Remote Management bei der FBF - ohne SSH

[HobbyStern]

Hallo Alle,

vorweg kurz - ich kenne das RemoteManagement-Workaround zur FBF, das ganze ist auch für eine FBF okay, jedoch muss ich einige ändern.

Zur Sache : Ich suche eine sehr leichte Möglichkeit eine Freigabe auf die Konfig der FBF zu ermöglichen - ich habe das ganze bisher so gehandhabt das ich die Konfiguration geladen habe, dort eine beliebige Freigabe auf die IP der Box geändert habe und das ganze zurück lud.

So war ein Port für den Fall der Fälle offen ohne viel Aufwand zu betreiben.

Nun ist diese Lösung anscheinend nicht Update-fähig, s.h. kommt ein Update fliegt der Port.

Hat jemand da eine leichte Lösung die man auch per WLAN implementieren kann ?


Nur so als Anmerkung - ich verstehe das die FBF ein "Consumer" Produkt ist und als solche "einfach" sein soll, aber ich finde es eine absolute "Verhätschelung" eines Benutzers wenn ihm die Möglichkeit genommen wird eben ein solches RM auf der Box zu aktivieren - auch wenn es dem DAU dann ein Sicherheitsloch reisst ist es für manche unumgänglich. Wie steht ihr dazu ? Ich habe AVM meine Meinung ebenso kund getan, nur erhoffe ich mir leider nicht wirklich eine Änderung.

Beste Grüße und ein ruhiges WE,

Stefan

 

[AndreR]

Ich würde das Öffnen des Webinterfaces ins WAN als groben Sicherheitsschnitzer verstehen. AVM selbst sagt, dass der Passwortschutz kein hinreichender Schutz um jemanden mit üblen Absichten von den Konfigdaten der Box fernzuhalten.
Theorethisch wäre es somit möglich die Einwahldaten umzustellen, VoIP Nummern zu ändern, zu entfernen. Man könnte ganze Telefonnummern auslesen und diese an Werbefirmen verkaufen. E-Mail Adressenn genau das gleiche, wenn der Push-Dienst eingerichtet ist. Man könnte die Einwahldaten entfernen und die Box könnte sich nicht mehr einwählen - was ein Remotemanagement gänzlich ausfallen lassen würde.

Würde sich nicht glücklicerweise der dsld der box beim Firmwareupdatevorgang abschalten, könnte man mal schnell auf einer FBF Schadsoftware oder ein defektes/falsches Image einspielen und die Box zum Recover/Garantiefall machen.

Ich finde es gut, das AVM sagt: Sicherheit geht vor. Ein öffnen des WebIFs ist per telnet und der ar7.cfg machbar und diese Version übersteht auch Updates. Anzuraten ist es defenitiv nicht.

 

[HobbyStern]

Nun gut, wie administrierst Du Boxen die standalone Geräte sind und , wie in meinem Fall , nur zur VoIP gedacht sind. Keine PCs dahinter. Die Boxen sind nur durch eine Spazierfahrt zu administrieren und das ist unhaltbar.

Sicherheit ist wichtig, das ist richtig, aber wenn die Sicherheit den Nutzen drastisch überragt ist die Frage nach "zuviel Sicherheit" mM nach gerechtfertigt.

Grüsse, Stefan

 

[AndreR]

bei jeder Box richte ich einen SSH Server und dyndns ein. Das geht mittels www.the-construct.com sehr schnell und einfach. Das Einspielen eines solchen Images kann man zur Not auch mal per Telefon erklären.

Und der Nutzen deines Vorhabens wiegt den groben Sicherheitsmangel des WebIFs nach außen m.E. nach nicht auf.

 

[masterSLZ]

Ich bin da arrogant - jeder der aus reiner Bequemlichkeit oder Arglosigkeit mit Absicht eine Sicherheitsluecke reisst, gehoert erschossen

Egal ob es jetzt reale Exploits gibt, oder nicht - eine Sicherheitsluecke ist eine Sicherheitsluecke. Das sieht nur nicht jeder ein halt, der sich nicht tagtaeglich mit dem Kram und den Folgen beschaeftigen muss :-(

==> Im Falle der Fritzbox - da gibt es wie erwaehnt ganz einfach die Moeglichkeit eines SSH Tunnels, done/done. Wem das zuviel ist, sich damit zu beschaeftigen, dem gehoert meiner Meinung nach gar nicht erst geholfen.

Alles andere ist grob fahrlaessig, egal was Leute mit gefaehrlichem Halbwissen meinen, oder welche fadenscheinige Begruendungen sie dafuer haben ("ich darf doch im Buero nix installieren!!")
Ich kann solche Leute nicht verstehen. Die lassen sicher auch die Haustuere und das Auto offen, weil "is ja noch nie was passiert, das probiert eh keiner ob das offen ist".

...my 0.02EUR, no offencement

bye
-slz

 

[HobbyStern]

der sich nicht tagtaeglich mit dem Kram und den Folgen beschaeftigen muss

Nun gut, meine Nutzen/Aufwand Rechnung ist einfach, ein DSL Anschluss, ein VoIP Account an meinem eigenen TKServer.


Das schlimmste was mir in diesem speziellen Falle passieren kann ist das jemand den offenen Port findet, einen Hack einschleust oder das Passwort entschlüsselt, meine DSL Zugangsdaten ausliest und/oder meinen eingeschränkten VoIP Account nutzt.
Der GAU wäre das derjenige die Nummer der Zweigstelle erfährt, kein Geheimnis, die DSL Leitung nutzt - das verrät dann das Schreiben des Providers zwecks "doppelter Einwahl" oder im SUper-GAU die Nutzung von illegalen Diensten etc. , in diesem einen Punkt habt ihr Recht, dabei ist Vorsicht geboten , weiterhin könnte er auch den Nutzer/Pwd des VoIP Accountes übernehmen, dann kann er intern im Firmennetz telefonieren.

Aber, um mal nicht ganz so paranoid zu werden sollte man auch Aufwand gegen Nutzen stellen.

Aber darum geht es hier ja eigentlich gar nicht. Es geht nicht darum was passieren könnte, das sollte jedem klar sein wenn er es aktiviert (und wenn nicht kennt AVM ein Popup welches ihm verrät ) wenn es die Aufgabe des Herstellers ist die Gefahren zu verbieten , hätten Hersteller von schnellen Autos # Zigarettenhersteller # manches Microsoft Produkt usw. ein Problem. Man denke nur mal an den täglichen Emailversand, problemlos lesbar wenn man nicht eine Verschlüsselung auswählt. Darum geht es nicht.

Das was ich gerne gesehen hätte wäre die Option zum RemoteManagement (meinetwegen auch die "Experteneinstellungen-Ansicht-Option") - schliesslich bestimmt jeder selber das was er einrichtet und auch damit anrichtet und selbst bei der Dropbear Lösung rät AVM vom Einsatz ab - s.h. sie raten von jeglichem RemoteManagement ab..

Lasst uns aber nicht komplett offtopic geraten.

Ich sehe ein, ich sollte mehr Zeit damit verbringen an Fritz!Boxen über die Sicherheit nachzudenken - und werde das ganze - mangels Optionalität - per SSH lösen müssen.

 

[masterSLZ]

Du vergisst einen wichtigen Punkt - mir ist es voellig egal, wenn dein Auto/deine Zugangsdaten "gecrackt" werden... mir ist es aber nicht egal, wenn mit deinem Auto jemand dann in eine Menschenmenge fahert/jemand mit deiner gecrackten Fritzbox Unsinn im Netz treibt der anderer Leute Zugang/Backbone schadet.

==> Darum geht es primaer. Das Du deinen Kram so sicher machen kannst, wie Du willst und das andere Leute nichts angeht, kann man so stehen lassen.
Das Problem ist, welchen Schaden solche offenen Maschinen anderen Leuten anrichtet - im Falle Internet siehe Spam/Trojaner/Crackversuche die von offenen Hosts/Routern ausgehen usw.

DAS solltet ihr verstehen, bevor ihr irgendwelchen unsinnigen Mist macht.

Zum Thema: Wie Du selbst festgestellt hast, sind Fritzboxen Enduser Kram, da braucht im Normalfall 98% der Anwender diese Funktion nicht.
Darum ist es mir realtiv egal, ob AVM das nun einbaut oder nicht, es gibt wichtigeres. Zumal es ja auch die wirklich _extrem_ einfache Loesung mit dropbear und SSH-Tunnel gibt fuer Leute, die es wirklich brauchen.

Bzw. - evl. hat man hier auch aneinander vorbei geredet. Per SSH-Tunnel geht natuerlich auch kein Firmware Update, falls das gemeint war. Das geht ausschliesslich lokal, bzw. etwas komplizierter ueber die Shell evl. noch, jedenfalls nicht ueber die Web-Update Funktion, da hier auch der dsld wegbricht zwischendrin. Das wurde weiter oben aber auch schon so halb erwaehnt.

...and again, no offencement. Ich druecke mich nur bewusst deutlich aus.

bye
-slz

 

[HobbyStern]

Zum Thema: Wie Du selbst festgestellt hast, sind Fritzboxen Enduser Kram, da braucht im Normalfall 98% der Anwender diese Funktion nicht.

Ich denke das ist der Kern der gesamten Fragestellung und Recht hast Du - ich denke ich fordere hier etwas von AVM was sie bewusst ausschalten - eben weil sie sich für eine Käuferschicht entschieden haben.

Das Problem ist, welchen Schaden solche offenen Maschinen anderen Leuten anrichtet - im Falle Internet siehe Spam/Trojaner/Crackversuche die von offenen Hosts/Routern ausgehen usw.

Ich denke die grösste Sparte der Angriffe kommt von Maschinen die direkt am Netz hängen - womöglich noch durch die Sicherheitsideen vom grossen M abgesichert - ich denke da steht AVM noch sehr gut da.

Aber lassen wir das so stehen..

Grüsse, Stefan