http://www.heise.de/security/meldung/Sicherheitsalarm-fuer-D-Link-Router-1796519.html
Interessant und enttäuschend ...
Angesichts der geschilderten Details auf http://www.s3cur1ty.de/m1adv2013-003 fragt man sich, was denn dort für Deppen arbeiten. Passwort im Klartext in /var/passwd? Naja, wird eh nicht benötigt, da man ja über cmd auch so reinkommt :). Da freue ich mich doch, diesen Dilletanten noch nie einen Pfennig hab zukommen lassen.
greetz
devil
http://www.heise.de/security/meldung/LKA-wird-wegen-verwundbarer-D-Link-Router-aktiv-1798853.html
ZitatUpdate vom 6.2., 15:30: D-Link hat uns mitgeteilt, dass noch im Laufe des heutigen Tages ein Firmware-Update erscheinen soll, das die Schwachstellen schließt
Na, immerhin haben sie inzwischen auch gemerkt daß da vielleicht ein Problem existieren könnte. Bei diesem gezeigten Vorgehen und dem vorgelegten Tempo werd' ich meine Pfennige aber auch künftig lieber woanders lassen. :roll:
Gruß
ayla
Das ist auch gut so, den Firmen, die erst aufgrund massiver Presseberichte reagieren, braucht kein Mensch und sind unser Geld nicht wert. Die betroffenen Router gibts übrigens schon für nen Euro bei Ebay und eigenen sich prima für DD-WRT und andere.
greetz
devil
Da mich das thema DD-WRT interessiert habe ich mal gegoogelt:
http://www.dd-wrt.com/phpBB2/viewtopic.php?p=723544
Ich kann das mangels Erfahrung nicht beurteilen, aber "eignet sich gut" hört sich anders an. Vielleicht klappst ja mit DD-WRT Alternativen.
Für die die so ein Teil haben hier zum (hoffentlich) Abschluß noch den Link zum Artikel mit aktualisierter Firmware:
http://www.heise.de/security/meldung/D-Link-schliesst-hochkritische-Router-Luecken-1799260.html
Gruß
ayla
Auf der Meldungseite bei Heise waren zwei kleine one Liner zum Testen:
Bei einem D-Link DIR-615 war man anscheinend nicht von der Lücker betroffen.
Habe meinen Router mit ner alternativen firmware namens gargoyle bestückt. Gibt es zumindest auch für den 300 von Dlink.
Zitat von: "ayla"Für die die so ein Teil haben hier zum (hoffentlich) Abschluß noch den Link zum Artikel mit aktualisierter Firmware:
Das war wohl leider zu optimistisch. Das Trauerspiel geht weiter, auch wenn die hier beschriebenen Lücken -falls ich das richtig verstehe- etwas mehr Vorbereitung benötigen um ausgenutzt zu werden.
http://www.heise.de/security/meldung/Viele-Router-Luecken-wenig-Patches-1799954.html
Daß Routerhersteller -und nicht nur D-Link- mehr als 5 Monate brauchen um Sicherheitslücken, auf die sie explizit hingewiesen wurden, zu schließen ist doch wohl ohne Worte. Ist den Typen denn nicht klar daß ihre Geräte für die Sicherheit der internen Netze maßgeblich und in vielen Fällen sogar die einzige existierende Abwehreinrichtung sind? Und falls nicht -was glauben die eigentlich was die da bauen?
Interessieren würde mich welche Hersteller hier mehr Wert auf die Sicherheit ihrer Kunden legen und ob es angebracht ist eine alternative Firmware zu verwenden oder ob es da Probleme mit dem Zugang (zu welchen?) Providern geben kann.
Gruß
ayla
ich hab mich die tage auch gefragt ob nicht openwrt eine bessere loesung waere als die 12 monate alte firmware von meinem router?
Ich hab auf meinem Router schon lange dd-wrt drauf, und alles ist gut.
...
Na ja,
ich kenne weder das eine noch das andere, aber ich traue mir einfach nicht zu das Teil dann damit wirksam abzusichern -meine Erfahrung mit freier Software ist halt daß da einige "Handarbeit" nötig ist. Was ja nicht wirklich schlecht sondern gut ist, da ich dann weiß wie sicher ich bin. Aber dazu reichen meine Kenntnisse einfach nicht aus -und meine momentan zur Verfügung stehende Zeit nicht um mir diese anzueignen.
Wobei im Vergleich zum Durchschnittsnutzer meine Kenntnisse wahrscheinlich noch im eher befriedigenden Bereich anzusiedeln wären. Ich weiß wenigstens mal daß ich nur die Ports öffne die ich auch wirklich brauche und daß ich diese dann -wenns geht per gpg- absichere. Aber das war's dann auch schon im Großen und Ganzen.
Als Durchschnittsnutzer -wozu ich mich in dem Bereich zähle- muß ich mich einfach darauf verlassen können daß das Teil daß ich mir da gekauft -oder von meinem Provider zur Verfügung gestellt bekommen habe- nach Stand der Technik optimal abgesichert ist und daß nicht irgendwelche Dilletanten in irgendeiner Hinterhofbastelstube was zusammengelötet haben und dann bei der Programmierung selbst die seit Jahrzehnten grundlegenden Sicherheitsmaßnahmen "vergessen" haben -an deren Überprüfung auf Sicherheit sogar ich, wenigstens teilweise, gedacht hätte. Und wenn sie dann darauf hingewiesen werden erst mal abwarten ob das irgendwelche Wellen schlägt bevor sie dann nachbessern oder ob man das einfach so belassen kann weil das $Durchschnittskunde eh nicht merkt.
Aber es wird mir -außer ärgern- wohl doch nichts übrig bleiben als die dafür nötige Zeit irgendwo abzuzwacken und zu investieren -bevor sich irgend jemand in meinen Router hackt und als Man in the middle meine Kreditkartendaten live serviert bekommt -nuja, falls er die nicht eh schon bei irgendeinem absolut sicheren Online-Shop abgegriffen hat :evil:
Gruß
ayla