http://www.heise.de/security/meldung/Def-Con-22-Millionen-DSL-Router-durch-TR-069-Fernwartung-kompromittierbar-2292576.html?wt_mc=nl.heisec-summary
In wie weit trifft das auch A1?
Welche Vorkehrungen trifft A1 um gegen einen Hack gefeit zu sein?
Über TR-069
http://www.heise.de/netze/artikel/DSL-fernkonfiguriert-221789.html
Beantwortet
DSL-Router durch TR-069-Fernwartung kompromittierbar?
Beste Antwort von A1_Hermann
Hallo netzguru und kies527,
auf den Artikel wurde ich auch schon aufmerksam gemacht.
Die zwei Punkte, die in der Mailantwort stehen sind richtig.
Wir verwenden keine der genannten open source Lösungen sondern ACS Software vom Marktführer Motive.
Neben der TLS Verschlüsselung ist auch jedes Endgerät mit einem individuellen Usernamen und Passwort geschützt - (eigene Userdaten, extra für die Fernwartung).
Der Zugang ist auch nur über das A1 Access Netz über einen eigenen Kanal möglich.
Wir benutzen TR 069, gerade um zur Sicherheit beizutragen. Sicherheitslücken werden ja immer wieder auftauchen, das lässt sich schwer vermeiden. Über die Fernwartung können wir dafür sorgen, dass diese möglichst schnell geschlossen werden. Geschätzte 95 % der Kunden würden ohne Fernwartung (also selbständig) gar kein Update durchführen, bzw. das gar nicht können.
Übrigens kann man mit TR 069 auch nicht beliebig im Heimnetz der Kunden schnüffeln. Zum Beispiel wird der WLAN Schlüssel des Modems in TR 069 nicht angezeigt, auch unsere Experten könnten ihn nicht herausbekommen, wenn sie das wollen würden. Das ist in der Spezifikation von TR 069 schon so festgelegt.
Wir haben das also bei allen neueren Modems (ab dem TG 585) aktiviert.
lg
Hermann
Original anzeigenauf den Artikel wurde ich auch schon aufmerksam gemacht.
Die zwei Punkte, die in der Mailantwort stehen sind richtig.
Wir verwenden keine der genannten open source Lösungen sondern ACS Software vom Marktführer Motive.
Neben der TLS Verschlüsselung ist auch jedes Endgerät mit einem individuellen Usernamen und Passwort geschützt - (eigene Userdaten, extra für die Fernwartung).
Der Zugang ist auch nur über das A1 Access Netz über einen eigenen Kanal möglich.
Wir benutzen TR 069, gerade um zur Sicherheit beizutragen. Sicherheitslücken werden ja immer wieder auftauchen, das lässt sich schwer vermeiden. Über die Fernwartung können wir dafür sorgen, dass diese möglichst schnell geschlossen werden. Geschätzte 95 % der Kunden würden ohne Fernwartung (also selbständig) gar kein Update durchführen, bzw. das gar nicht können.
Übrigens kann man mit TR 069 auch nicht beliebig im Heimnetz der Kunden schnüffeln. Zum Beispiel wird der WLAN Schlüssel des Modems in TR 069 nicht angezeigt, auch unsere Experten könnten ihn nicht herausbekommen, wenn sie das wollen würden. Das ist in der Spezifikation von TR 069 schon so festgelegt.
Wir haben das also bei allen neueren Modems (ab dem TG 585) aktiviert.
lg
Hermann
Antwort heute vom Kundendienst per Mail:
"Wir verwenden TR 069 für die Fernwartung, jedoch ist A1 von der im Artikel erwähnten Schwachstelle nicht betroffen. Bei A1 wird weder openACS noch genieACS verwendet und die Kommunikation mit unserem ACS läuft durchgängig mit TLS."
Ich habe am WE aber auch keine Info im Onlineangebot gefunden und daher gemailt. In der alten Firmware konnte man den TR-069 Status noch nachgucken.
Gruesse
Anton
"Wir verwenden TR 069 für die Fernwartung, jedoch ist A1 von der im Artikel erwähnten Schwachstelle nicht betroffen. Bei A1 wird weder openACS noch genieACS verwendet und die Kommunikation mit unserem ACS läuft durchgängig mit TLS."
Ich habe am WE aber auch keine Info im Onlineangebot gefunden und daher gemailt. In der alten Firmware konnte man den TR-069 Status noch nachgucken.
Gruesse
Anton
- Stein der Weisen
- 4963 Antworten
- Antwort
Hallo netzguru und kies527,
auf den Artikel wurde ich auch schon aufmerksam gemacht.
Die zwei Punkte, die in der Mailantwort stehen sind richtig.
Wir verwenden keine der genannten open source Lösungen sondern ACS Software vom Marktführer Motive.
Neben der TLS Verschlüsselung ist auch jedes Endgerät mit einem individuellen Usernamen und Passwort geschützt - (eigene Userdaten, extra für die Fernwartung).
Der Zugang ist auch nur über das A1 Access Netz über einen eigenen Kanal möglich.
Wir benutzen TR 069, gerade um zur Sicherheit beizutragen. Sicherheitslücken werden ja immer wieder auftauchen, das lässt sich schwer vermeiden. Über die Fernwartung können wir dafür sorgen, dass diese möglichst schnell geschlossen werden. Geschätzte 95 % der Kunden würden ohne Fernwartung (also selbständig) gar kein Update durchführen, bzw. das gar nicht können.
Übrigens kann man mit TR 069 auch nicht beliebig im Heimnetz der Kunden schnüffeln. Zum Beispiel wird der WLAN Schlüssel des Modems in TR 069 nicht angezeigt, auch unsere Experten könnten ihn nicht herausbekommen, wenn sie das wollen würden. Das ist in der Spezifikation von TR 069 schon so festgelegt.
Wir haben das also bei allen neueren Modems (ab dem TG 585) aktiviert.
lg
Hermann
auf den Artikel wurde ich auch schon aufmerksam gemacht.
Die zwei Punkte, die in der Mailantwort stehen sind richtig.
Wir verwenden keine der genannten open source Lösungen sondern ACS Software vom Marktführer Motive.
Neben der TLS Verschlüsselung ist auch jedes Endgerät mit einem individuellen Usernamen und Passwort geschützt - (eigene Userdaten, extra für die Fernwartung).
Der Zugang ist auch nur über das A1 Access Netz über einen eigenen Kanal möglich.
Wir benutzen TR 069, gerade um zur Sicherheit beizutragen. Sicherheitslücken werden ja immer wieder auftauchen, das lässt sich schwer vermeiden. Über die Fernwartung können wir dafür sorgen, dass diese möglichst schnell geschlossen werden. Geschätzte 95 % der Kunden würden ohne Fernwartung (also selbständig) gar kein Update durchführen, bzw. das gar nicht können.
Übrigens kann man mit TR 069 auch nicht beliebig im Heimnetz der Kunden schnüffeln. Zum Beispiel wird der WLAN Schlüssel des Modems in TR 069 nicht angezeigt, auch unsere Experten könnten ihn nicht herausbekommen, wenn sie das wollen würden. Das ist in der Spezifikation von TR 069 schon so festgelegt.
Wir haben das also bei allen neueren Modems (ab dem TG 585) aktiviert.
lg
Hermann
Zur Information:
Heise: TR-069-Fernwartungslücke bei DSL-Routern: Deutsche Internetanbieter bezeichnen ihre Netze als sicher
http://www.heise.de/newsticker/meldung/TR-069-Fernwartungsluecke-bei-DSL-Routern-Deutsche-Internetanbieter-bezeichnen-ihre-Netze-als-sicher-2299863.html?wt_mc=nl.ho
Heise: TR-069-Fernwartungslücke bei DSL-Routern: Deutsche Internetanbieter bezeichnen ihre Netze als sicher
http://www.heise.de/newsticker/meldung/TR-069-Fernwartungsluecke-bei-DSL-Routern-Deutsche-Internetanbieter-bezeichnen-ihre-Netze-als-sicher-2299863.html?wt_mc=nl.ho
+8Als halb laie würde ich sagen, das die IPs die im Modem für Fernwartung eingetragen sind zugriff auf das WebUI haben und somit mindestens den selben rechte haben wie der Kunde. Wie ist es mit SSH oder Telnet? Ist da der Zugriff über das Wartungsnetz auf die CPEs möglich?
Lg Jo
Lg Jo
Hallo Jo,
ich habe bei unserer Fachabteilung deswegen nachgefragt. Ich melde mich, sobald ich eine Rückmeldung bekomme.
LG
Daniel
ich habe bei unserer Fachabteilung deswegen nachgefragt. Ich melde mich, sobald ich eine Rückmeldung bekomme.
LG
Daniel
Hallo Jo,
der Zugriff von extern ist ausschließlich dem ISP (A1 oder andere) bei Störungen etc. vorbehalten. Von extern über die öffentliche IP ist das Modem auch nicht mit dem Superuser erreichbar (weder per http, https, telnet etc.). Das geht nur mit einer bestimmten „Absender IP“. So können also nur wir (A1 bzw ISP) auf die CPEs zugreifen.
LG
Daniel
der Zugriff von extern ist ausschließlich dem ISP (A1 oder andere) bei Störungen etc. vorbehalten. Von extern über die öffentliche IP ist das Modem auch nicht mit dem Superuser erreichbar (weder per http, https, telnet etc.). Das geht nur mit einer bestimmten „Absender IP“. So können also nur wir (A1 bzw ISP) auf die CPEs zugreifen.
LG
Daniel
+8Hallo @A1_Daniel ,
im Normalfall stimmt das, aber jeder der auf dem ACS Server "Admin Rechte" hat kann sich einen Superuser erstellen und seine eigenen IPs eintragen. (Die A1 IPs werden ja auch über TR 069 eingetragen. Initial sind von jedem Anbieter IPs eingetragen) Dies sollte jedoch nur sehr wenige sehr gut ausgewählte A1 Mitarbeiter sein.
Übrigens kann man mit TR 069 auch nicht beliebig im Heimnetz der Kunden schnüffeln. Zum Beispiel wird der WLAN Schlüssel des Modems in TR 069 nicht angezeigt, auch unsere Experten könnten ihn nicht herausbekommen, wenn sie das wollen würden. Das ist in der Spezifikation von TR 069 schon so festgelegt.
An dem WLAN Schlüssel sollten die Experten schon über das WebUI kommen. Zumindest sieht es für mich so aus.
An die TR 069 Spezifikation hat sich nicht jeder Hersteller gehalten. Bei gewissen Geräten kann man die Einstellungen so verändern, dass über TR 069 alle PWs (oder der Hash) angezeigt werden. Bei diesen ist aber auch ohne diese Änderung ersichtlich ob das Passwort geändert wurde.
Das WLAN Passwort kann jedoch Problemlos Seitens A1 geändert werden. Oder in der Eleganteren Variante kann man ein Zweites WLAN aufbauen. In einer Firmware hab ich eine Vorbereitung eines zweites WLANs gefunden. Wäre super wenn man das als Gast WLAN nutzen könnte.
Über den ACS lassen sich die Geräte mit MAC und IP Adresse auflisten.
Z.B. so sieht das auf Meinem ACS aus:
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.IPAddress : 10.0.0.XXXX
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.AddressSource : Static
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.LeaseTimeRemaining : -1
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.MACAddress : 16:XXX
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.HostName : Unknown-16-XXX
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.InterfaceType : Ethernet
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.Active : 0
Des weitern ist es bei einigen Modellen in der Firmware ein VPN Server zu finden, sowie die Konfigseite im WebUI. Das heißt, es könnte die Möglichkeit bestehen, dass mit dem zuvor angelegten User man auf das WebUI kommt und dann dort den VPN Server aufsetzt. Damit ist man eigentlich im Heimnetzwerk. Dann könnte man theoretisch Befehle an den Smart TV senden.
Die Verbindung zwischen ACS und Client ist gut geschützt. Sogar der Client braucht ein eigenes Zertifikat um die Verbindung aufzubauen.
Es gibt auch einige andere Punkt wie es geschützt wird.
Es ist mit den CPEs über TR 069 und andere Zugriffsmöglichkeiten ist noch einige mehr möglich.
Lg
Jo
P.S: Das A1 auf ihren Geräten so viel Macht per Fernsteuerung hat ist einigermaßen ok. Jedoch würde ich mir erwarten, dass die Leute die solche System vor Angriffen schützen sollen wissen was damit gemacht werden kann. Wenn ein "böser Hacker" die ACS Server übernehmen würde, könnte er (wenn der die passenden Key findet) alle Modems mit "seinem Firmware Upgrade" versorgen oder halb Österreich vom Internet und teils auch vom Telefonnetz trennen.
im Normalfall stimmt das, aber jeder der auf dem ACS Server "Admin Rechte" hat kann sich einen Superuser erstellen und seine eigenen IPs eintragen. (Die A1 IPs werden ja auch über TR 069 eingetragen. Initial sind von jedem Anbieter IPs eingetragen) Dies sollte jedoch nur sehr wenige sehr gut ausgewählte A1 Mitarbeiter sein.
A1_Hermann schrieb:
Übrigens kann man mit TR 069 auch nicht beliebig im Heimnetz der Kunden schnüffeln. Zum Beispiel wird der WLAN Schlüssel des Modems in TR 069 nicht angezeigt, auch unsere Experten könnten ihn nicht herausbekommen, wenn sie das wollen würden. Das ist in der Spezifikation von TR 069 schon so festgelegt.
An dem WLAN Schlüssel sollten die Experten schon über das WebUI kommen. Zumindest sieht es für mich so aus.
An die TR 069 Spezifikation hat sich nicht jeder Hersteller gehalten. Bei gewissen Geräten kann man die Einstellungen so verändern, dass über TR 069 alle PWs (oder der Hash) angezeigt werden. Bei diesen ist aber auch ohne diese Änderung ersichtlich ob das Passwort geändert wurde.
Das WLAN Passwort kann jedoch Problemlos Seitens A1 geändert werden. Oder in der Eleganteren Variante kann man ein Zweites WLAN aufbauen. In einer Firmware hab ich eine Vorbereitung eines zweites WLANs gefunden. Wäre super wenn man das als Gast WLAN nutzen könnte.
Über den ACS lassen sich die Geräte mit MAC und IP Adresse auflisten.
Z.B. so sieht das auf Meinem ACS aus:
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.IPAddress : 10.0.0.XXXX
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.AddressSource : Static
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.LeaseTimeRemaining : -1
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.MACAddress : 16:XXX
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.HostName : Unknown-16-XXX
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.InterfaceType : Ethernet
InternetGatewayDevice.LANDevice.1.Hosts.Host.7.Active : 0
Des weitern ist es bei einigen Modellen in der Firmware ein VPN Server zu finden, sowie die Konfigseite im WebUI. Das heißt, es könnte die Möglichkeit bestehen, dass mit dem zuvor angelegten User man auf das WebUI kommt und dann dort den VPN Server aufsetzt. Damit ist man eigentlich im Heimnetzwerk. Dann könnte man theoretisch Befehle an den Smart TV senden.
Die Verbindung zwischen ACS und Client ist gut geschützt. Sogar der Client braucht ein eigenes Zertifikat um die Verbindung aufzubauen.
Es gibt auch einige andere Punkt wie es geschützt wird.
Es ist mit den CPEs über TR 069 und andere Zugriffsmöglichkeiten ist noch einige mehr möglich.
Lg
Jo
P.S: Das A1 auf ihren Geräten so viel Macht per Fernsteuerung hat ist einigermaßen ok. Jedoch würde ich mir erwarten, dass die Leute die solche System vor Angriffen schützen sollen wissen was damit gemacht werden kann. Wenn ein "böser Hacker" die ACS Server übernehmen würde, könnte er (wenn der die passenden Key findet) alle Modems mit "seinem Firmware Upgrade" versorgen oder halb Österreich vom Internet und teils auch vom Telefonnetz trennen.
Antworten
Rich Text Editor, editor1
Editor toolbars
Press ALT 0 for help
Nicht gefunden, wonach du suchst?
Nicht den Mut verlieren! Eröffne einfach ein neues Thema mit deiner Frage und hol dir die Antworten!
Neues Thema eröffnen
Enter your E-mail address. We'll send you an e-mail with instructions to reset your password.