Mal wieder: https-Fernwartung, Sicherheit bei Brute-Force ?!

[Novize]

Na als Belohnung für den erfolgreichen Hack des https-Zugangs
Sonst wäre es doch gemein dem armen Hacker gegenüber - 14 Jahre probiert und dann endlich durchgekommen. Was findet er: Wieder ein Passwort und diesmal mit Zeitschloss versehen. Das muss doch nicht sein :mrgreen:

 

[Black Eagle]

Das ist dann aber nicht mehr als normaler Hackversuch zu werten, sondern schon social Hack.

[...] und irgendwie geht das Richtung Verfolgungswahn.

Also, wenn ich nun diese interessante Diskussion hier mitverfolge (deshalb mag ich dieses Forum, so sehr : ) möchte ich folgendes mitmischen:

1. So uninteressant ist für einen Hacker eine FBF, die zu Hause (oder gar in einem Kleinen Unternehmen) eingesetzt wird, evtl. doch nicht:
(Immerhin nennt AVM meines Wissens ihre 7170 ja auch "Kommunikationsdrehscheibe")

Ein Hacker findet, bzw. kann nachvollziehen, wenn er erst mal "in der Box" ist:

-alle gerouteten besuchten Seiten u. evtl. Inhalte
-Zugangsdaten für Voip u DSL
- evtl. könnte ähnlich wie mit FritzCap den gesamten VoIp (Sprach) u.Datenverkehr mitschneiden
-Zugangsdaten für einen E-Mail account (push service)
-Zugangsdaten für WLAN Netz
-Zugang zu evtl. angesschlossenen USB Festplatten (da kann nun wirklich viel interessantes in einem kleinen Betrieb drauf sein...)
-gespeicherte Faxe
- über eine bestehende VPN Vernindung ist noch mehr denkbar...

Man kann natürlich all dies als Verfolgungswahn abtun.
Auch kann man sagen, daß viele dieser Punkte oben ja technisch ohnehin "viel zu aufwendig sind".
Aber Zugriff hätte ein Hacker halt, wenn er erst mal auf der Box ist, das ist nun mal so.

2. Außerdem führt dies zu folgender Frage:

Dieses Forum hier: Kennt jemand folgende Meldung „Sie haben bisher 2 mal versucht, sich anzumelden. Nach dem 5. fehlerhaften Versuch ist eine Anmeldung für die nächsten 15 Minuten nicht mehr möglich.“

Sind die Forumsprogrammierer auch so „paranoid“, oder gibt’s evtl. doch Gründe für diese Vorkehrungen !?

Oder will jemand behaupten, daß meine Benutzerprofildaten in diesem und vielen anderen Foren besser zu schützen sind, als z.B. der Zugang auf die FBF als „Kommunikationsdrehscheibe (s.o.) “ in z.B. einem kleinen Unternehmen ?

Ähnliche Vorkehrungen bei häufigen Fehleingaben finden sich doch öfters, nicht nur in Foren, auch bei Online-Banking, Online-Rechnungen etc.

Ich bin kein IT Experte, und Novizes Zeitrechnung klingt eigentlich plausibel (wobei dyndns Name und Benutzername, denke ich, schon in der Kalkulation als bekannt vorausgesetzt werden können)

Aber ohne einen Grund würden doch solche vorübergehenden Account-Sperrungen nirgends existieren, oder sind alle diejenigen, die diese Sperrungen Einbauen, nur paranoid !?

 

[fb1112]

Hi,

ich stimme dem Post von Black Eagle 100%ig zu, bis auf eine Kleinigkeit:

-Zugangsdaten für einen E-Mail account (push service)

Meine Fritz! hat einen eigenen E-Mail Account, von daher würden jemandem die Zugangsdaten nichts bringen.

 

[sven@mainz]

-alle gerouteten besuchten Seiten u. evtl. Inhalte

Wo wir das denn gespeichert?

- evtl. könnte ähnlich wie mit FritzCap den gesamten VoIp (Sprach) u.Datenverkehr mitschneiden

Geht das überhaupt, wenn Telnet aus ist? Er kanns auch nicht über die Web-Oberfläche einschalten.

-Zugang zu evtl. angesschlossenen USB Festplatten (da kann nun wirklich viel interessantes in einem kleinen Betrieb drauf sein...)

Nun, da diese Daten nciht wirklich sicher sind, wäre der, der das so macht, nicht gut bearten. Für solche Fälle sollte ein NAS-System oder ein richtiger Server benutzt werden. Die Box ist da fehl am Platze, mangels fehlender Sicherheitskonfiguration.

Ich schließe hier mal Freetz oder andere Mods der Firmware explizit aus.

@MalkoV2: Gut die Mehrfacheinwahl wäre ein Punkt, da könnte man ja den Provder dazu bringen, das zu unterbinden. Ob z.b. bei Arcor das noch mit Modem/ISDN geht, weiß ich auch nicht genau.
Und bei VoIP gehe ich mal von einem Prepaid-Account aus, der, wenn er einmal in kurzer Zeit nachgeladen wird, doch Aufmerksamkeit erwirkt, wenn man seine Daten und Geräte immer im Auge hat und der sich dann schnell sperren läßt.

Persönlich bin ich der Meinung, wenn man seine Geräte mehrmals die Woche kontrolliert, wird man sehr schnell dahinterkommen, daß da was nicht stimmt, und dem Treiben Einhalt gebieten, bevor größerer Schaden entsteht. Für wesentlich relevanter sind da die Versuche, hinter die Bankverbindungen zu kommen und Router zu manipulieren, die internation verbreiteter sind, als die AVM-Boxen.

 

[fb1112]

Hi,

Und bei VoIP gehe ich mal von einem Prepaid-Account aus, der, wenn er einmal in kurzer Zeit nachgeladen wird, doch Aufmerksamkeit erwirkt, wenn man seine Daten und Geräte immer im Auge hat und der sich dann schnell sperren läßt.

Da gehst du aber vom falschen Szenario aus. Ich habe keine Lust, meinen VoIP-Account ständig zu kontrollieren und aufzuladen, deswegen habe ich bei Carpo Postpaid, und bei 1&1 auch (was dort nicht anders geht!).
Man muss immer vom Schlimmsten ausgehen. Das heißt: Der Provider berechnet Mehrfacheinwahlen zum teuren Minutentarif und warnt nicht davor, die VoIP-Accounts sind alle Postpaid, die E-Mail-Adresse für die Push-Mail ist gleichzeitig geschäftliche E-Mail-Adresse, auf der Festplatte an der Fritz!Box sind private Daten, etc.
Dann kann doch einiges passieren. :spocht:

 

[Miniatur]

Geht das überhaupt, wenn Telnet aus ist? Er kanns auch nicht über die Web-Oberfläche einschalten.

Doch kann er. Wenn er einmal auf der Fritz!Box ist kann er es per Pseudo-Firmwareupdate aktivieren.

 

[RalfFriedl]

Damit kommt man aber noch nicht von Außen per telnet auf die Box, und ein Pseudo-Firmwareupdate stoppt die meisten Dienste auf der Box.

Aber man sollte ein Paßwort wählen, bei dem es unwahrscheinlich ist, daß es durch Ausprobieren gefunden wird, und nicht sich darauf verlassen, was nachher geht oder nicht geht.

 

[Novize]

@Black Eagle: Nur weil AVM die 7170 "Kommunikationsdrehscheibe" nennt, heisst das noch lange nicht, dass diese sich an kleine Betriebe richtet.
Selbstverständlich kann diese auch dort sehr gut ihren Dienst verrichten, nur der Rückschluss von Dir ist überzogen. Weiterhin sollte man wissen, was man auf der Box aktiviert, speziell bei Firmen ist das immens wichtig! Also sollte auch kein Spielchef das Ding einrichten, sondern ein Admin, der weiß, was er da tut.
Bei Firmen speziell ist mir auch nicht klar, warum diese den https-Zugang zur Web-Oberfläche ständig eingeschaltet haben sollten. Weiterhin sollte speziell dort das Passwort länger als die oben genannten 5 Zeichen sein. Bei dem 10 Zeichen kommst Du nämlich schon auf eine durchschnittliche Hackdauer von 133 Jahren. Somit ist dieser Zugang doch wirklich sicher genug
Ausserdem ist der Hacker dann erst auf der WEB-PW-Oberfläche und darf dann neu probieren (noch mal 133 Jahre :hehe
Telnet ist zwar von aussen aktivierbar (per Pseudo-Telefon-Code auch ohne pseudoupdate), sofern man Zugriff auf die WEB-Oberfläche hat, aber eine Portumleitung von außen darauf sollte dann immer noch fehlschlagen, denn diese geht erst mit einer weiteren virtuellen Netzwerkkarte mit bekannt gegebener IP-Adresse. Wer so etwas in einer Firma macht und dann das PW der WEB-Oberfläche und die des https-Zugangs sträflich minimiert, der verdient es nicht besser. Denn hier sitzt das Problem bekannterweise vor der Tastatur!
Sorry, ich lege auch nicht meine Kreditkarte auf den Geldautomaten der Bank, notiere dann noch auf einem Zettel daneben die Pin mit dem Vermerk: "Nicht nutzen, ist meine Karte, nicht deine"
Also fassen wir doch mal zusammen:
Wenn man lange genug probiert und ein wirklich schwaches https-Passwort nutzt und der Eigentümer seinen https-Benutzernamen auch noch großzügig verbreitet, wie auch den dyndns-Namen, ist man per Brute-Force nach irrsinnig langer Zeit wahrscheinlich auf der WEB-PW-Oberfläche. Auch diese ist nach langer Zeit überwindbar. (Bis dahin nach diesen Jahren sollten die Passwörter aber eh mal gewechselt werden, also gilt für den Hacker: Neues Spiel, neues Glück :hehe:
Sollte er es doch irgendwann mal schaffen, so muss er versuchen, die Passwörter der einzelnen Accounts (eMail, VoIP, Internet-Zugang und WLAN) herauszufinden.
Ohne sträflich aktivierte 2 virtuelle Netzwerkkarte in der Box lässt sich kein Portforwarding auf das telnet einrichten, was einem den Zugriff auf die Passwörter verwehrt. Somit ist auch das eine Riesenhürde, die erst einmal gemeistert werden muss. Ein Logging von Webseiten ist meines Wissens nach in der Standard-Version der Firmware nicht, nur per Modifikation (freetz & Co), möglich. Also ist auch das schwierig, über eine gekaperte Box zu erfassen.
Was bleibt: Das Erfolgserlebnis eines in der Zwischenzeit stark gealterten Hackers.

PS: Es wurde ja schon öfters angesprochen, ein PW zu wählen, was nicht so einfach herausgefunden werden kann (sich aber möglichst einfach merken lässt).
Wie wäre es beispielsweise mit diesem hier:
H4kgaddwWhSuHsigigw0
- ich glaube, ein solches lässt sich
a) nicht so einfach herausfinden, hat
b) eine Knackzeit von 1*10^28 Jahren :shock: und ist
c) leicht zu merken, trotz der 20 Stellen:

Jeder kennt doch

Hänschen klein ging allein durch die weite Welt hinein,
Stock und Hut steht ihm gut, ist gar wohlgemut

Daraus machen wir einfach

[COLOR=Red][B]H4[/B][/COLOR]nschen [COLOR=Red][B]k[/B][/COLOR]lein [COLOR=Red][B]g[/B][/COLOR]ing [COLOR=Red][B]a[/B][/COLOR]llein [COLOR=Red][B]d[/B][/COLOR]urch [COLOR=Red][B]d[/B][/COLOR]ie [COLOR=Red][B]w[/B][/COLOR]eite [COLOR=Red][B]W[/B][/COLOR]elt [COLOR=Red][B]h[/B][/COLOR]inein,
[COLOR=Red][B]S[/B][/COLOR]tock [COLOR=Red][B]u[/B][/COLOR]nd [COLOR=Red][B]H[/B][/COLOR]ut [COLOR=Red][B]s[/B][/COLOR]teht [COLOR=Red][B]i[/B][/COLOR]hm [COLOR=Red][B]g[/B][/COLOR]ut, [COLOR=Red][B]i[/B][/COLOR]st [COLOR=Red][B]g[/B][/COLOR]ar [COLOR=Red][B]w0[/B][/COLOR]hlgemut

Viel Spaß mit euren eigenen Reimen und Liedern

 

[fb1112]

Hi,

[quote="Novize]Wie wäre es beispielsweise mit diesem hier:
H4kgaddwWhSuHsigigw0[/quote]

Das kann ich mir nicht merken, trotz deiner Eselsbrücke. Ich bevorzuge ein einfacheres Passwort.
Ist es denn so schwer, einfach diese Zeitsperre einzubauen? Ob es einem Hacker wirklich etwas bringen würde, wenn er das Passwort knacken könnte, einfach mal dahingestellt. So eine Zeitsperre ist schließlich keine schwarze Magie, selbst mein Lidl-Router für 30¤ kann das, und diese "Multitalent-Kommunikationsdrehscheibe" nicht.

 

[*Bossi]

Ja also wirklich, warum wir diese Zeitsperre denn nicht eingbaut, dann würde ein Hacker statt der durchschnittlichen 133 Jahre vieleicht 1000000 Jahre brauchen.
Das währe doch viel sicherer!

Mal ehrlich, das ist doch wie mit Kanonen auf Spatzen schießen.
Selbst wenn es "nur" 10 Jahre dauern würde bis mein Passwort durch probieren geckackt wäre, wäre mir das sicher genug, da ich mindestens einmal im Jahr meine Passwörter ändere.

Ist es denn so schwer, einfach diese Zeitsperre einzubauen?

Ist es denn so schwer ein sicheres Passwort zu wählen?

 

[Novize]

Das kann ich mir nicht merken, trotz deiner Eselsbrücke.

Das sollst Du Dir ja auch nicht merken, sondern NUR die Eselsbrücke.
(Aber bitte nicht dieses Passwort, das ist nämlich meins, das benutze ich und das gebe ich nicht ab)

Ist es denn so schwer, einfach diese Zeitsperre einzubauen?

Diesen Ansatz finde ich gefährlich. Du verlangst von anderen, Workarounds für Deine eigene Fahrlässigkeit zu schaffen, das kann nicht gut gehen.
Nicht die Zeitsperre ist das Problem, sondern Dein unsicheres Passwort.
Hast Du damit Probleme, dann beschaffe Dir einen Handy-Safe, der Deine Passwörter sicher verwaltet (bitte aber nicht diesen Safe mit "1234" absichern ) und den Du im Handy mit Dir herumschleppst.
Machst Du das nicht, dann überdenke mal, ob Du wirklich den https-Zugang auf Deine Box benötigst, denn jede Portöffnung nach außen stellt ein potentielles Sicherheitsloch dar, das es zu vermeiden gilt.

 

[fb1112]

Hi,

was denkt ihr, womit kann ein Hacker mehr anfangen? Mit einem Account aus diesem Forum, oder mit der gehackten Fritz!Box? Richtig, mit der gehackten Fritz!Box...
Warum hat dann bitteschön das Forum hier eine solche Zeitsperre, die Fritz!Box aber nicht?

 

[Novize]

Unsinnige Vergleiche kann ich auch:
Was tut Dir wohl mehr weh?
Ein gehackter Zugang zum Forum, wenn der Hacker dann über Deinen Account hier KiPos einstellt oder eine auf Werkseinstellung zurückgesetzte WEB-Oberfläche auf der Fritz. :?
Eine gehackte Kreditkarte (sind nur ein 4stelliger Zahlen-Code) oder ein über meinen Account geführtes Telefonat? Ach ne, dazu bräuchte ich ja erst mal das Passwort, welches aber nur mit weiteren groben Sicherheitsvestößen erreichbar ist :gruebel:

Sorry, lasst doch mal die Kirche im Dorf. Die Vergleiche sind so was von nutzlos. Und gebetsmühlenartig vorgetragen werden die inzwischen ausgeräumten Restrisiken auch nicht größer.
Entscheidend ist doch: Die Fritz kann so einfach nicht gehackt werden, was den https-Zugang angeht. Wenn jemand aber als Benutzername nur "Hänschen" und als Passwort nur "klein" eingibt, ist doch selbst schuld. Es ist ein selbstverschuldetes Sicherheitsloch, kein potentielles Risiko der Fritzbox. Das gilt im Übrigen auch für das oben erwähnte WLAN: WPA kann ebenso per Brut-Force geknackt werden, warum also die Mühe machen, und es mit Benutzername und Passwort für https versuchen, wenn ich doch so viel einfacher das gesamte WLAN des Users unter Kontrolle bekommen kann. DA kann ich dann alles auf der Box machen incl. telnet und allem, was Spaß macht. Dann habe ich auch sämtliche Passwörter, die mir https nicht anbietet. Aber dann brauche ich die Box nicht mehr, denn dann komme ich an den kompletten Datenverkehr des LANs dran, was doch viel interessanter ist. (Dann kann ich auch in Klarschrift Dein Passwort des Forums auslesen, was ja noch nicht einmal per https übertragen wird. Oder ist Dir schon mal aufgefallen, dass das Forum sich mit Dir per https unterhält?
Nein? OK, mir auch nicht, denn das macht eigentlich kein Forum!
Aber die Fritz macht das. Warum wohl? Weil die Programmierer Langeweile hatten?
Es ist doch ein Unding, dass man sich ohne Timeout bei jedem WLAN immer wieder neu anmelden kann - ein Skandal ist das :motz:

Fazit: Nicht immer mit dem Finger auf andere zeigen, wenn man selbst das Sicherheitsrisiko geschaffen hat!
(Interessant ist nur, dass Du auf die Einwände von *Bossi und mir nicht eingegangen bist )

 

[fb1112]

Hi,

Was tut Dir wohl mehr weh?
Ein gehackter Zugang zum Forum, wenn der Hacker dann über Deinen Account hier KiPos einstellt oder eine auf Werkseinstellung zurückgesetzte WEB-Oberfläche auf der Fritz

Diese Frage kann ich dir einfach beantworten: Die zurückgesetzte Fritz! tut mir mehr weh. Das ganze Telefonbuch, die Einstellungen, alles weg.
Wenn hier jemand über meinen Account KiPos einstellt, wird der Forumsbetreiber nachsehen, über welche IP das zur welchen Zeit geschah. Logischerweise wird nicht meine IP angezeigt, sondern die IP des Hackers. Also besteht da kein Risiko für mich.

Es ist doch ein Unding, dass man sich ohne Timeout bei jedem WLAN immer wieder neu anmelden kann - ein Skandal ist das

Das ist was komplett anderes. Wenn der HTTPS-Zugang der Fritz!Box für eine halbe Stunde weg ist, dann geht mir das so ziemlich am A**** vorbei. Wenn mein WLAN weg ist (weil sich irgendein Nachbar 3-mal erfolgslos mit meinem WLAN verbinden wollte), kann ich nicht ins Internet (und bei Verwendung von WLAN-Telefonen auch nicht telefonieren).

 

[Novize]

Und hast Du mal was von Anonymizern gehört?
Dann ist in dem Forum (außer Deinen alten IPs) keine brauchbare IP vorhanden. Also wird pro forma erst einmal Dein gesamter IP-Kram einkassiert und eine Anklage getippert. Ach ja: Dann ist Dein Telefonbuch wirklich weg, weil auch Deine Fritz und Dein Computer weg sind! Die bekommst Du dann wieder, nachdem die Anklage wirklich fallen gelassen wurde. Danach brauchst Du nur noch warten, bis die Jungs in der Aservatenkammer Deines Spielzeugs überdrüssig sind und es Dir dann wieder aushändigen - das dauert aber leider manchmal Jahre, wie u.a. in der c't und anderen Printmedien schon öfters berichtet wurde.
Wenn jemand auf die Box kommt, hast Du doch hoffentlich eine Datensicherung für Dein Telefonbuch? Dann kannst dieses Telefonbuch mal eben neu aufspielen, wie auch beim Wechsel der Fritz zur nächsten Generation
Mit dem WLAN ist es genau das Gleiche:
Nur die neue Anmeldung ist dann für 30 Minuten weg, angemeldete Geräte laufen weiter. Nach 3 misslungenen Anmeldeversuchen soll ja auch nicht der Internetzugang gekappt werden, nur die Neuanmeldung per https soll ja verschwinden.
Wenn nun ein Scriptkiddie wirklich ein Script zusammengehackt hat, was alle Sekunde versucht, Dein https-Zugang zu knacken, wirst Du von außen auch nie mehr auf die Box zugreifen können. Das nennt sich dann DOS. Warum dann nicht gleich präventiv von innen heraus den https-Zugang still legen? Denn er ist dann doch eh nutzlos.

Sorry, wieder nicht auf die obigen Einwände eingegangen. Warum dann mit neuen eigenen Problemen (keine Datensicherung) kommen?

 

[fb1112]

Hi,

hier wird einfach jedes Argument widerlegt, schade dass es so weit kommen musste... Man könnte fast meinen, dass Novize bei AVM arbeitet.
Ich frage mich einfach immer noch, warum AVM diese Funktion nicht implentiert. Der Lidl-Router für 30¤ kanns doch auch.

 

[Novize]

Sag mal, hast Du die Fragen oben überhaupt gelesen?
Wenn ja, warum beantwortest Du diese nicht?

Also noch einmal:
Warum soll AVM die Sicherheit reparieren, die Du mit schlechen Passwörtern zerstört hast?

Und nein, AVM ist nicht mein Brötchengeber. 1&1 auch nicht und das Forum erst recht nicht - nur bevor hier die nächsten unsinnigen Behauptungen aufgestellt werden.

 

[fb1112]

Hi,

ich antworte auf keine deiner Fragen mehr. Das ist mir zu blöd.

Und nein, AVM ist nicht mein Brötchengeber.

Manchmal könnte man aber meinen, dass es so wäre.

 

[Novize]

:gruebel: Aber antworten tust Du die ganze Zeit darauf :-Ö
Zum Rest habe ich nur noch eines zu sagen: Bleibe sachlich!

 

[|snoopy|]

Leute - tut mir den Gefallen und beruhigt euch wieder;-)
Es gibt hier niemanden der Recht - oder Unrecht hat!

Bei einem vernünftigem Passwort ist die Box sicher! Ganz klar!
Das Problem ist nur: Es gibt genug DAUs da draußen, die eine Box haben - https einrichten - Benutzername=Vorname.Nachname, Passwort=Vorname.Nachname
Und Web-Passwort... Das geht doch auch ohne ;-)))
Und ich stimme Novize zu: Diese LEute verdienen es nicht anders als gehackt zu werden! Vielleicht werden sie dann aus dem Schaden Klug!

Aber für AVM ist es auch keine grosse Sache, dieses zusätzuliche Sicherheitsfeature (Timeouts nach x-Versuchen) einzubauen! Damit würde AVM was für die DAUs tun - und davon gibt es mehr als genug!
Vielleicht kommts ja in einer der nächsten Updates!

Wenns nach mir - macht den Thread zu! Es ist alles dazu gesagt worden;-)

Greetz
|snoopy|