Standaardwachtwoord XS4ALL-routers niet kwetsbaar
Hoewel de routers die internetprovider XS4ALL aan klanten levert van een standaard wifi-wachtwoord zijn voorzien, zijn ze niet kwetsbaar voor de aanval die onderzoekers van de Radboud Universiteit deze week demonstreerden. Routers van onder andere KPN, Ziggo en Tele2 bleken voor het WPA2-wachtwoord een variant van het MAC-adres of het serienummer van de router te gebruiken.
Het MAC-adres wordt echter door de router uitgezonden. Een aanvaller kan het wachtwoord dan ook binnen een minuut achterhalen en zo van de internetverbinding van de gebruiker gebruik maken, aldus de onderzoekers. De Fritz!Box-modems die XS4ALL aan klanten levert hebben ook een standaard ingesteld wifi-wachtwoord, maar dat is niet gebaseerd op het MAC-adres of een ander onderdeel van de modem.
Voor elk afzonderlijk modem wordt een willekeurige sleutel gegenereerd die niet is af te leiden of te voorspellen. Ook AVM, de fabrikant van de modems, bevestigt dat de Fritz!Box-modems niet kwetsbaar zijn. Het wifi-wachtwoord staat echter op een sticker vermeld die zich op de modem bevindt. Een aanvaller met fysieke toegang kan zo het wachtwoord eenvoudig achterhalen. XS4ALL adviseert klanten dan ook om het standaardwachtwoord toch aan te passen.
waarvan hij wel het wachtwoord weet. O the horror! Hij kan zelfs je geld jatten en je sieraden, gekker moet het toch
niet worden.
Ik zou me drukker maken om het tr-069 wat xs4all gebruikt en hen toegang tot het lan van klanten kan verschaffen.
waarvan hij wel het wachtwoord weet. O the horror! Hij kan zelfs je geld jatten en je sieraden, gekker moet het toch
niet worden.
Dat is geen probleem als er voldoende eenmalig programmeerbaar storage aanwezig is om behalve het MAC adres ook
andere data op te slaan. Het idee om het password af te leiden uit het MAC adres is ontstaan uit de behoefte om een
vast password te hebben terwijl er geen storage is om het vast te leggen. Maar de Fritzbox is van enige generaties later
en heeft die faciliteit wellicht wel.
Er zijn volgens de logging geen updates maar wel configuraties door Xs4all gewijzigd. En vergelijking van de de geëxporteerde instellingen voor en na de wijziging laten alleen wijzigingen van hashes van (xs4all?) gebruikersnamen en wachtwoorden zien.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
