News Keine Reaktion: Google-Forscher veröffentlicht Lücke in TP-Link-Routern

[Raijin]

Wer billig kauft... Kann gehackt werden

Das würde ich zumindest bei TP-Link so nicht unterschreiben. Cisco stand vor einigen Jahren wegen einer ganz ähnlichen Sicherheitslücke in den Schlagzeilen. Seinerzeit war es soweit ich das noch zusammenbekomme eine Management-Schnittstelle, die offen und unverschlüsselt war. Und ich behaupte mal ganz frech, dass Cisco das Gegenteil von billig ist, oder liege ich da falsch?

TP-Link ist bei weitem nicht so schlecht wie es hier von einigen dargestellt wird. Nach der Argumentation müsste man ja ausschließlich Profi-Equipment einsetzen.

 

[Bob.Dig]

dass Google ein stark gewinnorientiertes Unternehmen ist,

Das sehe ich anders, die machen vieles ohne eine müde Mark zu generieren. Ich denke google arbeitet eher nach dem Prinzip Wissen ist Macht und sie wollen einfach überall drinstecken, koste es was es wolle.

 

[DeusoftheWired]

Microsoft hatte Google für die Frist von 90 Tagen schon 2015 kritisiert.

Coordinated Vulnerability Disclosure VS. Responsible Disclosure.

 

[joel]

Für mich wäre die Mindestvorraussetzung zur Veröffentlicheng der " Sicherheitslücke" das dies von außen möglich ist!
Wenn ich lokalen Zugriff habe kann ich eh machen was ich will !?

Ist das dann von dem Google-Forscher nicht eher Imponiergehabe? Aber in dieser Beziehung ist ja Google schon
öfter unangenehm aufgefallen.
Ob sie wohl mit ihrer eigenen Software ganauso verfahren ?

 

[Dunkeltier]

@linuxfan
Aber TP-Link ist doch so schön billig. Geiz ist halt noch immer geil.
Ich hatte mal Powerline-Adapter von der Marke. 3mbit brutto max. Da haben uralte Allnet-Powerline-Adapter den 10fachen Durchsatz geschafft. Seither bin ich von TP-Link geheilt.

Ich hatte mal eine Zeit lang einen 8-Port Hub von denen im Einsatz. Der hat seine Aufgabe gut gemeistert, liegt aber mittlerweile ausrangiert im Wohnzimmer-Regal. Hoffentlich werde ich ihn bald wieder gebrauchen können.

 

[Raijin]

Wenn ich lokalen Zugriff habe kann ich eh machen was ich will !?

Nein, weil du normalerweise die Login-Daten des Routers bräuchtest. Gerade das ist im vorliegenden Fall ja eben nicht der Fall - die Sicherheitslücke kann ohne Login ausgenutzt werden.

 

[BrollyLSSJ]

Gut wäre zu wissen, welche Modelle noch betroffen sind, wenn es denn mehr sind als dieser Smarthome Router. Ich habe auch einen TP-Link und für den gibt es z.B. kein OpenWRT und kein DD-WRT.

 

[Wattwanderer]

Ob sie wohl mit ihrer eigenen Software ganauso verfahren ?

Die Frage kann man nicht ernst nehmen wenn man die Presse auch nur halbwegs verfolgt aber...

Nein, Google verfährt mit ihrer Software nicht genauso.

Sie geht paar Schritte weiter und fordern andere auf ihre Software zu hacken und zahlen zumindest aus der Sicht eines Laien doch ganz erkleckliche Summen für gemeldete Fehler. Keine Ahnung was man auf dem Schwarzmarkt für die Fehler bekommt.

 

[GrooveXT]

Wozu den Umweg über eine Schwachstelle wenn man über den Rechner einfacher einen berechtigten Zugriff bekommt?

Ein kleines Stück Software das ohne Adminrechte eine lokale Netzwerkverbindung aufbaut und einen Prozess anstößt ist ne andere Hausnummer als ein vollkontrollierter PC mit Admin-Zugriffsrechten. Für sowas braucht man nicht mal echte Malware. Wie gesagt kann sich sowas in allem möglichen verstecken. Glaube die Wenigstens können von sich behaupten das sie noch nie fragwürdige Software auf ihrem PC installiert haben (wissentlich oder unwissentlich). Den PC kann ich formatieren oder säubern, aber wer denkt daran seinen Router danach zu bereinigen?

 

[nickless_86]

Ok gerade TpLink auf meine Blacklist geaddet obwohl ich einige Produkte von denen habe/hatte

 

[Baya]

Ach Leute... Gebt mal in Google irgendeinen Hersteller ein und sucht nach Schwachstelle oder Lücke...
Dann kannst alle auf deine "Blacklist" setzen...

 

[Cool Master]

@Baya

Lass es, engstirnige User kann man nicht mit Fakten überzeugen.

 

[Kalsarikännit]

Ok gerade TpLink auf meine Blacklist geaddet obwohl ich einige Produkte von denen habe/hatte

Ich glaube, eine Whitelist zu erstellen ist einfacher: []

Wobei ja weniger das Vorhandensein der Lücke kritisiert wird, sondern das nicht darauf reagieren.

 

[HaZweiOh]

Und schon wieder TP-Link. Es sind gewisse Namen, um die man einfach einen Bogen machen sollte.

 

[Haldi]

Die Tatsache, dass google scheinbar "einfach so" nach Sicherheitslücken sucht, finde ich zwar einerseits gut, weil selbige sonst unter Umständen nie oder zumindest (sehr) viel später aufgedeckt werden, aber andererseits finde ich es trotzdem ein wenig befremdlich. Ich kann @leipziger1979 's Empörung da also ein Stück weit verstehen. Sitzen denn die "Google-Forscher" nu den ganzen lieben langen Tag vor ihrem PC und suchen aktiv nach Sicherheitslücken in x-beliebigen Geräten? Und warum? Als Dienst an der (Internet-)Menschheit? Und was ist, wenn sie eine finden, die für Google selbst einen besonderen Nutzen haben könnte? Man muss immer noch bedenken, dass Google ein stark gewinnorientiertes Unternehmen ist, auch wenn die Außendarstellung oftmals ein anderes Bild zeichnet bzw. zeichnen soll. Auf blauen Dunst hin Sicherheitslücken in Fremdsystemen zu suchen, klingt daher schon nach "White Hats" - sofern wirklich in allen Fällen mit offenen Karten gespielt wird.

Phew... Er hat es Privat auf seinem Twitter Account veröffentlicht. Das er bei Google arbeitet, was kann Google denn dafür?
Dürfen Google Mitarbeiter nun in ihrer Freizeit nicht mehr an Router Rum basteln?

Denkst du wirklich das wenn Google TP link eine formelle Nachricht gesendet hätte das die 90 Tage Ignoriert geworden wären?

Die ganze Empörung kannst du dir sparen.

 

[ArisenDrake]

Dann kannst alle auf deine "Blacklist" setzen...

Jeder Hersteller hat irgendwelche Probleme, da hast du natürlich recht. Aber auf gemeldete Sicherheitslücken gar nicht erst in irgendeiner Form zu reagieren ist schon arg problematisch ...

 

[MC´s]

Dann sollte man TP Link auch links liegen lassen, kein Kundenservice = kein Kauf. So einfach ist das.

 

[Cool Master]

@ArisenDrake @MC´s

Bedenkt bitte, dass das Teil aus 2016 ist also mittlerweile 3 Jahre alt ist. Das Teil wird auch keine 300 € gekostet haben mit dem ein richtiger Support gewährleistet werden kann.

Ich finde das Teil auch überhaupt nicht mehr auf derTP-Link Seite es sieht für mich also so aus, als ob das Produkt so schlecht lief dass es überhaupt nicht mehr erwähnt wird. Einzige Einträge die ich auf der TP-Link Seite finde ist in der FAQ.

Dazu kommt bei vielen TP-Link Produkten steht das unter Firmware Downloads:

Verwendung von Third-Party-Firmware auf TP-Link-Produkten

Die Original-Firmware einiger TP-Link-Produkte kann durch Third-Party-Firmware wie DD-WRT ersetzt werden. TP-Link ist weder verpflichtet, für derart modifizierte Geräte Support oder Garantie zu leisten noch für deren Stabilität oder Leistungsfähigkeit zu garantieren. TP-Link wird keinerlei durch Third-Party-Firmware verursachte Schäden ersetzen.

Es wird also sogar aktiv für Alternativ-FW geworben finde ich auch nicht schlecht.

 

[FranzvonAssisi]

Durch den nötigen lokalen Zugriff, ist auch kein Bedarf was zu unternehmen.

Weil es keine unsicheren Geräte im LAN gibt / geben kann?

Es könnte ja sogar schon eine Handyapparat sein, die die Lücke ausnutzt...

Lg

 

[Launebub]

TP-Link wird sie trotzdem nicht schließen. Der Support dort ist Megaschlecht :/

Wenn sie sie mal irgendwann doch schließen sollten, wird das erst nach Monaten, falls es für dieses Modell noch Support geben sollte, passieren. Die Aktualisierungen sind teils extrem unregelmäßig.