1. Labor-Version, da gibt es schon ab und an auch mal etwas Neues ... und sei es nur zum "Ausprobieren", wie es ankommt. Das Bestätigen ist in diesem Labor-Zweig von Beginn an vorhanden:
avm.de schrieb:
Sicherheit:
Änderung – Die Anmeldung an der FRITZ!Box-Oberfläche ist 20 min gültig
Änderung – Die Bedienoberfläche fritz.box fordert für die Ausführung bestimmter Einstellungs-Änderungen oder Funktionen eine Bestätigung mit Hilfe eines angeschlossenen Telefons
2. Hier mehrfach bereits thematisiert (inkl. Abschaltung), halt bei älteren Labor-Versionen - macht ja auch nicht so viel Sinn, das für "Nachzügler" bei jeder Version neu anzumerken.
3. Die Verzögerung ist ja nur die Folge
mehrfacher Fehlversuche und da könnte man ja auch die Frage stellen, wieviele Anläufe (mit welchen Variationen eigentlich?) denn notwendig sein sollten oder sind, damit so eine Sperre gegen "brute force" dann zuschlägt. Bei mir haben erst drei (absichtliche) Fehlbedienungen dafür gereicht (allerdings gebe ich zu, daß ich mit der Vorgängerversion getestet habe), daß die Box der Meinung war:
FRITZ!OS schrieb:
Die letzten drei Bestätigungsversuche wurden abgebrochen oder nicht erfolgreich ausgeführt. Der Bestätigungsvorgang wurde zum Schutz für 60 Minuten gesperrt. Bitte versuchen Sie es später noch einmal.
4. Die Sinnhaftigkeit der Abfrage beim Senden eines Faxes kann man tatsächlich hinterfragen ... andererseits ist das am Ende auch nur ein einzelner Seitenaufruf, der so einen Faxversand auslöst (das Zusammenstellen im Browser ist ja alles nur "Vorspiel") und da kann - bei gelegentlicher Nutzung des Faxversands - eine Abfrage auch vor (automatischem) Mißbrauch schützen.
Allerdings gibt es m.E. tatsächlich mind. einen Fehler im Javascript-Code ... zumindest beim Export (aka "Sichern"). Wenn man dort im Kennwort-Feld seine Eingabe macht und diese einfach mit "Enter" beendet anstatt das Feld vorher zu verlassen oder mit der Maus auf "Sichern" zu gehen (was dann ja auch "onblur" auslösen würde), dann wird die falsche Ereignisbehandlung aufgerufen (oder es "bubbled" zu weit) und direkt ein Submit mit POST an "/cgi-bin/firmwarecfg" aufgerufen ... sogar ohne oder mit einem alten Wert im Kennwort-Feld, weil die neue Eingabe noch gar nicht den richtigen Variablen zugewiesen wurde.
Bei eingeschalteter Bestätigung funktioniert dann der Download der Einstellungen glücklicherweise(!) nicht - ist die ausgeschaltet, lädt sich der Benutzer aufgrund dieses Fehlers eine Sicherungsdatei, die keines oder das falsche (weil alte) Kennwort verwendet (einfach mal die HTTP-Requests ansehen, die da ausgelöst werden) und die er gar nicht wieder importieren kann. So kann man den Benutzer eine FRITZ!Box dann auch in die Verzweiflung treiben, weil die meisten wohl zu der Annahme kommen werden, daß die Ursache bei ihnen selbst liegt und nicht in der Firmware.
