Frage: Signaturen?
Meines Wissens nicht, wer es genauer wissen/testen will, sucht mal im Internet nach Providern, die ihrerseits eine solche Konfiguration über USB-Stick für eine FRITZ!Box verwenden bzw. verwendet haben. Mir fällt da nur irgendein Provider aus NRW ein, von dem ich die Informationen über den Aufbau früher mal bezogen habe, Name ist mir entfallen.
OT: Aber die NSA will ja auch wissen, wofür Ihr Euch so interessiert und so wendet Ihr Euch mit dieser Frage am besten an die Suchmaschine Eures Vertrauens ... wenn die NSA nicht direkt mitliest, wird es der BND schon ordentlich ausleiten an sie. /OT
Da wurde über den USB-Stick dann die FRITZ!Box so konfiguriert, daß sie mit dem ACS des Providers über TR-069 Kontakt aufnahm (weil der nicht von Beginn an in der Firmware hinterlegt war) und dann von dort entsprechend konfiguriert werden konnte. Dort konnte man also (wenn man den vom Provider mitgelieferten Stick nicht mehr hatte) eine Datei für einen eigenen USB-Stick laden, da war aber nichts mit Signaturen.
Frage: Wie kommen die Dateien auf den Stick?
Das Unangenehme an der Sache ist es für mich, daß ein Angreifer tatsächlich noch nicht einmal "Shell-Zugriff" auf der Box haben muß, um Dateien auf den Stick zu bringen. Neben der Möglichkeit einer "externen" Infektion gibt es ja auch noch eine Chance, über eine FTP-Verbindung mit einem unprivilegierten Konto (also ohne Admin-Rechte) auf den Stick zuzugreifen. Daß der FTP-Server selbst bei einer unkonfigurierten Box bereits gestartet wird und dann auch tatsächlich noch ohne jede Abfrage eines Kontos benutzt werden kann (solange die Benutzerverwaltung noch nicht auf "Anmeldung mit Kennwort" umgestellt wurde), ist ein offenes Geheimnis ... auch das wurde selbstverständlich an AVM gemeldet. Ob sich da schon etwas getan hat, weiß ich nicht - hier macht sich die Politik des "stillen Fixens" von Sicherheitslücken eben sehr unangenehm bemerkbar und man kommt als Einzelner gar nicht mehr hinterher, wenn man das alles immer wieder erneut testen will. Automatisierte Tests lohnen sich für mich auch nur, wenn man das bei der Meldung mit einem Demo-Exploit ohnehin schon belegen mußte und den dann einfach auf neu erscheinende Firmware hetzen kann (wobei die Erfahrung ja auch zeigt, daß so ein Fix an der einen Stelle gerne auch mal eine Lücke an der anderen reißt, erst letzten bei D-Link wurde so etwas wieder publik).
Frage: Stick oder HDD, gibt es einen Unterschied?
Meines Wissens nicht, das interessiert den tr069starter ja nicht. Der hat seinen Pfad in dem er sucht ... ob das ein Stick oder eine HDD ist, ist ihm schnuppe.
Frage: Was kann man mit solchen Einstellungen erreichen?
Das ist tatsächlich von der Firmware und den dort noch vorhandenen Lücken abhängig.
Ein professioneller Angreifer würde sicherlich - wegen der Anzahl der zu kapernden Boxen - tatsächlich nur die Fernkonfiguration über einen eigenen ACS auf diesem Weg einstellen und dann alles weitere vom ACS aus realisieren.
Prinzipiell lassen sich wohl sämtliche Einstellungen in der ar7.cfg und den anderen Dateien im Flash manipulieren, es gibt die Möglichkeit des Ersetzens von Einstellungen genauso wie die Möglichkeit, Einstellungen hinzuzufügen.
Über andere Lücken in der Firmware war/ist es dann aber wieder möglich, auch eigene Kommandos auf der FRITZ!Box auszuführen. Die inzwischen weitgehend geschlossene "command injection"-Lücke in /etc/init.d/S44-hostname war ein Beispiel für so ein Problem. Dort konnte durch eine Modifikation des "hostname"-Eintrags in der ar7.cfg ein eigenes Kommando in den Startprozess des FRITZ!OS eingebaut werden, mit entsprechendem Aufwand ist dann natürlich so ziemlich alles zu realisieren, bis hin zur permanenten Modifikation der Firmware über später aus dem Internet nachgeladenen Code.
Wenn man dann davon ausgeht, daß der Angreifer vorher vielleicht gar keinen Zugriff auf die Box selbst hatte (sondern nur auf ein weniger privilegiertes Konto, mit dem er - ggf. von außen, wenn das tatsächlich freigeschaltet ist - per FTP auf den Stick zugreifen konnte), dann wird vielleicht auch deutlich, warum sich aus der Summe vieler kleinerer Lücken am Ende tatsächlich eine Bedrohung ergeben könnte. Wenn es also möglich ist, den FTP-Server dahingehend zu täuschen, daß er eine von extern kommende Verbindung fälschlicherweise als intern ansieht und dann auch den Zugriff mit einem für externen Zugriff gar nicht zugelassenen Benutzer (oder im Extremfall sogar ohne Anmeldung, wenn das in der Box entsprechend konfiguriert ist - "keine Anmeldung im Heimnetz") ermöglicht, dann ist das sicherlich auf den ersten Blick nur ein kleineres Problem oder eine Petitesse am Rande ... so lange, bis es sich dann zu einem größeren auswächst.
Es gibt durchaus auch noch andere Lücken in der Firmware, über die man in die Firmware eindringen kann ... daß sie auf der LAN-Seite nicht wirklich sicher ist (wenn man mal wirklich annehmen will, die WAN-Seite wäre sicher), predige ich ja nun schon länger.
Wenn ich das auch nur selten mit konkreten Anleitungen verbinde (weil ich nicht will und teilweise auch nicht darf), will ich trotzdem ein Bewußtsein beim FRITZ!Box-Benutzer dafür entwickeln helfen, daß sich die Angriffe auf seine heimische Infrastruktur (in die auch immer mehr Geräte eingebunden werden) zunehmend auf die Router als zentrale Elemente konzentrieren und diese Router (AVM ist ja nicht der einzige Hersteller, aber eben der mit der höchsten Verbreitung in D) in aller Regel gegen Angriffe aus dem LAN erschreckend schlecht gesichert sind ... einfach weil sie zum Zeitpunkt des Entwurfs ihrer Firmware noch keine lohnenden Ziele waren. Wenn heute aber immer mehr Geräte mit bekannten Lücken auf der LAN-Seite zum Einsatz kommen (gestern erst wieder eine Lücke in einer verbreiteten Library für iOS-Anwendungen, bei Android ist die WebView-Lücke inzwischen schon fast Legende), dann können diese Geräte eben durchaus als Relay für einen Angriff auf den Router genutzt werden.
Dazu gehört es eben auch, daß koy mit seinem Einwand zum Auslösen eines Werksresets (aus dem LAN, wenigstens nicht aus dem WAN) innerhalb der ersten 10 Minuten nach einem Neustart der Box (wenn es doch bloß einen Weg gäbe, die Box irgendwie ohne Kenntnis von Credentials zu einem Reboot zu bringen) ja absolut richtig liegt.
Anhang anzeigen 81642
(das ist FRITZ!OS 06.23-29836 DSL für die 7390 in den ersten 10 Minuten nach dem Booten)
Später kann man sich eine E-Mail mit einem Link für eine gültige Sitzung in der FRITZ!Box zusenden lassen, dafür müßte man als Angreifer ggf. auch nur die Push-Mail-Einstellungen modifizieren, was (ich schreibe mal wahrscheinlich, man kann als Einzelner wirklich nicht alles immer wieder testen) über die hier diskutierte Konfiguration machbar sein sollte. Wenn der Besitzer eigene Push-Mail-Einstellungen vornimmt, ist man zwar gekniffen, solange hat man aber durch Manipulation der Push-Mail-Einstellungen von einem einfachen LAN-Relay aus die Möglichkeit, eines Admin-Sitzung auf der FRITZ!Box zu ergattern. Was das am Ende heißt, wenn man parallel noch das E-Mail-Konto des Besitzers gekapert hat (dann kann der ruhig seine eigenen Push-Mail-Einstellungen vornehmen), kann sich wieder jeder selbst überlegen.
Wer schon einmal diese Möglichkeit mit der Push-Mail getestet hat, der weiß, daß da nur eine Session in der FRITZ!Box erzeugt wird (mit einer Lebensdauer von 3600 Sekunden) und dann ein Link der Form:
Code:
http://fritz.box/system/boxuser_list.lua?sid=e5baf99c487f1901
verschickt wird. Die Sitzung ist zwar an die IP-Adresse des Gerätes gebunden, von dem die Anforderung für die Mail kam, aber wenn jemand dieses Relay unter seiner Kontrolle hat, ist das ja nun gar kein zusätzliches Problem.
Wie man in diesem Falle eine bessere Lösung realisieren könnte, muß man wahrscheinlich gut überlegen ... aber hier wird für mich Sicherheit zugunsten von verringertem Support-Aufwand geschwächt; immerhin kann man den Push-Mail-Service wenigstens abstellen (auch wenn er wohl - wieder nicht getestet, weil ich jetzt keine Box auf Werkseinstellungen setzen will - automatisch bei der Einrichtung des Push-Services aktiviert wird).
Das ist nur ein möglicher Aspekt eines Angriffs aus dem LAN ... wieviele Leute am Ende davon betroffen sein könnten, ist pure Spekulation. Auf den bei vielen vorhandenen Zusammenhang zwischen verschiedenen Konten schon rein über die E-Mail-Adresse habe ich erst kürzlich beim Thema "MyFRITZ!" hingewiesen ... wenn ein verwundbares Android-Gerät einem Angreifer als Basis dient, hat der in aller Regel die Information zur E-Mail-Adresse bereits, sofern der Besitzer der Box nicht wirklich mit mehreren Identitäten arbeitet, was man nur nachdrücklich empfehlen kann. Es kursieren immer wieder Listen von erbeuteten E-Mail-Adressen samt Kennwort im Netz ... wenn dann ein E-Mail-Konto ohne Kenntnis des Besitzers kompromittiert ist, wird es tatsächlich gefährlich (von der Zugriffsmöglichkeit über "lawful interception" fange ich gar nicht erst an). Das ist dann zwar immer noch primär ein Problem des erbeuteten Kontos (die Provider steuern ja heftigst dagegen, z.B. Google mit der "enhanced security", wo es dann nicht einfach ein beliebiger anderer Client sein kann, der irgendwelche Mails abruft), aber man sollte es eben auch als Router-Hersteller aus dem LAN nicht so leicht machen, mit solcher Beute dann entsprechende Folgeschäden zu verursachen.
Das ist schon wieder sehr lang und ich zügele mich hier jetzt etwas ... während meiner Schreiberei gab es genug andere Beiträge, mal sehen, was da drin steht. Aber beim Thema Sicherheit geht eben eines ins andere über ... da ist eine Trennung verschiedener Themen nicht leicht. Aus Zeitmangel auch kein richtiges Korrekturlesen hier ... wer Fehler findet, darf sie behalten.
