Def Con 22: Millionen DSL-Router durch TR-069-Fernwartung kompromittierbar

[sven@mainz]

@andiling: Mach mal bitte im Post #13 Deinen Anmeldenamen unkenntlich. Muss nicht jeder wissen.

 

[PeterPawn]

Ist das nicht einheitlich?

Nein, wird dem ACS-Server von der Box mitgeteilt und der muß es sich dann ggf. merken. Ist halt bei AVM fix ... aber nicht gefordert in der Spezifikation.

Außerdem geht es in dem Artikel beim Port 7545 um den am ACS-Server, auf dem er die Verbindungen der Clients entgegen nimmt. Der 8089 der FRITZ!Box ist die Gegenrichtung, wenn der ACS unaufgefordert kommunizieren will.

 

[eisbaerin]

Danke für die Aufklärung.

 

[andiling]

Also es scheint (zumindest bei mir) so zu sein als ob bei der Kombination Fritzbox und Telekom TR069 gar nicht aktiviert ist, oder?

tr069cfg {
enabled = no;
litemode = no;
tr181_support = no;
igd {
DeviceInfo {
FirstUseDate = "1970-01-01 01:00:00";
}
managementserver {
url = "";
username = "";
password = "";
URLAlreadyContacted = no;
LastInformReq = "1970-01-01 01:00:00";
LastSuccessfulContact = "1970-01-01 01:00:00";
URLbyDHCPIface = "";
PeriodicInformEnable = no;
PeriodicInformInterval = 0;
PeriodicInformTime = "1970-01-01 01:00:00";
UpgradesManaged = no;
ACSInitiationEnable = yes;
SessionTerminationWithEmptyPost = no;
ConnectionRequestUsername = "";
ConnectionRequestPassword = "";
dnsprefer = tr069dnsprefer_ipv4;
}
}
FirmwareDownload {
enabled = no;
enabled_converted = yes;
upload_enabled = no;
valid = no;
suppress_notify = no;
status = 0;
StartTime = "1970-01-01 01:00:00";
CompleteTime = "1970-01-01 01:00:00";
method = Download_Method_DL;
}
RebootRequest = no;
guimode = guimode_visible;
}

 

[PeterPawn]

als ob bei der Kombination Fritzbox und Telekom TR069 gar nicht aktiviert ist, oder?

Kein ACS-Server in der Konfiguration heißt automatisch auch, die Box wüßte ja gar nicht, wen sie wegen TR-069 kontaktieren soll.

Ab 06.10-irgendwas: In diesem Falle bindet sich der ctlmgr auch nicht intern an den Port 8089, geschweige denn, daß ein Forwarding dafür eingerichtet wird.

Also alles gut ... in neuer Firmware sollte aber auch noch ein

        dhcp43_support = no;

in der tr069.cfg stehen, wobei die Option so neu ist, daß wohl noch niemand getestet hat, ob "enabled=no" nicht auch diese Einstellung overruled.

EDIT: Das alleinige Fehlen von Benutzernamen und Kennwort in der tr069.cfg hält die Box aber auch nicht in jedem Falle von TR-069-Aktivitäten ab. Die dort eingetragenen Werte sind bei einer für "zwangsweises" TR-069 vorbereiteten Box (wie der 6360) schon im Urlader-Environment (tr069_serial und tr069_passphrase) abgelegt. Bei KDG wird bei der 6360 das TR-069 aber auch gar nicht für die Konfiguration des Internet-Zugangs verwendet, nur die Telefoneinstellungen werden darüber übermittelt. Auch die periodische Kontaktaufnahme mit dem ACS findet wohl nicht statt, ist beim Vorhandensein eines aktiven SNMP-Stacks ja auch unnötig. Trotzdem ist der ACS-ConnectionRequest-Port auch bei KDG-6360 offen, er wird aber nur auf dem zweiten logischen Interface (voip+tr069) geforwarded. Der KDG-ACS wird nebenbei gesagt auf Port 7547 kontaktiert, wie man einer export-Datei einer 6360 schon im Klartext entnehmen kann.

 

[HabNeFritzbox]

1&1 Kunden sind nicht betroffen. Zitat aus dem 1&1 Forum:

Hallo,

wir können für o.g. Sicherheitslücke für unsere 1&1 DSL-Kunden Entwarnung geben:

Ist 1&1 von der Sicherheitslücke betroffen?
Nein, dies betrifft uns nicht. Wir haben die genannten Punkte geprüft und können dies für unseren ACS und für die von uns vertriebene Hardware ausschließen.

Welche ACS-Software setzt 1&1 ein?
Wir setzen die besagten ACS Systeme nicht ein. Die Kommunikation zwischen ACS und Router ist immer durchgängig verschlüsselt und es werden nur Zertifikate akzeptiert, die von vorbelegten Root-CAs signiert wurden.

Können Kunden das TR-069-Protokoll auf den von 1&1 verteilten DSL-Routern deaktivieren?
Ja, das ist über die Benutzeroberfläche möglich. Durch deaktivieren von TR069 besteht allerdings von Seiten des Netzbetreibers keine Möglichkeit mehr den Kunden mit der aktuellsten und sichersten Firmware-Version automatisch auszustatten. Außerdem sind im Falle einer Störung des Anschlusses die Möglichkeiten dem Kunden zu helfen nur noch sehr beschränkt.

Udo [1&1]
Community Manager Customer Care

 

[andiling]

[QUOTE ]Welche ACS-Software setzt 1&1 ein?
Wir setzen die besagten ACS Systeme nicht ein.[/QUOTE]

Hmm... vielleicht hat deren Software ganz andere Lücken? Vertrauen ist gut, Kontrolle ist besser, das versucht man aber mit der Geheimniskrämerei zu vermeiden.

 

[HabNeFritzbox]

Wenn es danach geht, kann man sich nie sicher sein, da man keinen Zugriff hat auf die eingesetzten Geräte und auch die Dienste samt Versionen ect. nicht kennt. Besonders bei solchen Sicherheitskram stellt sich 1&1 eher tot statt Transparenz oder Aufklärung zu schaffen. Mehr Einzelheiten wirst du wohl nicht genannt bekommen.

 

[SF1975]

Hallo,
Selbst wenn 1&1 sagt, sie seien sicher, oder die Telekom oder ein Provider aus Nordkorea ... prüfen kannst Du es definitiv nicht, nur glauben, bis ein Skandal etwas anderes beweist :meinemei:

 

[andiling]

Und das ist für mich ein schlagendes Argument gegen Routerzwang und Anbieter, die eine eigene Konfiguration verbieten wollen.

 

[SF1975]

Hallo,
Man kann bei 1&1 ja auch ohne StartCode arbeiten. Die Zugangsdaten bekommt man ja

 

[HabNeFritzbox]

Macht bei 1&1 keinen Unterschied ob Daten manuell eingibst oder Startcode, hat selbe Wirkung und automatische Einrichtung wird durchgeführt.

Seiden man richtet es manuell im Offline Betrieb ein, und stellt es dann ab.

 

[MuP]

Wenn in der FB3390 (6.03) die TR-069-Fernwartung "Automatische Einrichtung durch den Dienstanbieter zulassen" (Anbieter 1und1) NACHTRÄGLICH via Export/Bearbeiten/Import der Sicherungsdatei deaktiviert wird, funktioniert die automatische Anmeldung beim Provider nach Reboot der Box nicht mehr.

Im Betriebszustand ist dieser Eintrag angehakt und ausgegraut.

 

[HabNeFritzbox]

Ich konnte bisher immer die Automatik im Nachhinein übers WebIF abschalten, da war nichts grau, egal ob 7270, 7390, 7490 ect.

Für die erste Einrichtung finde ich es praktisch, danach hab ich es aber auch lieber aus, dass zwischendurch nicht einfach mal was überschrieben wird.

 

[sven@mainz]

Genau so ist es. Es sollte die Möglichkeit geben, die Konfig nur auf Abruf zu holen.

 

[koyaanisqatsi]

Moin

Sehr lustig, folgendes kann jeder der eine 1&1 Box hat mal antesten:

1. Im Webinterface Internet/Zugangsdaten/Anbieter-Dienste deaktiviert.
2. In der ar7.cfg den freigegebenen Port 8089 gesperrt.

dsldpconfig {
security = dpsec_firewall;
filter_teredo = yes;
filter_netbios = yes;
lowinput {
        policy = "permit";
        accesslist =
                     "deny ip any 242.0.0.0 255.0.0.0",
                     "deny ip any host 255.255.255.255",
                     "deny tcp any any eq 8089";
}
lowoutput {
        policy = "permit";
}
highinput {
        policy = "permit";
}
highoutput {
        policy = "permit";
        accesslist =
                     "reject ip any 242.0.0.0 255.0.0.0",
                     "deny ip any host 255.255.255.255",
                     "reject ip any 169.254.0.0 255.255.0.0",
                     "deny tcp any any eq 8089";
}
}

3. In der /var/flash/tr069.cfg url, username und password als leerer String.
4. Neustart der Box.

1&1 hat nach Neustart die VoIP und Onlinespeicherdaten neu eingetragen/konfiguriert.
Obwohl schon alles da war, b.z.w. völlig unnötig drübergebügelt.
Danach hatte kein Telefoniegerät eine zugewiesene Nummer.
Der Onlinespeicher war aktiv.
Internet/Zugangsdaten/Anbieter-Dienste erste Option war wieder aktiv.
Einzig die Portsperre (8089) bleibt bestehen.
Der Verbindungsaufbau kam also von "Innen".
Die /var/flash/tr069.cfg sieht auch wieder so aus wie vorher, die Änderungen wurden also verworfen.

 

[SF1975]

Hallo,
Hast Du das mal 1&1 unter die Nase gerieben?

 

[koyaanisqatsi]

Nein, solche Manipulationen reib ich denen nicht unter die Nase.
Ich will mir erstmal keinen neuen Provider suchen.

 

[andilao]

Anscheinend übertreibt man es bei 1&1 mit der Big-Brother-TR-069-"Active Notification".

"jeder der eine 1&1 Box hat" - hast Du auch mit AVM-Branding getestet und ein anderes Ergebnis erzielt?

 

[koyaanisqatsi]

Ähem, hab ich es nicht erwähnt? Sie ist schon auf avm gebrandet.
Auch ein Grund deswegen 1&1 nicht zu konsultieren.