[Info] 17.2.2014 Hack gegen AVM-Router auch ohne Fernzugang (heise.de)

[kingbecher]

Wenn ihr euch so unsicher fühlt dann kauft euch eine andere Box und wartet ab wann die nächsten Fehler auftauchen.

Siehe Vodafone Easybox 802 (http://www.netzwelt.de/news/97511-vodafone-schwachstelle-easy-box-routern.html)

 

[qwertz.asdfgh]

eine 5.xx und 6.xx bedeute für mich keine Sicherheit mehr. Weil der Einstieg hier jederzeit modifieziert stattfinden kann.

Das müsstest du mal genauer erläutern. Warum sollen 5.xx und 6.xx (die Versionen mit security fix) nicht sicher sein? Wie soll da der Einstieg (modifiziert) möglich sein?

 

[Simon.]

Danke, hab jetzt auch mein Zugangspasswort geändert. Brauch ich jetzt ein 24-stelliges Passwort mit Sonderzeichen für das FritzBox WebIF oder darfs noch einfach merkbar sein? Sind die diversen Passwörter eigentlich gut verschlüsselt gespeichert und elatriv sicher falls sowas nochmal passiert?

Zu guter letzt Sperre ich jetzt bei der Telekom alle Auslands- und Sonderrufnummern und lass die über einen Prepaid-Voip-Anbieter laufen. Ist eh günstiger.

 

[HabNeFritzbox]

Da Passwörter ausgelesen wurden, ist die stärke des Passwortes unerheblich. Und für das Auslesen selbst, wurde Authentifizierung ja ganz umgangen.

 

[KunterBunter]

Die diversen Passwörter sind genauso gut verschlüsselt und in der Fritzbox gespeichert wie bisher auch, lassen sich also mit geringen Aufwand lesbar machen. Da kannst du auch nichts daran ändern.

 

[HabNeFritzbox]

Keines verwenden, schützt vor auslesen, da nicht vorhanden. :mrgreen:

Die FB muss sich ja bei den Gegenstellen entsprechend anmelden können mit den Daten, und jedesmal alle abfragen wäre zu aufwendig.

 

[Simon.]

Naja, in der FB ist das (relativ) unwichtige WLAN-Passwort, wobei da der MAC-Filter aktiv ist. Dann das Anschlusspasswort (ziemlich wichtig^^) und eins für die Pushmail, wobei ich dafür einen Zweitnutzer im Telekom-Konto eingerichtet habe. Die Rufnummern sind alle anonym registriert.

Also wenns keine Lücke gibt hab ich kein Problem, wenn doch dann geringfügig, sofern ich Auslandsverbindungen etc. sperre.

 

[HabNeFritzbox]

Sperre beim Anbieter ist nicht verkehrt, beim Handy hab ich z.B Drittanbietersperre aktiv, damit keine Klingelten Abos egal ob gewollt oder durch Banner bestellt wird.

Lücken haben alles Systeme. Wurde aber schon mehrfach gesagt, auch das AVM hier schnell gehandelt hat.

Und WLAN Passwort unwichtig? Dazu schreib ich besser mal nicht - keine Trolle füttern.

Ist aber nicht Thema.

 

[Simon.]

Finde auch dass AVM das ganze gut abgewickelt hat. Scheinbar hat man auch eine Lösung für die Leute gefunden, die eine recht hohe Rechnung bekamen, sonst würde man darüber wohl mehr lesen.

Dann bedanke ich mich mal für die Auskünfte.

 

[sven@mainz]

Naja, in der FB ist das (relativ) unwichtige WLAN-Passwort, wobei da der MAC-Filter aktiv ist.

MAC-Filter ist Schlangenöl. Das WLAN-Passwort ist schon wichtig, siehe Störerhaftung.

 

[Simon.]

MAC-Filter ist natürlich nur DAU-Abwehr. Mit "nicht wichtig" meinte ich eher, dass kein großer Schaden damit angerichtet werden kann, im Gegensatz zum Anschlusspasswort.

 

[Novize]

MAC-Filter ist natürlich nur DAU-Abwehr...

...und damit auch nutzlos. Ein DAU überwindet auch kein halbwegs vernünftiges WLAN-Passwort.

Mit "nicht wichtig" meinte ich eher, dass kein großer Schaden damit angerichtet werden kann, im Gegensatz zum Anschlusspasswort.

Aha, ungebetene Gäste können also in Deinem Netzwerk keinen Schaden für Dich und Co anrichten?
Wie wäre es mit Sicherheitslücken in Deinem Computer-MM-Ökosystem, mit injizierten Trojanern, mit Keyloggern (Stichwort Zugangskennungen sniffen, Bankkonten übernehmen bzw manipulieren), mit Kapern von Mailaccounts, mit dem Angriff auf die Fritz und alles andere bei Dir von innen heraus? Mit dem Auslesen von Daten auf irgendeinem NAS usw? Kriminelle Tätigkeiten über Deinen Internetanschluss sind egal?
Das alles ist ein weit größerer GAU als "nur" das Anschlusspasswort zu kennen! Also noch einmal: Kein großer Schaden?
Eher anders herum: Mit MAC-Filterung hat man keinen Nutzen, das ist wie eine Schreckschusspistole mit Ladehemmung. Mit einem ausreichenden WLAN-Passwort hingegen kommt der ungebetene Gast erst gar nicht ins Netz.

 

[gerner67]

Man sollte es im Kontext auf die AVM-Sicherheitslücke beziehen:

Wenn jetzt irgendein Hacker aus Russland, München oder sonstwo mein WLan-Passwort kennt, dann ist mir das ziemlich egal.
Wie groß ist die Wahrscheinlichkeit, dass dieser sich jetzt in sein Auto setzt und hier zu mir aufs Land rauskommt um in mein Wlan einzudringen?

Das WLan-Passwort ist doch eher für böse Nachbarn interessant, also Leute die sich physich in meiner Nähe befinden.

Und ein passwort ab und an zu ändern ist sicher auch keine schlechte Idee.

 

[SF1975]

Hallo,
So unflexibel 1&1 ab und an auch ist, aber die Tatsache, dass man für das CC ein separates Passwort anlegen kann, unabhängig von VoIP & DSL, finde ich gut. Auch die Tatsache, dass man die Sperre für Gespräche ins Ausland und zu Sonderrufnummern nur vom eigenen Anschluss aus deaktivieren kann. Diese Hürde sollte jedenfalls nicht leicht zu überwinden sein.
Sind dann noch die Mailadressen in der FBF nicht für den normalen Mailverkehr und Zugängen zu Foren usw gedacht, so ist hier eine weitere Hürde.

Alles schön und gut. Aber, wie Novize schon schrieb, bleibt immer noch das Risiko, das vor dem PC sitzt, bzw ein infizierter PC.

Also: Es gibt nie 100% Sicherheit, bei Niemandem. Musste schon Frau Merkel feststellen

 

[Novize]

Wenn jetzt irgendein Hacker aus Russland, München oder sonstwo mein WLan-Passwort kennt, dann ist mir das ziemlich egal....
Das WLan-Passwort ist doch eher für böse Nachbarn interessant, also Leute die sich physich in meiner Nähe befinden.

Das gilt aber auch für das MAC-Filterzeug, was oben als relevanter als WLAN-Passwort Erwähnung fand. Darauf bezog sich meine Bemerkung.

 

[KunterBunter]

Christoph hat es letzte Woche hier schon angedeutet, jetzt steht es auch bei heise.
Jetzt VoIP-Passwort ändern: Kriminelle nutzen erbeutete Fritzbox-Daten aus
Das dicke Ende kommt wohl erst noch? :?

 

[Hans Juergen]

Aber noch immer heißt es: Nur wenn der Fernzugang aktiviert war... offenbar gibt es bisher keinerlei Hinweise darauf, dass die Daten (vor Veröffentlichung der Updates!) auf anderem Weg erbeutet wurden.

 

[SaschaBr]

Dann muss ich wohl doch mal bei UM anklopfen, denn bei denen ist ein Ändern über das Controlcenter nämlich wohl nicht vorgesehen (zumindest habe ich nichts dergleichen dort gefunden).
Werde denen mal 'ne nette E-Mail mit einem Link zum Heise-Artikel schicken.

EDIT:
--> Erledigt, jetzt bin mal auf die Antwort gespannt.

 

[SaschaBr]

Sorry für doppelte posten, aber das glaubt Ihr nicht:

Auf meine Bitte, dass Voip-Passwort zu ändern, bzw. mir das Ändern möglich zu machen, habe ich grade folgende Antwort bekommen:

...
vielen Dank für Ihre Mail.

Das ändern des VoIP-Passwortes ist leider nicht möglich. Ausreichen ist wenn sie die IP Telefonie auf Ihrer FritzBox 6360 deaktivieren.

Sollten Sie Fragen haben, rufen Sie uns einfach an oder ...

Wie bitte? was? Was 'n da für 'ne Knalltüte am Werk??? Was soll das deaktivieren meiner Voip-Telefonie bewirken, zumal ich dann ja nicht mehr Telefonieren könnte? Vollpfosten!!!

Und dann kann man noch nichtmals darauf Antworten, um nach zu haken.

 

[csmulo]

Das spricht doch eindeutig für UM, oder etwa nicht?