Die Datei ist mit einem - vorher im GUI festzulegenden - Kennwort verschlüsselt (zumindest die wirklich sensiblen Stellen) und damit hat es der Benutzer/Admin dann auch tatsächlich selbst in der Hand (neben dem Ein-/Ausschalten der Funktion), wie sicher das ist.
Wobei ich durchaus auch zustimmen würde, daß man das tatsächlich noch besser lösen könnte (und vielleicht sogar sollte). Ein Verschlüsseln der gesamten Export-Datei sollte gerade bei der (in der Regel ja tatsächlich externen) Speicherung der Daten die deutlich bessere Lösung sein, denn den meisten Besitzern einer FRITZ!Box (und vermutlich auch einigen Programmierern bzw. Security-Experten bei AVM) ist gar nicht immer bewußt, was bereits die Klartext-Daten so einer Datei alles verraten können. Da stellt sich dann nur noch die Frage, wer am Ende Zugriff auf die Daten im Postfach beim Provider haben könnte.
Das ließe sich z.B. als ZIP-Datei mit Kennwort realisieren, das kann auch praktisch jedes Betriebssystem "entschlüsseln" und man könnte sogar das ZIP-File direkt beim Import an die Box verfüttern, dann muß sich der Kunde gar keinen Kopf um die Entschlüsselung machen und trotzdem könnte der "kundige" Benutzer noch sehen, was da gespeichert ist - einfach damit VTs nicht ins Kraut schießen.
Nur mal ein paar (eher wahllos von oben nach unten gelesen, ohne Anspruch auf Vollständigkeit) Beispiele, was so eine Export-Datei schon alles im Klartext verrät (inkl. der hexadezimal ausgegebenen Dateien) - wobei je nach der Natur des Angreifers (Dienst, Ermittlungsbehörde, Provider, Dritter) einige Angaben auch bereits bekannt sind ... daher am besten immer unter dem Aspekt beurteilen, was ein Fremder (der die Daten zum Postfach meinetwegen über Phishing erbeutet hat, wenn er sie nicht direkt von Yahoo frei Haus geliefert bekam) alles entnehmen kann:
- bei welchem (Internet-)Provider ist der Besitzer der Box (höchstwahrscheinlich) Kunde -> "active_provider" in der "ar7.cfg"
- intern beim Besitzer verwendete LAN-Segmente (das erspart langwieriges Scannen nach dem verwendeten Netz) -> bei den Interfaces in der "ar7.cfg"
- ob die Box "Angebote" zur Fernkonfiguration (TR-069) berücksichtigen würde -> tr069discover-Einstellungen in der "ar7.cfg"
- ob die Box mit dem Hersteller kommunizieren darf oder nicht, das hat z.B. Auswirkungen darauf, ob man mit DNS-Spoofing für "avm.de" irgendetwas erreichen kann oder nicht -> auch irgendwo in der "ar7.cfg"
- welchen DNS-Server man eigentlich ersetzen/überstimmen müßte, wenn man (externes) DNS-Spoofing betreiben will -> "ar7.cfg"
- ob die Geräte im LAN dieser FRITZ!Box (wieder nur "wahrscheinlich") über einen zusätzlichen DHCP-Server angreifbar sein könnten (wenn die F!B DHCP eingeschaltet hat)
- ob die Box über einen DynDNS-Service einfach auffindbar ist - wobei der Name über DynDNS aus der Datei nicht ohne weiteres zu ermitteln ist, aber (wenn AVM das nicht tatsächlich noch korrigiert hat, soweit bin ich noch nicht bei der "Kontrolle") dafür enthält die E-Mail dann noch den passenden Link zur FRITZ!Box und der enthält dann zumindest den MyFRITZ!-Namen (sofern eine MyFRITZ!-Anmeldung bei AVM erfolgte); ob da bei fehlendem MyFRITZ!-Namen der DynDNS-Name erscheint, müßte ich erst noch einmal prüfen
- mind. eine (weitere?) E-Mail-Adresse im Klartext, wenn der Benutzer sie eingestellt hat (crashreport_name), die muß nicht mit dem gekaperten Postfach übereinstimmen -> "ar7.cfg" bei den Benachrichtigungseinstellungen
- die Information, wie genau der Besitzer der Box über Angriffsversuche informiert wird (die ganzen Benachrichtigungseinstellungen); das ist ja i.d.R. der einzige Weg, den auch ein erfolgreicher Angreifer auf eine FRITZ!Box im Nachhinein nicht mehr "zurückholen" kann, denn selbst ein (nachträgliches) Löschen bereits eingegangener Mails im Postfach (Vollzugriff für den Angreifer mal unterstellt) würde bereits an aktive Clients gesendete "neue Nachrichten"-Infos ja nicht wieder einfangen und da fällt so ein Löschen dann schon auf
- im Abschnitt "landevices" der "ar7.cfg" steht dann so ziemlich alles Wissenswerte über die vorhandenen (Netzwerk-)Geräte, inkl. eigentlich "versteckter" Portweiterleitungen und vorhandener MAC-Adressen (auch wenn L2-Adressen am Router "enden", werden ja gerade MAC-Adressen gerne als eindeutige Kennzeichnungen auch bei anderen Gelegenheiten verwendet, bei AVM u.a. auch als "serial number"), aus den MAC-Adresse ist dann - nicht immer und sicher, aber schon "ungefähr" - wieder auf die Hersteller der existierenden Geräte zu schließen, da braucht es dann ggf. gar keine Namen der Geräte wie "SamsungKS9890" mehr, um schon anhand der Export-Datei der FRITZ!Box und der bei vielen ja als "Impressum" unter einer eigenen E-Mail stehenden Anschrift (irgendeine gesendete Nachricht findet sich in so einem Postfach vermutlich auch) messerscharf darauf zu schließen, wo man besonders teure Heimelektronik "erwerben" könnte
- die in der "ar7.cfg" enthaltenen Benutzer sind alle verschlüsselt ... aber für einen Angreifer kann eben schon die Information wichtig sein, ob der Besitzer der Box tatsächlich eine vernünftige Berechtigungsstruktur etabliert hat oder ob da nur ein Kennwort verwendet wird (es gibt einen Benutzer mit "id = 100") oder sogar (falls das immer noch einstellbar ist) auf eine Anmeldung komplett verzichtet wird aus dem LAN (id = 101) - wenn ich jemanden mit id=100 angreifen kann (der womöglich auch noch ein voreingestelltes Kennwort für das GUI nicht geändert hat), sind meine Erfolgsaussichten ja höher und da würde man vermutlich zuerst dort anklopfen
- auch die Information, ob die neue "two_factor_auth" des FRITZ!OS nun eingeschaltet ist oder nicht, steht dort deutlich lesbar
- dann gibt es noch die Information, daß "Apps" angemeldet wurden oder nicht - wie genau die Infos da sind, weiß ich gerade nicht (sollte ähnlich wie bei "Benutzer" sein) und kann/will es auch nicht testen
Damit sind wir dann durch die "ar7.cfg" durch ... das ist aber genau eine einzige (die erste) Datei in so einer Sicherung und im Verlauf finden sich dann noch weitere Informationen ... angefangen beim WLAN (inkl. "bekannter" Clients anhand der MAC-Adressen), den konfigurierten Telefonnummern (wenn auch in hexadezimaler Form gespeichert), einem konfigurierten Cloud-Speicher (Benutzername/Kennwort sind verschlüsselt, aber die URL ist im Klartext zu finden und die enthält auch schon mal Kundennummern u.ä.), Angaben zur Fernkonfiguration durch den Provider (in der tr069.cfg) und zum "Update-Verhalten", eingerichtete VPN-Verbindungen (auch wenn da wichtige Daten wieder verschlüsselt gespeichert sind, ist eine Verbindung mit dem Namen "Berlin" auf einer Box in München eine interessante Information, ebenso dort verwendete Netzwerkeinstellungen) und so weiter ... wie weit die Daten in den Konfigurationsdateien für "AHA" jetzt "sicher" sind, weiß ich - mangels Technik dazu - gar nicht. Aber die Anrufliste fehlt dort natürlich ebenfalls nicht (auch wenn die vermutlich im Klartext in demselben Postfach stehen dürfte) und wenn der Besitzer bei der Benennung von Profilen für die "Kindersicherung" dann noch auf Vornamen zurückgegriffen hat (kann man ihm das verdenken?), dann hat man auch noch die Aufzählung der Familienmitglieder (und ggf. auch deren "Status" anhand der Restriktionen) in der "user.cfg".
Das ist sicherlich wenig überraschend und auch nicht wirklich gleich "ein Skandal" ... aber ich bin mir auch ziemlich sicher, daß sich nur wenige FRITZ!Box-Besitzer tatsächlich jemals überlegt haben, was alleine so eine Sicherungsdatei (inkl. der sie enthaltenden E-Mail) über sie verraten kann, wenn sie in die falschen Hände gerät.
Wie leicht das passieren kann (wenn mal wieder eine Datenbank mit Kundendaten abhanden kommt) und/oder wie bereitwillig mancher Anbieter selbst die Daten seiner Kunden für irgendwelche Dienste nach interessanten Details durchsucht, hat man vor nicht allzu langer Zeit eben am Beispiel von Yahoo erfahren können ... alle oben aufgeführten Daten sind dem eigenen E-Mail-Provider im Klartext zugänglich (um das noch einmal ganz deutlich zu machen) und werden auch von ihm oder auch von anderen "Anbietern" von Security-Suites (im Rahmen von Scans auf Malware und/oder Phishing, sofern die irgendwo "online" erfolgen) tatsächlich gelesen (maschinell natürlich/hoffentlich nur).
