[Frage] Passwort ändern über TR-069 vom ISP möglich?

[exxter]

Hallo,

ich habe mich von meiner Fritzbox 6490 Cable ausgesperrt, weil ich den Zugang von "ein Passwort" auf "User und Passwort" geändert habe, aber die zwei angelegten User funktionieren nicht und der Versand eines Passworts per Push Service ist deaktiviert.

Jetzt ist meine Frage, könnte mein Provider (ein kleiner, lokaler mit dem man reden kann) per TR-069 entweder diese Einstellung wieder ändern, oder einen neuen User anlegen? Also mir irgendwie wieder Zugang zur FB verschaffen?

Mir ist bewusst, dass ansonsten ein Reset auf Werkseinstellungen nötig ist, den will ich aber unter allen Umständen vermeiden.

Ich finde leider kaum Infos dazu, was per TR-069 auf der Fritzbox machbar ist.

Edit: hat sich erledigt, ISP hat grad angerufen und gesagt, dass er keinen Zugriff auf meine FB hat, die FB sich eine neue Firmware nur von einem Server beim ISP holt. Bleibt also nur Reset. Eins weiß ich, das Passiert mir nicht nochmal...

 

[PeterPawn]

Es sollte machbar sein, über TR-069 eine Sicherungsdatei der aktuellen Einstellungen herunterzuladen von der Box (bzw. bei TR-069 lädt die Box sie selbst hoch, entweder per HTTPS oder per FTP) und die - in dieser Datei - gespeicherten Einstellungen kann man dann im Anschluß entschlüsseln lassen, womit man Benutzernamen (wobei die ja in der Select-Box der Login-Maske stehen) und Kennwörter für die existierenden Benutzer hat. Eigentlich verhindert das FRITZ!OS eine Umschaltung auf "Benutzer und Kennwort", wenn kein Account mit ausreichenden Rechten definiert ist - insofern irritiert mich das "funktionieren nicht" schon etwas.

Aber selbst wenn es tatsächlich keinen passenden Benutzer geben sollte, kann man dann erst mal die Box zurücksetzen und anschließend diese Export-Datei (ggf. mit einem von Hand eingefügten zusätzlichen Benutzer) wieder importieren lassen.

Wobei die Informationslage auch reichlich dünn ist ... die Aussage "6490" ist zwar da, aber weder die Version noch die "Machart" (Retail-Firmware oder Provider-Version) ist bekannt.

Ansonsten ist der tatsächliche Funktionsumfang im TR-069-Dialog bei AVM eher ein großes Geheimnis und es gibt keine öffentlich verfügbaren Dokumentationen dazu. Es gibt aber einen Benutzer für die Fernwartung, für den sich Name und Kennwort setzen lassen (remoteman.username, remoteman.password) - aber ich habe keine Ahnung mehr (ist schon zu lange her), ob dieser persistent gespeichert wird oder beim Reboot wieder weg ist bzw. ob dieser Account sich auch aus dem LAN nutzen ließe. Es gibt zumindest eine Fehlermeldung "origin is not from internet" (bzw. die wohl 3x, mit unterschiedlichen "sub-errors") in der betreffenden Bibliothek ... das legt zumindest die Vermutung nahe, daß da an einigen Stellen getestet wird, ob ein Request wirklich von außen kommt oder nicht.

Aber der Provider sollte darüber entweder einen Benutzer hinzufügen oder wenigstens den Anmeldemodus umstellen können, ggf. im Zusammenspiel mit dem Kunden, wenn da die 2FA aktiviert ist. Wobei ich auch nicht weiß, wie sich diese 2FA jetzt auf TR-069-Funktionen auswirkt und ob auch dort ggf. Änderungen erfolgt sind, wie beim "X_AVM-DE_Auth"-Interface für TR-064. Beim TR-069 gab es durch "argo" (also den AVM-Service, der im Hintergrund Daten an den Hersteller übermittelt) ohnehin so viele Änderungen, daß man das alles komplett von vorne testen müßte und dafür interessiert das zu wenige Leute. Die ganz offensichtlichen Schwachstellen in der TR-069-Bibliothek (wo man ggf. auch durch Shell-Zugriff Dein Problem hätte lösen können) hat AVM jedenfalls zur 06.90 hin dann doch noch gefixt.

 

[koyaanisqatsi]

Moin

Im Übrigen hat ein ISP auch gefälligst die Finger zu lassen, von den Benutzeraccounts.

Eine ( 1&1 ) TR-069 Konfiguration ( 1&1 Startcodeeinrichtung ) fasst nur folgende Sachen an...
1. Internetzugang
2. Internetrufnummern ( VoIP )
3. Online-Speicher ( aktiviert )
4. EMail Adresse ( Pushmail, aber deaktiviert )
...sonst nichts, glaub ich.

 

[PeterPawn]

Was geht und was der ISP macht, sind immer noch zwei Paar Schuhe.

Die "Verknüpfung" von TR-069 mit Einstellungen aus dem "remoteman"-Dunstkreis ist leicht festzustellen:

:~/FritzBox/FB7490/firmware/113.06.92 # strings usr/share/ctlmgr/libtr069.so | grep remoteman
get_remotemanport
set_remotemanport
get_remoteman_username
set_remoteman_username
set_remoteman_password
remoteman

und die anderen Einstellungen, welche sich unter "remoteman" versammeln, beziehen sich auf die externe Freigabe des GUI:

root@FB7490:~ $ ctlmgr_ctl u remoteman
remoteman:settings/
 enabled=1
 enabled_with_random_port=1
 https_port=499
 https_port_inactive=0
 user_cert_present=1
 user_cert_delete=
 cert_sha1_fingerprint=E2:1E:44:09:54:D2:F1:65:A8:3D:17:7F:69:35:42:6C:80:0A:BC:D4

und auch die Verbindung zwischen TR-064 und "Remote Management" (nachzulesen hier: https://avm.de/fileadmin/user_upload/Global/Service/Schnittstellen/x_remoteSCPD.pdf in der Funktion "SetConfig") legt zumindest die Annahme nahe, daß es sich bei den sichtbaren Zusammenhängen im TR-069-Kontext um analoge Möglichkeiten handeln sollte. Mit einem administrativen GUI-Zugriff kann dann der ISP sicherlich auch weitere Benutzerkonten hinzufügen oder die Art der Anmeldung ändern - aber er muß/sollte es natürlich nicht tun (zumindest nicht ohne ausdrückliche Zustimmung des Kunden).

 

[exxter]

Hallo,

sehr interessant. Noch ein paar Infos zur FB:

Boxinfo:
Modell ............. FRITZ!Box 6490 Cable
Hardware-Version ... 213
Firmware-Version ... 141.06.84
Firmware-Revision .. 46442
MAC-Adresse (LAN) .. E0:28:6D:5F:61:5C
Branding ........... avm
Sprache ............ de
Annex (Festnetz) ... Kabel
Land-Vorwahl ....... 049
UpdateConfig ....... 2
Aktuelle Uhrzeit ... 21.11.2017 12:24:03

Es handelt sich um eine "original" AVM Fritzbox auf der der ISP nur die Zugangsdaten für den Kabelanschluss und die SIP-Telefone eingetragen hat.

Dass die FB die Anmeldung umgestellt hat ohne eine Meldung hat mich auch gewundert. Ich hatte einen Benutzer angelegt (für myfritz, glaube ich, vor x Monaten), bei dem aber kein Passwort funktionierte welches ich probierte. In myfritz eingeloggt, stand, dass keine FB verbunden ist. Die Fritz App auf dem Smartphone hat bis zur Umstelung der Anmeldung noch alle Telefonanrufe auf der Fritzbox angezeigt, danach wollte die App auch ein neues Passwort.

Wie auch immer, ich werde die FB reseten und ein Backup von 2015 einspielen, was anderes habe ich nicht. Und danach werde ich mit den fbtools* ein automatisches Backup einrichten und den Push Service, damit so eine Sch... nie wieder passiert.

Vielen Dank euch für alle hochinteressanten Infos!

* http://www.mengelke.de/Projekte/FritzBoxTools