https-Zugang zur Box auch mit 7170

[jojo-schmitz]

Sowohl (und insbesondere) für https als auch für's 'normale' Web-Interface. Man sollte nicht beide vergessen, aber wenn das für's Web-Interface vergessen ist, fällt Fernwartung eh flach.

 

[jojo-schmitz]

Nö, reboot, binnen 10 Minuten Werksreset, Neueingabe. Aber halt vor Ort, nicht remote

 

[RalfFriedl]

Diese Möglichkeit hat man nur in den ersten 10 Minuten nach dem Neustart, danach nicht mehr.

 

[jojo-schmitz]

Wie "wie immer"? Deine Box läuft immer mit Werkseinstellungen? Wohl kaum.
Mit Werkseinstellungen ist alles weg, und muss neu eingegeben werden.
Insbesondere ist dann der Fernzugang nicht nur disabled, sonndern mangels Zugangsdaten zum DSL gar nicht möglich.

 

[jojo-schmitz]

Also 'nur' ein Neustart der Box? Schlimm genug (da ohne Passwort der Web-Interfaces), sollte dringend am AVM gemeldet werden.
Oder nur ein Neustart der https Session?

 

[jojo-schmitz]

Alson noch mal ganz langsam:
Von der Arbeit hast Du via https einen Neustart der Box ausgelöst, obwohl Du 'nur' in https, nicht aber im Web-Interface eingeloggt warst und doe Box schon länger als 10 Minuten lief? Schlecht -> Meldung an AVM
Dann von Zuhause das gleiche, dabei aber hat Werksreset funktioniert? Innerhalb oder ausserhalb der 10 Minuten nach Neustart? Innerhalb -> OK (obwohl ich es erheblich besser fände wenn https erst nach diesen 10 Minuten scharf geschaltet würde). Nach den 10 Minuten? Wieso ging's dann nicht vom Büro?

https login vs. Web-Interface (http, aber auch telnet), Via https muss man sich 2mal einloggen, zuerst https, dann das ganz normale login, das man zuhause auch immer machen musste (bevor es die https Geschichte gab)

 

[jojo-schmitz]

Warum probierst du es mal nicht selber aus? Ich mein ich kann doch nicht der einzige sein bei den das so ist!

Weil ich dann den Ast absäge auf dem ich sitze. Ich brauche die Leitung, und andere auch...
Und Reset auf Werkseinstellungen zerstört mir auch Dinge, die ich nicht restaurieren kann, jedenfalls nicht einfach durch einspilenen einer vorher gesicherten Config..

 

[RalfFriedl]

Ja Https Loggin und danach wird das Passwort für die Oberfläche abgefragt

Wenn Du das Paßwort für die Web-Oberfläche hast, kannst Du immer auf Werkseinstellungen zurücksetzen, das ist normal.

In den ersten 10 Minuten nach einem Neustart kannst Du aber auch auf Werkseinstellungen zurücksetzen, ohne daß Du das Paßwort brauchst. Diese Variante ist hauptsächlich dann interessant, wenn man daß Paßwort nicht weiß.

 

[Maximilianus]

Also nochmal langsam:
Wer per HTTPS es bis zur Anmeldemaske der Fritz!Box kommt, kann anschließend die Fritz!Box auf Werkseinstellungen zurücksetzen. Das ist, was ich befürchtet hatte.

D.h. es "reicht", die Zugangsdaten für den HTTPS-Zugang zu bekommen, um die Fritz!Box zurücksetzen zu können.

Hier würde evtl. eine Firmwareänderung wünschenswert sein, dass für Anwender, die per HTTPS auf die Fritz!Box zugreifen, die Fritz!Box nur dann zurücksetzen dürfen, wenn sie sich auch an der Fritz!Box-Anmeldemaske erfolgreich authorisiert haben.

Maximilianus

 

[Maximilianus]

Nein, habe ich im Telefonbuch eintragen lassen;-)

 

[astrolux]

D.h. es "reicht", die Zugangsdaten für den HTTPS-Zugang zu bekommen, um die Fritz!Box zurücksetzen zu können.

Bei https reichen entsprechend Name/Passwort auch für Homebanking, ebay, Net-Shops und... und...! Ich sehe da kein Problem.
Wer (schon) diese Daten von Dir hat, dem dürfte es doch auch nicht schwer fallen, dass richtige Fritz!Box-Passwort (ohne den Rücksetz-Button) für die Authentisierung in Erfahrung zu bringen, denn irgendwie muss man ja erstmal an diese Daten rankommen. Oder sehe ich das falsch?
Wenn dann noch dyndns dazukommt, braucht der-/das-/diejenige schon eine Menge Nutzernamen/Passwörter, um auf die Box zu kommen.

 

[Maximilianus]

Das Referer-Problem ist in der neuen AVM 7170 Version 29.04.55-10393 offenbar gelöst. Der HTTPS-Zugang funktioniert bei mir jetzt auch mit dem IE.

Vielleicht war es aber auch die Tatsache, dass ich die Box komplett zurückgesetzt hatte und so erstmalig alle Daten neu eintragen musste.

 

[jojo-schmitz]

? Mit IE ging der bei mir immer.

 

[Maximilianus]

Ja, wie gesagt, entweder lag es an meiner Konfiguration, die ich seit ettlichen Firmwareversionen drauf hatte, oder die Firmware hat da zusätzlich was geändert. Bei mir ging es vorher nur mit FireFox und dem DeReferer-Plugin.

 

[Feuerwehr]

Also nochmal langsam:
Wer per HTTPS es bis zur Anmeldemaske der Fritz!Box kommt, kann anschließend die Fritz!Box auf Werkseinstellungen zurücksetzen. Das ist, was ich befürchtet hatte.

D.h. es "reicht", die Zugangsdaten für den HTTPS-Zugang zu bekommen, um die Fritz!Box zurücksetzen zu können.

Maximilianus

Nein, das stimmt doch gar nicht! Das ginge nur in den ersten 10 Minuten nach einem Neustart der Box. Danach bracht man immer das Passwort für die Oberfläche. Abgesehen davon ist es natürlich richtig, dass die HTTPS-Zugangsdaten wohl die größere Hürde darstellen.
Es bringt ja auch nicht viel, eine Tresortür zusätzlich mit einem Klebestreifen zu sichern...

Edit: Soeben über HTTPS versucht, Resultat:

Fehler beim Wiederherstellen der Werkseinstellungen
Das Wiederherstellen der Werkseinstellungen ist gescheitert, da FRITZ!Box schon länger als 10 Minuten in Betrieb ist.

Trennen Sie die FRITZ!Box kurzzeitig von der Stromversorgung. Nach etwa einer Minute können Sie erneut auf die Benutzeroberfläche zugreifen. Klicken Sie dann auf 'Zur Übersicht'.
Sie können dann die Werkseinstellungen erneut wiederherstellen.

 

[jojo-schmitz]

Gut! Trotzdem sollte besser der HTTS Zugang erst nach diesen 10 Minuten möglich sein. Alleine schon, damit man sich nicht selbst versehentlich die Konfiguration zerschießt und sich dann auch nur noch lokal wieder reparieren kann.

Was mich auch noch stört: nach dem HTTPS Login läuft der Rest dann wieder über http (und der Browser warnt auch, bzw. erfragt Einverständnis).
Und: Anscheinend wird bei jedem Reboot ein neues Zertifikat erstellt, ein einmaliges ' immer vertrauen' reicht daher wohl nicht.

Tschö, Jojo

 

[Feuerwehr]

Was mich auch noch stört: nach dem HTTPS Login läuft der Rest dann wieder über http (und der Browser warnt auch, bzw. erfragt Einverständnis).

Tschö, Jojo

Das ist bei mir nicht der Fall! FF 2.0 bleibt bei HTTPS, Zugriff über dyndns.org .



Ich bleibe dabei: Bei vernünftigen Passwörtern ist der HTTPS-Zugang als sicher anzusehen, ganz unabhängig vom Passwort der Weboberfläche.

 

[jojo-schmitz]

Das ist bei mir nicht der Fall! FF 2.0 bleibt bei HTTPS, Zugriff über dyndns.org .

Ebenfalls über dyndns.org
IE6: "Diese Seite enthält sowohl sichere als auch nicht sichere Objekte. Möchten sie die nicht sicheren Objekte anzeigen? Ja Nein Details"

Ah! Wenn man 'Nein' sagt erscheint zwar kurz eine Fehlerseite ("Aktion abgebrochen") , aber dann geht ganz normal weiter!

Bei IE7 kommt die Meldung nicht. Bei FF2 auch nicht. Sieht also wie'n Bug im IE6 aus...
Aber auch wenn man Ja sagt, bleibt's in der Tat bei HTTPS, habe mich von der Meldung wohl irreleiten lassen.

Ich bleibe dabei: Bei vernünftigen Passwörtern ist der HTTPS-Zugang als sicher anzusehen, ganz unabhängig vom Passwort der Weboberfläche.

Sicherheit gegenüber unbefugtem Login ja, aber keine Sicherheit gegen Fehlbedienung. Wegen dieser hätte ich lieber einen um 10 Minuten verzögerten Start von HTTPS, oder besser noch, das komplette Verbot des Werksresets via HTTPS. Dieser hat aus der Ferne auch überhaupt keinen sittlichen Nährwert.

Tschö, Jojo

 

[Feuerwehr]

Fehlbedienung durch wen? Durch Leute, die nicht lesen können?

 

[Maximilianus]

Wegen dieser hätte ich lieber einen um 10 Minuten verzögerten Start von HTTPS, oder besser noch, das komplette Verbot des Werksresets via HTTPS. Dieser hat aus der Ferne auch überhaupt keinen sittlich Nährwert.

JoJo, Du hast es auf den Punkt gebracht: Ein Werksreset aus der Ferne hat keinen Nutzen, weil man sich damit selber aussperrt. Also sollte es auch nicht möglich sein, ob jetzt aus Sicherheitsaspekten hin oder her.

Maximilianus