[Frage] Sicherheit TR069 von Unity Media

[RSchnauzer]

Hallo,

bei Golem.de wird von den Sicherheitsproblemen mit TR069 berichtet.
Weiß jemand wie es um die Fritz Boxen von Unity Media mit der Sicherheit bestellt ist?

MfG Rschnauzer

 

[Hans Juergen]

In der im Artikel erwähnten Liste sind keine AVM-Geräte

 

[KunterBunter]

"Die Check-Point-Forscher haben im November 2014 den gesamten IPv4-Adressraum nach Geräten abgesucht, die auf Port 7547 lauschen."
Damit werden keine Fritzboxen gefunden. Denn die Fritzboxen benutzen nicht diesen Port für TR-069, sondern Port 8089: Wie ist die FRITZ!Box vor Angriffen auf Port 8089 geschützt?

 

[RSchnauzer]

... sind keine AVM-Geräte

Das hab ich schon gelesen, aber das Protokoll TR069 wird genutzt und man ist auf die updates von Unity Media angewiesen. Die Beschreibung der Lücke impliziert, dass das Protokoll die Schwachstelle hat.

 

[KunterBunter]

Nein, die Beschreibung der Lücke impliziert, dass nicht das Protokoll, sondern die Implementierung von Rompager 4.07 die Schwachstelle hat. Die wird von AVM aber nicht verwendet.

 

[Hans Juergen]

Das hab ich schon gelesen, aber

Warum aber? Meinst du wirklich, dass die einen so großen Anbieter einfach vergessen haben könnten? Oder gar schonen wollte...? Nöö, dafür sind andere Große ja dabei... Und KB hat doch die Sicherheitsaussagen von AVM gepostet...

Also nicht nur einseitig und flüchtig drüberlesen.

 

[RSchnauzer]

Dann können wir ja beruhigt sein.

 

[ciesla]

Lücken hin - Schwachstellen her ...
Das Protokoll TR-069 ist dafür da, um "von außen" auf ein Gerät zugreifen zu können.
Wer mit "von außen" gemeint ist und ob das Gerät unbedingt das des Kunden sein muß, ist erst mal völlig egal.
Fakt ist, daß die Geräte, die TR-069 implementiert haben, so konstruiert sind (bisher zumindest), daß seitens des Gerätenutzers (hier: also der TK-Kunde) nicht kontrolliert werden kann, was der "Fernuser" (hier: der TK-Anbieter) macht.
Nur bei manchen Geräten (z.B. den Fritzis) kann das Protokoll (aber nur) komplett abgeschaltet werden.
Auf Deutsch: der Kunde ist also dem Anbieter vollständig ausgeliefert, wenn TR-069 nicht abschaltbar ist.
Daß die Anbieter "hoch und heilig" versprechen, nichts Gesetzwidriges zu tun, ist bekannt. Andererseits: seit Edward Snowden weiß endlich auch der letzte Mensch, daß das, was technisch möglich ist, auch wirklich getan wird (ich als TK-Spezialist weiß das seit meinem Studium).
Soweit zur Technik. Interpretieren möge Jeder für sich selbst.

 

[Hans Juergen]

Auf Deutsch: der Kunde ist also dem Anbieter vollständig ausgeliefert, wenn TR-069 nicht abschaltbar ist.

Nöö, auch nicht wirklich richtig. Es kommt (auch) darauf an, welche Einstellungen der Gerätehersteller implementiert hat. Wenn das nur die unmittelbar für die Verbindung notwendigen Einstellungen sind, dann kann der TK-Anbieter auch nicht mehr tun. D. h. auch bei eingeschaltetem TR-069 sollte bei AVMs nichts an Einstellungen für die angeschlossenen Endgeräte verändert oder weiteres ausgelesen werden können.

 

[ciesla]

Du hast es bewußt oder unbewußt ganz richtig formuliert! sollte ist das entscheidende Wörtchen! Und für diese Ungewißheit - und sei sie noch so klein - kann sich niemand etwas kaufen. Edward Snowden sei Dank, daß das alle inzwischen kapiert haben! Aber komischerweise ganz schnell vergessen/ignorieren/nicht beherzigen etc. ...

 

[Hans Juergen]

Sehr bewusst so formuliert... Während du in deinem Beitrag AVM einfach glaubst, dass bei den FBs das wirklich ganz ausgeschaltet ist...? Wer behauptet, dass es bei Software letzte Sicherheit gibt, dem sollte man kein Wort glauben...

 

[RSchnauzer]

Das Misstrauen wird ja auch dadurch verstärkt, dass von UM verhindert selber die neueste Firmware einzuspielen. Ist das, was eingespielt jeweils die unveränderte FW?

 

[Hans Juergen]

Entweder du vertraust darauf oder du wechselst den Anbieter... Andere Möglichkeiten sehe ich nicht...
Vielleicht will ja auch UM erst sicher gehen...?

 

[sf3978]

Ist das, was eingespielt jeweils die unveränderte FW?

Ja, die FW ist unverändert. Die FritzBox wird aber vom KabelProvider mit Hilfe einer Konfigurationsdatei, je nach Tarif, unterschiedlich konfiguriert (modifiziert).

 

[RSchnauzer]

... du wechselst den Anbieter...

Witzig, soll mein Freund sich ein eigenes Kabel legen, oder mit einem Bruchteil der Bandbreite über DSL vorlieb nehmen? Beim Kabel ist man auf Gedeih und Verderb auf auf den Betreiber angewiesen.

 

[Hans Juergen]

Nein, war gar nicht witzig gemeint. Ich sehe nur keine andere Möglichkeit. Gut, eine bliebe noch: Als Don Quichote durch die Instanzen ziehen...

 

[sf3978]

Beim Kabel ist man auf Gedeih und Verderb auf auf den Betreiber angewiesen.

Das ist so nicht richtig. Es gibt auch vom KabelProvider, Tarife mit einem transparenten Kabel-Modem, mit dem man dann seinen eigenen Router verwenden kann.