News AVM weist auf missbräuchliche Nutzung bei FRITZ!Box hin

[Micha45]

@Insanic
Was soll denn dieser ständige Mist mit "...du hast es nicht verstanden..."?
Und auch für dich noch einmal: Es ist klar, dass der Dienst "MyFritz!" werksseitig deaktiviert ist und vom Benutzer über die Einstellung erst aktiviert werden muss. Ich denke, dass das hier jeder verstanden hat.
Das ist aber doch nicht der Punkt.
Man kann für einen Zugang aber doch festlegen und vorgeben, auf welche Art das Passwort eingegeben werden muss.
Zum Beispiel mindestens 10 Zeichen, Klein- und Großbuchstaben, Zahlen und mindestens 2 Sonderzeichen etc. pp.

Und was der Gang an die Öffentlichkeit betrifft. Das ist ja wohl die Pflicht und das Mindeste, was sie tun können.

 

[MetalForLive]

Und wie bitte kommst Du darauf, dass das möglich ist? Ach egal, einer mehr für die Ignorier-Liste.

Ergänzung (5. Februar 2014)

TR-069 und Fernzugang sind zwei Paar Schuhe. Bei den Telekomroutern ist das zB auch möglich. Merkt man zB daran, wenn sich ohne dein Zutun die Firmwareversion ändert.

Achso, ja davon hab ich keine Ahnung
Allerdings muss ich bei mir die Firmware selbst aktualisieren.

Aber ich bin eigentlich sehr zufrieden mit der Fritzbox 7390, auch wenn der WLAN Empfang mieserabel ist.
Für einen Homerouter kann die echt viel.

 

[Reglohln]

Man kann für einen Zugang aber doch festlegen und vorgeben, auf welche Art das Passwort eingegeben werden muss.
Zum Beispiel mindestens 10 Zeichen, Klein- und Großbuchstaben, Zahlen und mindestens 2 Sonderzeichen etc. pp.

Und? Das kennt man ja von EMail-Providern und sonstige Dienstleisters und was bringt es? Dass trotzdem "Erde0815" verwendet wird.
Jemand, der einen Fernwartungszugriff einrichtet, weiß, was er tut und was das für ihn bedeutet. Solch ein User sollte wissen, wie ein sicheres Passwort auszusehen hat.

Um mal wieder einen billigen Auto-Vergleich zu machen: Mein Auto fährt auch, wenn ich mich nicht angeschnallt habe.

 

[Rossie]

@InsanicMan kann für einen Zugang aber doch festlegen und vorgeben, auf welche Art das Passwort eingegeben werden muss.

Und? Hätte das in diesem Fall in irgendeiner Weise geholfen? Eben!

 

[strex]

Ich denke eher das AVM den bei vielen Providern standardmäßig aktivierten Fernzugriff über TR-069 verschweigt.

TR-069 und der Fernzugang von AVM sind aber zwei paar Schuhe. TR-069 steht nur dem ISP zur Verfügung, die andere Variante jedem der die Passwörter kennt. Bloß weil man einmal paar Begriffe gehört hat, muss man die nicht einfach in den Raum werfen ohne Zusammenhang.

TR-069 weißt sich der ISP per Zertifikat über den ACS am CPE an und die Kommunikation erfolgt per SSL. Ist es ein eigener Router sind die nötigen Zertifikate hinterlegt und der ISP kann etwa deine Konfiguration vornehmen. Ist das nicht der Fall, etwa ein fremder Router, passen die Zertifikate nicht und eine Konfiguration ist nicht möglich. Dazu müsste der Angreifer schon den ACS infiltrieren oder manipulierte Firmware am Router aufspielen und sich per ACS ausweisen. Das Ganze braucht man nicht, wenn der Benutzer eh seine Daten aus der Hand gibt.

 

[frankpr]

"Findest du persönlich", das in diesem zusammenhang "AVM" vollständig unschuldig ist und 0,0% Schuld betrifft ?

Auch wenn die Frage an einen anderen User gerichtet war: finde ich. Noch einmal extra für Dich: es betrifft keine Sicherheitslücke in AVM Produkten, sondern einen Identitätsdiebstahl, der erst bei sehr dummen Userverhalten im Zusammenhang mit AVM Produkten zum Problem werden kann. Zudem sind alle Mechanismen, die da ausgenutzt werden, ab Werk deaktiviert.

Wenn der Angreifer über die Kennwörter für den Fernzugang verfügt, dann kann er die Einstellung von oben (Rufnummernsperre) auch direkt wieder rausnehmen.

Weswegen AVM empfiehlt, als erstes die Zugangsdaten zu ändern. Klingt für mich auch logisch.
Zudem, all diese mißbrauchten Features braucht man nicht wirklich, die sicherste und auch sinnvollste Möglichkeit, eine Verbindung zur Box herzustellen und alles, was sie bietet, aus der Ferne zu nutzen, ist sowieso ein VPN Tunnel.

 

[danny38448]

glück gehabt..meine box ist sauber

finde es von AVM gut das sie darüber informieren.. andere Hersteller schweigen ja darüber

 

[bu.llet]

@-Maxwell- sollte ... jetzt / gleich /zeitnah ... begreifen (das setzt jedoch Denken voraus), dass """AVM""" nichts dafür kann / daran ändern kann ..... wenn das """BSI""" nach Jahren .................. mal reagiert / die Leute informiert. Die Hardware (((harte Ware))) hat ... damit ............. nichts zu tun!!!!!!!!!

Ich hoffe, - ich - konnte ....... mit den ///// durch die Satzzeichen ....... den Text ........... ein bisschen übersichtlicher machen / leichter lesbar machen!

 

[KainerM]

Wir halten also fest: AVM findet raus, dass einige Nutzer blöd genug waren ihre Benutzernamen und Kennwörter an vielen Stellen gleich zu halten. Ein Angreifer verwendet die erbeuteten Daten, um die Fritzbox über mehrere Webservices, teils von AVM, teils von dritten, zu "lokalisieren", also IP-Adresse, Nutzernamen und so weiter zu erspähen.
Und jetzt ist natürlich AVM Schuld, weil der Nutzer zu blöd war unterschiedliche Kennwörter zu verwenden.

Ich kann daran Verwerfliches nichts finden, um ehrlich zu sein.

mfg

 

[PhilAd]

Ich bin ziemlich baff darüber, wieviele hier ihre Router GUI aus dem Internet erreichbar machen ... Für mich ziemlich unverständlich, zumal die Fritzbox auch noch VPN in gewissen teilen unterstützt.
Für die Information würde ich AVM nicht loben ... es ist selbstverständlich, dass sie das geradestellen wollen. Wenn die Presse seit einigen Tagen bereits über ein generelles Sicherheitsproblem bei Fritzboxen berichtet, ist es doch logisch, dass AVM dies richtig stellen möchte. Laut Stellungnahme gegenüber dem Westen wussten sie auch bereits von Fällen und haben keine Nachricht an die Kunden herausgegeben. Für mich stellt sich es daher nicht anders dar, als würde XY einen Newsletter versenden, der vor falschen Rechnungen der XY warnt.

 

[Micha45]

@KainerM

Und jetzt ist natürlich AVM Schuld, weil der Nutzer zu blöd war unterschiedliche Kennwörter zu verwenden.

Woher willst du so genau wissen, dass dies die Ursache war?
Mich ärgert die hier geführte Art der Argumentation maßlos!

"Alle User sind zu blöd und der "kompetente" Hersteller hat alles richtig gemacht."

So einfach ist das! Lachhaft!

 

[Reglohln]

@Micha45: Du machst doch nichts anderes, nur von umgekehrter Seite.

Aber die Argumentation "User zu "blöd" ist einfach die richtigere, denn die Wahrscheinlichkeit, dass hier eine Sicherheitslücke existiert, ist sehr gering. Ob die Daten direkt aus einer AVM-Datenbank "gestohlen" wurden, bleibt natürlich abzuwarten, daran glauben tue ich aber nicht.

Von daher: bisher sieht alles nach "Nutzerfehler" aus.

 

[Luxuspur]

Der Hersteller "AVM" weist in diesem zusammenhang, der ja schon mehr als gross genug ist - jegliche schuld von sich ? (LOL ?)

...Schuld haben immer die anderen...................die User.........schon klar !

Na da die nicht über einen Firmwarefehler oder Sicherheitslücke im Router rein sind, sondern durch schlechte PW und Keylocker; ein PW für alles --> JA das liegt dann eindeutig an der Dummheit des Users!

liegt aber auch an CB, das die News missverstanden wurde, den wichtige Infos wurden hier einfach nicht erwähnt, welche aber auf anderen Seiten vorhanden sind.

Deswegen gilt bei CB grundsätzlich: Forum ist super --> News / Artikel: sind im allgemeinen veraltet unvollständig als einzigste Quelle ned zu gebrauchen.

 

[hrafnagaldr]

Das ist kein generelles Sicherheitsproblem der Fritzboxen, sondern ein generelles überhaupt: lausiges Passwort und bekannter Login. Das betrifft jeden Hersteller, jedes Betriebssystem und jede Hardware, auf die man per Nutzername / Passwort über das Internet zugreifen kann. Warum wollen das manche Leute hier nicht kapieren?
Wer eben auf jeder Webseite / jedem Dienst sich mit Nutzer horn@ochse.com und Passswort 123456 registriert und anmeldet hat es imho auch nicht anders verdient.
Viele Menschen schalten ihr Hirn eben erst an, wenn sie einen monetären Schaden erlitten haben.

Für die Information würde ich AVM nicht loben ... es ist selbstverständlich, dass sie das geradestellen wollen. Wenn die Presse seit einigen Tagen bereits über ein generelles Sicherheitsproblem bei Fritzboxen berichtet, ist es doch logisch, dass AVM dies richtig stellen möchte. Laut Stellungnahme gegenüber dem Westen wussten sie auch bereits von Fällen und haben keine Nachricht an die Kunden herausgegeben.

 

[PhilAd]

[] Du hast den Beitrag verstanden
[X] Du hast den Beitrag nicht verstanden

Das ist kein generelles Sicherheitsproblem der Fritzboxen, sondern ein generelles überhaupt: lausiges Passwort und bekannter Login. Das betrifft jeden Hersteller, jedes Betriebssystem und jede Hardware, auf die man per Nutzername / Passwort über das Internet zugreifen kann. Warum wollen das manche Leute hier nicht kapieren?
Wer eben auf jeder Webseite / jedem Dienst sich mit Nutzer horn@ochse.com und Passswort 123456 registriert und anmeldet hat es imho auch nicht anders verdient.
Viele Menschen schalten ihr Hirn eben erst an, wenn sie einen monetären Schaden erlitten haben.

 

[Retaliator_75]

Habe in meiner Fritzbox einen FTPUser ist der normal !?

 

[smuper]

Ich zweifele da mal an AVMs Aussage, die Daten könnten genauso gut über eine Lücke in ihren Produkten ausgelesen worden sein oder man hat die Abfragen komplett übergangen, wären ja nicht die ersten bei denen das möglich ist.

Sicher, deshalb sind ja auch nur eine verschwindend geringe Zahl an Nutzern betroffen, welche auch noch fragwürdige Kernkompetenzen haben.

Habe in meiner Fritzbox einen FTPUser ist der normal !?

Ja. Kannst ihn aber auch löschen.

 

[Retaliator_75]

Danke - hab ihn gelöscht!

 

[alQamar]

Das ist kein generelles Sicherheitsproblem der Fritzboxen, sondern ein generelles überhaupt: lausiges Passwort und bekannter Login. Das betrifft jeden Hersteller, jedes Betriebssystem und jede Hardware, auf die man per Nutzername / Passwort über das Internet zugreifen kann. Warum wollen das manche Leute hier nicht kapieren?
Wer eben auf jeder Webseite / jedem Dienst sich mit Nutzer horn@ochse.com und Passswort 123456 registriert und anmeldet hat es imho auch nicht anders verdient.
Viele Menschen schalten ihr Hirn eben erst an, wenn sie einen monetären Schaden erlitten haben.

Dieser generellen Annahme möchte ich hiermit widersprechen.

Ein Bekannter von mir ist trotz eines virenfreien und gepatchten System hiervon betroffen gewesen. Aktiviert war der https Zugang. MyFritz wurde nicht benutzt. Angefallen sind 7 Stunden Gespräche in die USA mittels eines neu einprogrammierten "IP" Telefons, wie im Artikel von AVM beschrieben.

Interessanterweise wurde das nur das System-Log in der Zeit vor dem Angriff partiell gelöscht. Insofern ist es unwahrscheinlich das die Angreifer die GUI benutzt haben um das alles durchzuführen.

Auch das HTTPS Kennwort war einigermaßen komplex. Es ist mir unverständlich wie die auf den hinterlegten Benutzernamen (keine Emailadresse) und das Passwort gekommen sind.

 

[U.D.O.]

Achso, ja davon hab ich keine Ahnung
Allerdings muss ich bei mir die Firmware selbst aktualisieren.

Aber ich bin eigentlich sehr zufrieden mit der Fritzbox 7390, auch wenn der WLAN Empfang mieserabel ist.
Für einen Homerouter kann die echt viel.

Also ich habe auch seit Jahren eine 7390 bei mir. Einfamilienhaus. Neubau. Die Box steht im Wohnzimmer unter meinem TV(also eigtl. gar kein guter Platz, aber funzt bei mir)
Ich habe 156 qm Wohnfläche. Über der Garage ist auch ausgebaut. Ich haben in jedem! Zimmer im Haus ausreichenden Wlan Empfang (DSL 16.000). Sogar im Keller (geschalt). Mit dem Ipad kann ich ca. 20m vom Haus weg noch im Garten surfen. Kann also den schlechten Wlan Empfang nicht bestätigen.
Viell. mal den Standort der Box ändern oder auf nen anderen Kanal wechseln. Hatte zuvor ne 7170, die war wirklich nicht so toll vom Empfang. PS: Meine Meinung