Ein im Prinzip schon länger bekanntes Sicherheitsproblem trifft nun auch einige Home-Router, die vom Telekommunikationskonzern
Der Sicherheitsforscher Stefan Viehböck vom Unternehmen SEC Consult Vulnerability Lab hat das Problem aufgespürt und schon vor einigen Monaten an Vodafone gemeldet. Jetzt
Das Problem liegt allerdings nicht in einem technischen Fehler. Statt dessen geht es hier erneut darum, dass der Hersteller in der Standard-Konfiguration keine sicheren Passwörter verwendet. Angesichts dessen, dass viele Nutzer ohne technischen Sachverstand die Geräte zuhause aufstellen und nutzen, ohne selbst für Sicherheit zu sorgen, bietet sich hier also ein einfaches Einfallstor. Unbefugte können sich so mit dem WLAN verbinden und zumindest in Deutschland durch illegale Downloads dem Anschlussinhaber Probleme mit der Störerhaftung bescheren. Aber auch der Zugriff auf Daten, die im lokalen Netzwerk geteilt werden, wird so möglich.
Für das Login in das WPS-geschützte Funknetzwerk wird standardmäßig ein Passwort verwendet, das auf die Rückseite des Gerätes aufgedruckt ist. Wie schon in früheren Fällen handelt es sich hier aber keinesfalls um eine Zeichenfolge, die beispielsweise von einem Zufallsgenerator erstellt wurde. Statt dessen lässt sich die Kennung berechnen, wenn der Angreifer die MAC-Adresse der WLAN-Schnittstelle und die Seriennummer des Gerätes kennt - wobei sich letztere ebenfalls aus der MAC ergibt.
Produziert werden die fraglichen Geräte von Arcadyan/Astoria Networks für Vodafone. Aktuell gibt es noch keine Lösung des Problems hinsichtlich dessen, wie bereits ausgelieferte Systeme abgesichert werden sollen - beispielsweise schlicht dadurch, indem die Kunden über die Schwachstelle informiert und mit einer Anleitung zur Änderung des Passwortes ausgestattet werden. Eine grundsätzliche Schwierigkeit bei solchen Vorfällen liegt darin, dass den Kunden durch ein kryptisch wirkendes Passwort vorgegaukelt wird, dass der Zugang nicht einfach zu erraten ist. Konfrontiert mit einem technisch halbwegs versierten Angreifer würde es aber quasi keinen Unterschied machen, eine PIN aus vier gleichen Zahlen zu verwenden.
Quelle: winfuture
Du musst dich
Anmelden
oder
Registrieren
um diesen link zusehen!
angeboten werden. Dabei geht es um die Geräte EasyBox 802 und EasyBox 803. Der Sicherheitsforscher Stefan Viehböck vom Unternehmen SEC Consult Vulnerability Lab hat das Problem aufgespürt und schon vor einigen Monaten an Vodafone gemeldet. Jetzt
Du musst dich
Anmelden
oder
Registrieren
um diesen link zusehen!
er die fraglichen Informationen. Die Schwachstelle ermöglicht es einem Angreifer, Zugang zu einem geschützten WLAN zu erlangen. Das Problem liegt allerdings nicht in einem technischen Fehler. Statt dessen geht es hier erneut darum, dass der Hersteller in der Standard-Konfiguration keine sicheren Passwörter verwendet. Angesichts dessen, dass viele Nutzer ohne technischen Sachverstand die Geräte zuhause aufstellen und nutzen, ohne selbst für Sicherheit zu sorgen, bietet sich hier also ein einfaches Einfallstor. Unbefugte können sich so mit dem WLAN verbinden und zumindest in Deutschland durch illegale Downloads dem Anschlussinhaber Probleme mit der Störerhaftung bescheren. Aber auch der Zugriff auf Daten, die im lokalen Netzwerk geteilt werden, wird so möglich.
Für das Login in das WPS-geschützte Funknetzwerk wird standardmäßig ein Passwort verwendet, das auf die Rückseite des Gerätes aufgedruckt ist. Wie schon in früheren Fällen handelt es sich hier aber keinesfalls um eine Zeichenfolge, die beispielsweise von einem Zufallsgenerator erstellt wurde. Statt dessen lässt sich die Kennung berechnen, wenn der Angreifer die MAC-Adresse der WLAN-Schnittstelle und die Seriennummer des Gerätes kennt - wobei sich letztere ebenfalls aus der MAC ergibt.
Produziert werden die fraglichen Geräte von Arcadyan/Astoria Networks für Vodafone. Aktuell gibt es noch keine Lösung des Problems hinsichtlich dessen, wie bereits ausgelieferte Systeme abgesichert werden sollen - beispielsweise schlicht dadurch, indem die Kunden über die Schwachstelle informiert und mit einer Anleitung zur Änderung des Passwortes ausgestattet werden. Eine grundsätzliche Schwierigkeit bei solchen Vorfällen liegt darin, dass den Kunden durch ein kryptisch wirkendes Passwort vorgegaukelt wird, dass der Zugang nicht einfach zu erraten ist. Konfrontiert mit einem technisch halbwegs versierten Angreifer würde es aber quasi keinen Unterschied machen, eine PIN aus vier gleichen Zahlen zu verwenden.
Quelle: winfuture
