Mal wieder: https-Fernwartung, Sicherheit bei Brute-Force ?!

[sven@mainz]

hier wird einfach jedes Argument widerlegt, schade dass es so weit kommen musste...

Das ist eigentlich normal in Diskussionen, nur sollte man nicht gebetsmühlenartig auf seinen Argumenten herumreiten, sondern auch den Standpunkt eines anderen akzeptieren, wenn dieser logisch erscheint. Wenn Dir das Ganze zu unsicher ist, bitte, Du muß es nicht benutzen, dann nehme doch Deinen Lidl-Router, eine ganze Menge anderer Leute hier hat einen anderen Standpunkt und die hier vorgetragenen Gegenargumente sind für mich auf jeden Fall überzeugend.

 

[MalkoV2]

Das gilt im Übrigen auch für das oben erwähnte WLAN: WPA kann ebenso per Brut-Force geknackt werden, warum also die Mühe machen, und es mit Benutzername und Passwort für https versuchen, wenn ich doch so viel einfacher das gesamte WLAN des Users unter Kontrolle bekommen kann. DA kann ich dann alles auf der Box machen incl. telnet und allem, was Spaß macht.

Wie war das mit den Sopatzen und dem Vergleich?
Komm doch mal z.B. aus den Ostblockländern (nicht gemeint, das hier alle Hacker sitzen, nur ein Entfernungs- und Erreichbarkeitsbeispiel) in mein WLAN - auch wenn es ungeschützt wäre - per Internet über https auf die Box? Problemlos.
OK - die Box ist soweit sicher, aber warum soviel Frust, das es Leute gibt die sie sich gerne noch ein Fünkchen sicherer vorstellen?

 

[fb1112]

Hi,

alleine die Tatsache, dass es die neueste Gaming-Labor mit der Verbesserung

Das Zertifikat für die https-Fernwartung und die im Zertifikat verwendeten Schlüssel sind nun für jede FRITZ!Box individuell

nur für die 7270 gibt, und nicht für die 7170 oder noch ältere Boxen, ist für mich ein Zeichen, dass HTTPS bei AVM noch nicht ganz fertig und verbesserungswürdig ist, obwohl es schon in der Final-Firmware auftaucht.

 

[Novize]

Ist genau das nicht eher eine Reaktion darauf, dass diese SSL-Zertifikate unsicher waren, was aber kein Problem von AVM speziell, sondern eines der eingesetzen Linuxumgebung war? (Siehe hier: Schwache Schlüssel auch auf Fritz-Boxen)
Diese ist nun geändert und damit ist das Problem gelöst. (Erst einmal in der Labor-Firmware, da dort schneller reagiert wurde, aber in allen anderen Firmware-Versionen wird's mit der nächsten Firmware auch noch kommen). Da sehe ich nicht unbedingt ein "noch nicht fertig...obwohl schon in der finalen Firmware".
Klar, verbesserungswürdig ist immer alles, aber diese Schlussfolgerung würde ich persönlich nicht daraus ableiten wollen.

 

[fb1112]

Hi,

es kann von mir aus "nur" in der Labor-Firmware geändert werden, dann aber bitte auch für die 7170.
Kann doch nicht so schwer sein...

 

[Novize]

:mrgreen: Klar und dann kommt der nächste und sagt (nachvollziehbar)
"Ich mache aber keine Laborfirmware bei mir drauf, das soll vorrangig in die finale Firmware einfließen". So what? :noidea:

Hättest Du aber den verlinkten Thread komplett verinnerlicht und auch mal selbst nach "Zertifikat" gesucht, dann wäre Dir auch dieser Thread ins Auge gesprungen.
Dann wäre Dir aufgefallen, dass das Ganze längst nicht so dramatisch ist, wie es jetzt dargestellt wird. Es gibt auf der gesamten Angriffsfläche zu einem Netzwerk bessere Möglichkeiten, einzusteigen, als per https und brute-Force. Das sollte doch langsam jedem klar werden. Daher ist das Thema gezielter Angriff auf anderem Weg doch wesentlich vielversprechender. Damit bleibt die Fritz per https ein potentieller (zufällig gewähltes) Angriffsziel von Spielkindern. Diese sollten es aber lt. obigen Darstellungen kaum schaffen, in einem überschaubaren Zeitraum die Hürde zu überwinden (Auch wenn die SpielKINDER voraussichtlich noch mehr Lebenszeit zur Verfügung haben, als die meisten User hier :hehe
Irgendwie kommt mir das Thema bei einigen vor wie Firmenbashing

 

[fb1112]

Hi,

Hättest Du aber den verlinkten Thread komplett verinnerlicht und auch mal selbst nach "Zertifikat" gesucht, dann wäre Dir auch dieser Thread ins Auge gesprungen.
Dann wäre Dir aufgefallen, dass das Ganze längst nicht so dramatisch ist, wie es jetzt dargestellt wird.

Wenn dem so wäre, dann ist doch alles in bester Ordnung und AVM müsste überhaupt keine neue Firmware veröffentlichen. Trotzdem gab es eine neue Labor-FW für die 7270.

 

[chriwi]

Hallo FB1112,

neue Lborfirmwares gibts halt immer mal, sie spiegeln einfach nur den aktuellen Entwicklungsstand wieder und werden nicht nur dann released wenn ein wichtiger Bug zu stopfen ist. Es bestreitet ja niemand das die individuellen Zertifikate einen kleinen Sicherheitszuewinn bringen nur waren die alten auch nicht so unsicher das das jetzt zwingend gefixed werden mußte, sonst wärs ja auch in nen Vollupdate gekommen und nicht nur in ne Laborversion.
.

 

[Novize]

Gab es nicht mal vor ein paar Jahren ein Problem mit dem voipd-Modul, das von außen mit einem Bufferunderrun(?) angreifbar war und den voip-Teil lahmgelegt hat?
Das war schon ein echtes Problem und siehe da: AVM hat auch umgehend für Abhilfe gesorgt.
Aber hier ist das Problem doch eher theoretisch. Und wie man an der Laborfirmware sieht, wird trotzdem darauf reagiert. Nur eben nicht unnötig übereilt. Wozu auch?

 

[sven@mainz]

Gab es nicht mal vor ein paar Jahren ein Problem mit dem voipd-Modul, das von außen mit einem Bufferunderrun(?) angreifbar war und den voip-Teil lahmgelegt hat?

War, glaube ich vor 2 Jahren, auch im Sommer und richtig benutzt wurde der Bug dann im Herbst, 2 oder 3 Monate, nachdem AVM ein Updaten für alle Boxen hergestellt hatte.

 

[mh223344]

Erstmal grosses Lob an AVM, die auch nach 2,5 Jahren immer noch Funktionserweiterungen für Ihr Produkt rausbringen! Das kostet denen Geld und schmälert letztendlich die Bilanz!

Zum Thema Fernzugriff über https kann man eins sagen, wem's zu heiss ist:
einfach nicht dauerhaft aktivieren und ein langes passwort benutzen!

Es gibt definitiv keine 100%ige Sicherheit. Die letzen Meldungen bei heise.de über Probleme verwundbarkeit im CPU-Kern (Kaspersky hats entdeckt), DNS-Protokollprobleme (welche das Internet an sich bedrohen) belegen dies deutlich genug.

Ich würde mir mehr sorgen machen, über meine Daten die ich auf Webseiten eingebe (bsp. Shops, Foren, Blogs) die aufgrund schlechter Programmierung nicht sicher sind.

 

[doppelfritz]

also ich würde auch sagen, das man die Kiste nicht per Brute-Force hacken kann, selbst wenn man hundert PWs pro Sekunde durchprobiert, denn dann gibt es ein unbeabsichtigtes Zeitschloss:
Wenn man zu viele PWs in zu kurzer Zeit durchprobiert steigt die CPU-Last auf 100%. Dadurch kann die Software dem Watchdog nicht mehr sagen, das sie noch funkioniert und kurzte Zeit später rebootet der Watchdog die Box. Dadurch wird die Attacke für 1-2 Minuten unterbrochen.
Wenn man dagegen es langsam angeht mit 1 PW pro Sekunde (glaub da rebootet die Box allerdings schon), dann Braucht man bei 10 Stellen Username und 10 Stellen Passwort mit nur Kleinbuchstaben immernoch (10+10)*26 Sekunden -> 8 Stunden. Welcher Hacker lässt sich 8 Stunden Zeit nur für die Daten, die die Box hat? Er hat dann zwar die volle Kontrolle über die Box, aber was bringt ihm das? Ok, man könnte damit Spam verschicken, aber viel mehr auch nicht.

Also eins steht für mich fest: der sicherste Fernzugang der Welt ist der ausgeschaltete.

 

[andilao]

Eeeeehm, das Probieren mit 10 Buchstaben aus 26 sollten nach Adam Riese: (26^10) Möglichkeiten = (26^10) Sekunden = 4 473 410,87 Jahre dauern. weil wir heute aber großzügig sind, wird man statistisch gesehen "schon" nach der Hälfte der Zeit auf die richtige Kombination stoßen. Hoffentlich denkt Deep Thought daran. ;-)