@BigBlue-007:
Vom Prinzip her ist das mit der Arbeitsteilung durchaus richtig und die Einschätzung zum "Kenntnisstand" und dem häufig eher "gefühlten Wissen" teile ich auch durchaus ... aber unter ökonomischen Gesichtspunkten ist das dann auch wieder vollkommen unrealistisch bzw. es gibt ein paar Dienstleister, die das - auch in Kooperation mit Providern - anbieten.
Nimmt man mal
www.cervis.de (wo m.W. bei 1&1-Geräten direkt die Werbung dabeiliegt), ergibt das aber für eine FRITZ!Box-Installation mit einem Telefon und irgendwelchen anderen Fragen, die dabei dann immer auftreten (kann ich den Drucker dann auch noch benutzen?), bereits knapp 100 EUR (45 + 24,90 + 10 + 15) und das ist angesichts der sonstigen Preise in diesem Umfeld (16,99 EUR/Monat im ersten Jahr), wo die Leute bereits dem Sparwahn verfallen sind, schon ziemlich happig.
Außerdem ist es schon ein Unterschied, ob man etwas
installiert oder etwas
konfiguriert. Insofern passen Deine Beispiele auch nur bedingt ... auch bei Deinem Auto wirst Du die Favoritenliste der Radiosender oder irgendwelche "Soft-Keys" für den Schnellzugriff auf Funktionen immer noch selbst
konfigurieren [können] (ohne Spezial-Software oder -Werkzeug), so wie früher den Video-Rekorder (da war die Installation dann die Verkabelung des TV- und AV-Signals) und auch wenn der Elektro-Herd vom Elektriker
angeschlossen wird, ist z.B. das
Programmieren der Uhrzeit im Herd i.d.R. schon wieder
Konfiguration und vom Kunden selbst auszuführen (ggf. auch mehrmals, z.B. nach einem Stromausfall).
Aber nicht ganz umsonst wurde mit dem "Technical Report TR-069" für ein "CPE WAN Management Protocol" von einer Interessenvertretung (der Industrie), in der Geräteanbieter und Provider vertreten sind, auch eine Möglichkeit geschaffen, so etwas aus der Ferne halbwegs sinnvoll zu konfigurieren, ohne daß dafür vor Ort ein "Experte" anwesend sein muß (bei DSL ist da auch nichts "einzumessen" o.ä., wie es ggf. beim Kabelanschluß - auch mit Dosen mit unterschiedlichen Dämpfungswerten - noch möglich und nötig ist). Das lag ja auch nicht unbedingt daran, daß das nun so kinderleicht und von jedem (Farmer) zu bewältigen wäre (wobei sich auch da die Zeiten ändern, wenn es darum geht, wie "komplex" solche Vorgänge sein müssen/dürfen, bevor die Leute die Segel streichen). Die meisten Kunden werden auch für die Konfiguration ihres Smartphones (das ist ggf. noch mehr "Wissenschaft" als das Einrichten eines Routers) nicht auf "fachmännische Hilfe" zurückgreifen.
Solche Möglichkeiten wie TR-069 nutzen aber auch nur dann etwas (und auch viele Provider in D verwenden - zumindest bei eigenen Geräten - diesen Standard zur Konfiguration), wenn dabei der Hersteller auch
mitdenkt und hier hat sich AVM (nach meiner unmaßgeblichen Ansicht zumindest) dieser Aufgabe deutlich verweigert.
-Es gäbe per se auch gegen dieses "Start-Kennwort" nichts zu sagen ... ohne dieses Kennwort konnte praktisch wieder jeder Angreifer im LAN die Box bereits vor dem berechtigten Kunden (automatisiert und damit sehr viel schneller als der Kunde selbst, der das Gerät zu diesem Zeitpunkt i.d.R. noch nicht kennt und damit auch bei "merkwürdigem Verhalten" noch keine Vergleichsmöglichkeiten hat) konfigurieren und ggf. - parallel zur Konfiguration durch den Kunden - bereits eigene versteckte Accounts auf der Box anlegen, die auch nach der Konfiguration durch den Benutzer Bestand hatten und verwendbar blieben.
Dagegen würde so ein Start-Kennwort tatsächlich helfen ... allerdings auch wieder nur so lange, wie der Angreifer im Netz dieses Kennwort nicht genauso einfach auslesen kann (zumindest beim Start des Gerätes, der so einer Erstkonfiguration nahezu zwangsläufig vorausgeht), wie er den Konfigurationsvorgang angreifen kann. Und im Prinzip kann dieses "Start-Kennwort" auch nur gegen solche Angreifer mit einem LAN-Kabel wirksam schützen (oder gegen Malware auf einen Gerät, das vom Besitzer per WLAN an der Box erst einmal angemeldet werden muß - da kann die Malware dann aber auch den gesamten (ungesicherten) HTTP-Traffic zur Box einfach mitschneiden) - gegen die unautorisierte Konfiguration der Box durch ein "fremdes"
WLAN-Gerät schützt ja der WLAN-Schlüssel viel effektiver (und mit 20 Ziffern - früher waren es 16) auch mit einem erheblich größeren Werteumfang, als er beim Start-Kennwort anzunehmen ist.
Jedenfalls ist es nun mal ein
Kardinalfehler, daß dieses Start-Kennwort über den Bootloader ebenfalls auszulesen ist und zwar auch wieder mit "adam2/adam2" - würde bereits hier das Start-Kennwort verwendet bei der Anmeldung am FTP-Server (das könnte man in einer Maske in einem zusätzlichen Schritt im Recovery-Programm ja auch eingeben lassen, wenn eine Box ein Start-Kennwort verwendet), entfiele erstens dieser Kritikpunkt komplett und es wäre zweitens - und quasi "automatisch" - auch ein zusätzlicher Schutz gegen alle möglichen anderen Manipulationen der Box (durch "Unbefugte") über den Start mit einem eigenen Firmware-Image etabliert. Dazu bräuchte es halt einen Bootloader, der auf dieses - ja durchaus vorliegende - Kennwort reagiert und dann dieses erwartet, anstatt sich mit "adam2" zufriedenzugeben.
Das würde zwar das Drücken eines Buttons für den Start des FTP-Servers im Bootloader (als echte "Präsenz-Information") noch nicht komplett überflüssig machen, aber es wäre eine sehr gute und sehr sichere Ergänzung des Ganzen ... und das mit sehr geringem Aufwand (Bootloader ändern, Geräte aktualisieren beim nächsten Firmware-Update, bei der 7580 ist das als "/var/urladerupdate" schon angelegt in der "/var/install" und das Recovery-Programm (die "Vorlage" für alle Boxen) anpassen).
Das mit dem Button beim Start ist auch keine vollkommen abwegige Idee (und genauso leicht wieder umzusetzen) und auch leicht zu handhaben ... wieviele Geräte gibt es wohl, die beim Einschalten irgendeine Taste gedrückt haben wollen für das Zurücksetzen auf Werkseinstellungen oder einen "Konfigurationsmodus" o.ä. - das ist also auch kein vollkommen neues Vorgehen für die meisten Kunden, nur daß es hier eben den Bootloader-Zugriff freischalten würde.
-Aber wenn ein Hersteller so ein "Angebot" macht, um dem Kunden den sicheren Einstieg in eine - doch mit einem Assistenten recht einfache - Konfiguration zu bieten und dann nicht direkt von so einem Assistenten die Änderung dieses Kennworts erzwungen wird, ist das einfach nur "schlecht gemacht". Alleine die Tatsache, daß ein per LAN-Kabel angebundenes Gerät dieses Kennwort beim Booten der FRITZ!Box problemlos auslesen kann, hätte auch dem Hersteller (dem das ja bekannt ist) bereits Grund genug sein müssen, diesen Kennwortwechsel zu erzwingen.
Zumindest bei der 6490 mit 06.61 (wo ich das damals getestet habe) war das aber definitiv noch nicht der Fall und auch als ich es eben gerade noch einmal auf einer 7580 mit 06.81 getestet habe, wurde ich nicht einmal darüber
informiert (Einrichtung mit Assistent, WAN-Zugang ohne Startcode), daß ich dieses Kennwort besser ändern und mich keinesfalls darauf verlassen sollte. Ich schaue jetzt nicht noch einmal nach, ob das bei der 06.83 geändert wurde - bei der 7490 gab es m.W. an dieser Stelle keine Änderungen und so nehme ich die für die 7580 (und auch die hier diskutierte 7590) auch nicht an.
Die Chance auf eine solche "Ersteinrichtung" erhalten Kunde
und Hersteller jedenfalls auch nicht erneut - zumindest nicht bei einer überwältigenden Mehrheit von Kunden. Daher ist es auch so schade und unüberlegt, wenn man solche Möglichkeiten vergeudet, weil man es nicht bis zum Ende durchdacht hat. Sollte das bei AVM jedoch tatsächlich stattgefunden haben, erscheinen einem die hier getroffenen Entscheidungen - und als Kunde muß man es anhand dessen beurteilen, was dabei herausgekommen ist - umso unverständlicher.
Die "Informationspolitik" (alles als Verbesserung "bejubeln", keine belastbaren technischen Informationen herausgeben und auch keine Entscheidungen "begründen", es war ohnehin schon immer alles "gut" und nun ist es nur "umso besser") trägt dann auch ihren Teil dazu bei, daß man solche Entwicklungen nicht mal im Ansatz nachvollziehen kann und sich immer wieder fragen muß, wie weit da die Verantwortlichen wohl gedacht haben mögen (wenn sie die Probleme sehenden Auges in Kauf genommen haben, könnte es ja auch dafür Gründe geben - vielleicht sogar nachvollziehbare, wenn man sich mal außerhalb des Olymps darüber austauschen könnte).
Wenn man das aber als Hersteller schon versäumt hat, sollte man nun wenigstens zusätzliche Anstrengungen an dieser Stelle unternehmen und dabei auch im Hinterkopf behalten, daß die Konfiguration von Laien ausgeführt wird. Eine FRITZ!Box ist nun mal ein Consumer-Gerät, was i.d.R. nicht von Fachleuten konfiguriert wird. Denen bietet auch das FRITZ!OS-GUI alleine eigentlich wieder viel zu wenige Möglichkeiten - das
muß sich also eher an Laien und Amateure (als Gegenteil von "Profis") richten.
Bei einer FRITZ!Box könnte das eben so aussehen, daß im GUI (da kommen ohnehin schon nicht alle Kunden regelmäßig vorbei) an prominenter Stelle und farblich hervorgehoben darauf hingewiesen wird, wenn das voreingestellte Kennwort (GUI und WLAN) nicht geändert wurde - das ist ja sehr simpel festzustellen. Mit dem neuen Programm zum Entschlüsseln der Einstellungen gibt es das in Kürze als Patch fürs GUI im Rahmen von "modfs" von mir - als
Demonstration, daß das nicht alles nur Konjunktiv oder "Spinnerei" ist. Wenn AVM das selbst machen würde, müßte man den Vergleich zwischen eingestelltem Wert und Standardangabe auch nicht außerhalb des "ctlmgr" machen - da würde dann auch eine Eigenschaft "isDefaultPassword" o.ä. reichen für die Anzeige und man müßte den konkreten Wert gar nicht im Lua-Code auslesen.
Auch ist die Geschichte mit den Push-Mails ja ganz nett ... aber bei wievielen Kunden mag dieses Feature wohl gar nicht konfiguriert sein? Denen fehlt damit aber (weiterhin) jede Möglichkeit, bei einem Security-Problem (quasi als "Forensik") im Nachhinein auf gesicherte Einstellungen, FRITZ!OS-Protokolle, Anruflisten, usw. zuzugreifen. Zumindest als "Angebot" (mit einer Erläuterung, warum das sinnvoll sein könnte) sollte man das eben auch in die Assistenten bei der Erstkonfiguration einbeziehen - allerdings dabei dann auch nicht versäumen, die Informationen sicherer zu gestalten und vielleicht - zumindest optional - auch noch die Verschlüsselung des Nachrichteninhalts anzubieten (auch das wäre wieder ein Feature für "advanced users"), wenn davon auszugehen ist, daß diese Nachrichten bei irgendeinem Mail-Provider im IMAP-Postfach gesammelt werden und auch da mal ein unerwarteter Datenreichtum auftreten könnte.
-Ich sehe also hier
den Hersteller (es geht ja konkret um AVM, das gilt aber für jeden anderen Hersteller von Consumer-Routern genauso) durchaus weiter in (s)einer Verantwortung ... und so ganz alleine stehe ich mit so einer Ansicht auch nicht, es gibt auch entsprechende
Initiativen des BSI, die Leistungen der Hersteller in dieser Hinsicht zu "bewerten".
Allerdings hilft dieses Testkonzept alleine auch noch nicht wirklich weiter ... die Resonanz ist (seit > 1 Jahr) sehr überschaubar und ich kenne weder einen Hersteller (auch nicht AVM), der mit einer Aussage "x von y möglichen Punkten beim BSI-Anforderungskatalog" wirbt oder diese Angabe irgendwo machen würde, noch gibt es m.W. einen Provider, der beim Angebot für eigene Router irgendetwas in dieser Richtung bewertet.
Daher ist das - auch bei einer ansonsten guten Idee - bisher nicht mehr als ein Papiertiger ... aber das IoT nähert sich unaufhaltsam (die "Masse" kennt sich eben wirklich nicht aus und nun kommen auch noch die ganzen Hersteller dieser Klobürsten mit WLAN-Zugang für Statistik-Daten hinzu, die von IT-Sicherheit noch nie etwas gehört oder gelesen haben) und das macht eben auch die "LAN side" eines Routers zum "Kriegsgebiet" (auch keine ganz neue und/oder überraschende Entwicklung).