AVM-Router: Weitere Lücke in der FritzBox-Fernwartungsfunktion
Zusammenfassung
heise Security fand 2014 eine Lücke in den MyFritz-Apps für Android und iOS, über die Angreifer ohne Passwort auf die Weboberfläche einer FritzBox zugreifen konnten. Die Apps prüften das SSL-Zertifikat der Box nicht ausreichend, sodass ein Angreifer in einem fremden Netz die Session-ID abgreifen konnte. AVM löste das per Certificate Pinning: Die Apps merken sich beim ersten Kontakt den Fingerabdruck des Zertifikats und warnen bei Änderungen.
Ideen
- Verschlüsselung ohne Zertifikatsprüfung schützt nicht vor Man-in-the-Middle-Angriffen.
- Eine abgefangene Session-ID ersetzt das Passwort.
- Jede FritzBox betreibt eine eigene Zertifizierungsstelle namens localhost.
- Certificate Pinning ersetzt die fehlende vertrauenswürdige CA.
Einsichten
- Selbstsignierte Zertifikate brauchen einen anderen Vertrauensanker, sonst ist HTTPS wirkungslos.
- Der erste Verbindungsaufbau ist der kritische Moment beim Trust-on-first-use-Prinzip.
Fakten
- Mit Webzugriff konnte ein Angreifer eigene Benutzerkonten anlegen und Telefonie missbrauchen.
- Die Lücke hatte nichts mit den gleichzeitig diskutierten TR-069-Problemen zu tun.
- Anfang 2014 hatten Kriminelle bereits eine andere FritzBox-Lücke ausgenutzt, um über gekaperte Router teure Telefonate zu führen.
Referenzen
Kritik
- Die Meldung stammt vom Entdecker selbst und bewertet nicht, wie viele Nutzer tatsächlich in fremden WLANs administrierten.
Empfehlungen
- Richte gepinnte Verbindungen zur eigenen Infrastruktur erstmals im eigenen, vertrauenswürdigen Netz ein.
- Erreiche die Router-Verwaltung aus der Ferne lieber über ein VPN als über eine offene Weboberfläche.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.