Das ist zwar zu hoffen, aber wetten würde ich darauf nicht. Du scheinst auch der gleichen Meinung zu sein. Der Grund, warum AVM die debug.cfg abschalten will ist vermutlich, dass für den Fall, dass noch eine ähnliche Lücke entdeckt wird, die debug.cfg nicht dazu genutzt werden kann, permanent etwas auf der Box nachzuladen.
Vielleicht liege ich ja wirklich falsch ... aber ich würde von AVM eher erwarten, daß sie von vorne herein versuchen, "fremde" Zugriffe auf die Box zu verhindern und nicht nur einen (erfolgreichen) Angreifer daran hindern wollen, sich permanent in der Box einzunisten.
Und wenn ein Angreifer wirklich einen Weg zum Eindringen in die Box findet ... wer will ihn dann davon abhalten, die dazu notwendigen Schritte nach einem Neustart der Fritz!Box einfach wieder auszuführen ? Dazu reicht es schon, die DynDNS-Anmeldung zu "faken" und stattdessen die Anmeldung bei einem C&C-Server durchzuführen ... dafür braucht es keine debug.cfg.
Sei's drum ... wenn AVM den daran interessierten Kunden so eine Art "Experten-Modus" (analog zur Experten-Ansicht) zur Verfügung stellen würde (meinetwegen nur bei physischem Zugang zum Gerät erstmals zu aktivieren, z.B. durch gleichzeitiges Drücken der beiden Tasten oder durch Überbrücken von zwei LAN-Anschlüssen mit einem Patch-Kabel beim Booten), wäre sicherlich den "Bastlern" auch geholfen. Wenn aber die Bastler nicht laut aufschreien, wenn ihnen AVM ihr "Spielzeug" wegnimmt, wer soll dann für sie eintreten ?
Der Vorschlag, das Ausführen der debug.cfg von einem gesetzten Passwort oder Telefonsteuercodes oder sonstigen Einstellungen abhängig zu machen übersieht, dass man damit den Zweck der Änderung aushebelt.
Auch wenn ich ebenfalls nichts von einer Aktivierung per Telefoncode o.ä. halte ... es geht doch dem TS gerade darum, daß AVM die Box nicht komplett "verrammeln" soll. Der Einsatz eines Freetz-Images ist eben - sicherlich aus vielen unterschiedlichen Gründen - für viele eine "Hürde" (und damit meine ich nicht einmal eine technische, sondern eher eine Akzeptanz-Hürde - das was in größeren Projekten den social part des change managements ausmacht), die sie nicht so ohne weiteres nehmen wollen.
Und bisher ging das bei AVM's Fritz!OS auch durch die debug.cfg ganz gut. Immerhin ist die sogar "halb-offiziell", weil sich wohl auch AVM's FHEM-Erweiterung dort eingeklinkt hat.
Wenn das jetzt auf einmal wegen des Bug, der ja nach unserer übereinstimmenden Meinung nichts mit der debug.cfg zu tun hatte (ich habe jedenfalls von keinem Fall gehört, wo sich die Angreifer per debug.cfg-Modifikation einen permanenten Zugang zur Box gesichert haben), bei AVM zu einer Reflexreaktion führt, bei der mehr oder weniger alle Zugriffsmöglichkeiten unterhalb eines komplett anderen Images abgeschafft werden, dann ist das sicherlich dem großen Teil der AVM-Kunden egal ... aber das sind eben nicht die Leute, die hier lesen und schreiben und schon gar nicht die Leute, die jemals Freetz benutzen würden.
Was soll denn als nächstes kommen ? Ein Update für EVA, daß nur noch von AVM signierte Firmware eingespielt werden kann ? Wohin das führt und wie wenig erfolgreich das ist, sieht man an der 6360.
Außerdem gibt es noch genug andere mögliche Lücken, um die sich AVM kümmern sollte ... auch wenn sicherlich nicht alle das Potential haben wie diese eine, die durch bloßes "Weglassen" (absichtlich oder versehentlich entdeckt) eines Wertes für das Kompromittieren der kompletten Modellpalette von AVM-Boxen der letzten Jahre verantwortlich war.
