Comments on: Miliony domowych routerów podatne na atak!

By: Piotr Konieczny

Piotr Konieczny — Tue, 20 Jul 2010 17:21:18 +0000

@anon: wszystko jest kompromisem — przy pół miliona czytelników nie sądzę, że wszyscy zajmują się zawodowo itsec.

By: anon

anon — Tue, 20 Jul 2010 17:00:39 +0000

Heh, po komentarzach widzę jaką cenę trzeba płacić za “popularny” serwis o bezpieczeństwie. Takie rzeczy powinny się wykluczać.
A co do samego ataku -> konieczność kontroli witryny na którą wchodzi użytkownik i serwera DNS (już w tym momencie można bardzo łatwo podstawić mbank), to już jest spore utrudnienie, ciężko będzie powerusera wrobić w niepewny serwer DNS i skrypty na niezaufanej stronie (w to łatwiej, ale teraz jest moda na noscript itp.), a jeżeli uda nam się dns podrobić po maninthemiddle to i tak samo to pozwala już na bardzo wiele. Cóż ciekawe, ale na pewno ten atak nie będzie powszechny.

By: Bonike2010

Bonike2010 — Tue, 20 Jul 2010 13:48:48 +0000

Tak jak wyżej ktoś pisał, rozumiem że nawet w przypadku modeli podatnych na atak dotyczy to tylko tych z oryginalnym softem :D Tomato załatwia tą sprawę ? Zresztą warto chyba również wyłączyć możliwość edytowania softu routera z poziomu wifi

By: AndrzejL

AndrzejL — Tue, 20 Jul 2010 08:37:08 +0000

I znow wiadomosci ktore przerazaja zwyklych szarych uzyszkodnikow i rzucaja ich w ramiona kochanego “Systemu” ktory ich uratuje z opresji… Nie zarzucam tez manipulacji userami Niebezpiecznikowi. Chlopaki tylko przekazuja rzetelne dane co z reszta nie raz zwracalo nasza uwage jak np afera AT&T i Apple… “Apple hacked” < fail…

Anyway… Skype shaczony – nieprawda – tak jak napisali chlopcy radarowcy z Niebezpiecznika czesciowo poznany… wystarczy zeby developerzy skype'a poszaleli troche – pozmieniali kod… i znow zaczynamy zabawe w rev… itd. itp. Poza tym jedyne co tak naprawde zyskuje koles ktory poznal kod skype to to w jaki sposob kliencki soft laczy sie z serwerem. Co mozna z tym zrobic? Mozna zrobic wlasna kliencka wersje Skype. Przed tym glownie chronilo zagmatwanie kodu. Przed klonami… zeby nie zaatakowaly :). Klon skype'a nadal musialby podlegac prawom serwera wiec musialby byc tak samo bezpieczny – mam na mysli szyfrowanie rozmow i chata. Czy moznaby to jakos zepsuc? Pewnie tak… Mozna by dodac buga wysylajacego haslo do konta na gmailu… mozna by zalozyc wlasny serwer nasladujacy serwer skype… i co? Za jakis czas skype zaktualizowany i po problemie…

Tak naprawde te "wielkie problemy" sa dla zwyklego uzytkownika raczej nieosiagalne… Kilku sie sparzy. Reszta w panice poleci robic upgrade softu czy to na routerze czy skype czy "Windows Patch Tuesday"… I wlasnie o to im chodzi…

Biegnij w panice do korporacji! Dobrze ze jest "XXXXXXXX" oni nas naprawia… Chwala korporacji! I tak do nastepnej wpadki… A jak ludzie przestana byc mili dla korporacji "XYZ" to znow sie cos spsuje… A jedyny klucz do naprawy babola bedzie w rekach? "XYZ" itd. itp.

Zaleznosc od "Systemu"… Manipulowane wiadomosci nastawione na "Straszenie" uzyszkodnika… Narzedzia do sterowania "niewolnikami".

Otwarty umysl to jest to co liczy sie najbardziej.

Od jakiegos czasu slucham podcastu "SecurityNow" gdzie dwoch panow Leo Laporte i Steve Gibson z GRC.com rozmawiaja na tematy zwiazane z bezpieczenstwem… Ci kolesie sa naprawde obcykani z tematem… Polecam ich tym dla ktorych jezyk Angielski nie jest jezykiem obcym jako dodatek do naszego Niebezpiecznika.

Naprawde warto.

Pozdrawiam Kolektyw.

Andrzej

P.S. Jesli z powyzszego posta nic nie wynika… to znaczy ze znow wpadlem w rezonans / rozpisalem sie i stracilem watek :). Sie zdarza. Dokoncze rant kiedy indziej ;).

By: Piotr Konieczny

Piotr Konieczny — Tue, 20 Jul 2010 07:12:41 +0000

@Oskar: Seismic mówi nie tylko o korzystaniu z domyślnych haseł ale i o wykorzystywaniu błędów w oprogramowaniu routerów. W drugim przypadku nawet najbardziej l33t hasło nic ci nie da…

By: Oskar

Oskar — Tue, 20 Jul 2010 05:45:28 +0000

Ludzie przestańcie panikować, nawet jeśli dostaną dostęp do interfejsu rutera to muszą znać hasło !! A jeśli nie zmieniliście standardowego no to cóż… die!

By: zzz1986@o2.pl

zzz1986@o2.pl — Mon, 19 Jul 2010 21:10:35 +0000

@Paweł Nyczaj
Moim zdanie automatyczna aktualizacja powinna być tylko opcją, bo przecież często stosuje się taktykę aktualizowania dopiero po jakimś czasie od wyjścia czytając czy nie ma błędów.

Jak mam stary soft z błędami to są one przeważnie już dobrze opisane więc mogę sobie z nimi poradzić(przynajmniej z częścią), nowy soft to zawsze niewiadoma i nowe nieopisane błędy.

By: Paweł Nyczaj

Paweł Nyczaj — Mon, 19 Jul 2010 19:31:58 +0000

Nie ma na liście żadnego Edimaxa, co mnie pociesza, choć do mojego rutera ostatni soft wyszedł w marcu 2008. A wracając do kwestii softu jedynym wyjściem jest automatyczny update softu z serwera firmy i wymuszanie ustawienia bezpiecznego hasła i przypominanie np. na emaila o potrzebie okresowej zmiany. Skoro np. dekoder satelitarny czy kablowy sam aktualizuje soft (w dekoderze UPC nie ma nawet opcji sprawdzania aktualności softu, najwyraźniej uznano że te rzeczy nie są sprawa klienta, na szczęście jest możliwość resetowania i wymuszenia sprawdzenia aktualności softu), to dlaczego ruter tego nie potrafi. Zrzucenie aktualizacji na barki użytkownika nie jest najlepszą strategią bo wiele osób, poza pasjonatami i geekami, nie zdaje sobie sprawy z potrzeby aktualizacji i na dodatek boi się uszkodzenia sprzętu. Wiele osób najzwyczajniej nie wie tez jak zaktualizować soft, dlatego powinien aktualizować się sam. Skoro platformy telewizyjne uznały, ze większość ludzi nie zdawałaby sobie sprawy z konieczności aktualizacji softu i same takowe aktualizacje proponują, to tak samo powinni zrobić producenci ruterów i operatorzy telekomunikacyjni, którzy je oferują

PS
Ciekawe jak wygląda sprawa z firmware i softami modemów na USB? Też nie każdy ma odwagę aktualizować soft w modemie.

By: Piotr Konieczny

Piotr Konieczny — Mon, 19 Jul 2010 18:52:21 +0000

@rozie: przypuszczam, że 90% ataków to próba dodawania na siłę popularnych ipków dla gw (10.0.0.1/192.168.0.1). Poza tym, nie tylko HTTP wchodzi w grę, ale i np. UPnP — Seismic przyznał się, że za wiele innowacji w ich odkryciach nie ma, ale za to zebrali wszystkie “obejścia” same orgin policy i trochę je ulepszyli. Ja obstawiam, że coś ciekawego jednak pokażą ;)

By: rozie

rozie — Mon, 19 Jul 2010 18:13:57 +0000

Troszkę przesadzony ten news jeśli tylko chodzi o to, że da się dostać z LANu, bo tak naprawdę to bardziej atak na/przez przeglądarkę. Być może w grę wchodzą nie tylko domyślne hasła, ale także zapamiętane? Tak nawiasem, czy z poziomu JS (przeglądarki w ogólności) da się pobrać IP bramy?

W przypadku części routerów (np. WRT54GL) prawdopodobnie można się skutecznie zabezpieczyć. Jeśli łączymy się tylko przez wifi, wystarczy wyłączyć dostęp do zarządzania po wifi (i w razie potrzeby zmiany konfiguracji łączyć się kabelkiem).

By: Piotr Konieczny

Piotr Konieczny — Mon, 19 Jul 2010 18:10:10 +0000

dwyw: to zależy jakie możliwości ma Twój router i czy atakującemu uda się na niego wsiąść ;-)

By: anonim

anonim — Mon, 19 Jul 2010 17:41:32 +0000

Hehe znowu problemy z interfejsem webowym :)

A pamietam jak ponad dekade temu pierwsza rzecza jaka byla robiona na sprzecie sieciowym to wylaczenie interfejsu webowego :)
I konczyly sie problemy z bezpieczenstwem ( no wiekszosc oczywiscie).

P.S.
moj linksys mimo iz z openwrt jest bezpieczny. httpd wylaczony z kilka lat temu :)

Ale jak musi byc kolorowo i animowanie to takie sa efekty :(

By: dwyw

dwyw — Mon, 19 Jul 2010 17:40:47 +0000

Czyli jak wpisuje adresy DNS ręcznie na komputerze, nic wielkiego mi nie grozi?

By: apatia

apatia — Mon, 19 Jul 2010 14:11:18 +0000

@up “w przypadku dd-wrt nie ma czegos takiego jak domyslny login i haslo.”
Jak to nie? A “admin” + “dupa8″?:D

By: mati

mati — Mon, 19 Jul 2010 12:37:08 +0000

Pragnalbym wspomniec o tym, ze juz od dluzszego czasu po aktualizacji softu dd-wrt wpierw musimy ustawic login i haslo, zanim bedziemy mieli dostepem do panelu administracyjnego – oznacza to, ze w przypadku dd-wrt nie ma czegos takiego jak domyslny login i haslo.