Trädvy Permalänk
Medlem
Plats
I mitt rum.
Registrerad
Jul 2001

BBB med sin Zyxel"skandal"..

Så. Nu när dom gått ut och låst ett X antal tusen modem. (Media rapporterar 100k användare) så kommer man inte åt web-interfacet _alls_.

Jag var just kontakt med support (efter ha sagt 40 minuter ringde dom upp efter ~2h) Och bad han gå in och ändra till bara en brygga istället för routing, så kunde jag sätta en router bakom modemet själv och lösa port-forwarding)

Efter 4 minuters AFK från telefonsnubben så kom han tillbaka med ett "Dåliga nyheter..... jag kommer inte åt ditt modem överhuvudtaget... "

Jag: Så ni har bokstavligen låst dörren och tappat nyckeln?
Han: Ja... det är så.

SÅ inte ens supportkillarna kan gå in och portforwarda åt er dom beskrivs på bredbandsbolaget.se

(http://www.bredbandsbolaget.se/kundservice/senaste-nytt/frago...)

Saxat: Men om jag vill kunna konfigurera modemet själv, vad gör jag?

Den programuppdatering som skett under natten till den 30 oktober innebär att kunder som använt admingränssnittet och har ett behov av att ändra inställningar själva, t ex "port forwarding", som ibland används av kunder som spelar mycket online, måste man vända sig till kundservice.

---------

Alltså. Ren och skär lögn. Dom kan inte göra ett skvatt åt det.

Jag ska nu pallra mig ner till Siba eller Elgiganten och kolla efter ett nytt DSLmodem som dom INTE kommer och lägger sina smutsiga supportfingrar i.

Trädvy Permalänk
Medlem
Plats
Göteborg
Registrerad
Jul 2004

"Skandal"? Jag vill kalla det skandal rätt och slätt, utan citationstecken

Trädvy Permalänk
Medlem
Plats
Kalmar
Registrerad
Sep 2006

Kung!

Vänligen citera inlägget för ett snabbt svar!

MB: Asus P8P67 Pro Rev B3 CPU: Intel i7 2600K @ 4.6Ghz GFX: TwinFrozr 4GB GTX 770

Minne: 2x4GB Corsair Vengeance Display: Dell U2713HM@2560x1440p/90Hz

Mus: Logitech G500s Tngntbord: Qpad MK-85 PRO Headset: Astro A50

Trädvy Permalänk
Medlem
Registrerad
Sep 2011

Alltså, vad ska man säga? LOL!
Om du kan, varför inte byta bort BBB på en gång?

Trädvy Permalänk
Medlem
Registrerad
Maj 2014

Det är skandal för media tog upp det, men så länge kunderna eller media inte visste om det så var allt frid och fröjd. Även om säkerhetshålet fortfarande skulle finnas och de inte gjort nåt åt de så skulle nog inte många kunder drabbas av någonting egentligen.

Sedan så har support man ringer till oftast inte tillgång till tekniska saker och om de hade de så är det troligtvis ett nytt lösenord som de inte fått tillgång till än.

Trädvy Permalänk
Medlem
Plats
Malmö
Registrerad
Maj 2008
Skrivet av VexedRelic:

Det är skandal för media tog upp det, men så länge kunderna eller media inte visste om det så var allt frid och fröjd. Även om säkerhetshålet fortfarande skulle finnas och de inte gjort nåt åt de så skulle nog inte många kunder drabbas av någonting egentligen.

Sedan så har support man ringer till oftast inte tillgång till tekniska saker och om de hade de så är det troligtvis ett nytt lösenord som de inte fått tillgång till än.

Security through obscurity är inte bra.
Man måste outa sårbarheter för att leverantörer ska lägga ner tid på att ordna dem. Det är därför vi har ett system byggt runt CVE-nummer.

Min fråga är däremot varför man vill nätverksutrustning som en tredjepart kan komma åt och som uppenbarligen inte är ordentligt segmenterat (eg inte bara åtkomstbar från ISP nät).

|i7 4770K @ Stock | Phanteks PH-TC14PE | 16GB RAM | Evga GTX 1080 FTW |
|ASrock Z87 Extreme 4 | Samsung 850 EVO 500GB | Nanoxia Deep Silence 1 | Acer XB270HUbprz |
| CentOS in the streets, Arch Linux in the sheets |

Trädvy Permalänk
Inaktiv
Registrerad
Okt 2006
Skrivet av VexedRelic:

Det är skandal för media tog upp det, men så länge kunderna eller media inte visste om det så var allt frid och fröjd. Även om säkerhetshålet fortfarande skulle finnas och de inte gjort nåt åt de så skulle nog inte många kunder drabbas av någonting egentligen.

Sedan så har support man ringer till oftast inte tillgång till tekniska saker och om de hade de så är det troligtvis ett nytt lösenord som de inte fått tillgång till än.

Bakdörren har varit känd sedan länge. Jag har hittat information om detta som sträcker sig så långt tillbaka som 2009, allt relaterat till Zyxel modem.
Jag tvivlar inte det minsta på att BBB känt till dessa bakdörrar tidigare - hur skulle dom annars kunna hjälpa till med inställningar? Nu ringde ju TS och bad om en simpel sak...och nu är både support OCH användare utelåsta!

Men, jag antar att svensken kommer dra ner byxorna och böja sig fram...och bara acceptera det, för det händer fan ingenting. Det gick från dåligt till ännu värre!

Trädvy Permalänk
Medlem
Plats
Göteborg
Registrerad
Apr 2005

Om man själv bryggat modemet från börjar har man inte vart i farozonen va?

HAF : i7 2700K @ 5.1Ghz | Noctua NH-D14 | EVGA 1080 Superclocked | Asus Maximus IV Extreme Z | Asus ROG Swift 27" 144hz G-Sync - Dell 27" Ultrasharp | Corsair HX 850i | Corsair Vengeance 32gb | Samsung EVO 850 256GB 3x | HAF 932 "Pitch black" |
HTPC : E8400@3.8Ghz | TT Silent Tower | 4870 PCS+ | NoFans | 50" Panasonic GT30 3D plasma | Logitech Z-5500 (+ 8st Amiga, A500 till 4000T Cyberstorm PPC)

Trädvy Permalänk
Medlem
Registrerad
Sep 2013

Jag kommer fortfarande åt interfacet på mitt modem (2601) via kabel, efter en reset och endast om jag kopplar bort routern från telenätet och sätter manulla IP-adresser i datorn.
Kunde efter detta gå in och fixa tillbaka bryggan igen.
Tyvärr gick hastigheten ned från ca 20Mbit till 6Mbit efter "uppdateringen", enligt supporten kan det blivit ett mjukvarufel i routern...

Trädvy Permalänk
Medlem
Registrerad
Mar 2012
Skrivet av Voultner:

Security through obscurity är inte bra.
Man måste outa sårbarheter för att leverantörer ska lägga ner tid på att ordna dem. Det är därför vi har ett system byggt runt CVE-nummer.

Min fråga är däremot varför man vill nätverksutrustning som en tredjepart kan komma åt och som uppenbarligen inte är ordentligt segmenterat (eg inte bara åtkomstbar från ISP nät).

För att alla tittar nästan bara på priset, ju lägre pris desto bättre.
Väldigt få är bereda att lägga några extra kronor på något som är genomtänkt och testat.

Vilket leder till att BBB inte tycker sig ha tid att testa och kravställa mot Zyxel, Zyxel i sin tur måste pressa priserna för annars får de inte sälja. Så konsumenterna får faktiskt det de har efterfrågat: billigt skit.

Trädvy Permalänk
Medlem
Registrerad
Maj 2014
Skrivet av Segas:

Bakdörren har varit känd sedan länge. Jag har hittat information om detta som sträcker sig så långt tillbaka som 2009, allt relaterat till Zyxel modem.
Jag tvivlar inte det minsta på att BBB känt till dessa bakdörrar tidigare - hur skulle dom annars kunna hjälpa till med inställningar? Nu ringde ju TS och bad om en simpel sak...och nu är både support OCH användare utelåsta!

Visst är det så, att det troligtvis har funnits i flera år. Har nåt allvarligt hänt pga det? Troligtvis inte eftersom BBB inte haft det som prioritering. Och bakdörren var inget mer än ett "hemligt" admin konto, de skulle lika gärna kunna använt deras egna och inte en bakdörr.

Troligtvis har de stängt ner gui web interfacet, men mycket möjligt att man fortfarande kommer åt det via management vlan till modemet, att även BBB skulle vara utlåsta tvivlar jag på, kanske att de bara kommer åt det via CLI. Men detta är troligtvis ingenting som en support du ringer till kan göra. Men jag jobbar inte hos BBB så vem vet...

Trädvy Permalänk
Medlem
Plats
Stofilgrottan
Registrerad
Aug 2011
Skrivet av VexedRelic:

Visst är det så, att det troligtvis har funnits i flera år. Har nåt allvarligt hänt pga det? Troligtvis inte eftersom BBB inte haft det som prioritering. Och bakdörren var inget mer än ett "hemligt" admin konto, de skulle lika gärna kunna använt deras egna och inte en bakdörr.

Troligtvis har de stängt ner gui web interfacet, men mycket möjligt att man fortfarande kommer åt det via management vlan till modemet, att även BBB skulle vara utlåsta tvivlar jag på, kanske att de bara kommer åt det via CLI. Men detta är troligtvis ingenting som en support du ringer till kan göra. Men jag jobbar inte hos BBB så vem vet...

"Har något allvarligt hänt? Troligtvis inte......". Hur kan man uttala sig om det så lättvindigt? Det troliga är väl att bakdörren har utnyttjats om den nu har funnits så länge. Det tyder på att BBB totalt saknar respekt för sina kunder.

Varför önska sig fred jorden när man kan få krig på månen?

Trädvy Permalänk
Medlem
Plats
Norrland
Registrerad
Sep 2005

Tack för morgon skrattet!

Snälla alla ni som skapar å svarar, F A K T A!
Så ingen gissningslek där ni leker, å skapa inte en tråd innan ni vet hur ni ska forma den till nåt konkret.
Du som trådskapare blir irriterad över brist på hjälp å dom som ska hjälpa blir less på att korrigera folk.

Trädvy Permalänk
Medlem
Plats
Filipstad
Registrerad
Nov 2003

Jag tycker man kan prata om två olika skandaler. Visst är det en skandal det här med säkerhetsproblemen men jag tycker vi kan prata om en annan skandal, nämligen det faktum att ISP:s lånar ut modem/routrar som är skitkassa.
Min svärfar som kan noll om teknik "fick" en ny router av BBB, detta som ett tack för att han varit dem en trogen kund länge. Problemet var bara att det var en värdelös router som hade obefintlig räckvidd och strulade hela tiden.
Jag löste det hela genom att brygga skiten och skaffa en "fungerande" router åt honom.
Det jag vill ha sagt är att jag tycker det är skandal att vanligt okunnigt folk blir pålurade värdelösa routrar som gör att de inte kan tillgodogöra sig den produkt de varje månad betalar för!

CPU: 2700k@4,5GHz - Mobo: ASUS P8Z77-V PRO - GPU: Palit gtx1060 - Minne: 16gb ram-Skärm Eizo Foris FS2333-BK

Trädvy Permalänk
Medlem
Plats
Stofilgrottan
Registrerad
Aug 2011
Skrivet av yttox:

Jag tycker man kan prata om två olika skandaler. Visst är det en skandal det här med säkerhetsproblemen men jag tycker vi kan prata om en annan skandal, nämligen det faktum att ISP:s lånar ut modem/routrar som är skitkassa.
Min svärfar som kan noll om teknik "fick" en ny router av BBB, detta som ett tack för att han varit dem en trogen kund länge. Problemet var bara att det var en värdelös router som hade obefintlig räckvidd och strulade hela tiden.
Jag löste det hela genom att brygga skiten och skaffa en "fungerande" router åt honom.
Det jag vill ha sagt är att jag tycker det är skandal att vanligt okunnigt folk blir pålurade värdelösa routrar som gör att de inte kan tillgodogöra sig den produkt de varje månad betalar för!

Jag håller fullständigt med. Jag blir rent ut sagt skitförbannad. Tyvärr är det nog inte enbart BBB som behandlar sina kunder som boskap.

Varför önska sig fred jorden när man kan få krig på månen?

Trädvy Permalänk
Medlem
Plats
Göteborg
Registrerad
Apr 2013

BBB verkar ha klantat till det ordentligt. Värt att komma ihåg är att om de inte kan fixa problemen för er inom rimlig tid har ni rätt att bryta avtalet. BBB kan inte hävda varken bindningstid eller uppsägningstid om ett fel finns i tjänsten och de inte kan avhjälpa felet inom rimlig tid.

Förstklassig klantighet är ju att försöka hemlighålla säkerhetsproblemen med Zyxel modemen och sedan hoppas att ingen kund eller någon från media lyckas få veta om det. Hade det funnits ett Nobel pris för klantighet eller inkompetent kundbemötande hade en värdig representant för BBB kunnat bli nominerad att hämta ut det priset.

Trädvy Permalänk
Medlem
Plats
Filipstad
Registrerad
Nov 2003

Min sambos moster har varit Telia trogen sedan stenåldern. Hennes router gick sönder så Telia ställde upp och skickade henne omgående en "ny". Hon fick en begagnad Tg784!

CPU: 2700k@4,5GHz - Mobo: ASUS P8Z77-V PRO - GPU: Palit gtx1060 - Minne: 16gb ram-Skärm Eizo Foris FS2333-BK

Trädvy Permalänk
Medlem
Registrerad
Maj 2014
Skrivet av QL:

"Har något allvarligt hänt? Troligtvis inte......". Hur kan man uttala sig om det så lättvindigt? Det troliga är väl att bakdörren har utnyttjats om den nu har funnits så länge. Det tyder på att BBB totalt saknar respekt för sina kunder.

Antyder du på att BBB använde "bakdörren" för att nå sin egna utlånade router de skickat till dig? Kanske de gjorde det, men som sagt det är deras router eller utrustning och inte din, ditt nät och ansvar kommer efter den. Sedan så äger BBB din ip address, det är deras ansvar.

Den största grejen med det här skulle isf vara relevant till DDoS grupper på nätet som tar över ditt nätverk för att skicka attacker till servrar, som i sitt led skickar ett abuse ip mail till BBB som i sin tur stänger ned din port eller internet och undersöker saken. Om det hade visats sig vara ett problem så hade de väl åtgärdat det tidigare, eller hur? Sedan så är en sådan backdörr eller exploit så väldigt specifik så chanserna att det skulle ske är minimala.

Min åsikt och poängtering var att det inte är en sån stor grej egentligen men eftersom media öppnar denna pandoras box så blir det ett himla liv på folk, för min del är det lite lustigt för Internet är egentligen inte ett trevligt och säkert ställe att vistas på egentligen, men de flesta tror det för de har sina virus program, brandväggar eller stängda portar i sin router, det handlar om att dessa människor eller kunder bara vill känna en trygghet även om detta egentligen är en falsk trygghet.

Givetvis får folk vara upprörda eller arga men ur ett realistiskt perspektiv så var inte denna bakdörr väldigt allvarlig så den hade absolut högsta prio.

Trädvy Permalänk
Medlem
Plats
Stofilgrottan
Registrerad
Aug 2011
Skrivet av VexedRelic:

Antyder du på att BBB använde "bakdörren" för att nå sin egna utlånade router de skickat till dig? Kanske de gjorde det, men som sagt det är deras router eller utrustning och inte din, ditt nät och ansvar kommer efter den. Sedan så äger BBB din ip address, det är deras ansvar.

Den största grejen med det här skulle isf vara relevant till DDoS grupper på nätet som tar över ditt nätverk för att skicka attacker till servrar, som i sitt led skickar ett abuse ip mail till BBB som i sin tur stänger ned din port eller internet och undersöker saken. Om det hade visats sig vara ett problem så hade de väl åtgärdat det tidigare, eller hur? Sedan så är en sådan backdörr eller exploit så väldigt specifik så chanserna att det skulle ske är minimala.

Min åsikt och poängtering var att det inte är en sån stor grej egentligen men eftersom media öppnar denna pandoras box så blir det ett himla liv på folk, för min del är det lite lustigt för Internet är egentligen inte ett trevligt och säkert ställe att vistas på egentligen, men de flesta tror det för de har sina virus program, brandväggar eller stängda portar i sin router, det handlar om att dessa människor eller kunder bara vill känna en trygghet även om detta egentligen är en falsk trygghet.

Givetvis får folk vara upprörda eller arga men ur ett realistiskt perspektiv så var inte denna bakdörr väldigt allvarlig så den hade absolut högsta prio.

Varför skulle bakdörren finnas om inte BBB hade någon användning för den? Sälja uppgiften till någon annan? Nej, bakdörren är sannolikt primärt till för att underlätta supportärenden. Själv är jag inte kund hos BBB. Jag har byggt min router själv.

Största problemet tycker jag är att bakdörren överhuvud taget existerar eftersom det utgör en svaghet som kan utnyttjas av tredje part. Det är naturligtvis omöjligt att veta hur mycket skada detta har orsakat BBBs kunder. Att BBB inte har åtgärdat problemet visar bara att de struntar i sina kunders integritet.

Du får givetvis ha och stå för din åsikt. Jag förstår den inte. Jag tycker att Internetleverantörer ska värna om och respektera sina kunders integritet. Du tycker inte att "det är en stor grej".

Varför önska sig fred jorden när man kan få krig på månen?

Trädvy Permalänk
Medlem
Plats
I mitt rum.
Registrerad
Jul 2001

En vän till mig har varit kontakt med support, han babbla på lite och klagade och fick ut 500:- till köp av ny hårdvara då han vägrar vänta på en lösning. SÅ dom ställer faktiskt upp om man gnäller lite extra.

Ang tråden så skrev jag den i stridens hetta precis efter samtalet. Kom inte på något vettigare än "skandal"

Trädvy Permalänk
Medlem
Plats
Mariestad
Registrerad
Dec 2008

Ja, så va de för mig med!
Jag ringde o krävde de skulle brygga det åt mig. Dock så visste jag inte om skandalen, fast de va samma dag det hände. Utan va mest för ja hade fått min EDGEROUTER hemskickad å ville använda den ist..
Men de vart jag informerad om direkt när de svara 45min... Å även på nätet sen då!

Men han kunde inte komma åt mitt modem heller.... Vi får skicka ett nytt modem till dej sa han då. VABRA sa jag för de har jag redan ett här i garderoben (fråga mig inte hur de hamnat där) Dunkade i det å fick ändra till bryggat läge sj ist för han kom inte åt de heller. Men d va dock ej uppdaterat o blockerat (än). Så fort in å ändra innan de blåste om de modemet med!

Så nu är de bryggat å trafiken flödar genom Edgeroutern!
MUMMA

Skrivet av Leveller:

Så. Nu när dom gått ut och låst ett X antal tusen modem. (Media rapporterar 100k användare) så kommer man inte åt web-interfacet _alls_.

Jag var just kontakt med support (efter ha sagt 40 minuter ringde dom upp efter ~2h) Och bad han gå in och ändra till bara en brygga istället för routing, så kunde jag sätta en router bakom modemet själv och lösa port-forwarding)

Efter 4 minuters AFK från telefonsnubben så kom han tillbaka med ett "Dåliga nyheter..... jag kommer inte åt ditt modem överhuvudtaget... "

Jag: Så ni har bokstavligen låst dörren och tappat nyckeln?
Han: Ja... det är så.

SÅ inte ens supportkillarna kan gå in och portforwarda åt er dom beskrivs på bredbandsbolaget.se

(http://www.bredbandsbolaget.se/kundservice/senaste-nytt/frago...)

Saxat: Men om jag vill kunna konfigurera modemet själv, vad gör jag?

Den programuppdatering som skett under natten till den 30 oktober innebär att kunder som använt admingränssnittet och har ett behov av att ändra inställningar själva, t ex "port forwarding", som ibland används av kunder som spelar mycket online, måste man vända sig till kundservice.

---------

Alltså. Ren och skär lögn. Dom kan inte göra ett skvatt åt det.

Jag ska nu pallra mig ner till Siba eller Elgiganten och kolla efter ett nytt DSLmodem som dom INTE kommer och lägger sina smutsiga supportfingrar i.

Trädvy Permalänk
Medlem
Plats
KLAX
Registrerad
Jan 2004
Skrivet av Voultner:

Security through obscurity är inte bra.
Man måste outa sårbarheter för att leverantörer ska lägga ner tid på att ordna dem. Det är därför vi har ett system byggt runt CVE-nummer.

Min fråga är däremot varför man vill nätverksutrustning som en tredjepart kan komma åt och som uppenbarligen inte är ordentligt segmenterat (eg inte bara åtkomstbar från ISP nät).

Zyxelroutern var endast åtkomstbar från LAN (så att användare kunde göra portforwarding med mera), samt från ISP (alltså ej öppet på internet).
Användaren fanns så att ISP kunde supportera kunden.

DOCSIS-modem går inte byta rakt av pga provisioneringen som sker så kunden kan i princip inte köpa ett eget modem.

Fler frågor?

Trädvy Permalänk
Medlem
Plats
Malmö
Registrerad
Maj 2008
Skrivet av CloX:

Zyxelroutern var endast åtkomstbar från LAN (så att användare kunde göra portforwarding med mera), samt från ISP (alltså ej öppet på internet).
Användaren fanns så att ISP kunde supportera kunden.

Mja, det visade väl sig att en mängd av enheterna var felkonfade och inte styrdes av en ACL? Detta i kombination med en sårbarhet och ett riktigt kasst konfat adminkonto.

Skrivet av CloX:

DOCSIS-modem går inte byta rakt av pga provisioneringen som sker så kunden kan i princip inte köpa ett eget modem.

Det här får du gärna utveckla om du har tid. Aldrig hört talas om DOCSIS förrän nu och begriper inte riktigt det jag läser om det på Wikipedia etc.

|i7 4770K @ Stock | Phanteks PH-TC14PE | 16GB RAM | Evga GTX 1080 FTW |
|ASrock Z87 Extreme 4 | Samsung 850 EVO 500GB | Nanoxia Deep Silence 1 | Acer XB270HUbprz |
| CentOS in the streets, Arch Linux in the sheets |

Trädvy Permalänk
Medlem
Plats
KLAX
Registrerad
Jan 2004
Skrivet av Voultner:

Mja, det visade väl sig att en mängd av enheterna var felkonfade och inte styrdes av en ACL? Detta i kombination med en sårbarhet och ett riktigt kasst konfat adminkonto.

Det här får du gärna utveckla om du har tid. Aldrig hört talas om DOCSIS förrän nu och begriper inte riktigt det jag läser om det på Wikipedia etc.

Om jag läser denna: http://www.dn.se/ekonomi/vanliga-modem-latta-att-kapa/ så kan jag inte förstå varför punkt 1 skulle behövas om ACLerna var trasiga mot internet.

Ang DOCSIS, testa denna länk: http://volpefirm.com/cable-modem-registration-a-second-look/
Gillade den skarpt.

Trädvy Permalänk
Avstängd
Registrerad
Nov 2011

Det hela är så sjukt överdrivet av DN, och andra medier.

Ex från DN "Det innebär att andra i realtid kan se vilka sajter som besöks, läsa mejl och ta över bankkonton."

Okej, de kan se att en DNS förfrågan gjordes om att slå upp www.dn.se (23.3.91.18) som exempel, men det betyder INTE att sidan över huvud taget besöktes, och inte heller kan de läsa mailen (om kommunikationen är krypterad), eller ta över bankkontona då det handlar om krypterad trafik där med. Såvida inte certifikaten kommit på avvägar eller att personen som går in på banken klickar i "ja, jag accepterar att certifikatet inte är giltigt" ruta i sin webbläsare.

Så slutsatsen? Det hela är så överdrivet så det knappast finns ord för det, då konsekvensen av att någon kan logga in i routern och byta DNS servrar är rätt liten i praktiken, speciellt då ett DNS uppslag inte är "bevis" på att sidan över huvud taget besöktes, inte heller kan de se mail, eller bankärenden då de är krypterade mellan användaren och servern. Så ta det hela med en nypa salt, det finns värre saker än att ändra DNS servrar som kan påverka användaren.....

System: Corsair Obsidian 550D Midi Tower Svart || Corsair AX 850W PSU || Intel® Core i7-3770K Processor || ASUS P8P67-M || 2 x Intel® SSD 520 Series 180GB || Gigabyte GeForce GTX 670 2GB PhysX CUDA ||

Trädvy Permalänk
Medlem
Plats
Vrankunge
Registrerad
Apr 2004

Eftersom man nu är utelåst från modemet, kan man byta ut de mot ett billigt annat modem mest för att brygga så jag kan koppla in en bättre router typ asus rt66u för att få bättre täckning på trådlösa.

They say if you play a Microsoft CD backwards, you hear satanic messages. That's nothing. If you play it forwards, it installs Windows.

Trädvy Permalänk
Medlem
Registrerad
Jan 2009
Skrivet av PowerNet:

Det hela är så sjukt överdrivet av DN, och andra medier.

Ex från DN "Det innebär att andra i realtid kan se vilka sajter som besöks, läsa mejl och ta över bankkonton."

Okej, de kan se att en DNS förfrågan gjordes om att slå upp www.dn.se (23.3.91.18) som exempel, men det betyder INTE att sidan över huvud taget besöktes, och inte heller kan de läsa mailen (om kommunikationen är krypterad), eller ta över bankkontona då det handlar om krypterad trafik där med. Såvida inte certifikaten kommit på avvägar eller att personen som går in på banken klickar i "ja, jag accepterar att certifikatet inte är giltigt" ruta i sin webbläsare.

Så slutsatsen? Det hela är så överdrivet så det knappast finns ord för det, då konsekvensen av att någon kan logga in i routern och byta DNS servrar är rätt liten i praktiken, speciellt då ett DNS uppslag inte är "bevis" på att sidan över huvud taget besöktes, inte heller kan de se mail, eller bankärenden då de är krypterade mellan användaren och servern. Så ta det hela med en nypa salt, det finns värre saker än att ändra DNS servrar som kan påverka användaren.....

Nja, du viftar bort det lite väl lättvindigt tycker jag allt. Tänk ett par steg längre - Vad kan jag göra om jag kan tillhandahålla folk vilka svar jag vill på DNS-frågor?

Kapar jag DNS-förfrågningarna och ger svar som leder till en lagom elak proxyfarm kan jag övervaka okrypterade trafiken busenkelt. Krypterade banksidor är aningen tuffare, men tror knappast majoriteten av svenskarna skulle märka om en uppkoppling går över vanlig http istället för över https. Går jag in på Nordeas hemsida är det http://www.nordea.se som gäller, dvs en okrypterad sida som inte är några problem att detektera och byta ut. Vips är efter modifiering inte heller inloggningssidan eller senare heller normala krypterade varianter. Ingen varning om skumt certifikat, eftersom det inte finnns något och inte heller förväntas finnas något...

Huruvida det faktiskt utnyttjats så i det här fallet eller ej är en annan femma, men det är inte relevant i sammanhanget. Det du gav som exempel på DN:s beskrivning av vad man kan göra är fullt plausibelt.

Mer skrämmande än säkerhetsproblemet i sig är att det faktiskt finns folk utöver företagens PR-avdelningar som försöker vifta bort det som någon sorts bagatell. Ofta kan en illasinnad person utnyttja ett säkerhetsproblem till att göra mer än just bara det första man tänker på eller vad funktionen var avsedd för. Och människor i sin tur är långtifrån perfekta. Även någon som är datorvan och så vidare kan i ett svagt ögonblick glömma titta efter krypteringstecknen när man går in på nätbanken för sjuttioelfte gången en månad och bara ska betala en räkning.

Trädvy Permalänk
Medlem
Registrerad
Maj 2014

PowerNet är på samma spår som mig, men kanske skrev det lite bättre

Det enda hela grejen handlar om är att det finns ett gömt admin konto som heter kung, och detta konto har bara ett 4 teckens lösenord, och det är just det som är så klumpigt gjort av BBB. Hade de satt ett 12 tecken lösenord med special tecken, siffror och bokstäver så hade de varit bra mycket säkrare.

Även om detta konto ej fanns och kunden eller användaren bytta lösenordet själv till något simpelt så skulle de nästan vara lika osäkert som just kung kontot, precis lika osäkert.

Trädvy Permalänk
Medlem
Plats
STHLM
Registrerad
Nov 2013

Det finns alltså folk som använder skiten man får medskickat.... =O

ASUS G750JX

Trädvy Permalänk
Medlem
Plats
KLAX
Registrerad
Jan 2004
Skrivet av VexedRelic:

PowerNet är på samma spår som mig, men kanske skrev det lite bättre

Det enda hela grejen handlar om är att det finns ett gömt admin konto som heter kung, och detta konto har bara ett 4 teckens lösenord, och det är just det som är så klumpigt gjort av BBB. Hade de satt ett 12 tecken lösenord med special tecken, siffror och bokstäver så hade de varit bra mycket säkrare.

Även om detta konto ej fanns och kunden eller användaren bytta lösenordet själv till något simpelt så skulle de nästan vara lika osäkert som just kung kontot, precis lika osäkert.

Agreed, dock skulle ett 12-teckens lösenord läcka lika lätt som en 4-teckens. Det är såklart svårare att bruteforca, tror dock att det första scenariot är troligare