Sårbara modem

[sodjan]

> Och om man inte kan det?

Vad menar du med "inte kan"?
Som sagt, 99.99% av användarna har inget val.
Du och några till här på forumet hör säkert till
de övriga 0.01% som kan välja, men det är ju
ointressant i det stora hela.

[superx]

9 av 10 användare tolkar varningen som webbläsaren kastar upp som att det är en livsfarlig sajt och besöker den aldrig igen

Då återstår 10000 användare att lura då.

[Nerre]

Nja, av de som inte direkt lämnar sidan så är det nog en hel del som inser att det är nåt suspekt och börjar gräva.

Det finns ju inga system som är idiotsäkra (eftersom idioter är så kreativa). Att kapa modem är ju rätt avancerat också, verkar enklare att skicka ut en massa spam med ful-länkar.

[ronnylov]

Inte bara modem verkar det?
http://www.dn.se/nyheter/sverige/skriva ... t-ta-over/

Men jag fattar inte, man kopplar väl in sin skrivare eller webkamera efter brandväggen och vill man inte komma åt dem från internet gör man ingen port forwarding? Tycker det låter mer som handhavandefel.

Lägger man ut dem på internet så ser man väl till att lösenordsskydda dem om man inte vill ha dem allmänt åtkomliga? Ett syfte med en webbkamera är väl att kunna komma åt den från internet och man kan faktiskt vilja att alla ska ha åtkomst till den. Så om det inte går att konfigurera den för åtkomst via internet så skulle jag vilja säga att den är trasig. Visst i kombination med ett hackat modem så skulle hackern kunna öppna upp för åtkomst av sådana oskyddade prylar utan att användaren vill det. Men då är det fortfarande modemet som är orsaken till problemet.

Fast på ett sätt är väl artikeln bra om det får folk att tänka till lite innan de installerar sina prylar. Får känslan att de skyller på tillverkarna när det snarare är felaktigt handhavande som är orsaken i de flesta fall. Artikeln kallar avsaknad av lösenordsskydd som standard för en säkerhetsbrist. Men även ett standardlösenord är väl i så fall också en säkerhetsbrist. Ett slumpmässigt lösenord låser ut användaren vid första inloggning. Blir ju moment 22. Användaren måste kunna logga in en första gång för att ställa sitt egna lösenord. Ett standardlösenord såsom password eller 1234 är inte mycket säkrare än inget lösen alls. Möjligen skulle varje exemplar kunna få ett unikt standardlösenord som man klistrar på produkten med en etikett. Men hur vanlig är den lösningen?

[superx]

Och vad ska dessa ful-länkar leda till? Den typen av spam kräver någon svaghet som kan utnyttjas för att ge något, och DNS-spoof är väl ett utmärkt exempel på en sådan sak som kan utnyttjas.

Och förresten så är https inte någon garanterad lösning. Som du säger så drar säkert många öronen åt sig med självsignerade certifikat idag, men det räcker med att hackern får kontroll över en server någonstans i världen med en riktig certifikatkedja, för att kunna sätta upp en egen betalsida på den. Det är vanligt med externa betaltjänster, så det är det nog många som accepterar så länge som det är krypterat och certifikatet verkar ok.

[sodjan]

Och, som sagt, de allra flesta vet inte vad "krypterat" eller "certifikat"
är i alla fall. Och en ruta som ber en att acceptera ett certifikat
upplevs av de flesta som vilket felmeddelande som helst, de har
inte en susning om vad frågan gäller eller vad "ja" resp "nej"
betyder...

[Nerre]

Och vad ska dessa ful-länkar leda till?

Fejkade webbsidor, som de gör redan idag?

Det kommer ju ett par larm om året där folk får mail med länkar som leder till falska sidor som försöker lura av dem kortuppgifter och liknande.


Ett certifikat för en webbsida är ju knutet till domänen (eller t.o.m. servern, jag vet att ABC-klubben för en massa år sen hade problem i stil med att certifkatet var för abc.se och därmed fungerade det inte för http://www.abc.se). Ska jag DNS-spoofa https://www.nordea.se måste jag ha ett signerat certifikat för http://www.nordea.se. Jag kan inte ta certifikatet för http://www.aftonbladet.se och använda det på en sida som påstår sig vara http://www.nordea.se.


Lösenord på en etikett på burken är idag ganska vanligt faktiskt.

[superx]

Ja, certifikaten är knutna till en domän, men som jag skrev i mitt inlägg så är det vanligt med externa betaltjänster som ligger på en annan domän än den man besöker. Kanske inte i fallet Nordea, men på andra mindre aktörer.

[Nerre]

Ja, det är sant, där får man ju vara lite uppmärksam. Men det är ju inte konstigare än att det finns falska webb-butiker som tar betalt och sen inte levererar några varor.

Skurkarna använder oftast den lättaste metoden, och den lättaste metoden idag är att maximera exponeringen för att få så många "offer" som möjligt. Tekniskt avancerade manövrer är för krångligt och kan också ofta öka risken för att man blir spårad.

[MiaM]

http://www.dn.se/nyheter/sverige/kunder ... nya-modem/

Oj vilken kvalitetsjournalistik, en skärmdump av vad Bredbandsbolaget skrivit och citat av vad arga kunder skrivit på någon klagomur.

Inte bara modem verkar det?
http://www.dn.se/nyheter/sverige/skriva ... t-ta-over/

Men jag fattar inte, man kopplar väl in sin skrivare eller webkamera efter brandväggen och vill man inte komma åt dem från internet gör man ingen port forwarding? Tycker det låter mer som handhavandefel.

Ja, delvis handhavandefel, men också ett resultat av att Bredbandsbolaget bjussar på 5 ip-adresser (medan nästan alla andra leverantörer väl bara bjussar på en publik IP). Praktiskt på många sätt för oss lite mer kunniga, men risken är att okunniga gör både det ena och det andra direkt på internet istället för bakom en brandvägg.

En webbkamera är ju från början tänkt att vara publik, fast i praktiken sätter man dem alltid via nån mellanlagring om man på ett seriöst sätt bjussar på dem ut på nätet.

Skrivare borde egentligen som default använda någon port som garanterat är blockerad "överallt" hos seriösa internetleverantörer, d.v.s. t.ex. portarna som normalt används för SMB/CIFS (protokollet för att dela filer och skrivare mellan windowsburkar, som i sig led av drivor av säkerhetsbuggar förr).

Det är tråkigt när media hänger ut leverantörer för något som egentligen är resultatet av att det inte krävs "internetkörkort" för att ansluta sig till internet.

[Lennart Aspenryd]

Mitt fel MiaM

Artikel hade en startsida dagen före:
http://www.dn.se/ekonomi/vanliga-modem-latta-att-kapa/

Kanske lite bättre journalistik. Men allt skall ja gu så fort numera, utan verifikation!

Fick du förresten batteriet?

[netrunner]

Här är alltså problemet enligt DN som är enkelt att använda för vem som helst:

(hint: det är inte lätt)

- Att punkt 1 ska lyckas är ju väldigt osannolik då alla idag har antivirus, m.m.
- Vad är vitsen med punkt 2? Det är ju lättare att ändra datorns DNS? Utom i windows då. Sen förutsätter det att man har lösenordet till routern.
- Punkt 3... Eh, nej. Man kommer att få upp en varning om att certifikatet inte är rätt.
- Punkt 3 en gång till. Nej, har man handelsbanken så måste man ha bankdosan och smartcard och pin för att "kapa kontot".

[MiaM]

Klart bättre journalistik där!

(Fast det är inte ditt fel att den du länkade till först är simpelt skriven...)


Jo, jag fick batteriet, trodde jag skickat PM här på forumet för att tacka!
Jag erkänner att jag har inte hunnit ta mig tid för att prova det, jag måste förlänga anslutningen till kontakten en smula för att det mekaniskt ska gå att koppla in i min burk. Om det visar sig fungera så har jag lite mekanikjobb att pyssla med.

[sodjan]

Nej, det hela känns lite uppblåst...
Från 14-ekot nyss:
- BB har "åtgärdat" sina 3 modem modeller.
- PTS inleder ett granskningsärende mot BB.

[Mr Andersson]

Här är alltså problemet enligt DN som är enkelt att använda för vem som helst:

(hint: det är inte lätt)

- Att punkt 1 ska lyckas är ju väldigt osannolik då alla idag har antivirus, m.m.
- Vad är vitsen med punkt 2? Det är ju lättare att ändra datorns DNS? Utom i windows då. Sen förutsätter det att man har lösenordet till routern.
- Punkt 3... Eh, nej. Man kommer att få upp en varning om att certifikatet inte är rätt.
- Punkt 3 en gång till. Nej, har man handelsbanken så måste man ha bankdosan och smartcard och pin för att "kapa kontot".

Punkt 1 sker förmodligen via javascript. Jag har inte sett många antivirus som filtrerar javascript, men jag kan ha fel. Ett noscript-plugin till browsern skulle dock skydda ypperligt bra.
Punkt 2 är ju just för att BBBs modem har ett känt lösenord. Deras exempel skulle inte fungera mot något annat modem om det inte har samma "fel".
Punkt 3 tror jag ingen skulle falla för. Dagens webbläsare har mycket tydliga varningar när certifikat inte stämmer. Dessutom kan man som du säger inte göra nånting utan bankdosan.

Däremot skulle det kanske gå att använda en proxy-dns för att logga och övervaka användarens surf-vanor, men även det känns väldigt långsökt. Hela artikelserien känns mest bara som skrämselpropaganda.

Edit/Tillägg:
Sen kan man ju undra om någon verkligen skulle ta sig tid att skapa en riktad attack mot ett litet antal BBB-kunder?