@Nob88:
Weißt Du ... da gibt es angesichts einer Schilderung von Deiner Seite, die sich so liest:
Hab mir bei ebaykleinanzeigen eine 6490 gekauft. Hab extra beim Verkäufer gefragt ob er die Box im Geschäft gekauft hat, leider ist es so nicht.
Die Fritzbox kommt von Wilhelm.tel und soll jetzte an cable Vodafone laufen.
Hab diese entbandet und die aktuelle Firmware installiert. Vorher wahr das Certificate auf NEw/New nach der Firmware Aktualisierung OLd/old und die Mac-Adresse ist beim einwählen nicht mehr die auf der Fritzbox steht.
eigentlich kaum Zweifel oder die Beschreibung ist "erlogen" - denn ob die nun aus Mangel an Kenntnissen falsch ist oder durch Vorsatz, spielt für den Wahrheitsgehalt per se ja keine Rolle, also das "erlogen" bitte nicht persönlich nehmen.
Wenn die CM-MAC (oder was soll bitte diese "Mac-Adresse [ist] beim einwählen" ansonsten sein) nicht die auf der FRITZ!Box angegebene ist und da in den vorherigen Support-Daten ein "new/new" stand (das gibt es ja auch erst ab Version
06.50, wenn ich mich recht erinnere EDIT: 06.31, ich habe noch mal nachgesehen), dann gibt es nicht mehr so viele Möglichkeiten, wie da nach irgendeiner Aktion auf einen Schlag ein "old/old" draus werden kann.
Dafür braucht es keinen Hardware-Defekt (was bitte sollte da kaputtgegangen sein, daß sich dabei auch noch die CM-MAC ändert?) ... auch ein komplettes Löschen des TFFS würde zwar eine mögliche Erklärung liefern (wenn der komplette SPI-Flash defekt ist, warum sollte dann der Bootloader noch funktionieren?), aber davon hast Du (a) nichts erwähnt und es wären davon (b) noch ganz andere Einstellungen betroffen. Wie Du dann bei einer solchermaßen defekten Box bis zur Diagnose "old/old" gekommen sein solltest, würde mich auch brennend interessieren.
Daß ich Deiner Schilderung nicht wirklich folgen kann und ein paar der vorgetragenen Fakten oder besser "Beobachtungen" durchaus auch skeptisch betrachte, steht irgendwo weiter vorne ... wie aber
@Flole aus den hier von Dir zum Besten gegebenen Informationen zu dieser Ansicht kommt:
Das Problem von Nob88 ist scheinbar das das TFFS komplett planiert wurde, oder zumindest unvollständig erstellt wurde. Das ist wohl durch den Schritt der Anleitung passiert, der mtd3 und mtd4 mit dem aus dem env und count erstellten Variablen überschreibt. Warscheinlich ist da bei der Erstellung etwas schief gelaufen, nun hat die Box riesige Probleme und kann diverse Dinge nicht mehr finden und das Standard WLAN Passwort fehlt auch.
kann ich auch nicht nachvollziehen ... auch das paßt nicht zu Deinen bisherigen Schilderungen.
Entweder Du hast das TFFS zerschossen ... dann frage ich mich, wie Du an die Supportdaten nach dieser Aktion gelangt sein willst oder Du hast die Box tatsächlich nur auf Werkseinstellungen gesetzt (absichtlich oder versehentlich, interessiert aber gar nicht wirklich) und wenn sich aus dieser Aktion (nach der die Box dann tatsächlich noch arbeitsfähig sein sollte) eine Änderung der CM-MAC und eine Änderung auf "old/old" in den Support-Daten ergibt, dann ist der Wechsel auf "old/old" zwar noch zu erklären - bei der Änderung der CM-MAC fällt mir dann nichts Passendes mehr ein, außer einem "Restaurieren" der CM-MAC aus den entsprechenden Bereichen mit den Finalisierungsdaten im Bootloader.
Und wenn das nunmehr die "richtige" CM-MAC des Gerätes ist, dann muß jede andere, für die zuvor ein Zertifikat vorhanden war, das in den Support-Daten als "new/new" ausgewiesen wurde, automatisch auch eine "gefälschte" sein ... denn eine Box mit 2 verschiedenen CM-MAC-Adressen für dasselbe CM sollte es nicht geben.
Was also an dieser ganzen Geschichte jetzt nicht stimmt, kann ich auch nicht sagen ... das kann vom tatsächlich "behandelten" Gerät bis zur vollkommen verkorksten Schilderung reichen.
------------------------------------------------------------------------------------------------
Es ändert aber alles nichts daran, daß ich das Vorhaben von
@Flole, um das es hier im Anschluß auch ging (aber auch erst, nachdem er sich so vehement gegen meine Klassifizierung eines solchermaßen "ausgetauschten" Zertifikats als Fälschung wandte), nach wie vor für fragwürdig halte und für etwas, was weder "mit der Moral" noch mit den Gesetzen (spätestens beim Veräußern, ohne über die Besonderheiten aufzuklären) zu vereinbaren ist, egal was aus den Geräten (sowohl aus denen, die hier zum Spender auserkoren wurden als auch aus den Empfängern dieser "Organspenden") am Ende werden mag.
Dieser Teil der Diskussion ist in seiner Fortsetzung (auch wenn ich vor kurzem noch einmal den Werdegang der Diskussion zusammengefaßt habe, weil ich ja nicht einfach so aus einer Laune heraus das Thema "Fälschung oder nicht" aufgegriffen hatte) aber ohnehin von der Frage entkoppelt, was nun tatsächlich das Problem bei Deiner Box sein mag ... hier geht es mir um das Ansinnen und den Sinn solcher "Transplantationen" und das dabei notwendige Vorgehen per se.
Das ist - und zwar für mich auch ohne Wenn und Aber - ein Klonen von Geräten und in den USA ist das z.B. eine veritable Straftat (frag mich jetzt nicht, auf der Basis welcher Gesetze das so wäre ... auch könnte die Gesetzeslage in D tatsächlich komplizierter sein), wie uns ein Blick in die Vergangenheit durchaus zeigt:
[to be continued]
Zwar ist dieser "Sport" auch in den USA m.W. mit der Einführung zusätzlicher Sicherheitsmechanismen in DOCSIS3 zurückgedrängt worden, aber diese Zertifikate, über die wir hier die ganze Zeit reden und schreiben, sind genau der Kern dieser zusätzlichen Sicherheitsvorkehrungen und damit konterkariert jede Bestrebung, da irgendetwas auszutauschen, den Standard.
Wenn dann noch Aussagen wie:
Das ganze Zertifikatssystem ist so ja ziemlich broken by design wenn man bedenkt, das beim Hersteller auch schon viele Dinge schief gehen können.
dazukommen (ich lasse die Quellenangabe jetzt absichtlich mal weg, habe ich ja schon an anderer Stelle verlinkt), mit denen man (ja, was eigentlich genau?) wohl suggerieren will, daß man doch eigentlich auch nichts anderes macht, als die Sachen, die schon beim Hersteller passieren
könnten (der Nachweis, daß sie tatsächlich geschehen, steht jedenfalls nicht daneben, nur die "Vermutung", daß etwas ähnliches geschehen könnte), nun in freier Wildbahn nur "nachzuholen" ... dann sieht das für mich immer noch wie die Rechtfertigung für ein Vorhaben (zum Stand der Umsetzung weiß ich nicht genug, um das "anprangern" zu können) aus, was ich schon mal definitiv nicht gutheiße und was für mich - sowie es über den reinen "Forscherdrang" hinausgeht und das ist bei der Vorbereitung eines solchen Angebots zweifelsfrei schon der Fall, denn hier geht es nicht mehr um das Verstehen von Zusammenhängen oder das Verbessern von Sicherheitsmechanismen, die man dazu naturgemäß erst mal auf ihre Schwachstellen abklopfen muß, sondern um das
mehrfache Ändern von Geräten, was garantiert keine neuen Erkenntnisse bringen wird - ein "no go" ist und ich gehe sogar so weit, von anderen denselben "moralischen Kompaß" zu erwarten oder ihnen zumindest nach Kräften "ins Gewissen zu reden" oder auf die Füße zu treten mit meiner Argumentation.
Denn es ist und bleibt nun mal der Knackpunkt in dieser ganzen Diskussion ... einem "Unbekannten" direkt das Vertrauen aussprechen zu müssen, daß dieser keinerlei unlautere Absichten hat, obwohl doch das "Vervielfältigen" von elektronischen Zertifikaten so leicht ist und es erst beim Provider wirklich auffällt (hier mal ein Beispiel für einen solchen "Vorfall":
https://www.docsis.org/node/1624), ist etwas, das in keinster Weise damit vergleichbar ist, daß ein Gerätehersteller seinen Produkten diesen "elektronischen Ausweis" mit auf den "Lebensweg" gibt.
Und wenn jemand denen dann am Ende des Lebens "die Papiere klaut" und damit ihre Sozialversicherungsnummer (in den USA beliebt) mißbraucht, dann gibt es bei der Parallele aus dem Leben für den oder die Verstorbene/n selbst auch keine negativen Konsequenzen mehr ... aber sehr wohl für diejenigen, die mit diesen falschen Papieren über die Identität eines anderen getäuscht werden.
Auch andere Aussagen in diesem Zusammenhang:
Wenn mir von Vodafone/Unitymedia oder einem anderen Kabelanbieter eine Liste mit unterschlagenen Modems sowie einer Strafanzeige dazu (als "Nachweis" das diese Modems tatsächlich unterschlagen wurden) vorgelegt wird, werde ich diese Modems nicht aktualisieren.
machen nicht so richtig Sinn ... wie will man denn (bei der "Remote-Methode") bitte erkennen können, für welche 6490 diese "Aktualisierung" eigentlich vom Empfänger von Zertifikat und Programm verwendet wird? Oder - um noch einen Schritt weiterzugehen ... wie will man bitte verhindern, daß der "Käufer" so eines wiederverwendbaren Zertifikats nicht am Ende selbst hingeht, alte 6490 ohne neues Zertifikat aufkauft und diese alle mit demselben neuen Zertifikat versieht, bevor er sie wieder unter die Leute bringt?
[ Für diesen Standpunkt spielt es auch keine Rolle, daß ich ja sofort widerspreche, wenn mir jemand einreden will,
jede Provider-6490 in freier Wildbahn wäre "Hehlerware" ... das ist wohl inzwischen eine echte "urbane Legende", die die KNB erfolgreich in die Welt gesetzt haben, ohne jemals (m.W. jedenfalls) einen entsprechenden Prozess geführt zu haben. Sogar im UM-Forum wird derartiges behauptet ... oder ich verstehe Feststellungen wie
Ich denke hier geht es nur um Hehlerboxen, die schon so lange "lagern", dass ihnen die neuen Zertifkate fehlen, und deswegen inzwischen gar nicht mehr funktionieren.
vielleicht schon aus eigener Paranoia falsch und der Urheber dieser Aussage wollte diese tatsächlich auf die Boxen beschränkt wissen, bei denen diese Eigenschaft "Hehlerware" von einer dazu befähigten Instanz auch festgestellt wurde. ]
Auch solche Feststellungen sind für mich mehr Rechtfertigungs- als Erklärungsversuch (es ging darum, daß mit dem privaten Schlüssel für ein Zertifikat in den Händen eines Dritten die Vertraulichkeit der Kommunikation innerhalb des Kabelsegments auch dahin ist - wer das verstehen will, kann die DOCSIS-Spezifikation für "SEC" ja mal lesen):
Dies gilt leider aber auch für alle gebrauchten Modems und der c4 war mit seiner Validierung auch nicht gerade streng (möglicherweise hat also jemand schon mal massig Zertifikate generiert als es noch ging), und wenn man den Gedanken ganz zu Ende spinnt könnte man theoretisch eine 6490 bestellen, die Schlüssel nehmen und die Box wieder zurückschicken. Dies wäre allerdings definitiv illegal.
Der Hersteller hat jedenfalls bei dieser Aktion mit dem c4.avm.de von seinem (tatsächlich vorhandenen) Recht Gebrauch gemacht, Ausweise für FRITZ!Boxen(!!!) auszustellen ... wie genau dabei die Prüfungen nun wirklich waren und ob sich da nicht am Ende doch der eine oder andere Fremde (aka CPE) "versorgen" konnte, dessen Visum ansonsten schon abgelaufen war, steht auf einem ganz anderen Blatt - ebenso die Frage, ob Kriminelle da in größerem Umfang Zertifikate "auf Vorrat" abgegriffen haben. Auch wenn AVM das wohl kaum zugeben würde, weil man dann gleich vor dem nächsten notwendigen Schlüsseltausch (oder zumindest einer kräftigen Ausweitung von CRLs, wobei ich gar nicht genau weiß, ob auch einzelne CM-Certs ausgeschlossen werden können oder ob nur die Chain unterbrochen werden kann) stünde.
Aber aus dieser Tatsache jetzt das eigene Recht abzuleiten, für weitere FRITZ!Boxen Papiere aus einer vollkommen anderen Quelle zu verkaufen und dann noch darauf zu bestehen, diese wären ja schließlich genauso gut wie die originalen und der Grenzer sollte einen nun endlich durchlassen, ist schon recht abenteuerlich.
Angeblich würde eine Weigerung eines KNB, ein Gerät mit einem solchen falschen Ausweis (es wird eben die Identität des Gerätes beglaubigt und nicht die der MAC-Adresse) zu provisionieren, gegen "die Endgerätefreiheit" verstoßen:
Aus gutem Grund ist es dem Kabelanbieter nicht möglich, das Zertifikat auf irgendwas anderes zu prüfen, lediglich die Gültigkeit interessiert per Standard (und daran hat sich Unitymedia zu halten gemäß Endgeräte Freiheit). Es sieht also das Gerät immer wie eine Fritzbox aus wenn es sich am Aktivierungsserver meldet, lediglich die MAC ist eine andere (und die ist nicht in der Schnittstellenbeschreibung festgelegt, wie auch). Also falls man doch Maßnahmen ergreift Verstößt das höchstwahrscheinlich gegen die Endgeräte Freiheit.
Da das Update der Zertifikate Softwareseitig ausgeführt wird, ist derjenige der die Aktualisierung macht für den neuen Aufkleber verantwortlich (ein entsprechender Hinweis wird darauf hinweisen).
Den letzten Satz habe ich nur noch hier dazugenommen, weil er auch illustriert, daß es gar keine weiteren "Vorkehrungen" gegen einen fortgesetzten Mißbrauch durch Dritte gäbe ... wenn "derjenige" den Aufkleber dann nicht ändert und/oder das Programm auf mehrere Boxen losläßt, ist wieder ein anderer verantwortlich.
Aber auch die Frage, ob ein Gerät mit einem fremden Zertifikat dem DOCSIS-Standard entspricht und daher vom Provider zu provisionieren wäre, läßt sich ziemlich leicht durch einen Blick in den Standard beantworten ... z.B. findet man in CM-SP-SECv3.0 (Version C01 vom 07.12.2017) folgende Passage im Abschnitt 5.2.1.2 (Key Management Protocol) im vierten Absatz (Seite 24 unten/25 oben):
Each CM carries a unique digital certificate issued by the CM’s manufacturer. The digital certificate contains the CM’s public key, along with the CM MAC address, the identity of the manufacturer, and the CM serial number. When requesting an Authorization Key, a CM presents its digital certificate to a CMTS. The CMTS verifies the digital certificate, then uses the CM’s public key to encrypt an Authorization Key, which the CMTS sends to the requesting CM.
Jeder Operator, der hier jetzt im Zuge der "verification" feststellt, daß das vorgelegte Zertifikat eben nicht "issued by the CM's manufacturer" ist, hat jedes Recht, dieses CM wegen Verstoßes gegen die Festlegungen in dieser Spezifikation (die sich passenderweise auch noch genau mit den Sicherheitsaspekten des Protokolls bzw. der Protokoll-Suite, weil DOCSIS schon recht komplex ist, befaßt) nicht in seinem Netz zuzulassen, denn es ist ebenfalls festgelegt (in der Einleitung für den gesamten Abschnitt 5 (OVERVIEW) auf Seite 23):
At the beginning of the provisioning process, the CM is not trusted. The CM increases its level of trust as it successfully completes different provisioning steps. These steps include device authentication, registration request validation, and service authorization. Once the CM successfully completes the provisioning process with DOCSIS 3.0 security features enabled, it is considered trusted enough to provide data services to subscribers;
Wenn hier schon der erste Schritt (authentication) fehlschlägt (ich unterstelle mal, daß der KNB es bemerkt, weil es hier ja genau um diese Frage geht, ob er es trotzdem provisionieren müsse), kann das CM logischerweise niemals "trusted" werden und somit auch nicht Bestandteil des DOCSIS-Netzes.
Ich hoffe mal, das waren noch ein paar mehr Argumente, warum das entweder alles gar nicht richtig durchdacht war oder doch eine sehr windige Angelegenheit ist, bei der Begründungen teilweise etwas an den Haaren herbeigezogen wirken ... wenn man da seine Skepsis zum Ausdruck bringt, muß das eigentlich niemanden wirklich verblüffen. (Und irgendwie hatte ich es in dem anderen Thread mit dem "Ändern der CM-MAC" ja schon kommen sehen, wohin die Reise gehen würde am Ende.)
------------------------------------------------------------------------------------------------
Und noch was ganz anderes (explizit an
@Nob88) und mal ganz ehrlich ... wenn mir irgendjemand, den ich ansonsten nicht weiter kenne, so ziemlich am Anfang eine Aussage:
Weil ich ein guter Mensch bin Glaub ich noch an gute Menschen.
aufs Auge drücken will, dann steigt eher meine Skepsis, was man mir hier gerade unterjubeln will, als mein Glaube an diesen Jemand (und die Menschheit an sich).
Hört oder liest man diese Einschätzung von einem Dritten, mag das in Ordnung gehen (sofern der ihn tatsächlich kennt und das auch schon länger als 5 Minuten oder zwei IPPF-Beiträge) ... aber wer mir so etwas über sich selbst erzählt, der hat praktisch bereits verloren.
Stünde da:
Weil ich selbst ein naiver Mensch bin und grundsätzlich an das Gute im Menschen glauben möchte ...
, wäre das wieder etwas anderes (und sogar nachvollziehbar) - so fällt mir aber nur wieder ein, daß (ganz generell) ein Lügner auch auf die Frage, ob er ein Lügner ist, nicht die Wahrheit sagen würde ... wer darin das Rätsel mit den zwei Türen und den zwei Wächtern (von denen einer immer lügt und der andere immer die Wahrheit sagt) wiedererkennt, liegt nicht so falsch.
) und will dann 300-400 EUR für alte Modems einnehmen, die er schon länger besitzt ... anstatt sie dann tatsächlich zu verschenken?
