[...] bis Du so ein Gerät in die Finger kriegst
Ich habe mich eigentlich auch bei der 6490 deutlich zurückgehalten ... erst als die Fragen nach dem Flashen einer neueren Firmware in ehemaligen Provider-Boxen sich häuften und dafür bereits Wege für ganz alte oder ganz neue Firmware-Versionen bekannt waren und nur die ehemaligen "kdg"-Boxen davon ausgeschlossen waren (weil man die nicht einfach auf "avm" umstellen und dann mit "firmwarecfg" über geänderte Formulare die signierte Retail-Firmware installieren konnte), erst da habe ich mich "aus der Reserve locken lassen" und das auch nur mit einer Lücke, auf deren Meldung AVM zuvor einfach gar nicht richtig reagieren wollte (trotz mehrmaliger Nachfragen dazu).
Das stellte dann aus meiner Sicht aber für die Käufer dieser KDG-Boxen (bis dann die direkte Möglichkeit über den Bootloader auch noch publik wurde) wieder eine gewisse "Gerechtigkeit" her - ansonsten hätte sich ein noch weiter gespaltener "Markt" an gebrauchten 6490 ergeben; jetzt ist die entscheidende Frage nur noch, ob die Box alte oder neue Zertifikate hat (und ggf. noch, ob die schon ab Werk vorhanden oder nachträglich geladen sind). Das war vorher deutlich anders, da spielte parallel dazu noch die Frage ">= 06.31 mit kdg-Branding" mit hinein - und der bunte Reigen der An- und Verkäufe von 6490 bescherte am Ende nur eBay entsprechende Umsätze über die Gebühren für solche Transaktionen.
Ich würde also nicht automatisch davon ausgehen, daß ich (a) überhaupt eine passende Lücke finde und wenn das doch so sein sollte, diese (b) dann automatisch auch öffentlich wird. Es fehlt einfach auch die (begründete) "Nachfrage", weil es hier eben keine älteren Provider-Boxen geben wird, die ein "facelifting" brauchen werden.
Daß ich ansonsten deutlich gegen den Shell-Zugriff (für "normale Benutzer") bei den DOCSIS-Modellen argumentiere, dürfte auch kein großes Geheimnis sein und trotzdem muß man natürlich für eine Sicherheits-"Analyse" (egal ob der Hersteller die nun gut findet oder nicht) auch erst einmal nach einer Möglichkeit suchen, so eine Box "zu penetrieren".
Finde ich so etwas tatsächlich, geht wie immer (wenn es eine - nach meiner Einschätzung - relevante Lücke ist und gerade zu solchen Fragen äußerte sich AVM bisher eigentlich nie, damit unterliegt das nun einmal ausschlielich - und gar nicht unbedingt von mir so gewollt, wie ich in mehreren E-Mails deutlich machte - meiner eigenen Einschätzung) erst einmal eine Meldung an AVM und dann hängt das weitere Vorgehen wieder von AVM ab. Die 90 Tage Zeit für das Fixen würden sie (solange ich nicht aufgrund anderer Vorkommnisse komplett auf "full disclosure" verfalle) in jedem Falle eingeräumt bekommen.
Davon bin ich erst ein einziges Mal bei AVM abgewichen (bei #796851, wo ich wegen der Notwendigkeit des Admin-Zugriffs für das GUI keine zusätzliche Gefahr zu den zu diesem Zeitpunkt ebenfalls verfügbaren Exploits sehen konnte) und dabei habe ich allerdings fast durchweg positive Erfahrungen gemacht ... allerdings heißt das noch nicht automatisch, daß nun alles als "full disclosure" laufen muß und wird. Ich hoffe ja irgendwie immer noch darauf, daß AVM sich zu einer "Disclosure Policy" durchringen und diese dann auch veröffentlichen wird - dann hätte man zumindest mal eine "offizielle" Richtschnur, an der man die Kommunikation mit AVM dann messen könnte.
