Nieuws
image

Standaardwachtwoord XS4ALL-routers niet kwetsbaar

vrijdag 14 augustus 2015, 13:33 door Redactie, 6 reacties

Hoewel de routers die internetprovider XS4ALL aan klanten levert van een standaard wifi-wachtwoord zijn voorzien, zijn ze niet kwetsbaar voor de aanval die onderzoekers van de Radboud Universiteit deze week demonstreerden. Routers van onder andere KPN, Ziggo en Tele2 bleken voor het WPA2-wachtwoord een variant van het MAC-adres of het serienummer van de router te gebruiken.

Het MAC-adres wordt echter door de router uitgezonden. Een aanvaller kan het wachtwoord dan ook binnen een minuut achterhalen en zo van de internetverbinding van de gebruiker gebruik maken, aldus de onderzoekers. De Fritz!Box-modems die XS4ALL aan klanten levert hebben ook een standaard ingesteld wifi-wachtwoord, maar dat is niet gebaseerd op het MAC-adres of een ander onderdeel van de modem.

Voor elk afzonderlijk modem wordt een willekeurige sleutel gegenereerd die niet is af te leiden of te voorspellen. Ook AVM, de fabrikant van de modems, bevestigt dat de Fritz!Box-modems niet kwetsbaar zijn. Het wifi-wachtwoord staat echter op een sticker vermeld die zich op de modem bevindt. Een aanvaller met fysieke toegang kan zo het wachtwoord eenvoudig achterhalen. XS4ALL adviseert klanten dan ook om het standaardwachtwoord toch aan te passen.

Reacties (6)
14-08-2015, 14:23 door Anoniem
Een aanvaller met fysieke toegang kan de router eruit trekken en zijn eigen router neerzetten, of een WiFi AP aansluiten
waarvan hij wel het wachtwoord weet. O the horror! Hij kan zelfs je geld jatten en je sieraden, gekker moet het toch
niet worden.
14-08-2015, 14:37 door Anoniem
Vreemd, na een firmware flash blijft het wachtwoord gewoon altijd uniek maar wel hetzelfde (als dit random zou gebeuren zou een sticker ook zinloos zijn), hoe zou dat mogelijk zijn als er geen hardware parameter in verwerkt zit...?

Ik zou me drukker maken om het tr-069 wat xs4all gebruikt en hen toegang tot het lan van klanten kan verschaffen.
14-08-2015, 16:18 door Anoniem
Het gaat helemaal niet om een wachtwoord, maar om de netwerksleutel, wat iets heel anders is. Warrige berichtgeving (overal, ook bij XS4ALL).
14-08-2015, 16:55 door softwaregeek
Door Anoniem: Een aanvaller met fysieke toegang kan de router eruit trekken en zijn eigen router neerzetten, of een WiFi AP aansluiten
waarvan hij wel het wachtwoord weet. O the horror! Hij kan zelfs je geld jatten en je sieraden, gekker moet het toch
niet worden.
Hij kan ook je computer mee nemen!!
14-08-2015, 20:03 door Anoniem
Door Anoniem: Vreemd, na een firmware flash blijft het wachtwoord gewoon altijd uniek maar wel hetzelfde (als dit random zou gebeuren zou een sticker ook zinloos zijn), hoe zou dat mogelijk zijn als er geen hardware parameter in verwerkt zit...?

Dat is geen probleem als er voldoende eenmalig programmeerbaar storage aanwezig is om behalve het MAC adres ook
andere data op te slaan. Het idee om het password af te leiden uit het MAC adres is ontstaan uit de behoefte om een
vast password te hebben terwijl er geen storage is om het vast te leggen. Maar de Fritzbox is van enige generaties later
en heeft die faciliteit wellicht wel.
14-08-2015, 20:45 door Eric-Jan H te D
Wel grappig. Ik heb vannacht op mijn Fritzbox de automatische update en configuratie aangezet. Deze heb ik altijd uitstaan. Maar omdat er een verhaal de ronde deed over een noodzakelijke update die ik nergens kon vinden voor handmatige download heb ik de automatische updates voor even aangezet.

Er zijn volgens de logging geen updates maar wel configuraties door Xs4all gewijzigd. En vergelijking van de de geëxporteerde instellingen voor en na de wijziging laten alleen wijzigingen van hashes van (xs4all?) gebruikersnamen en wachtwoorden zien.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure