minderheit. Die kann (und wird) dann vielleicht tatsächlich schon in absehbarer Zeit nur noch einen Gerätepark benutzen, bei dem ein Fallback auf WPA2 gar nicht mehr vonnöten ist ... aber seit wann baut AVM denn in die Firmware Features ein, die nur für (wirklich kleine) Minderheiten von Belang wären?

--------------------------------------------------------------------------------------------------------------

Ähnliches gilt in zunehmendem Maße auch für den SMB-Support ... schaut man sich mal außerhalb von Windows-Systemen um, was so die "lingua franca" bei der Datenspeicherung ist (auch und gerade für Cloud-Services, die z.B. von Mobilgeräten immer noch am besten unterstützt werden), dann landet man schnell bei WebDAV. AVM hat ja (vermutlich) die alte Samba-Version auch nicht aus reiner Lust an der Freude immer noch in der Firmware - schaut man sich an, wieviele Anpassungen AVM da vorgenommen hat, kann man eine Vorstellung davon bekommen, warum AVM bei den letzten Samba-Lücken tatsächlich nicht betroffen war, weil die samt und sonders nur in neueren Interfaces auftraten, die von der AVM-Version noch gar nicht implementiert werden.


Wenn ich AVM wäre, würde ich auch den Teufel tun und mir mit einer neueren Samba-Version (die dann ebenfalls wieder heftig angepaßt werden müßte - oder der Rest der Firmware (bis hin zu den ACL-Tests) muß an Samba angepaßt werden) wieder eine Software ins Boot holen, in der jederzeit neue Sicherheitslücken auftauchen können (und sei es durch die eigenen Anpassungen) und die ohnehin nur von Geräten benötigt wird, die immer mehr an Bedeutung im Heimnetz verlieren.

Wieviele PCs (egal welches OS, weil alle drei "mainstream OS" SMB unterstützen) gibt es denn heute in einem durchschnittlichen Haushalt im Vergleich mit anderen Geräten - wie Smartphones, Tablets, Spiele-Consolen und SmartHome-Geräten? Was die brauchen (u.a. auch zur Datensicherung), sind standardisierte Protokolle zum Zugriff auf Daten und da ist heute praktisch alles (von "micro services" mit XML/SOAP und JSON bis zum Datei-Download oder -Upload) auf HTTP-basierte Kommunikation ausgerichtet und genau da gehört das WebDAV-Protokoll auch dazu.

Wenn AVM also "schlau" ist (zumindest nach meiner Meinung), dann investiert man den Aufwand nicht in eine Anpassung einer neueren Samba-Version an das FRITZ!OS (die dann wieder die nächsten 12-15 Jahre "reichen" muß), sondern in das Implementieren eines C-basierten WebDAV-Servers für das FRITZ!OS und hat damit dann wieder eine "Vorreiter-Rolle" im Embedded-Sektor, weil es einen solchen Server m.W. bisher tatsächlich noch nicht gibt. Alles, was da schon existiert, braucht irgendwelche größeren Frameworks und ist damit für kleinere Geräte mit beschränkten Ressourcen eher ungeeignet, obwohl das Protokoll selbst gar nicht so aufwändig ist.

Aber das versteht dann wirklich (fast) jedes heute aktuelle Gerät ... und das ganze Geraffel in Samba4 für die AD-Rolle in einem Netzwerk, braucht eine FRITZ!Box ohnehin nicht (könnte sie auch nur schwer leisten bzw. wäre dann nicht mehr "hausfrauentauglich") und für SMB2-Support müßte AVM ohnehin wenigstens den Sprung auf Samba 3.5 machen.

Die Feststellung, daß AVM den Schritt zur Umwandlung des "ntfs-3g"-Codes in einen Kernel-Treiber gewagt hat (um damit das "fuse bottle-neck" zu umgehen), stimmt mich da sehr optimistisch, daß AVM auch mutige Entscheidungen trifft, wenn es nötig ist.

 

[koyaanisqatsi]

Und was nutzt die "gefühlte Sicherheit" bei den super modernen Rechnern, die die reiskorngrossen chinesischen Spionagechips auf der Platine haben ?
...aber ist bestimmt wieder nur so eine "Fake News".
( Apple ist richtig angep...t )
Es sei denn ein Whistleblower bestätigt dies glaubwürdig.

 

[deoroller]

Wenn ich AVM wäre, würde ich auch den Teufel tun und mir mit einer neueren Samba-Version [...]

Die haben sich bereits festgelegt.

Wir arbeiten an der Unterstützung von SMB3 durch FRITZ!OS und werden diese in einem Update für die FRITZ!Box bereitstellen. Einen Termin für das Update können wir noch nicht nennen.

https://avm.de/service/fritzbox/fri...on-der-FRITZ-Box-unterstuetzte-SMB-Versionen/

Und was ist schlecht daran, wenn AVM zügig WPA3 bei den aktuellen Produkten einführt? Man muss es ja nicht nutzen. Ich habe bei allen WLAN-Geräten WPA2 AES aktiv. Das älteste Teil ist eine 12 Jahre alte WLAN-Brücke.

 

[PeterPawn]

Die haben sich bereits festgelegt.

Solange das nicht vorliegt, ist es vermutlich noch nicht in Stein gemeißelt ... aber selbst wenn es so kommen sollte, dann gibt es eben wieder ein (schwergewichtiges) Paket mehr in der FRITZ!Box, worüber man versuchen kann, in sie einzudringen - kann mir ja eigentlich nur recht sein bei der Suche nach Schwachstellen. Wenn AVM tatsächlich SMB3 (voll) unterstützen will (und sei es nur als Fileserver), wird es ja mindestens Samba 4.1 werden - ich bin schon sehr gespannt, wie sich das dann auf einer 7560 (mit 128 MB RAM gesamt) darstellen wird, wenn da noch ein paar andere Dienste von AVM laufen.

Auch hast Du mich vermutlich eher falsch verstanden (wobei ich ja auch selbst schuld bin, wenn ich nicht einfach alles zitiere) ... denn auch wenn ich Deinen Satz nicht in Gänze zitiert habe, fing der ja wohl mit

Die wichtigsten Neuerungen im Sicherheitsbereich, die AVM als Update für Geräte bringen wird, die bereits Fritz!OS7 unterstützen, werden WLAN Update auf WPA3 und NAS Update auf SMB3-Protokoll sein.

an und das ist es, was ich als schlechte Entscheidung ansehen würde, denn da hat AVM (für mich) noch ganz andere Probleme, die deutlich dringender zu lösen wären als ein WPA3-Update "für die Galerie" (warum ich das so sehe, habe ich weiter oben schon geschrieben) oder der - für mich eher überbewertete, aber ich bin auch nicht wirklich "windows-zentriert" in meinem Weltbild - SMB-Zugriff.

Wenn das bei einem "richtigen" NAS vielleicht eine Rolle spielt bei der Datensicherung, kann ich das noch nachvollziehen (und ein NAS ist auch sicherheitstechnisch deutlich unkritischer als ein Edge-Router und die haben trotzdem ständig auch irgendwelche Lücken) ... aber welcher Mensch - ohne eine engelsgleiche Geduld - macht denn eine Datensicherung von Windows auf ein Volume an einer FRITZ!Box? Das würde ich nicht mal für die "File History" in Windows als "network location" benutzen. Wenn AVM tatsächlich Überbevölkerung bei Programmierern hat (ein heutzutage eher selten anzutreffender Zustand in Unternehmen), dann finde ich es auch nicht schlecht, wenn man an den erwähnten Stellen arbeitet ... solange nichts Wichtigeres (für die Sicherheit der Kunden) dabei liegenbleibt.

---------------------------------------------------------------------------------

Aber die "sonstigen Probleme", die ich bei der FRITZ!Box sehe, finde ich halt dringender ... ich bin nun mal dieser Meinung und kann/will das auch kaum ändern.

Denn das geht schon mit der Trennung von Gastnetz (an LAN4) und dem "eigentlichen" LAN los - beim Systemstart sind die m.W. immer noch miteinander verbunden, was den Gedanken, daß man da ein isoliertes Netz hätte, einigermaßen absurd erscheinen läßt. Ich teste das zwar nur sporadisch, wenn es mal wieder eine neue Version von AVM gibt und die verschiedenen Boxen (bzw. deren Bootloader) verhalten sich da auch immer mal anders ... aber wenn ich eine Box mit gebrückten Ethernet-Ports im Bootloader anhalten kann (dafür brauchts nur den FTP-Zugriff an sich, noch nicht mal die erfolgreiche Anmeldung mit dem hochgeheimen Benutzer "adam2" - das Kennwort dafür ist auch "adam2", aber nicht weitersagen), dann bin ich schon mal aus dem "Gastnetz" an LAN4 erfolgreich ausgebrochen (sofern ich diesen FTP-Zugriff auch auf LAN4 abwickeln konnte) und kann mich jetzt weiter vorarbeiten. Und selbst wenn ich dann durch das Fehlen der FRITZ!Box als Router gerade kein Internet haben sollte - vielleicht finde ich ja stattdessen im LAN einen PC mit der EternalBlue-Lücke? Oder ein verwundbares Android-Gerät, dessen Hersteller den Besitzer durch fehlende Updates im Regen stehen läßt?

Zwar deaktiviert AVM bei der Umschaltung auf "LAN1-Router" auch ganz brav (aber eher symbolisch) das Gastnetz an LAN4 (selbst wenn das zuvor nicht aktiv war, zumindest war es bei der 06.93 noch so) ... nur kann man es dennoch danach wieder einrichten und dabei gibt es keineswegs noch einmal eine entsprechende Warnung oder einen Hinweis - weder beim Einrichten noch in der Sicherheitsdiagnose.

Ähnliches gilt für Boxen im "Router-Modus ohne Modem" ... wenn in der Werkseinstellung der WAN-Port (oder auch LAN1 bei den Modellen ohne diesen gesonderten Port) der restlichen Netzwerk-Bridge zugeschlagen ist, dann kann ich von der "WAN-Seite" der Box auch bis zu den Clients an den anderen Ports durchgreifen ... da ist dann keine Firewall mir mehr im Weg.

Ich muß die Box nur dazu bringen, irgendwie die Werkseinstellungen zu laden ... dafür gibt es auch wieder mehrere Wege. Das fängt mit dem Login-Dialog an, wenn da innerhalb der ersten 10 Minuten ein Zurücksetzen möglich ist und keine 2FA aktiviert wurde (m.W. ist die wenigstens inzwischen erforderlich beim Zurücksetzen aus diesem Dialog heraus) und geht wieder bis zum Löschen der Einstellungen über den Bootloader, wie es das Recovery-Programm von AVM auch machen würde. Wobei auch hier wieder der gesonderte WAN-Port bei den neueren Modellen ein Vorteil zu sein scheint, denn offenbar kann man von diesem nicht auf den Bootloader zugreifen und da der "ctlmgr" für das Webinterface erst nach dem "dsld" startet, der den internen Switch konfiguriert, kann man vom WAN-Port auch die Box nicht zurücksetzen, wenn sie als Router ohne Modem arbeitet.

Das wären für mich aber zwei Stellen, wo es wirklich wichtig wäre, daß AVM etwas unternimmt, wenn immer mehr Geräte mit eher "undurchsichtigen Funktionen" (Stichwort IoT) im heimischen Netz landen ... und mit mehreren FRITZ!Boxen als Mesh gibt es auch immer irgendwo einen gerade nicht startenden AP, über den auch WLAN-Geräte (ohne eigene kabelgestützte Verbindung zur startenden FRITZ!Box) zur Gefahr werden könnten und wo die frühere These, daß von Geräten ohne Ethernet-Verbindung gar keine Gefahr ausgehen könne (weil die startende FRITZ!Box ja noch kein WLAN bereitstellt), dann auch schnell Makulatur werden kann.

Ich kann (beim besten Willen) keinen Grund erkennen, warum beim Booten für ca. 5 Sekunden tatsächlich alle Ethernet-Ports einer FRITZ!Box untereinander verbunden sein müssen (wobei das - wie erwähnt - wohl auf den WAN-Port zumindest bei einigen Bootloader-Versionen nicht zutrifft) und warum der FRITZ!Box-Besitzer sich aussuchen kann, an welchem Port er seinen PC für den Zugriff auf den Bootloader anschließt.

Das ist total unnötig ... hier wäre es schon ein Sicherheitsgewinn, wenn da nur LAN2 aktiv ist (LAN1 ist eine schlechte Idee, solange in bestimmten Konfigurationen dort auch das "böse Internet" lauern kann) und man das beim Verkabeln dahingehend berücksichtigen kann, daß man dort eben erst dann ein Gerät anschließt, wenn man es braucht oder wenn es sich ansonsten nicht vermeiden läßt (und dann noch in der Security-Seite eine entsprechende Warnung angezeigt wird). Von den ganzen anderen Möglichkeiten der Absicherung des Bootloaders (bis hin zur Verwendung echter Credentials anstelle von "adam2/adam2" und dem "Knopfdruck", wenn man auf den FTP-Server zugreifen will) mal ganz abgesehen ...

Die FRITZ!Box ist (inzwischen) unbestritten gut, was die Sicherheitsvorkehrungen angeht und an den meisten Stellen auch um Längen besser als die Konkurrenz - und trotzdem gibt es immer noch irgendwo ein paar Stellen, wo Angriffe möglich sind. Wer das nur als "Spinnerei" ansieht und als "Gedankenspiel", dem zeige ich das gerne (aber dann nicht kostenlos, wie bei den Beschreibungen hier im IPPF) an seinem eigenen Router, wie das geht (mit einem Relay mit kabelbasierter Ethernet-Verbindung zu einem (lkalt-)startenden Router).

Selbst mit originaler Firmware (also ohne diese selbst zu ändern) kann man die meisten FRITZ!Boxen auch heute noch problemlos "übernehmen", wenn man Zugriff auf den Bootloader erhält - die zusätzlichen Möglichkeiten, die sich aus der Verwendung einer speziell präparierten Firmware ergeben, leuchten sicherlich auch jedem (zumindest jedem IPPF-Leser) ein.

Wie das für das Umgehen der Benutzerverwaltung funktionieren kann, habe ich hier mal beschrieben vor längerer Zeit ... auf diesem Wege kann man natürlich auch jede andere FRITZ!Box-Einstellung manipulieren und muß dafür nicht gleich das TFFS löschen, was der Besitzer dann vermutlich mitbekommen würde. Ein "zwischenzeitlicher Start" einer Box mit einer präparierten Firmware, die sich an den Einstellungen zu schaffen macht (oder im Falle der VR9-Modelle auch am Wrapper-FS, wie es die "Notfall-Images" für das Einpflanzen von Shell-in-a-Box zeigen), dauert vielleicht 30 Sekunden extra ... da noch kurz mit irgendwelchen LEDs geblinkt, damit der Benutzer einen spontanen Fehler vermutet und er wird eher erleichtert als mißtrauisch sein, wenn beim zweiten Versuch dann alles glattgeht.

So schön es auch ist, daß die Box immer noch die Installation eigener Firmware erlaubt (eine der Forderungen des CCC, die es nicht in die TR geschafft hat), so schlecht ist der Bootloader gegen Mißbrauch gesichert. Das kann man zwar einerseits durch Kryptographie erreichen (und damit auch die "Bastler" aussperren oder es zumindest versuchen), aber auch mit ein paar sinn- und maßvollen Korrekturen am Verhalten des Bootloaders könnte man hier schon viel gewinnen.

Auf diese "Basissicherungen" in einem Router ohne alle Zusatzfunktionen bezieht sich die TR auch nur ... und wenn AVM hier tatsächlich einen Vorsprung hat, was u.a. die diversen Forderungen nach Information des Besitzers über bestimmte Aktivitäten angeht, dann ist der auch erst in den letzten Versionen erarbeitet. Sooo lange gibt es bei AVM die Information des Besitzers über versuchte Angriffe nun auch noch nicht, daß man gleich in Euphorie verfallen muß (so verstehe ich nun wieder den ersten Satz in #2), weil das bei AVM alles schon von Beginn an so geplant und umgesetzt war.

Bis zur Version 06.8x (aus dem Gedächtnis, kein Anspruch auch korrekte Erinnerung, es könnte auch erst bei der 06.9x geändert worden sein) konnte man noch problemlos mit dem FTP-Server "Kennwort knacken" spielen ... wenn man ein eigenes, passendes Konto auf der Box hatte (aber eines ohne administrative Berechtigungen, nur für den FTP-Server - sonst braucht's ja das "Knacken" des Kennworts nicht), sogar ohne nennenswerte Verzögerungen durch den Schutz gegen "brute force"-Attacken (wo die Pause vor dem Login-Versuch immer länger wird), weil nach einem erfolgreichen Login die Verzögerung wieder entfiel und Fehlversuche beim Login gar nicht erst protokolliert wurden. Welch' eine schöne Spielwiese für den Nachwuchs mit "reglementiertem Internet", der aber trotzdem auf den USB-Stick an der Box zugreifen darf und dafür seinen eigenen Account auf der Box hat - bekanntlich kommt auch ein großer Teil von Angriffen auf IT-Infrastrukturen (sowohl in Firmen als auch in Familien) von "innen".

 

[GokuSS4]

Wenn keine FRITZ!Box, was ist denn die Alternative für einen Standarduser?

 

[PeterPawn]

Ich würde gar nicht sagen, daß es etwas anderes als eine FRITZ!Box sein soll ... andere Geräte haben auch häufig genug Probleme (bzw. genau dieselben), auch wenn die (sicherlich auch wg. der geringeren Verbreitung in D) hier eher selten Thema sind.

Einiges läßt sich sicherlich nicht direkt auf andere Hersteller übertragen (die Bootloader-"Probleme" sind schon AVM-spezifisch, weil es der Loader ja auch ist), aber man braucht nur mal im Netz zu suchen, welche Probleme auch andere Hersteller regelmäßig haben ... wer das wieder aus der AVM-Sicht haben will, schaut sich deren "Sicherheitshinweise" an (https://avm.de/service/aktuelle-sicherheitshinweise/), wo dann von AVM immer betont wird, daß/warum/wie weit AVM-Geräte von den gerade aktuell ventilierten Problemen anderer eben nicht betroffen sind.

Die FRITZ!Boxen bleiben m.E. schon beim Funktionsumfang, der Klarheit der Bedienung und der "Alltagstauglichkeit" das Maß der Dinge (zumindest für deutschsprachige Nutzer) in dem Preissegment, wo man normalerweise von SOHO-Routern spricht. Auch die TR dreht sich um diese "Preisklasse" und nicht um Lancom oder Bintec Elmeg, wobei letztere vielleicht am oberen Ende der Preisskala noch mitreden könnten - und AVM davon auch nicht soo weit entfernt ist in preislicher Hinsicht.

Aber schon bei den Speedports der Telekom finde ich (ist also mehr persönliche Meinung als objektive Aussage), daß die Bedienung sich (immer noch) viel zu sehr am "Telekom-Deutsch" orientiert, über mehrere Modelle eben nicht einheitlich ist (liegt sicherlich auch an den verschiedenen Quellen der Hard- und Software) und auch beim Funktionsumfang können sie nur selten mithalten (und dann liegen sie preislich in derselben Region) - punktuell haben sie allerdings sogar wieder Vorteile (Hybrid, SmartHome auch abseits von DECT-ULE/HAN-FUN), die dann jeder Kunde mit seinen Anforderungen vergleichen muß, wenn er die Wahl für einen Router treffen soll.

Als "Komplettpaket" sind die AVM-Produkte schon gar nicht schlecht ... auch wenn sie eben eher einen "Querschnitt" an Funktionen bieten und damit bei vielen Features auch nur "Mittelmaß" (oder Durchschnitt, was ja eigentlich auch nur ein anderes Wort dafür ist, wenn auch mit weniger negativer Konnotation) bieten, was andere Geräte dann wieder (aber eben auch nur punktuell, z.B. beim WLAN mit höherer Reichweite durch "externe" Stabantennen) besser machen.

In der "Gesamtheit" gewinnen die AVM-Geräte dann halt auch so manchen Vergleichstest (durchaus auch solche, wo man die Kriterien als objektiv ansehen kann), selbst wenn sie die "Spitzenposition" bei hardwarelastigen Testkriterien eher selten erreichen. Als "bester Durchschnitt" sind m.E. die AVM-Geräte für den "Standarduser" durchaus zu empfehlen ... es sei denn, er braucht/will vieles von den angebotenen Funktionen dann doch nicht und wäre mit einem preiswerteren Gerät (wobei man auch die TCO über drei bis fünf Jahre berücksichtigen sollte, die bei einem AIO und getrennten Geräten entstehen) ebenso gut bedient.

Aber auch mit der angebotenen Zusatzsoftware für den "mobilen Benutzer" kann sich AVM eben durchaus sehen lassen ... wenn man sich nicht nur auf das Gerät an sich, sondern auch auf die damit (einfach) zu benutzenden Funktionen konzentriert. Der blinde Fleck, den AVM bei den Recovery-Programmen für andere Plattformen als Windows hat, setzt sich zwar leider bei den Apps dann genau anders herum fort, aber "Gadgets" mit Windows als OS sind ja auch eher Exoten und daß auch Windows 10 mit "Apps" umgehen kann, wird sich vermutlich auch bis zu AVM noch herumsprechen und dann kommen ja vielleicht auch noch Windows-taugliche Apps als Pendants zu den iOS- und Android-Versionen eines Tages hinzu.