TR-069-Fernwartungslücke bei DSL-Routern: Deutsche Internetanbieter bezeichnen ihre Netze als sicher
Zusammenfassung
Nach Shahar Tals DEF-CON-Vortrag über Lücken in TR-069-Fernwartungsservern fragte heise 2014 deutsche Provider nach ihrem Schutz. Telekom, Vodafone, 1&1 und andere hielten ihre Netze für sicher, weil ihre Router selbstsignierte Zertifikate ablehnen oder nur voreingestellte Server kontaktieren. Tal hatte gezeigt, dass ein gekaperter Auto Configuration Server Tausende Router umleiten oder auslesen kann.
Ideen
- Über TR-069 konfigurieren Provider die Router ihrer Kunden aus der Ferne.
- Ein kompromittierter Konfigurationsserver kontrolliert alle angebundenen Router.
- Zertifikatsprüfung und feste Serveradressen schützen den Kanal.
- Bei einigen Providern ließ sich TR-069 im Webinterface abschalten.
Einsichten
- Zentrale Fernwartung vereinfacht Updates, schafft aber einen Punkt, von dem aus alles angreifbar ist.
- Die Sicherheit des Heimrouters hängt auch von der Infrastruktur des Providers ab.
Fakten
- Über den ACS eines irakischen Providers hätte Tal auf über 7000 Router zugreifen können.
- Einige Provider nutzten den Standardport 7547 für Connection Requests.
- Auch die freien ACS-Programme OpenACS und GenieACS hatten laut Tal seit zwei Jahren bekannte Lücken.
Referenzen
Kritik
- Die Aussagen der Provider sind Selbstauskünfte; eine unabhängige Prüfung fehlt.
Bemerkungen
- Im November 2016 legte eine Mirai-Variante über Port 7547 rund 900.000 Telekom-Router lahm.
Empfehlungen
- Schalte TR-069 ab, wenn du eigene Router selbst verwaltest und keine Providerwartung brauchst.
- Prüfe, ob Fernwartungsports am Router aus dem Internet erreichbar sind.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.