Offen wie ein Scheunentor: Vodafones Kabelmodem-Panne im Video
Knapp zwei Jahre hat sich der Programmierer Alexander Graf mit den „Internet per Kabel“-Anschlüssen des Netzbetreibers Kabel Deutschland/Vodafone beschäftigt und konnte dabei gleich mehrere verheerende Schwachstellen in der Router-Infrastruktur des Internetanbieters aufspüren.
Die schwerwiegenden Sicherheitslücken, die Graf im Wartungsnetz des Kabel-Anbieters lokalisieren konnte, hätten nicht nur die Übernahme von knapp 3 Millionen Kunden-Anschlüssen (inklusive der geschalteten VoIP-Telefonleitungen) möglich gemacht, sondern auch vor Augen geführt, wie wenig Wert Vodafone auf Grundsicherung der eigenen Infrastruktur gelegt hätte.
Um seinen Nachforschungen keine rechtlichen Konsequenzen folgen zu lassen kontaktierte Graf das Computer-Magazin c’t und bat die Macher des Print-Magazins um die Kontaktaufnahme mit Vodafone und das Durchreichen der Analyse-Ergebnissen. Die c’t schreibt:
Anschließend kontaktierte Graf die c’t-Redaktion, mit der Bitte, Kabel Deutschland über die gefährlichen Lücken aufzuklären. Er demonstrierte uns seine Entdeckungen am Anschluss eines eingeweihten c’t-Redakteurs. Nachdem wir den Provider Anfang November über die Gefahren informierten, reagierte er relativ schnell: Nach rund einem Monat meldete das Unternehmen, dass die Kunden im Wartungsnetz nun voneinander isoliert werden und auch die Provisionierung abgesichert wurde. Betroffen waren 2,8 Millionen Anschlüsse. Unsere Frage, wie lange die Lücken in der Infrastruktur klafften, blieb unbeantwortet. Möglicherweise existieren die Probleme beim Provider schon, seitdem er Internet über Kabel anbietet – also seit über zehn Jahren. Schindluder wurde durch die Lücken angeblich nicht getrieben.
Im Rahmen des 32. Chaos Communication Congress hat Graf jetzt einen Talk über seine Erkenntnisse gehalten und beschreibt die Motivation, die Vorgehensweise und seine Ergebnis-Analyse im eingebetteten, durch und durch sehenswerten 50-Minuten-Video (Download).
Das ist doch heutzutage mit allem so.
Solange sich keiner beschwert oder die Leute in Unwissenheit sind ist alles in Butter und man kann das billigste vom billigen verkaufen.
Traurig, dass das heutzutage der Standard ist und man selbst das selbstverständliche hinterfragen muss…
Aber solche Leute wie er sind meine Hoffnung für die Zukunft! Wenn doch jeder nur so wäre in der Hinsicht :)
Würde mich mal interessieren, wie die Sicherheit bei Smart Home Routern aussieht. Hat da irgend jemand Erfahrung, Testberichte, irgendwas?
Gibt es das Video auch im englischen Original?
Über die App zum Congress kann man die Audiospur wählen
Auf dem media.ccc.de Kanal auf Youtube gibt’s beide Versionen.
https://www.youtube.com/watch?v=C2N98HMrFKc
Ab 12min ist die Übersetzung von jemand anderen und etwas angenehmer zu verstehen.
Ein weiteres Argument für den Fall des Routerzwangs auch in den Kabelnetzen!
Funktionale Beschränkungen bei den gestellten Schrottroutern sind unangenehm, aber derart gravierende Sicherheitslücken, die über Jahre (!) bestehen, sind ein Unding!
Sicherheitslücken, welche über Monate und sogar Jahre existieren kommen doch in so gut wie allen Unternehmen vor. Auch Apple war davon nicht befreit, siehe XARA und FREAK.
Hätte Vodafone aufgrund des Datenschutzgesetzes nicht die Verpflichtung gehabt, die Kunden über das Problem zu informieren?
Meines Wissens nach müssen sie das nur, wenn tatsächlich Daten in die Hände unberechtigter gelangt sind.
Sie informieren sie nicht! Sie teilen nicht einmal ihre wichtigen Systemänderungen mit. :-(
Erst auf Nachfrage wurde uns gesagt, warum wir seit einiger Zeit nicht mehr unsere Mails über Arcor (Vodafone) versenden können. Wir haben eine eigene Domain und die Mails wurden über Arcor.de verschickt. Jetzt gehen nur noch Arcor eigene Domains über Arcor.de zu versenden. Sie haben das eigene System jetzt extrem zugemacht und Antworten nur mit den gleichen Standart antworten.
Aha, aber die Störerhaftung liegt dann schon bei mir!?
Ich frage mich ernsthaft was für Leute in diesen Unternehmen arbeiten. An solch einer wichtigen Stelle wo Sicherheit mit das größte ist sollten die besten Leute sitzen. Keine Studenten oder Lehrlinge sondern Leute die etwas vom Fach verstehen und fast für 100% Sicherheit sorgen könnten! Dort sollten meiner Meinung nach Leute sitzen die permanent nach Lücken suchen und nicht einfach nur im Netz auf Kosten von Vodafone surfen. also wäre ich Chef von Vodafone wollte ich nur solche Leute einstellen. Das ist eine peinliche Aktion von VF! Aber wahrscheinlich ist es bei anderen Internetprovider nicht anders. Billig billig billig – und das auf Kosten der User.
>Ich frage mich ernsthaft was für Leute in diesen Unternehmen arbeiten.
Wie in anderen Management Ebenen auch. Flaschen für 10.500 jeden Monat, nicht in der Lage eine Entscheidung zu treffen. Denn dafür hat man bei den ganzen wichtigen Meetings keine Zeit.
(Also ich meine die Veranstaltungen in den 80% der Zeit für vollkommen sinn- zweck- und schmerzbefreite Dinge inkl. dem einlochen am 3.ten Pad verschwendet werden.)
Sind sie einsam? Gehen sie zu eine Meeting :)
Täglich 2-5 Stunden Bullshit-Bingo. Das hat doch was. Es wird ja doch auch noch bezahlt.
Zudem, solange ein Mangel ja nicht an die große Glocke kommt, braucht man ja auch nicht Handeln. Hinterher ist es leichter die Hand zu heben und zu schwören von nichts gewusst zu haben. Den die Konsequenzen sind wenn überhaupt nur marginal.*
In der ganzen Zeit dazwischen ist so ein billigstes Teil aus Asien doch durchaus eine Quelle zum Geld drucken. Jeden Monat schön vermietet das Teil, wenn interessiert das wenn die Kasse klingelt. Zumal wenn solche Teile auch noch Zwangsverordnet sind.
So what..
Irgend wie müssen die überflüssigen Vorstände ja durch gefüttert werden.
* Sollte dann mal wirklich irgend wo ein Kopf rollen, kein Problem.
Die die am besten schleimen bekommen die tollsten Jobs auch in anderen Unternehmen.
Man braucht nur zu erwähnen wie viel Jahresumsatz gemacht wurde und wie
viele Gehaltskosten man eingespart hat.
Dazu muss man nicht mal einen Beruf erlernt haben..
Ist der Vertrag nach dem Fall des Routerzwangs dann mit oder ohne Router gleich teuer, werden alle trotzdem den Router nutzen. Denn Router gab es immer gratis dazu, warum dann den Vertrag billiger machen, nur weil der Kunde was anderes anschließen möchte.
Sehen wir es realistisch, für 90% der deutschen Haushalte, nur durch den „Routerzwang“ wurden dort alle paar Jahre die Hardware getauscht. Ansonsten würden viele ihre Uralt-Hardware einfach behalten, wohin dies mit der Sicherheit führt muss vermutlich nicht erläutert werden.
Die Einschränkungen der aufgezwungenen Router ist zudem für eben jene 90% auch gut hinnehmbar.
Du beschreibst jedoch ein viel spannenderes Phänomen, der technische Support (der Provider) lobt die Aufhebung des Zwangs, denn nun bekommen sie wohl doch vernünftige Geräte an ihren Anschlüssen… So beispielsweise von einem o2 Menschen mit mitgeteilt – ob nun die dämlichen FritzBoxen (ohne, ich mach mich unbeliebt hier :)) besser sind, sei mal dahin gestellt.
>ob nun die dämlichen FritzBoxen (ohne, ich mach mich unbeliebt hier :)) besser sind, sei mal dahin gestellt.
Mag ja alles sein. Zeig mir einen Hersteller der nicht mit warmem Wasser kocht..
Zumindest haben die FritzBoxen aber eine Firewall die Funktioniert….
Grauenhafter Dolmetscher. Teilweise wirklich unverständlich genuschelt und gestammelt. Er hat es wirklich geschafft von Englisch in Kauderwelsch zu übersetzen.