Kann Routerpasswort deaktiviert werden, wenn WLAN WPA2 hat und keiner LAN Zugang hat?

[Simpson474]

Auch in Deinem Link mit präpariertem Javascript lässt sich die VoIP Konfiguration nicht ändern. Man konnte lediglich die Konfig Datei kopieren.

Und mit der Konfig Datei das Passwort für den Router. Somit hatte man vollen Zugriff, wie bei einem Router komplett ohne Passwort.

 

[BlubbsDE]

Ja, aber nur mit aktivierter Fernwartung. Das sage ich doch die ganz Zeit.

 

[Matusalem]

Sicherheit ist nach meiner Meinung immer eine Risikoabwägung. Denn 100% Sicherheit gibt es nicht.

Wenn Für Dich das Risiko mit einem Router ohne Passwort und WPA2 Passwort geschütztem WLAN akzeptabel ist Prima.

Das Risiko ist gering, aber es geht sicherer. Deine Entscheidung, deine Konsequenzen.

Ich persönlich kann es nachvollziehen, dass man Energie sparen möchte. Mit etwas Rechenaufwand kommt man selbst bei einem Watt auf ein paar Euro pro Jahr. Geht man etwas strukturierter daran, dann denkt man nicht nur an ein Gerät sondern an den ganzen Haushalt und dann können es plötzlich 3 stellige Summen sein..

Das Ganze kommt dann auch noch der Umwelt zugute, was je nach Ansicht auch der Hauptgrund für den Aufwand sein kann.

Der ideale Vorschlag kam gerade von Chrigu. Steckerleiste mit manuellem Schalter.

Bei einem Funkschalter ist man sofort wieder dabei mit Energieverbrauch und Radiowellen, nur jetzt im ISM Band auf 868 MHz.

 

[Raijin]

Funksteckdosen bzw. die Fernbedienung sendet nur ein einziges Signal, wenn man auf eine Taste drückt. Drückt man nicht, zieht das auch keinen Strom. Ok, der Empfänger in der Steckerleiste mag Energie verbrauchen, aber das wird dadurch abgefangen, dass der TE ja nachts "nur" sein WLAN abstellt und bei der Steckerleiste wäre der Router komplett aus. Unterm Strich wird die Funk-Steckerleiste also in etwa gleich viel oder gar weniger verbrauchen als wenn man den Router nachts durchlaufen lässt (ohne WLAN).

Ich persönlich kann es zwar nachvollziehen, wenn man Energie sparen will und sich durch Funk jedweder Art nicht allzu sehr belasten will, aber man muss das ganze mit Augenmaß tun. Es ist sinnfrei, über den marginalen Mehrverbrauch einer Funk-Steckerleiste nachzudenken, wenn man in der Wohnung andere Verbraucher hat, die ein Vielfaches davon aus der Steckdose ziehen. Man spart auf der einen Seite gefühlt 1% Energie ein und die Waschmaschine verbraucht dagegen 20% mehr als vergleichbare Geräte. Da halte ich es für wenig sinnvoll, an dem 1% zu schrauben, wenn man mit einer Aktion gleich ein Vielfaches davon abfrühstücken kann.

Ähnlich ist es mit Funk. Wenn kein Gerät aktiv ist, hält sich der Funkverkehr im WLAN auch stark in Grenzen, die Strahlenbelastung ebenso. Ein paar Minuten mit dem Handy telefonieren - am Ohr! - liefert gefühlt soviel Strahlung wie eine Woche im passiven WLAN zu hocken. Und was ist mit den Festnetztelefonen? Sind das DECT Geräte? Jo, die funken sogesehen auch, allerdings ebenfalls nur minimal, wenn nicht telefoniert wird. Stöpselt man die nachts auch aus?

Strahlenbelastung, Energieverbrauch, Umwelt. Alles schöne und wichtige Begriffe. Es bringt aber wenig, am kleinsten Rädchen zu drehen, wenn man die großen nicht anfässt. Nu kann man natürlich sagen, dass viele kleine Rädchen soviel bringen wie ein großes, aber das rechtfertigt kaum den Mehraufwand und die Unannehmlichkeiten. Lieber bei der Anschaffung von Großverbrauchern (Waschmaschine, TV, etc.) einen Blick mehr riskieren und auf einen Schlag soviel sparen wie beim "KleinKlein-Sparen" in 20 Jahren.. Das heißt natürlich nicht, dass man die Klein(st)verbraucher ignorieren soll, aber ich würde da auch nicht allzu viel (geistige) Energie reinstecken, um das letzte Wattchen rauszukitzeln.


*edit
Im Zweifelsfalle ansonsten auf dem Tablet einen anderen Browser installieren, der das Speichern der Zugangsdaten erlaubt. Dann kann man das WLAN auch ohne Probleme weiter so vor dem Einschlafen abschalten wie bisher - ohne das Passwort im Router deaktivieren zu müssen. Geräte ohne Passwort (insbesondere Router) stellen nämlich immer ein Sicherheitsrisiko dar.

 

[Simpson474]

Ja, aber nur mit aktivierter Fernwartung. Das sage ich doch die ganz Zeit.

Was hat den das mit der Fernwartung zu tun, man muss nur entsprechende Anfragen per Javascript zusammen mit dem ausgelesenen Passwort an die FRITZ!Box schicken und schon kann man alles konfigurieren. Meines Wissens wurde die Lücke aber hauptsächlich dazu verwendet, die Fernwartung mit DynDNS zu aktivieren. Der restliche Missbrauch erfolgte anschließend über die geöffnete Fernwartung.

 

[BlubbsDE]

Es hat alles mit der Fernwartung zu tun. Wenn die nicht aktiv ist, dann bringt Dir das Besitzen des Konfig Files auch rein gar nichts. Weil Du von außen nicht auf die FritzBox kommst und nichts an ihrer Konfig verändern kannst.

Sprich, ohne aktivierte Fernwartung ist keinem FritzBox Benutzer ein Schaden entstanden. Und das sage ich seit meiner ersten Antwort.

 

[Simpson474]

Willst du es nicht kapieren? Die ganze Weboberfläche eines Routers wird ausschließlich über HTTP-Requests gesteuert, ob diese nun von einem Benutzer oder einem Script abgesetzt werden, ist einem Router egal. So funktionieren übrigens auch die Reconnect-Scripte, z.B. von PyLoad.

Die FRITZ!Box hatte einen trivialen Bug: es war möglich, die komplette Konfiguration (Backup-Funktion der FRITZ!Box) über die Webobefläche ohne Passwort auszulesen. Somit hatte man auch das nötige Passwort, um sich per HTTP-Requests per Script an der FRITZ!Box anzumelden (genau wie es auch ein Benutzer machen würde). Anschließend musste man nur noch ein paar zusätzliche HTTP-Requests absetzen, um DynDNS einzurichten und die Fernwartung zu aktivieren. All das konnte mit einer manipulierten Webseite bzw. einem manipulierten Werbebanner durchgeführt werden.

Sprich, ohne aktivierte Fernwartung ist keinem FritzBox Benutzer ein Schaden entstanden. Und das sage ich seit meiner ersten Antwort.

Und genau das ist falsch, die Fernwartung wurde durch die Lücke geöffnet, nicht durch die Benutzer.

 

[BlubbsDE]

Hast Du da eine Quelle für? Und nein, Dein Heise Artikel ist keine passende Quelle. Der zeigt auch nur, man bekommt das Konfig File uU. Mein Stand der Dinge. Ohne aktivierter Fernwartung kein Zugriff via WAN IP auf die Weboberfläche. Da bringt es auch nichts, wenn man das Konfig File mit den PWs hat.

 

[Simpson474]

Nach langem hin und her hat es AVM zugegeben:

Detaillierte Analysen des Angriffs haben ergeben, dass auch Fritzbox-Modelle angegriffen werden könnten, bei denen der Fernzugriff nicht freigeschaltet ist. Hierzu ist allerdings eine völlig andere Art des Angriffs notwendig. Denn um den Angriff durchzuführen, müssten Anwender beispielsweise auf speziell präparierte Internetseiten mit Schadcode gelockt werden oder einen entsprechend präparierten Mailanhang öffnen

Es wurde allerdings betont, dass die Lücke immer nur im Zusammenhang mit aktiviertem Fernzugriff ausgenutzt wurde.

 

[BlubbsDE]

Und genau das sage ich seit meinem ersten Beitrag...

Sie konnten angegriffen werden. So wie es im Heise Artikel steht. Aber man kam nicht an die Weboberfläche dran. Und daher war dieser Angriff eher witzlos. Weil man da nicht wirklich wirtschaftlichen Schaden erzeugen konnte.

 

[Raijin]

Ich schlage vor, diese Diskussion an geeigneter Stelle fortzuführen. Es ist dem TE in seiner Sache nicht dienlich, wenn ihr euch über die Details eines Bugs die Köppe einrennt. Wir sind uns hoffentlich alle einig, dass es generell nicht empfehlenswert ist, den Router ohne Passwort zu betreiben - unabhängig davon ob er durch einen Bug von außen/innen kompromittiert werden kann.

Man muss sich immer vor Augen halten, dass irgendwann evtl. auch mal jemand Zugriff zum WLAN bekommt, der eben doch Unsinn treiben könnte (zB Kinder, Freunde, etc). Ein simples Passwort ist auch keine unüberwindbare Hürde, aber besser als gar nix. In meinen Augen ist es nu wirklich auch nicht zuviel verlangt, einmal kurz ein Passwort einzutippen. Wenn man Bedenken hat bezüglich Energieverbrauch und Strahlung, dann muss man eben den Aufwand in Kauf nehmen. Komfort und Sicherheit sind grundsätzlich gegenläufige Begriffe. Je mehr Komfort umso weniger Sicherheit. Je mehr Sicherheit umso weniger Komfort. Sicherheit und Komfort sind kaum möglich.

 

[freshprince2002]

Wieso wird davon ausgegangen, dass man nur übers WLAN "reinkommen" kann?
Geht doch genauso über WAN durch Sicherheitslücken.
Oder genauso durch Lücken und Viren auf dem PC und von dort aus hat derjenige dann Zugriff auf deinen Router, da muss er das WLAN nicht mehr hacken.
Das ist das dümmste, was man machen kann, den Router ohne PW zu betreiben.

 

[Raijin]

Naja, wenn das Webinterface des Routers via WAN erreichbar ist, hat man ganz andere Probleme.

Du hast aber natürlich Recht, dass der Router-Zugriff nicht auf das WLAN beschränkt ist. Zugriff via WAN ist aber hoffentlich sowieso nicht möglich und Zugriff via LAN ist .. naja.. unterm Strich dasselbe wie via WLAN, weil man zwar kein WLAN-Passwort benötigt, aber physischen Zugriff auf das LAN haben muss (zB Switch oder Dose). Der TE geht ja davon aus, dass alle, die sich in seiner Wohnung bewegen vertrauenswürdig sind und deswegen ein Passwort überflüssig ist. Das ist allerdings ziemlich fahrlässig und durch minimalen Komfortgewinn - kein Passwort nötig - öffnet man eine nicht unerhebliche Sicherheitslücke.

@TE: Wenn du wirklich jeden Abend in den Router einloggen musst, dann ist das mal dumm ausgedrückt "dein Problem". Normalerweise konfiguriert man einen Router einmal und loggt sich höchstens mal sporadisch ein, um zB eine Portweiterleitung einzurichten. Abgesehen davon ist ein Router ein Gerät, dass größtenteils autark arbeitet und es ist nicht wirklich vorgesehen, sich täglich in den Router einzuloggen... Um zB nachts das WLAN abzuschalten, bieten die meisten WLAN-Router eine Zeitschaltung, die zB um 23:00 das WLAN ab- und um 06:00 wieder anschaltet. Bietet der Router keine Zeitschaltung, kannst du ja mal in Betracht ziehen, einen neuen Router oder einen Access Point anzuschaffen, der eine Zeitschaltung bietet. Tägliches Einloggen, Steckerleiste oder was auch immer entfällt dann komplett.