Firefox NoScript beschermt miljoenen routers
Een tool om miljoenen routers te hacken is sinds dit weekend beschikbaar, maar gebruikers van Firefox NoScript hoeven zich geen zorgen te maken. Tijdens de Black Hat conferentie demonstreerde beveiligingsonderzoeker Craig Heffner hoe miljoenen routers via een bekende kwetsbaarheid zijn over te nemen. Door slachtoffers een kwaadaardige pagina te laten bezoeken, kan een aanvaller de router kapen en gebruiken om informatie te stelen of de gebruiker naar andere website door te sturen.
Na een tip van een fan, besloot NoScript-ontwikkelaar Giorgio Maone om bescherming aan zijn plugin toe te voegen. Het was echter nog niet zeker of de bescherming wel voldoende was, aangezien de lezing van Heffner nog moest plaatsvinden.
Inmiddels is duidelijk geworden dat NoScript inderdaad bescherming tegen het lek biedt, wat wordt veroorzaakt door routers die hun admin-interface over het WAN IP aan het LAN beschikbaar maken (zelfs als remote administration is uitgeschakeld). Naast NoScript bieden ook OpenDNS en DNSWall bescherming tegen de gedemonstreerde DNS-rebinding aanvallen.
En het blijft voor mij onduidelijk waarom dit probleem niet optreed/niet uitmaakt als je uiteindelijk het modem benaderd via het externe ip (voor de mensen die gaan reageren zonder de documentatie te lezen: dit betreft een request naar het externe ip van je modem, op de *lan-kant* van het modem, vanaf jouw pc), een simpele test met http://user:pass@extern-ip geeft dezelfde popup..
Als iemand dat kan uitleggen graag!
Omdat je van een lager naar een hoger beveiliginsniveau zou ik zeggen. Van buiten naar binnen staat doorgaans alles default dicht, behalve wat je expliciet opent. Van binnen naar buiten kun je ' overal' bij, dus ook je externe interface.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
